Rechtslage in Deutschland
Seit Inkrafttreten des NIS-2-Umsetzungsgesetzes am 6. Dezember 2025 müssen Pflichten zu Steuerung, Nachweisen und zum Umgang mit Sicherheitsvorfällen verbindlich in die Unternehmenspraxis überführt werden.
Betroffenheit klären · Maßnahmen priorisieren · Nachweise aufbauen
NIS-2-Umsetzung: Klar entscheiden, wirksam umsetzen, belastbar nachweisen.
Von der Klärung, ob und in welchem Umfang NIS-2 für Ihr Unternehmen näher zu prüfen ist, bis zur nachweisfähigen Umsetzung: Betroffenheit belastbar einordnen, Maßnahmen sinnvoll priorisieren und Nachweise prüfungsnah aufbauen.
Was jetzt für NIS-2 wirklich zählt
Viele Unternehmen orientieren sich zunächst an allgemeinen NIS-2-Checklisten. In der Praxis braucht es klare Zuständigkeiten, priorisierte Umsetzung, belastbare Melde- und Vorfallprozesse sowie konsistente Nachweise.
Für viele Unternehmen ist der Zeitpunkt kritisch: Sobald realistisch ist, dass NIS-2 für das eigene Unternehmen nach dem deutschen BSIG gelten kann, sollten Registrierung, Verantwortlichkeiten und Meldeabläufe nicht aufgeschoben, sondern organisatorisch belastbar vorbereitet werden.
TÜV-zertifizierter NIS-2-Experte
Meldekette in drei Stufen
Bei erheblichen Sicherheitsvorfällen verlangt § 32 BSIG eine frühe Erstmeldung und eine Meldung jeweils unverzüglich, spätestens 24 beziehungsweise 72 Stunden nach Kenntniserlangung. Die Abschlussmeldung folgt grundsätzlich spätestens einen Monat nach Übermittlung der 72-Stunden-Meldung. Auf Ersuchen des BSI kommt eine Zwischenmeldung hinzu.
Registrierung mit festen Fristen
Besonders wichtige und wichtige Einrichtungen müssen sich nach § 33 BSIG spätestens drei Monate, nachdem sie erstmals oder erneut als solche gelten, registrieren. Änderungen der Registrierungsangaben sind unverzüglich, spätestens zwei Wochen nach Kenntnis der Änderung, zu übermitteln.
Für wen NIS-2 besonders relevant ist
Meine Erfahrung aus aktuellen Projekten: Die größte Unsicherheit liegt selten in der Technik, sondern in der richtigen Einordnung von Pflichten, Geltungsbereich und Verantwortung.
Besonders wichtige und wichtige Einrichtungen
Typisch betroffen sind Organisationen aus kritischen und besonders relevanten Sektoren, z. B. Energie, Transport, Gesundheit, digitale Infrastruktur oder öffentliche Verwaltung im jeweils einschlägigen gesetzlichen Anwendungsbereich.
Mittelstand mit Schwellenwerten
Auch viele mittelständische Unternehmen fallen in den Anwendungsbereich. Ohne eine saubere Einordnung von Anwendungsbereich, Schwellenwerten und Unternehmensbezug entstehen schnell Fehlentscheidungen.
Unternehmen in Lieferketten
Selbst ohne direkte Pflicht steigen Anforderungen durch Kunden, Versicherer und Ausschreibungen. Eine belastbare NIS-2-Vorbereitung wird damit zum Vertrauens- und Vergabefaktor.
Strukturiertes Vorgehen für NIS-2-Umsetzung und Nachweisführung
Typisches Vorgehen in Projekten - angepasst an Ausgangslage und regulatorische Einordnung.
Klarheit über Betroffenheit und Handlungsbedarf
Geltungsbereich sauber abgrenzen
Einheiten, Dienste und Standorte klar abgrenzen.
Ist-Stand und Risiken bewerten
Ist-Stand, Lücken und Risiken strukturiert bewerten.
Strukturierte und priorisierte Maßnahmen
Maßnahmen risikobasiert priorisieren
Pflichten, Risiko, Wirkung und Aufwand nachvollziehbar gewichten.
Melde- und Krisenprozesse definieren
Verbindliche Melde-, Eskalations- und Krisenprozesse definieren.
Prüfungsfähige Nachweise und Steuerbarkeit
Nachweise strukturiert aufbauen
Maßnahmen, Verantwortliche und Nachweise prüfungsnah verknüpfen.
Entscheidungsfähigkeit absichern
Berichte, Zuständigkeiten und Entscheidungsgrundlagen belastbar aufbereiten.
Wobei ich bei NIS-2 konkret unterstütze
Typischer Einstieg: Betroffenheit klären und Gap-Analyse
Je nach Ausgangslage beginnt der Einstieg mit Betroffenheit, Gap-Analyse oder direkter Maßnahmenstrukturierung.
Ausgewählt
Betroffenheit und Handlungsbedarf strukturiert einordnen
Betroffenheit und Handlungsbedarf strukturiert einordnen
Strukturierte Ersteinordnung, ob und in welchem Umfang NIS-2 für die betrachtete Konstellation näher zu prüfen ist.
Geltungsbereich und betroffene Einheiten bestimmen
Kritische Dienste und Abhängigkeiten einordnen
Regulatorische Anforderungen verständlich strukturieren
Ergebnis: Klare Entscheidungsgrundlage zu Betroffenheit, Umfang und Handlungsbedarf.
Umsetzungsstand und Lücken transparent bewerten
Strukturierte Bewertung des aktuellen Umsetzungsstands im Vergleich zu den relevanten NIS-2-Anforderungen.
Bestehende Maßnahmen und Strukturen aufnehmen
Abweichungen und Risiken identifizieren
Lücken nachvollziehbar dokumentieren
Ergebnis: Transparente Übersicht über Lücken, Risiken und prioritäre Handlungsfelder.
Maßnahmen und Richtlinien wirksam strukturieren
Ableitung konkreter Maßnahmen und Richtlinien auf Basis identifizierter Lücken und Risiken.
Maßnahmen risikobasiert priorisieren
Richtlinien und Vorgaben strukturieren
Umsetzungsplan mit klaren Zuständigkeiten erstellen
Ergebnis: Klar priorisierte Maßnahmen und eine belastbare Struktur für die weitere Umsetzung.
Nachweise und Auditfähigkeit gezielt aufbauen
Aufbau einer nachvollziehbaren und prüfungsfähigen Dokumentation für interne und externe Prüfungen.
Nachweise strukturiert dokumentieren
Verantwortlichkeiten und Prozesse sauber abbilden
Prüfungsrelevante Unterlagen vorbereiten
Ergebnis: prüfungsfähige Nachweise und eine verbesserte Vorbereitung auf Audits und Aufsichtsanfragen.
Melde- und Krisenprozesse belastbar definieren
Definition und Verankerung von Prozessen für Sicherheitsvorfälle und regulatorische Meldepflichten.
Meldewege und Eskalationsstrukturen festlegen
Rollen und Verantwortlichkeiten definieren
Abläufe für Sicherheitsvorfälle strukturieren
Ergebnis: Klare, belastbare Prozesse für den Umgang mit Sicherheitsvorfällen und Meldepflichten.
Sicherheitsverantwortliche in Umsetzung und Steuerung stärken
Begleitende Unterstützung für ISB, Sicherheitsverantwortliche und Projektverantwortliche in der Umsetzung.
Unterstützung bei Priorisierung und Steuerung
Klärung von Rollen, Aufgaben und Schnittstellen
Sparringspartner für operative und strategische Fragen
Ergebnis: Mehr Sicherheit in der Rolle und klare Steuerung der Umsetzung.
Was Sie nach dem Start konkret vorliegen haben
Statt unverbundener Einzelmaßnahmen erhalten Sie eine zusammenhängende Struktur für Umsetzung und Steuerung in operativen Teams und Geschäftsleitung.
- Ein klar abgegrenzter Geltungsbereich mit Verantwortlichkeiten und Eskalationswegen.
- Eine priorisierte Umsetzungsroadmap mit kurzfristig wirksamen Maßnahmen und Entscheidungsmeilensteinen.
- Ein belastbarer Meldeprozess für frühe Erstmeldung, Meldung, eine Zwischenmeldung auf Ersuchen des BSI und grundsätzlich eine Abschlussmeldung.
- Ein belastbares Steuerungsbild für Status, Risiken und Entscheidungen im Management.
- Eine prüfungsnahe Nachweisstruktur für Audits, Kundenanforderungen und Aufsicht.
Die dargestellten Inhalte dienen der fachlichen und organisatorischen Orientierung. Eine rechtsverbindliche Prüfung im Einzelfall oder anwaltliche Rechtsberatung wird nicht angeboten.
FAQ zu NIS-2
Getrennt nach Einordnung und Management, damit Sie Aufwand, Zuständigkeiten und Einstieg schneller einschätzen können.
FAQ zur NIS-2-Einordnung
Ob NIS-2 greift, welcher Umfang betroffen ist und was zuerst sinnvoll ist.
Ist NIS-2 für unser Unternehmen überhaupt relevant?
Ob und in welchem Umfang NIS-2 für Ihr Unternehmen näher zu prüfen ist, lässt sich nur über Sektor, Größe, Konzernbezug, Leistungen und Rolle in der Wertschöpfung belastbar einordnen. Pauschale Annahmen führen hier häufig zu Fehlbewertungen.
Was ist praktisch der Unterschied zwischen besonders wichtigen und wichtigen Einrichtungen?
Die zentralen Sicherheits-, Melde-, Registrierungs- und Leitungspflichten gelten für beide Kategorien. Der praktische Unterschied liegt vor allem in Aufsicht und Durchsetzung: Besonders wichtige Einrichtungen können proaktiv geprüft und zu Audits oder Nachweisen verpflichtet werden; wichtige Einrichtungen werden eher anlassbezogen beaufsichtigt. Auch der Bußgeldrahmen ist höher.
Reicht eine Betroffenheitsprüfung oder braucht es direkt mehr?
Der erste Schritt ist die Betroffenheitsprüfung. Wenn realistisch ist, dass NIS-2 für Ihr Unternehmen relevant sein kann, folgt häufig eine Gap-Analyse, also der strukturierte Abgleich von Anforderungen, aktuellem Stand und Lücken.
Reicht eine bestehende Struktur nach ISO 27001 aus?
Ein bestehendes ISMS ist ein tragfähiger Startpunkt, ersetzt aber keine NIS-2-Einordnung. Entscheidend ist, ob Meldewege, Nachweise und Steuerungsstruktur die zusätzlichen Anforderungen bereits mit abdecken.
Welche Themen muss eine NIS-2-Umsetzung praktisch abdecken?
Typisch relevant sind Betroffenheit, Risikobewertung, Maßnahmensteuerung, Melde- und Krisenprozesse, Lieferkette, Sensibilisierung, Nachweise und belastbare Zuständigkeiten. Nicht alles beginnt gleichzeitig, aber alles muss früh sauber eingeordnet werden.
Management-FAQ
Verantwortung, Steuerung und belastbare Entscheidungsgrundlagen.
Welche Verantwortung hat die Geschäftsleitung unter NIS-2 konkret?
Nach § 38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen. Operative Aufgaben können organisatorisch verteilt werden; die gesetzliche Leitungsverantwortung bleibt bestehen. Hinzu kommt die Pflicht, regelmäßig an Schulungen zur Erkennung und Bewertung von IT-Sicherheitsrisiken teilzunehmen.
Was muss für Management-Entscheidungen auf dem Tisch liegen?
Für Management-Entscheidungen braucht es nicht jede Einzelmaßnahme, sondern Klarheit darüber, welche Teile des Unternehmens betroffen sind, wo die Hauptrisiken liegen, welche Maßnahmen priorisiert wurden und wer für Entscheidungen und Meldewege verantwortlich ist. Gute Steuerung entsteht aus Klarheit, nicht aus Vollständigkeit um jeden Preis.
Wie schnell brauchen wir eine funktionierende Meldekette?
Sobald Betroffenheit realistisch ist, sollte eine belastbare Meldekette vorbereitet sein. Nach § 32 BSIG sind die frühe Erstmeldung und die Meldung jeweils unverzüglich, spätestens 24 beziehungsweise 72 Stunden nach Kenntniserlangung eines erheblichen Sicherheitsvorfalls, abzugeben. Die Abschlussmeldung folgt grundsätzlich spätestens einen Monat nach Übermittlung der 72-Stunden-Meldung; für noch andauernde Vorfälle gilt § 32 Abs. 2 BSIG. Auf Ersuchen des BSI ist eine Zwischenmeldung erforderlich. Dafür braucht es klare Rollen, Vertretungen, Eskalationsstufen und belastbare Vorlagen.
Was ist zuerst zu entscheiden und was kann später folgen?
Zuerst braucht es Klarheit darüber, ob und in welchem Umfang NIS-2 relevant ist, wer verantwortlich ist und welche Handlungsfelder priorisiert werden müssen. Detaillierte Ausgestaltung und höhere Dokumentationstiefe sollten anschließend in einer sinnvollen Reihenfolge folgen.
Wie lässt sich NIS-2 umsetzen, ohne Parallelstrukturen aufzubauen?
Bestehende Strukturen für Informationssicherheit, Datenschutz, Business Continuity Management und Steuerung sollten als Basis genutzt werden. NIS-2 wird sinnvoll in die vorhandene Steuerung integriert, statt ein separates Nebenprogramm aufzubauen.
NIS-2 strukturiert einordnen und umsetzen
Im Orientierungsgespräch kläre ich, ob und in welchem Umfang NIS-2 für Ihr Unternehmen relevant ist, wo Handlungsdruck besteht und welcher Einstieg in die Umsetzung sinnvoll ist.