NIS2 verstehen und strukturiert umsetzen

NIS2 verändert den Umgang mit Informationssicherheit

Mit NIS2 wird Informationssicherheit für deutlich mehr Unternehmen zu einer verbindlichen organisatorischen Aufgabe. Die europäische Richtlinie erweitert den Kreis der betroffenen Branchen, verschärft Anforderungen an das Risikomanagement und stärkt die Verantwortung der Unternehmensleitung.

In Deutschland wurden die Vorgaben mit dem neuen BSI-Gesetz umgesetzt. Das deutsche Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft. Betroffene Unternehmen müssen sich registrieren, geeignete Sicherheitsmaßnahmen umsetzen und erhebliche Sicherheitsvorfälle an das Bundesamt für Sicherheit in der Informationstechnik melden.

NIS2 sollte deshalb nicht als isoliertes IT-Projekt betrachtet werden. Gefordert ist eine dauerhaft funktionierende Sicherheitsorganisation, die technische, organisatorische und personelle Maßnahmen miteinander verbindet.

1. Zunächst klären, ob das Unternehmen betroffen ist

Der erste Schritt ist keine technische Maßnahme, sondern eine saubere Betroffenheitsprüfung.

NIS2 erfasst Unternehmen aus zahlreichen für Wirtschaft und Gesellschaft relevanten Sektoren. Dazu gehören unter anderem:

• Energie
• Verkehr
• Gesundheitswesen
• Wasser und Abwasser
• digitale Infrastruktur
• öffentliche Verwaltung
• Post- und Kurierdienste
• Abfallwirtschaft
• Lebensmittelwirtschaft
• Chemie
• bestimmte Produktionsunternehmen
• Anbieter digitaler Dienste

Die europäische Regelung umfasst insgesamt 18 kritische beziehungsweise besonders relevante Sektoren.

Neben der Branche spielen insbesondere Unternehmensgröße, Beschäftigtenzahl, Umsatz und Bilanzsumme eine Rolle. Es bestehen jedoch auch Sonderregelungen, durch die bestimmte Einrichtungen unabhängig von ihrer Größe erfasst werden können.

Eine belastbare Prüfung sollte deshalb mindestens folgende Fragen beantworten:

• Welche Leistungen bietet das Unternehmen tatsächlich an?
• Welchem gesetzlichen Sektor sind diese Leistungen zuzuordnen?
• Wie viele Personen werden beschäftigt?
• Welche Umsatz- und Bilanzwerte sind maßgeblich?
• Bestehen verbundene Unternehmen?
• Erbringt das Unternehmen besonders kritische oder digitale Dienste?
• Gelten möglicherweise speziellere Regelungen wie DORA?

Eine bloße Einschätzung anhand des Unternehmensnamens oder des Hauptgeschäftsfeldes reicht nicht aus.

2. Verantwortung eindeutig bei der Geschäftsleitung verankern

NIS2 macht Cybersicherheit ausdrücklich zur Leitungsaufgabe. Die Unternehmensleitung muss die Umsetzung geeigneter Risikomanagementmaßnahmen billigen und deren Durchführung überwachen.

Damit genügt es nicht mehr, Informationssicherheit vollständig an die IT-Abteilung oder einen externen Dienstleister zu delegieren.

Die Geschäftsleitung sollte regelmäßig nachvollziehen können:

• welche wesentlichen Risiken bestehen,
• welche Maßnahmen beschlossen wurden,
• wer für die Umsetzung verantwortlich ist,
• welche Schwachstellen noch offen sind,
• wie Sicherheitsvorfälle behandelt werden,
• ob die Maßnahmen tatsächlich wirksam sind.

Auch Schulungen der Geschäftsleitung gehören zu einer belastbaren Umsetzung. Ziel ist nicht technisches Detailwissen, sondern die Fähigkeit, Risiken, Prioritäten und Handlungsbedarf angemessen beurteilen zu können.

Informationssicherheit muss deshalb in bestehende Entscheidungs- und Berichtsstrukturen integriert werden.

3. Risiken systematisch erfassen und bewerten

NIS2 verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen. Diese müssen sich an den konkreten Risiken des Unternehmens orientieren und dokumentiert werden.

Eine Risikobewertung sollte nicht nur klassische Server und Netzwerke betrachten. Zu erfassen sind beispielsweise:

• Geschäftsprozesse
• Anwendungen und Cloud-Dienste
• Identitäten und Benutzerkonten
• Endgeräte und mobile Geräte
• Produktions- und Steuerungssysteme
• externe Dienstleister
• Lieferketten
• Kommunikationssysteme
• Datenbestände
• Standorte und technische Infrastruktur

Für jedes wesentliche Risiko sollte nachvollziehbar dokumentiert werden:

• welches Schutzgut betroffen ist,
• welches Szenario eintreten könnte,
• wie wahrscheinlich der Eintritt ist,
• welche Auswirkungen zu erwarten wären,
• welche Schutzmaßnahmen bereits bestehen,
• welcher zusätzliche Handlungsbedarf verbleibt.

Entscheidend ist nicht ein möglichst kompliziertes Bewertungsmodell. Entscheidend ist, dass Risiken nachvollziehbar priorisiert und Maßnahmen daraus abgeleitet werden.

4. Die vorgeschriebenen Sicherheitsbereiche abdecken

Die NIS2-Richtlinie nennt eine Reihe von Themen, die bei den Risikomanagementmaßnahmen mindestens berücksichtigt werden müssen.

Dazu gehören insbesondere:

• Risikoanalyse und Sicherheitskonzepte
• Bewältigung von Sicherheitsvorfällen
• Aufrechterhaltung des Geschäftsbetriebs
• Backup- und Wiederherstellungskonzepte
• Krisenmanagement
• Sicherheit der Lieferkette
• sichere Entwicklung und Wartung von Systemen
• Schwachstellenmanagement
• Überprüfung der Wirksamkeit von Maßnahmen
• grundlegende Cyberhygiene
• Schulungen
• Verschlüsselung
• Zugriffskontrolle
• Verwaltung von Identitäten und Berechtigungen
• Mehrfaktor-Authentifizierung

Die Umsetzung muss zum Unternehmen passen. Ein mittelständischer Produktionsbetrieb benötigt andere technische und organisatorische Schwerpunkte als ein Cloud-Anbieter oder ein Gesundheitsdienstleister.

Verhältnismäßigkeit bedeutet jedoch nicht, dass grundlegende Maßnahmen entfallen dürfen. Sie bedeutet, dass Umfang und Ausgestaltung am Risiko, an der Größe und an der Bedeutung der jeweiligen Einrichtung ausgerichtet werden.

5. Lieferanten und Dienstleister einbeziehen

Viele Sicherheitsvorfälle entstehen nicht ausschließlich innerhalb des eigenen Unternehmens. Schwachstellen bei IT-Dienstleistern, Softwareanbietern, Cloud-Plattformen oder anderen Lieferanten können sich unmittelbar auf den eigenen Geschäftsbetrieb auswirken.

Deshalb gehört die Sicherheit der Lieferkette ausdrücklich zu den zentralen NIS2-Anforderungen.

Unternehmen sollten mindestens dokumentieren:

• welche Dienstleister besonders kritische Leistungen erbringen,
• auf welche Systeme und Daten diese zugreifen,
• welche Abhängigkeiten bestehen,
• welche Sicherheitsanforderungen vertraglich vereinbart wurden,
• wie Sicherheitsvorfälle gemeldet werden,
• welche Nachweise regelmäßig angefordert werden,
• welche Ausweichmöglichkeiten bestehen.

Eine allgemeine Datenschutzvereinbarung oder ein Standardvertrag genügt dafür häufig nicht.

Informationssicherheit sollte bereits bei der Auswahl neuer Dienstleister berücksichtigt werden. Besonders kritische Anbieter sollten regelmäßig überprüft und nach ihrer Bedeutung priorisiert werden.

6. Einen belastbaren Meldeprozess vorbereiten

Erhebliche Sicherheitsvorfälle müssen innerhalb kurzer Fristen gemeldet werden. Die europäische Richtlinie sieht eine gestufte Meldung vor: zunächst eine frühe Warnung, anschließend eine detailliertere Vorfallmeldung und später gegebenenfalls einen Abschlussbericht.

Ein solcher Prozess lässt sich nicht erst während eines Angriffs entwickeln.

Unternehmen sollten vorab festlegen:

• wer einen möglichen Sicherheitsvorfall bewertet,
• wer intern informiert wird,
• wer über die Meldepflicht entscheidet,
• wer die Meldung an das BSI abgibt,
• welche Informationen benötigt werden,
• wie technische und organisatorische Erkenntnisse dokumentiert werden,
• wie Kunden, Partner oder Behörden gegebenenfalls informiert werden,
• wer außerhalb der Geschäftszeiten erreichbar ist.

Dabei müssen NIS2-Meldepflichten mit anderen Verpflichtungen abgestimmt werden. Ein Vorfall kann beispielsweise gleichzeitig datenschutzrechtliche Meldepflichten, vertragliche Informationspflichten oder branchenspezifische Anforderungen auslösen.

Ein gemeinsames Vorfallmanagement verhindert widersprüchliche oder verspätete Reaktionen.

7. Registrierung und Zuständigkeiten nicht aufschieben

Betroffene Einrichtungen müssen sich beim BSI registrieren. Das BSI weist inzwischen ausdrücklich darauf hin, dass die gesetzliche Registrierungsfrist bereits abgelaufen ist und noch nicht registrierte Unternehmen umgehend handeln sollen.

Vor der Registrierung sollte intern geklärt sein:

• unter welcher Einrichtung das Unternehmen registriert wird,
• welche Unternehmensdaten benötigt werden,
• welche Kontaktstellen angegeben werden,
• wer für die Pflege der Angaben verantwortlich ist,
• wie Änderungen künftig gemeldet werden.

Die Registrierung ist jedoch nur ein formaler Schritt. Sie ersetzt weder die Betroffenheitsprüfung noch die tatsächliche Umsetzung der Sicherheitsmaßnahmen.

8. Vorhandene Strukturen nutzen

Viele Unternehmen beginnen nicht bei null. Häufig bestehen bereits:

• Datenschutzmanagement
• IT-Richtlinien
• Notfallpläne
• Versicherungsanforderungen
• Kundenfragebögen
• ISO-27001-Strukturen
• TISAX-Nachweise
• technische Sicherheitsmaßnahmen
• Lieferantenbewertungen
• interne Kontrollprozesse

Diese vorhandenen Elemente sollten nicht parallel neu aufgebaut, sondern geprüft und in eine gemeinsame Struktur überführt werden.

Besonders geeignet ist ein zentraler Maßnahmenplan, der folgende Angaben enthält:

• Anforderung
• vorhandener Stand
• erkannte Lücke
• geplante Maßnahme
• verantwortliche Person
• Priorität
• Termin
• Umsetzungsstatus
• Nachweis

So entsteht aus einer abstrakten gesetzlichen Anforderung ein steuerbares Projekt.

9. Nachweisbarkeit von Anfang an mitdenken

Eine Maßnahme ist organisatorisch nur dann belastbar, wenn ihre Umsetzung nachvollzogen werden kann.

Geeignete Nachweise können beispielsweise sein:

• freigegebene Richtlinien
• Risikobewertungen
• Protokolle
• Schulungsnachweise
• technische Konfigurationen
• Prüfberichte
• Wiederherstellungstests
• Berechtigungsprüfungen
• Lieferantenbewertungen
• Schwachstellenberichte
• Maßnahmenpläne
• Managemententscheidungen

Dabei sollte nicht wahllos dokumentiert werden. Jede Dokumentation sollte einen klaren Zweck erfüllen und regelmäßig aktualisiert werden.

Veraltete Richtlinien, unklare Verantwortlichkeiten oder Maßnahmen ohne Umsetzungsnachweis vermitteln lediglich eine Scheinsicherheit.

10. Mit einer strukturierten Gap-Analyse beginnen

Der praktikabelste Einstieg ist meist eine Gap-Analyse.

Dabei werden die gesetzlichen Anforderungen systematisch mit dem bestehenden Sicherheitsniveau verglichen. Das Ergebnis sollte nicht nur eine Liste von Mängeln sein, sondern eine priorisierte Umsetzungsplanung.

Eine sinnvolle Reihenfolge ist:

1. Betroffenheit und Einstufung klären
2. Verantwortlichkeiten festlegen
3. kritische Prozesse und Systeme erfassen
4. bestehende Sicherheitsmaßnahmen bewerten
5. wesentliche Lücken priorisieren
6. Sofortmaßnahmen umsetzen
7. Dokumentation aufbauen
8. Melde- und Notfallprozesse testen
9. Wirksamkeit regelmäßig überprüfen

Besonders dringlich sind Schwachstellen, die unmittelbar zu einem erheblichen Sicherheitsvorfall führen könnten. Formale Dokumentationslücken bleiben wichtig, sollten aber nicht zulasten akuter technischer Risiken priorisiert werden.

NIS2 ist kein einmaliges Compliance-Projekt

NIS2 verlangt keinen einmaligen Ordner mit Richtlinien. Gefordert ist ein dauerhaft wirksames System aus Verantwortlichkeiten, Risikobewertungen, Sicherheitsmaßnahmen, Kontrollen und Nachweisen.

Unternehmen sollten deshalb nicht ausschließlich fragen:

Welche Dokumente müssen wir erstellen?

Die entscheidendere Frage lautet:

Wie stellen wir sicher, dass Informationssicherheit im laufenden Betrieb tatsächlich funktioniert?

Eine pragmatische Umsetzung verbindet rechtliche Anforderungen mit bestehenden Abläufen. Sie schafft klare Zuständigkeiten, priorisiert reale Risiken und reduziert unnötige Parallelstrukturen.

Ist Ihr Unternehmen von NIS2 betroffen?

ProtectYourIT prüft Betroffenheit, bestehende Sicherheitsmaßnahmen und organisatorische Strukturen. Daraus entsteht ein verständlicher und priorisierter Fahrplan für die weitere Umsetzung.

NIS2-Handlungsbedarf einordnen

Hinweis: Dieser Beitrag dient der allgemeinen Orientierung und ersetzt keine rechtliche Prüfung des Einzelfalls. Betroffenheit und konkrete Pflichten sollten anhand der jeweils geltenden gesetzlichen Anforderungen individuell bewertet werden.