NIS2 in Deutschland – die umfassende Reference Edition

Überblick

Wo müssen Sie einsteigen?

NIS2 verlangt unterschiedliche Entscheidungen je nach Ausgangslage. Die folgenden vier Wege führen direkt zur passenden Vertiefung.

NIS2 in zwei Minuten

NIS2 ist die Kurzbezeichnung für die Richtlinie (EU) 2022/2555. Sie schafft einen gemeinsamen europäischen Rahmen für das Management von Cyberrisiken und die Meldung erheblicher Sicherheitsvorfälle. Die Richtlinie erfasst Sektoren mit hoher wirtschaftlicher oder gesellschaftlicher Bedeutung sowie weitere kritische Bereiche. Die nationale Einordnung hängt von Branche, Tätigkeit, Größe und besonderen gesetzlichen Tatbeständen ab.

Rechtsgrundlagen und deutscher Umsetzungsstand

Die Richtlinie (EU) 2022/2555 wurde am 14. Dezember 2022 beschlossen und am 27. Dezember 2022 im Amtsblatt der Europäischen Union veröffentlicht. Sie löste die erste NIS-Richtlinie ab. Die Mitgliedstaaten mussten die europäischen Vorgaben in nationales Recht überführen. Deutschland setzte die Vorgaben mit dem NIS-2-Umsetzungsgesetz um. Das Gesetz wurde am 5. Dezember 2025 verkündet und trat am 6. Dezember 2025 in Kraft.

Für deutsche Unternehmen ist deshalb das nationale Recht maßgeblich. Die EU-Richtlinie bleibt für Auslegung, Systematik und europäische Mindestanforderungen relevant. Hinzu kommen sektorspezifische Regelungen, behördliche Hinweise und die Durchführungsverordnung (EU) 2024/2690 für bestimmte digitale Dienste. Die konkrete Rechtslage kann sich durch Verordnungen, Verwaltungspraxis, gerichtliche Entscheidungen und weitere europäische Rechtsakte fortentwickeln.

Von NIS zu NIS2

Die erste NIS-Richtlinie aus dem Jahr 2016 schuf erstmals einen unionsweiten Rahmen für die Sicherheit von Netz- und Informationssystemen. Ihre Umsetzung führte jedoch zu erheblichen Unterschieden zwischen den Mitgliedstaaten. Sektoren, Schwellenwerte, Aufsicht und Sanktionen wurden nicht überall einheitlich behandelt. Gleichzeitig stiegen Abhängigkeiten von digitalen Diensten, Cloud-Plattformen, vernetzten Lieferketten und Managed Services.

NIS2 reagiert auf diese Entwicklung mit einem breiteren Anwendungsbereich, präziseren Mindestanforderungen, gestuften Meldepflichten, einer stärkeren Rolle der Geschäftsleitung und erweiterten Aufsichtsbefugnissen. Der Ansatz verlagert den Schwerpunkt von einzelnen kritischen Betreibern auf die Widerstandsfähigkeit ganzer Sektoren und Lieferketten.

Welche Unternehmen können betroffen sein?

Die Betroffenheit lässt sich nicht zuverlässig allein aus Branche oder Mitarbeiterzahl ableiten. Erforderlich ist eine strukturierte Prüfung der konkreten Tätigkeit. Entscheidend sind die gesetzlichen Sektoren, die Art der erbrachten Leistung, die Größenklasse, mögliche Sondertatbestände und die Rolle innerhalb einer Gruppe. Unternehmen mit mehreren Tätigkeiten können nur mit bestimmten Bereichen in den Anwendungsbereich fallen. Der Assessment Scope für die praktische Umsetzung muss diese Abgrenzung sachgerecht abbilden.

Prüfschritte

• Geschäftstätigkeiten und Leistungen vollständig erfassen.
• Zuordnung zu den gesetzlichen Sektoren und Einrichtungsarten prüfen.
• Mitarbeiterzahl, Umsatz und Bilanzsumme nach den geltenden Größenregeln bestimmen.
• Partner- und verbundene Unternehmen in die Größenberechnung einbeziehen, soweit rechtlich erforderlich.
• Sondertatbestände prüfen, bei denen die Größe keine oder nur eine eingeschränkte Rolle spielt.
• Sektorspezifische Vorrangregeln und Überschneidungen mit DORA, Telekommunikations-, Energie- oder Gesundheitsrecht untersuchen.
• Ergebnis, Annahmen, Datenquellen und Verantwortliche dokumentieren.
• Betroffenheit regelmäßig und bei strukturellen Änderungen neu bewerten.

Besonders wichtige und wichtige Einrichtungen

NIS2 unterscheidet auf europäischer Ebene zwischen wesentlichen und wichtigen Einrichtungen. Das deutsche Recht verwendet entsprechende nationale Kategorien. Die Einordnung beeinflusst insbesondere die Art der Aufsicht. Die materiellen Anforderungen an das Risikomanagement und die Meldung erheblicher Vorfälle sind für beide Gruppen weitgehend vergleichbar. Unterschiede bestehen vor allem bei Aufsichtsintensität und behördlichem Vorgehen.

Die Kategorien dürfen nicht mit einer frei gewählten Risikoklasse verwechselt werden. Sie ergeben sich aus dem Gesetz. Ein Unternehmen kann ein hohes tatsächliches Cyberrisiko haben, ohne NIS2-reguliert zu sein. Umgekehrt bleibt eine regulierte Einrichtung auch dann verpflichtet, wenn sie ihre eigene Risikolage als gering einschätzt.

Sektoren und Tätigkeitsfelder

Die Anhänge der Richtlinie umfassen Sektoren hoher Kritikalität und weitere kritische Sektoren. Das nationale Recht übernimmt und konkretisiert diese Struktur. Die folgende Übersicht dient der fachlichen Orientierung. Die rechtliche Einordnung verlangt die Prüfung der jeweiligen Definitionen und Unterkategorien.

Für die Industrie ist besonders relevant, dass bestimmte Herstellergruppen erfasst werden können. Dazu zählen nach europäischer Systematik unter anderem ausgewählte Bereiche des Maschinenbaus, der Herstellung von Kraftwagen und Kraftwagenteilen, sonstiger Fahrzeuge, Computer-, Elektronik- und Optikprodukte sowie elektrischer Ausrüstungen. Die Zuordnung erfolgt anhand der gesetzlichen Definitionen und der tatsächlichen Tätigkeit, nicht anhand einer frei gewählten Branchenbezeichnung.

Verantwortung der Geschäftsleitung

Die Geschäftsleitung nimmt unter NIS2 eine zentrale Rolle ein. Sie muss die Cybersecurity-Risikomanagementmaßnahmen billigen und deren Umsetzung überwachen. Leitungsmitglieder sollen über angemessene Kenntnisse verfügen, damit sie Risiken und Managemententscheidungen beurteilen können. Die Verantwortung lässt sich organisatorisch vorbereiten und operativ delegieren; die Leitungs- und Überwachungsfunktion bleibt bestehen.

Geeignete Managementunterlagen

• jährliche oder häufigere Managementbewertung mit dokumentierten Beschlüssen
• Cyberrisiko-Dashboard mit Trends, kritischen Risiken und überfälligen Maßnahmen
• Übersicht erheblicher Vorfälle und Beinahevorfälle
• Ergebnisse von Wiederherstellungs-, Krisen- und Notfalltests
• Status kritischer Lieferanten und wesentlicher Abhängigkeiten
• Bericht zu Schwachstellen, Patch-Rückständen und exponierten Systemen
• Entscheidungen zu Risikoakzeptanzen und Abweichungen
• Schulungsnachweise der Geschäftsleitung

Cybersecurity-Risikomanagementmaßnahmen

Artikel 21 der Richtlinie nennt einen verbindlichen Mindestkatalog. Die Maßnahmen müssen dem Stand der Technik entsprechen und angemessen sowie verhältnismäßig sein. Berücksichtigt werden unter anderem Risikoexposition, Größe, Eintrittswahrscheinlichkeit, Schadensausmaß und gesellschaftliche oder wirtschaftliche Auswirkungen. Die Umsetzung sollte als integriertes Kontrollsystem organisiert werden.

Risikomanagement

Ein NIS2-konformes Risikomanagement verbindet Unternehmensrisiken, Geschäftsservices, Informationswerte, technische Komponenten, Bedrohungen und bestehende Kontrollen. Eine rein technische Schwachstellenliste genügt nicht. Die Bewertung muss nachvollziehbar zeigen, welche Geschäftsleistung betroffen ist, welche Auswirkungen eintreten können und welche Entscheidung getroffen wurde.

Mindestbestandteile

• definierter Anwendungsbereich und Risikokontext
• einheitliche Bewertungsskalen und Akzeptanzkriterien
• Verknüpfung kritischer Geschäftsservices mit Assets und Abhängigkeiten
• Berücksichtigung von Verfügbarkeit, Integrität, Vertraulichkeit und Authentizität
• Bewertung von Lieferanten-, Cloud-, OT- und Standortabhängigkeiten
• Verantwortliche Risikoeigentümer
• Behandlungsoptionen, Termine, Budget und Restrestrisiko
• regelmäßige Neubewertung sowie anlassbezogene Aktualisierung
• Leitungsentscheidung für wesentliche Restrisiken

Asset Management und Abhängigkeiten

Asset Management bildet die Grundlage vieler NIS2-Maßnahmen. Unternehmen müssen wissen, welche Geschäftsservices, Anwendungen, Server, Endgeräte, Netzkomponenten, Cloud-Dienste, Datenbestände, Produktionssysteme und externen Leistungen für den Betrieb relevant sind. Das Inventar soll Verantwortliche, Kritikalität, Standort, Lebenszyklus, Abhängigkeiten und Schutzanforderungen enthalten.

Besonders wichtig ist die Verbindung zwischen technischem Inventar und Geschäftsleistung. Ein Servername allein erklärt keine Auswirkung. Erst die Zuordnung zu Produktion, Logistik, EDI, ERP, Labor, Kundenportal oder Zahlungsverkehr erlaubt eine angemessene Priorisierung.

Incident Management und Meldepflichten

NIS2 verlangt ein leistungsfähiges Incident Management und eine gestufte Meldung erheblicher Sicherheitsvorfälle. Unternehmen müssen einen Vorfall früh erkennen, seine Bedeutung bewerten, zuständige Entscheidungsträger einbinden und fristgerecht melden. Die rechtliche Bewertung läuft parallel zur technischen Untersuchung. Vollständige Gewissheit darf nicht zur Voraussetzung einer ersten Meldung werden.

Vorbereitung des Meldeprozesses

• Kriterien für einen erheblichen Sicherheitsvorfall definieren und juristisch prüfen.
• 24/7-Erreichbarkeit und Stellvertretungen für technische und rechtliche Entscheidungen sicherstellen.
• Informationsquellen, Mindestdatensatz und Freigabeverfahren festlegen.
• BSI-Registrierungs- und Meldewege vor einem Vorfall organisatorisch vorbereiten.
• Meldepflichten aus Datenschutz, Verträgen, Versicherungen, KRITIS, DORA oder Kundenanforderungen abstimmen.
• Kommunikation mit Kunden, Mitarbeitern, Behörden und Öffentlichkeit vorbereiten.
• Übungen durchführen, bei denen unvollständige Informationen und Zeitdruck realistisch simuliert werden.

Business Continuity, Backup und Wiederherstellung

NIS2 verbindet Cybersecurity mit Betriebsfortführung. Ein Unternehmen muss kritische Leistungen nach einem Vorfall weiterführen oder innerhalb vertretbarer Zeit wiederherstellen können. Technische Backups sind ein Teil dieser Fähigkeit. Erforderlich sind zusätzlich Geschäftsfolgenanalyse, Wiederanlaufprioritäten, Notbetriebsverfahren, Verantwortlichkeiten, Kommunikationswege, Ersatzressourcen und regelmäßige Tests.

Lieferkettensicherheit und Drittparteien

Lieferanten können direkten Zugriff auf Systeme erhalten, kritische Software bereitstellen, Daten verarbeiten oder wesentliche Betriebsleistungen übernehmen. NIS2 verlangt, die Sicherheit der Lieferkette in das Risikomanagement einzubeziehen. Die Steuerung muss risikobasiert erfolgen. Ein allgemeiner Fragebogen für alle Lieferanten ist meist ineffizient und liefert wenig belastbare Aussagen.

Steuerungsmodell

• Lieferanten nach Kritikalität, Zugriff, Datenarten, Austauschbarkeit und Konzentrationsrisiko klassifizieren.
• Sicherheitsanforderungen bereits in Auswahl und Vertrag verankern.
• Unterauftragnehmer, Datenstandorte, Fernzugriffe und Incident-Kommunikation transparent regeln.
• Nachweise wie Zertifikate, TISAX-Ergebnisse, Prüfberichte oder Kontrollbeschreibungen risikobasiert bewerten.
• Änderungen, Vorfälle und wesentliche Leistungsstörungen überwachen.
• Exit-, Übergangs- und Datenrückgabeverfahren für kritische Anbieter vorbereiten.
• Kritische Managed Service Provider und Managed Security Service Provider besonders eng steuern.

Identitäten, Berechtigungen und Mehrfaktor-Authentifizierung

Zugriffssteuerung muss sicherstellen, dass Personen, Dienste und Systeme nur die erforderlichen Rechte erhalten. Kritische Zugriffe benötigen starke Authentisierung, nachvollziehbare Genehmigung und regelmäßige Überprüfung. Ausnahmen müssen begründet, zeitlich begrenzt und überwacht werden.

• Joiner-Mover-Leaver-Prozess mit verbindlichen Fristen
• rollenbasierte oder attributbasierte Berechtigungsmodelle
• MFA für privilegierte Konten, Remote Access, Cloud-Dienste und exponierte Systeme
• getrennte Administrationskonten und geschützte Admin-Arbeitsplätze
• regelmäßige Rezertifizierung durch fachliche Eigentümer
• Überwachung inaktiver, gemeinsamer und technisch genutzter Konten
• Notfallzugänge mit gesonderter Kontrolle
• Protokollierung und Alarmierung kritischer Berechtigungsänderungen

Schwachstellenmanagement, Patchen und sichere Wartung

Ein wirksames Schwachstellenmanagement erfasst interne und externe Assets, bewertet technische Schwächen im Geschäftskontext und verfolgt ihre Behandlung. Herstellerwerte wie CVSS unterstützen die Priorisierung, ersetzen jedoch keine Betrachtung von Exposition, Ausnutzbarkeit, Geschäftsfolgen, Kompensationskontrollen und Abhängigkeiten.

Für Systeme ohne zeitnahe Patchmöglichkeit sind dokumentierte Kompensationsmaßnahmen erforderlich. Dazu gehören Segmentierung, Whitelisting, eingeschränkte Kommunikation, zusätzliche Überwachung, Härtung und ein verbindlicher Ablöseplan.

Protokollierung, Erkennung und Security Monitoring

Unternehmen benötigen ausreichende Sichtbarkeit, um Vorfälle rechtzeitig zu erkennen und zu untersuchen. Das erfordert definierte Logquellen, synchronisierte Zeit, Schutz vor Manipulation, angemessene Aufbewahrung, Korrelation und klare Alarmierungsprozesse. Die Auswahl richtet sich nach Risiko und kritischen Angriffspfaden.

• Identitätsplattformen und privilegierte Zugriffe
• Firewalls, VPN, Proxy, DNS und Netzwerkzugänge
• Endpoint- und Server-Sicherheitslösungen
• Cloud-Konsolen, SaaS und zentrale Administrationsdienste
• Backup-, Virtualisierungs- und Storage-Systeme
• E-Mail-Sicherheit und Kollaborationsplattformen
• kritische Anwendungen, Datenbanken und Schnittstellen
• OT- und Produktionsnetze, soweit technisch und betrieblich vertretbar

Alarmregeln benötigen Eigentümer, Priorität, Reaktionszeit, Eskalation und regelmäßige Qualitätskontrolle. Ein SIEM ohne gepflegte Use Cases und Reaktionsprozess liefert keinen ausreichenden Nachweis für wirksame Erkennung.

Kryptografie und sichere Kommunikation

Kryptografische Maßnahmen schützen Daten bei Speicherung und Übertragung. Ein tragfähiges Konzept legt zugelassene Verfahren, Schlüsselverantwortung, Zertifikatslaufzeiten, Austausch, Widerruf und Ausnahmebehandlung fest. Veraltete Protokolle und Zertifikate müssen systematisch erkannt und ersetzt werden.

• Verschlüsselung mobiler Endgeräte und Sicherungsmedien
• TLS für Webdienste, APIs, Administrations- und Datentransfers
• Verschlüsselung besonders schutzbedürftiger Datenbestände
• sicheres Schlüssel- und Zertifikatsmanagement
• Überwachung von Laufzeiten und schwachen Algorithmen
• gesicherte Kommunikationskanäle für Krisen- und Vorfallteams
• dokumentierte Ausnahmen mit Risikoentscheidung

Cyberhygiene und Schulungen

Schulungen müssen Rollen und Risiken berücksichtigen. Eine jährliche Standardunterweisung reicht für Administratoren, Entwicklung, Einkauf, Geschäftsleitung oder Incident Teams regelmäßig nicht aus. Das Programm sollte Grundwissen, rollenspezifische Inhalte, Übungen und messbare Wirksamkeit verbinden.

Dokumente und Nachweise

NIS2 verlangt kein starres Handbuch mit vorgeschriebener Kapitelzahl. Unternehmen müssen jedoch zeigen, dass Maßnahmen definiert, umgesetzt, überwacht und verbessert werden. Ein Dokument ohne gelebte Anwendung ist schwach. Eine wirksame Kontrolle ohne nachvollziehbaren Nachweis ist bei einer Prüfung schwer belegbar.

Registrierung und behördliche Kommunikation

Betroffene Einrichtungen müssen die nationalen Registrierungs- und Kommunikationspflichten beachten. Das BSI stellt dafür Verfahren und Informationen bereit. Die Einrichtung sollte Verantwortliche und Stellvertreter benennen, Unternehmensdaten aktuell halten und sicherstellen, dass Meldungen auch außerhalb üblicher Geschäftszeiten möglich sind.

• Registrierungspflicht und Fristen anhand der aktuellen deutschen Vorgaben prüfen.
• Kontaktstellen, Vertretungen und sichere Kommunikationskanäle festlegen.
• Daten zu Rechtsträgern, Tätigkeiten, Standorten und relevanten Diensten konsistent pflegen.
• Änderungen der Kontaktdaten oder Unternehmensstruktur zeitnah berücksichtigen.
• Behördliche Anfragen zentral koordinieren und fristgerecht beantworten.
• Nachweise über Registrierung, Meldungen und Kommunikation revisionssicher ablegen.

Aufsicht, Nachweise und Sanktionen

Die zuständigen Behörden verfügen über weitreichende Befugnisse. Dazu können Auskunfts- und Nachweisanforderungen, Prüfungen, Sicherheitsüberprüfungen, Anordnungen und Sanktionen gehören. Die konkrete Aufsicht richtet sich nach der Einrichtungsart und dem nationalen Recht. Besonders wichtige Einrichtungen unterliegen typischerweise einer stärkeren proaktiven Aufsicht; bei wichtigen Einrichtungen steht häufig die anlassbezogene Aufsicht im Vordergrund.

Sanktionen können empfindlich sein. Die Richtlinie sieht für wesentliche Einrichtungen Höchstgrenzen von mindestens 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes und für wichtige Einrichtungen mindestens 7 Millionen Euro oder 1,4 Prozent vor, jeweils abhängig von der nationalen Umsetzung und der konkreten Rechtsgrundlage. Für die praktische Bewertung ist das deutsche Recht maßgeblich.

Verhältnis zu ISO 27001, TISAX, DORA und CRA

NIS2 ist ein gesetzlicher Rahmen. Standards und Branchenmodelle unterstützen die Umsetzung, haben jedoch eine andere Funktion. Überschneidungen sollten gezielt genutzt werden, damit Kontrollen, Nachweise und Audits mehrfach verwendbar sind.

Umsetzungsroadmap: 30, 60, 90, 180 und 365 Tage

Priorisierungslogik

Maßnahmen sollten nach rechtlicher Dringlichkeit, Geschäftsrisiko, Angriffsexposition, Wiederherstellungsfähigkeit, Lieferkettenwirkung und Umsetzungsabhängigkeiten priorisiert werden. Ein umfangreiches Richtlinienpaket darf kritische technische Lücken nicht verdecken. Umgekehrt können technische Investitionen ohne Verantwortlichkeiten und Betriebskonzept ihre Wirkung verlieren.

CEO-Checkliste

• Ist die Betroffenheitsanalyse schriftlich dokumentiert und fachlich geprüft?
• Sind ein verantwortlicher Sponsor und ein entscheidungsfähiger Programmleiter benannt?
• Kennt die Geschäftsleitung die wichtigsten Cyberrisiken und Geschäftsfolgen?
• Wurden Risikokriterien und wesentliche Restrisiken formal gebilligt?
• Sind Budget, Personal und externe Unterstützung ausreichend?
• Ist der Incident-Meldeprozess einschließlich 24/72-Stunden-Fristen geübt?
• Wurden kritische Lieferanten und Konzentrationsrisiken identifiziert?
• Sind Wiederanlaufziele und Testergebnisse für kritische Services bekannt?
• Erhält die Leitung regelmäßig belastbare Kennzahlen und Eskalationen?
• Sind Schulung und dokumentierte Überwachung der Leitungsaufgaben nachweisbar?

CIO- und CISO-Checkliste

• Kritische Geschäftsservices, Anwendungen, Infrastruktur und Abhängigkeiten sind verknüpft dokumentiert.
• Risikoregister und Maßnahmenplan enthalten Eigentümer, Termine und Restrisiken.
• MFA deckt privilegierte, externe und besonders exponierte Zugriffe ab.
• Patch- und Schwachstellenprozesse berücksichtigen Exposition und Geschäftskritikalität.
• Backups sind getrennt geschützt und Wiederherstellungen werden regelmäßig getestet.
• Logging und Monitoring decken kritische Angriffspfade und Systeme ab.
• Incident-Prozess, Forensik, Kommunikation und Meldeentscheidungen wurden geübt.
• Cloud-, SaaS-, MSP- und MSSP-Risiken sind vertraglich und technisch gesteuert.
• OT- und Produktionssysteme verfügen über angemessene Segmentierung und Notfallverfahren.
• Sicherheitskennzahlen messen Wirksamkeit und nicht nur Aktivität.

Prüf- und Nachweisperspektive

Eine Prüfung betrachtet die Konsistenz zwischen Regelwerk, Verantwortlichkeiten, technischer Umsetzung und gelebter Praxis. Stichproben können Berechtigungen, Vorfälle, Patches, Lieferanten, Backups, Übungen, Schulungen oder Managemententscheidungen umfassen. Gute Vorbereitung sammelt keine beliebigen Dateien, sondern ordnet Nachweise einer konkreten Anforderung und einem Verantwortlichen zu.

40 häufige Fehler

1. Betroffenheit wird aus einer allgemeinen Branchenliste statt aus der konkreten Tätigkeit abgeleitet.
2. Konzern- und Partnerunternehmen werden bei der Größenbewertung nicht ausreichend berücksichtigt.
3. Das Projekt startet ohne dokumentierte Entscheidung der Geschäftsleitung.
4. Verantwortung wird vollständig an die IT delegiert.
5. Der Anwendungsbereich bleibt unklar.
6. Kritische Geschäftsservices sind nicht mit technischen Assets verbunden.
7. Risikobewertungen verwenden uneinheitliche Skalen.
8. Risikoeigentümer fehlen.
9. Restrisiken werden informell akzeptiert.
10. Maßnahmenlisten enthalten weder Termine noch Verantwortliche.
11. Richtlinien werden erstellt, aber nicht eingeführt oder überprüft.
12. Schulungen sind für alle Rollen identisch.
13. Die Geschäftsleitung erhält ausschließlich technische Kennzahlen.
14. MFA ist aktiviert, deckt aber kritische Admin- oder Cloud-Zugänge nicht ab.
15. Privilegierte Konten werden nicht regelmäßig rezertifiziert.
16. Gemeinsame Konten bleiben unkontrolliert.
17. Assetregister enthalten keine Eigentümer oder Kritikalität.
18. Cloud-Dienste und SaaS fehlen im Inventar.
19. OT-Systeme werden aus dem Risikomanagement ausgeblendet.
20. Patchfristen berücksichtigen keine Exposition.
21. EOL-Systeme besitzen keinen verbindlichen Ablöseplan.
22. Schwachstellen werden geschlossen, aber nicht verifiziert.
23. Logging wird gesammelt, jedoch nicht ausgewertet.
24. Alarme besitzen keine Reaktionszeit oder Eskalation.
25. Backups werden erstellt, aber Restore-Tests fehlen.
26. Wiederherstellungsziele sind nicht mit Fachbereichen abgestimmt.
27. Notfallpläne sind während eines Ausfalls nicht erreichbar.
28. Krisenkontakte sind veraltet.
29. Meldepflichten werden erstmals im echten Vorfall diskutiert.
30. Datenschutz- und NIS2-Meldungen sind nicht abgestimmt.
31. Lieferanten werden nur bei Vertragsabschluss bewertet.
32. Unterauftragnehmer und Konzentrationsrisiken bleiben unbekannt.
33. Sicherheitsanforderungen in Verträgen sind zu allgemein.
34. Exit-Szenarien für kritische Anbieter fehlen.
35. Penetrationstests ersetzen grundlegende Prozesse.
36. Interne Audits prüfen nur Dokumente.
37. Übungen erzeugen keine verfolgten Maßnahmen.
38. Nachweise sind über persönliche Ablagen verteilt.
39. Aktualitäts- und Prüfintervalle fehlen.
40. Das Programm endet nach der ersten behördlichen oder externen Prüfung.

Executive Decision Guide: Was die Geschäftsleitung jetzt entscheiden muss

Die sieben Managemententscheidungen

Rollen, Verantwortlichkeiten und RACI-Modell

NIS2 verlangt keine bestimmte Organisationsform. Die Verantwortlichkeit muss jedoch eindeutig, belastbar und mit ausreichenden Kompetenzen ausgestattet sein. In kleineren Unternehmen können Rollen zusammengelegt werden. Die Trennung von Durchführung, Kontrolle und Freigabe sollte bei kritischen Entscheidungen erhalten bleiben.

Legende: A = accountable, R = responsible, C = consulted, I = informed. Das Modell ist anzupassen, wenn Datenschutz, Recht, Kommunikation, Einkauf, Produktion oder OT eigenständige Verantwortungsbereiche besitzen.

Mindestanforderungen an Rollen

• schriftliches Mandat und definierter Scope,
• ausreichende Entscheidungs- und Eskalationsrechte,
• benannte Stellvertretung,
• klare Schnittstellen zu Datenschutz, BCM, Qualität, Einkauf und Recht,
• nachgewiesene Kenntnisse und regelmäßige Weiterbildung,
• Schutz vor Interessenkonflikten bei Kontrolle und Freigabe.

Dokumentenbibliothek: Welche Unterlagen ein belastbares NIS2-System benötigt

Die Anzahl der Dokumente ist kein Qualitätsmerkmal. Entscheidend sind eindeutige Regeln, aktuelle Verantwortlichkeiten und nachvollziehbare Nachweise. Ein schlankes System kann mehrere Themen in einer übergreifenden Richtlinie bündeln. Komplexe Organisationen benötigen häufig getrennte Vorgaben und Verfahren.

Dokumentenqualität

Ein Dokument ist belastbar, wenn es einen Eigentümer, eine Freigabe, einen Geltungsbereich, ein Prüfintervall und eine nachvollziehbare Versionshistorie besitzt. Richtlinien ohne gelebten Prozess und technische Nachweise schaffen nur formale Sicherheit.

Nachweismatrix: Vom Anspruch zur überprüfbaren Wirksamkeit

Praxisfälle: Wie NIS2 in unterschiedlichen Unternehmen aussieht

Fall 1: Automotive-Zulieferer mit internationalen Werken

Ein Tier-1-Zulieferer betreibt mehrere Produktionsstandorte, zentrale ERP- und EDI-Systeme, lokale OT-Netze und internationale IT-Teams. Die größten Risiken liegen nicht nur in Firewalls und Endpunkten, sondern in Abhängigkeiten: zentrale ERP-Verfügbarkeit, EDI mit OEMs, Produktionsplanung, Labeldruck, Fernzugriffe und lokale Wiederanlauffähigkeit.

Ein belastbares Programm beginnt mit einem konzernweiten Scope, kritischen Geschäftsservices und Standortabhängigkeiten. Für jedes Werk werden Wiederanlaufziele, lokale Notfallkontakte, Backup- und Restore-Nachweise sowie Kommunikationswege festgelegt. Lieferanten wie EDI-Provider, Rechenzentrum, Telekommunikation und Remote-Support werden nach Kritikalität bewertet. Die Geschäftsleitung erhält ein konsolidiertes Risikobild, während operative Maßnahmen standortbezogen verfolgt werden.

Fall 2: Mittelständischer Maschinenbauer

Der Maschinenbauer verfügt über eine kleine IT, viele gewachsene Systeme und hohe Abhängigkeit von einzelnen Mitarbeitern. Der wichtigste Schritt ist nicht ein großes Toolprojekt, sondern Transparenz: Assetinventar, Verantwortlichkeiten, Vertretungen, Backup-Wiederherstellung und Priorisierung der kritischen Dienste. Externe IT-Dienstleister werden in Incident- und Notfallprozesse einbezogen. Für privilegierte Zugänge, VPN und Cloud-Administration wird MFA verbindlich. Ein monatliches Managementreview verfolgt kritische Risiken und überfällige Maßnahmen.

Fall 3: Managed Service Provider

Ein IT-Dienstleister kann durch seine Rolle für viele Kunden eine besonders hohe Wirkung entfalten. Neben eigenen Systemen sind Mandantentrennung, privilegierte Zugriffe, Fernwartung, Logging, sichere Softwarelieferung und Unterauftragnehmer kritisch. Der Dienstleister benötigt eine präzise Definition erheblicher Vorfälle, weil ein einzelner Angriff mehrere Kunden betreffen kann. Vertragliche Meldewege und technische Eskalationen müssen mit den Kunden abgestimmt sein.

Fall 4: Gesundheitsdienstleister

Im Gesundheitswesen treffen hohe Verfügbarkeitsanforderungen, sensible Daten und heterogene Medizintechnik aufeinander. Patchen kann durch Herstellerfreigaben eingeschränkt sein. Kompensierende Maßnahmen, Segmentierung, Assettransparenz und abgestimmte Wiederanlaufpläne sind deshalb besonders wichtig. Datenschutz- und NIS2-Meldeprozesse müssen parallel funktionieren, ohne widersprüchliche Kommunikation zu erzeugen.

Reifegradmodell für die NIS2-Umsetzung

Ein hoher Gesamtreifegrad darf kritische Einzeldefizite nicht verdecken. Fehlende Restore-Fähigkeit, ungeschützte administrative Zugänge oder ein nicht funktionierender Meldeprozess bleiben kritisch, auch wenn andere Bereiche gut entwickelt sind.

Kennzahlen für Geschäftsleitung und operative Steuerung

Kennzahlen benötigen Zielwerte, Datenquellen, Eigentümer und definierte Eskalationen. Eine hohe Anzahl an Kennzahlen ersetzt keine klare Aussage. Für die Geschäftsleitung reichen häufig acht bis zwölf Kennzahlen, ergänzt um Top-Risiken, wesentliche Vorfälle und Entscheidungen.

Typische Feststellungen aus Assessments und Prüfungen

1. Die Betroffenheitsanalyse berücksichtigt nur die Gesellschaft, nicht jedoch konkrete Dienste und Standorte.
2. Die Geschäftsleitung hat Richtlinien freigegeben, erhält aber keine regelmäßigen Wirksamkeitsberichte.
3. Risikoregister und Maßnahmenplan verwenden unterschiedliche Prioritäten und Eigentümer.
4. Kritische Assets sind bekannt, aber nicht mit Geschäftsservices und Wiederanlaufzielen verknüpft.
5. Cloud- und SaaS-Dienste fehlen im Inventar oder besitzen keinen fachlichen Eigentümer.
6. Privilegierte Konten werden nicht regelmäßig rezertifiziert.
7. MFA-Ausnahmen sind dauerhaft und ohne genehmigte Risikobehandlung.
8. Backups sind erfolgreich, Restore-Tests fehlen oder decken nur Einzeldateien ab.
9. Notfallpläne enthalten veraltete Kontakte und wurden nicht unter realistischen Bedingungen getestet.
10. Der Meldeprozess beginnt erst nach formaler Bestätigung, obwohl die Frist an Kenntnis anknüpft.
11. NIS2-, Datenschutz- und Kundenmeldungen werden nicht in einer gemeinsamen Ereignissteuerung koordiniert.
12. Lieferanten werden bei Vertragsabschluss bewertet, danach aber nicht risikobasiert überwacht.
13. Unterauftragnehmer kritischer Provider bleiben unbekannt.
14. Schwachstellen-Scans decken OT, Netzwerkgeräte oder Internet-Assets nicht vollständig ab.
15. Patch-Ausnahmen haben keinen Eigentümer, keine Kompensation und kein Ablaufdatum.
16. Logging ist vorhanden, aber relevante Use Cases, Alarmwege und Aufbewahrung sind nicht definiert.
17. Sicherheitsvorfälle werden technisch bearbeitet, aber Lessons Learned werden nicht in Risiken und Kontrollen zurückgeführt.
18. Awareness wird nur durch jährliche Standardschulung gemessen; Rollenrisiken bleiben unberücksichtigt.
19. Ausgeschiedene Mitarbeiter oder Dienstleister behalten aktive Konten.
20. Die Wirksamkeit externer Sicherheitsdienste wird nicht anhand vereinbarter Kennzahlen bewertet.

Häufige Fragen

Was ist NIS2?

NIS2 ist die Richtlinie (EU) 2022/2555. Sie legt einen gemeinsamen europäischen Rahmen für Cyberrisikomanagement, Vorfallmeldungen, Aufsicht und Zusammenarbeit fest.

Seit wann gilt NIS2 in Deutschland?

Das deutsche Umsetzungsgesetz wurde am 5. Dezember 2025 verkündet und trat am 6. Dezember 2025 in Kraft.

Wie prüfe ich die Betroffenheit?

Prüfen Sie Tätigkeit, Sektor, Einrichtungsart, Größenklasse, Konzernstruktur und Sondertatbestände. Dokumentieren Sie Datenquellen und Annahmen.

Sind kleine Unternehmen ausgenommen?

Häufig greift eine Größenregel. Bestimmte Einrichtungen und Sondertatbestände können unabhängig von der Größe erfasst sein.

Welche Rolle hat die Geschäftsleitung?

Sie billigt Maßnahmen, überwacht die Umsetzung und muss über ausreichende Kenntnisse verfügen.

Kann die Verantwortung an den CISO delegiert werden?

Operative Aufgaben können delegiert werden. Die Leitungs- und Überwachungsverantwortung bleibt bestehen.

Braucht jedes betroffene Unternehmen einen CISO?

Die Richtlinie schreibt nicht zwingend eine bestimmte Stellenbezeichnung vor. Zuständigkeit, Fachkunde, Unabhängigkeit und Ressourcen müssen angemessen sein.

Ist ISO 27001 Pflicht?

Nein. ISO 27001 kann die Umsetzung unterstützen, ist jedoch nicht allgemein gesetzlich vorgeschrieben.

Ersetzt eine ISO-27001-Zertifizierung NIS2?

Nein. Registrierung, Meldungen, nationale Pflichten und sektorspezifische Anforderungen bleiben gesondert zu prüfen.

Ersetzt TISAX NIS2?

Nein. TISAX liefert viele relevante Kontrollen, deckt die gesetzlichen Pflichten aber nicht automatisch vollständig ab.

Welche Vorfälle müssen gemeldet werden?

Erhebliche Sicherheitsvorfälle nach den gesetzlichen Kriterien. Die Bewertung berücksichtigt Betriebsstörung, finanzielle Verluste und Auswirkungen auf Dritte.

Wann beginnt die 24-Stunden-Frist?

Mit der Kenntnis eines erheblichen Sicherheitsvorfalls. Der Zeitpunkt muss intern nachvollziehbar dokumentiert werden.

Muss eine Meldung schon vollständig sein?

Nein. Das gestufte Verfahren berücksichtigt, dass zu Beginn noch nicht alle Fakten feststehen.

Was ist bei einem Datenschutzvorfall zu tun?

NIS2- und DSGVO-Pflichten müssen parallel geprüft und koordiniert werden. Fristen und Adressaten unterscheiden sich.

Welche Maßnahmen sind zwingend?

Der Mindestkatalog umfasst unter anderem Risikoanalyse, Incident Handling, Business Continuity, Lieferkette, sichere Entwicklung, Wirksamkeitsprüfung, Schulung, Kryptografie, Zugriffsschutz und MFA.

Was bedeutet angemessen und verhältnismäßig?

Maßnahmen müssen Risiko, Größe, Exposition, Eintrittswahrscheinlichkeit, Schadensausmaß und Stand der Technik berücksichtigen.

Muss jedes Unternehmen ein SOC betreiben?

Nein. Erkennungs- und Reaktionsfähigkeit müssen angemessen sein. Eigenbetrieb, Shared Service oder externer Dienst sind mögliche Modelle.

Ist MFA überall Pflicht?

Die Richtlinie nennt MFA beziehungsweise kontinuierliche Authentisierung, soweit angemessen. Kritische und exponierte Zugänge sollten prioritär abgedeckt werden.

Wie oft müssen Risiken bewertet werden?

Regelmäßig und anlassbezogen, etwa bei Vorfällen, neuen Diensten, Lieferanten, Bedrohungen oder wesentlichen Änderungen.

Welche Nachweise erwartet das BSI?

Das hängt von Anlass und Anforderung ab. Typisch sind Richtlinien, Risikoregister, technische Berichte, Testprotokolle, Schulungen, Audits und Managemententscheidungen.

Müssen Lieferanten NIS2-konform sein?

Nicht jeder Lieferant ist selbst reguliert. Die betroffene Einrichtung muss ihre Lieferkettenrisiken angemessen steuern.

Was gilt für Cloud-Dienste?

Cloud-Dienste müssen im Asset- und Lieferantenmanagement berücksichtigt werden. Für bestimmte digitale Anbieter gelten zusätzlich konkretisierte EU-Anforderungen.

Was gilt für internationale Konzerne?

Rechtsträger, Tätigkeiten, Niederlassungen und nationale Zuständigkeiten sind getrennt zu prüfen. Eine zentrale Umsetzung kann lokale Pflichten unterstützen.

Wie lange dauert die Umsetzung?

Das hängt von Scope und Reifegrad ab. Kritische Lücken können kurzfristig geschlossen werden; ein belastbares Managementsystem benötigt meist mehrere Monate.

Braucht man ein externes Assessment?

Eine unabhängige Prüfung kann sinnvoll sein. Umfang und gesetzliche Nachweispflichten richten sich nach der konkreten Einordnung und Aufsicht.

Wie verhält sich NIS2 zu KRITIS?

NIS2 erweitert den regulierten Kreis. KRITIS-Regeln und besondere Pflichten müssen zusätzlich anhand des deutschen Rechts geprüft werden.

Wie verhält sich NIS2 zu DORA?

DORA ist für den Finanzsektor ein spezieller europäischer Rahmen. Vorrang- und Überschneidungsregeln sind einzelfallbezogen zu prüfen.

Wie verhält sich NIS2 zum CRA?

NIS2 adressiert regulierte Einrichtungen; der CRA adressiert Produkte mit digitalen Elementen und Herstellerpflichten.

Sind Penetrationstests vorgeschrieben?

Die konkrete Notwendigkeit folgt aus Risiko, Stand der Technik und Kontrollkonzept. Penetrationstests können ein wichtiger Wirksamkeitsnachweis sein.

Wie oft sollte die Geschäftsleitung berichten lassen?

Mindestens regelmäßig und zusätzlich bei wesentlichen Risiken, Vorfällen und Abweichungen. Kritische Einrichtungen benötigen häufig monatliche oder quartalsweise Berichte.

Welche Kennzahlen eignen sich?

Beispiele sind kritische offene Risiken, MFA-Abdeckung kritischer Zugänge, Restore-Erfolg, Patch-Rückstände, Reaktionszeiten, Lieferantenstatus und überfällige Maßnahmen.

Muss ein Unternehmen ein ISMS haben?

Ein systematisches Managementmodell ist praktisch sehr hilfreich. Das Gesetz verlangt wirksame Maßnahmen und Nachweise, nicht zwingend eine bestimmte Zertifizierung.

Kann ein bestehendes TISAX- oder ISO-System weiterverwendet werden?

Ja. Bestehende Kontrollen und Nachweise sollten auf NIS2-Anforderungen gemappt und um rechtliche Lücken ergänzt werden.

Was ist der erste praktische Schritt?

Eine dokumentierte Betroffenheitsanalyse mit Managementfreigabe, gefolgt von Gap Assessment, Risikopriorisierung und Sofortmaßnahmen.

Wie bleibt die Umsetzung dauerhaft wirksam?

Durch klare Eigentümer, Kontrollkalender, Kennzahlen, Tests, Audits, Managementreviews und konsequente Maßnahmenverfolgung.

Glossar

NIS2-Fachseiten und Entscheidungshilfen

Die Reference Edition ordnet das Gesamtbild ein. Die Fachseiten vertiefen jeweils eine klar abgegrenzte Management- oder Umsetzungsfrage.

Von der Einordnung zur Umsetzung

Verwandte Themen

Primärquellen und redaktioneller Stand