NIS2 Anforderungen: Was Unternehmen jetzt umsetzen müssen und welche Fristen gelten

Cyberangriffe gehören heute zu den größten Risiken für Unternehmen. Ransomware, Phishing oder Angriffe auf Lieferketten können innerhalb weniger Stunden zu Produktionsausfällen, Datenverlusten und erheblichen finanziellen Schäden führen. Mit der NIS2-Richtlinie reagiert die Europäische Union auf diese Entwicklung und verpflichtet deutlich mehr Unternehmen als bisher dazu, ihre Informationssicherheit systematisch zu verbessern.

Doch welche NIS2-Anforderungen gelten konkret? Welche Unternehmen sind betroffen? Welche Fristen müssen eingehalten werden und welche Maßnahmen sollten jetzt Priorität haben?

In diesem Leitfaden erhalten Sie einen verständlichen Überblick über die wichtigsten Anforderungen der NIS2-Richtlinie. Sie erfahren, welche Pflichten auf Unternehmen zukommen, wie sich NIS2 in Deutschland entwickelt hat und welche technischen sowie organisatorischen Maßnahmen für eine erfolgreiche Umsetzung erforderlich sind. Außerdem zeigen wir, wie Sie Ihr Unternehmen Schritt für Schritt auf die neuen gesetzlichen Vorgaben vorbereiten.

Was ist die NIS2-Richtlinie?

Die NIS2-Richtlinie (Network and Information Security Directive 2) ist eine europäische Richtlinie zur Stärkung der Cybersicherheit. Sie ersetzt die ursprüngliche NIS-Richtlinie aus dem Jahr 2016 und erweitert sowohl den Kreis der betroffenen Unternehmen als auch die Anforderungen an das Sicherheitsmanagement.

Ziel der Richtlinie ist es, die Widerstandsfähigkeit von Unternehmen und öffentlichen Einrichtungen gegenüber Cyberangriffen zu erhöhen. Dazu verpflichtet NIS2 Unternehmen unter anderem zu einem wirksamen Risikomanagement, technischen und organisatorischen Sicherheitsmaßnahmen, Meldepflichten bei Sicherheitsvorfällen sowie einer stärkeren Einbindung der Geschäftsleitung.

Im Gegensatz zur ersten NIS-Richtlinie betrifft NIS2 nicht mehr nur klassische Betreiber kritischer Infrastrukturen. Auch zahlreiche mittelständische Unternehmen aus Bereichen wie Industrie, Logistik, IT, Gesundheitswesen oder digitale Dienstleistungen fallen künftig unter die gesetzlichen Vorgaben.

Die Richtlinie verfolgt dabei einen risikobasierten Ansatz. Unternehmen müssen ihre individuellen Risiken bewerten und geeignete Maßnahmen ergreifen, um ihre Systeme, Daten und Geschäftsprozesse angemessen zu schützen.

Entstehung und Ziele der NIS2

Die erste NIS-Richtlinie wurde 2016 eingeführt, um ein gemeinsames Mindestniveau für die Cybersicherheit innerhalb der Europäischen Union zu schaffen. Seitdem hat sich die Bedrohungslage jedoch deutlich verändert. Cyberkriminelle agieren professioneller, Angriffe auf Unternehmen nehmen kontinuierlich zu und digitale Lieferketten werden immer komplexer.

Mit der NIS2-Richtlinie reagiert die Europäische Union auf diese Entwicklung. Sie erweitert den Geltungsbereich, konkretisiert die Sicherheitsanforderungen und stärkt die Verantwortung der Unternehmensleitung. Ziel ist es, Sicherheitsrisiken frühzeitig zu erkennen und die Auswirkungen erfolgreicher Cyberangriffe zu minimieren.

Die wichtigsten Ziele der NIS2-Richtlinie sind:

• Erhöhung des Cybersicherheitsniveaus innerhalb der EU
• Einheitliche Sicherheitsstandards für alle Mitgliedstaaten
• Schutz kritischer und wichtiger Einrichtungen
• Verbesserung des Risikomanagements in Unternehmen
• Schnellere Meldung und Bewältigung von Sicherheitsvorfällen
• Höhere Resilienz gegenüber Angriffen auf Lieferketten

Für Unternehmen bedeutet dies, dass Informationssicherheit nicht mehr ausschließlich Aufgabe der IT-Abteilung ist. Die Geschäftsleitung trägt künftig eine zentrale Verantwortung dafür, dass angemessene Sicherheitsmaßnahmen eingeführt, dokumentiert und regelmäßig überprüft werden.

Wer ist von den NIS2-Anforderungen betroffen?

Eine der wichtigsten Fragen für Unternehmen lautet: Fällt mein Unternehmen unter die NIS2-Richtlinie? Die Antwort hängt in erster Linie von zwei Faktoren ab: der Branche und der Unternehmensgröße.

Mit NIS2 wurde der Kreis der betroffenen Unternehmen deutlich erweitert. Während die ursprüngliche NIS-Richtlinie hauptsächlich Betreiber kritischer Infrastrukturen erfasste, gelten die neuen Anforderungen nun auch für zahlreiche Unternehmen aus der Industrie, dem Gesundheitswesen, der Logistik, der digitalen Wirtschaft und vielen weiteren Bereichen.

In den meisten Fällen richtet sich die Betroffenheit nach den Vorgaben für mittlere und große Unternehmen. Gleichzeitig gibt es Ausnahmen: Bestimmte Organisationen können unabhängig von ihrer Größe unter die Richtlinie fallen, wenn sie eine besonders wichtige Rolle für die Versorgung, Sicherheit oder digitale Infrastruktur übernehmen.

Ob ein Unternehmen tatsächlich betroffen ist, sollte daher immer individuell geprüft werden. Eine frühzeitige Betroffenheitsanalyse schafft Planungssicherheit und bildet die Grundlage für die Umsetzung der NIS2-Anforderungen.

Wesentliche und wichtige Einrichtungen

Die NIS2-Richtlinie unterscheidet zwischen wesentlichen Einrichtungen (Essential Entities) und wichtigen Einrichtungen (Important Entities). Beide Kategorien müssen die Anforderungen der Richtlinie erfüllen, unterscheiden sich jedoch hinsichtlich der behördlichen Aufsicht.

Wesentliche Einrichtungen übernehmen Aufgaben, deren Ausfall erhebliche Auswirkungen auf die öffentliche Sicherheit oder die Versorgung der Bevölkerung hätte. Dazu gehören beispielsweise Unternehmen aus den Bereichen:

• Energieversorgung
• Gesundheitswesen
• Telekommunikation
• Trinkwasser- und Abwasserwirtschaft
• Digitale Infrastruktur
• Banken und Finanzmarktinfrastrukturen

Wichtige Einrichtungen sind ebenfalls von großer wirtschaftlicher Bedeutung, gelten jedoch nicht als gleich kritisch. Beispiele sind:

• Maschinen- und Anlagenbau
• Automobilzulieferer
• Logistikunternehmen
• Lebensmittelhersteller
• Rechenzentren
• Cloud- und IT-Dienstleister

Der wesentliche Unterschied liegt in der Überwachung durch die Behörden. Wesentliche Einrichtungen müssen häufiger mit proaktiven Kontrollen rechnen, während wichtige Einrichtungen in der Regel anlassbezogen überprüft werden. Die grundlegenden Anforderungen an das Risikomanagement und die Cybersicherheit gelten jedoch für beide Kategorien gleichermaßen.

Betroffene Branchen und Unternehmensgrößen

Ob ein Unternehmen unter die NIS2-Richtlinie fällt, richtet sich nicht allein nach seiner Branche. Zusätzlich spielen Größe und wirtschaftliche Bedeutung eine wichtige Rolle.

Grundsätzlich sind insbesondere Unternehmen betroffen, die:

• mindestens 50 Mitarbeitende beschäftigen und
• einen Jahresumsatz oder eine Bilanzsumme von mehr als 10 Millionen Euro erreichen.

Zu den wichtigsten betroffenen Branchen zählen:

Branche	Beispiele
Energie	Strom-, Gas- und Fernwärmeversorger
Gesundheit	Krankenhäuser, Labore, Pharmaunternehmen
IT und Digitalisierung	Cloud-Anbieter, Rechenzentren, Managed Service Provider
Telekommunikation	Netzbetreiber und Kommunikationsdienste
Verkehr und Logistik	Flughäfen, Bahnunternehmen, Logistikdienstleister
Finanzwesen	Banken und Finanzmarktinfrastrukturen
Industrie	Hersteller kritischer Produkte, Maschinenbau, Chemie
Öffentliche Verwaltung	Behörden und öffentliche Einrichtungen

Die genannten Schwellenwerte dienen als Orientierung. In einzelnen Fällen können auch kleinere Unternehmen unter die Richtlinie fallen, beispielsweise wenn sie zentrale digitale Dienstleistungen erbringen oder eine besondere Bedeutung für kritische Lieferketten haben.

Tipp: Unternehmen sollten ihre Betroffenheit nicht allein anhand der Mitarbeiterzahl beurteilen. Eine Kombination aus Branche, Unternehmensgröße und konkreter Tätigkeit entscheidet darüber, ob die NIS2-Anforderungen eingehalten werden müssen.

Welche Fristen gelten für die Umsetzung?

Neben den eigentlichen Sicherheitsanforderungen gehören die Fristen zu den häufigsten Fragen rund um die NIS2-Richtlinie. Viele Unternehmen möchten wissen, ab wann sie handeln müssen und welche gesetzlichen Termine einzuhalten sind.

Da es sich bei NIS2 um eine EU-Richtlinie handelt, mussten die Mitgliedstaaten die Vorgaben zunächst in nationales Recht überführen. In Deutschland erfolgt dies über das NIS2-Umsetzungsgesetz, das die europäischen Anforderungen in das deutsche Recht integriert.

Unabhängig von einzelnen Fristen sollten betroffene Unternehmen die Umsetzung nicht aufschieben. Der Aufbau eines Informationssicherheitsmanagements, die Einführung neuer Prozesse oder die technische Absicherung der IT-Infrastruktur benötigen Zeit. Wer frühzeitig mit der Umsetzung beginnt, reduziert nicht nur das Risiko von Cyberangriffen, sondern vermeidet auch kurzfristigen Handlungsdruck.

Umsetzung der NIS2-Richtlinie in Deutschland

Mit dem NIS2-Umsetzungsgesetz wurden die europäischen Vorgaben in deutsches Recht übernommen. Dadurch gelten für betroffene Unternehmen verbindliche Anforderungen an die Informationssicherheit, das Risikomanagement und den Umgang mit Sicherheitsvorfällen.

Im Mittelpunkt stehen dabei folgende Pflichten:

• Einführung eines angemessenen Risikomanagements
• Umsetzung technischer und organisatorischer Sicherheitsmaßnahmen
• Meldung erheblicher Sicherheitsvorfälle
• Bewertung von Risiken innerhalb der Lieferkette
• Dokumentation aller relevanten Sicherheitsmaßnahmen
• Einbindung der Geschäftsleitung in Sicherheitsentscheidungen

Unternehmen sollten die Umsetzung nicht als einmaliges Projekt verstehen. Die NIS2-Richtlinie fordert einen kontinuierlichen Verbesserungsprozess. Sicherheitsmaßnahmen müssen regelmäßig überprüft, an neue Bedrohungen angepasst und nachvollziehbar dokumentiert werden.

Für viele Unternehmen bietet sich die Einführung eines Informationssicherheitsmanagementsystems (ISMS) an. Ein ISMS unterstützt dabei, Prozesse zu strukturieren, Verantwortlichkeiten festzulegen und die Einhaltung gesetzlicher Anforderungen dauerhaft sicherzustellen.

Registrierungspflichten und Meldefristen

Neben der Umsetzung technischer und organisatorischer Maßnahmen sieht die NIS2-Richtlinie auch verschiedene Melde- und Registrierungspflichten vor. Ziel ist es, Sicherheitsvorfälle schneller zu erkennen und eine koordinierte Reaktion der zuständigen Behörden zu ermöglichen.

Betroffene Unternehmen müssen sich – soweit gesetzlich vorgesehen – bei der zuständigen Behörde registrieren und aktuelle Unternehmens- sowie Kontaktdaten hinterlegen. Änderungen, beispielsweise bei Ansprechpartnern oder der Unternehmensstruktur, sollten zeitnah aktualisiert werden.

Kommt es zu einem erheblichen Sicherheitsvorfall, gelten zudem klare Meldepflichten. Unternehmen müssen Vorfälle innerhalb definierter Fristen an die zuständige Behörde melden und anschließend weitere Informationen zum Verlauf sowie zu den ergriffenen Maßnahmen bereitstellen.

Zu den meldepflichtigen Vorfällen können unter anderem gehören:

• erfolgreiche Ransomware-Angriffe
• erhebliche IT-Ausfälle
• Angriffe auf kritische Systeme
• größere Datenverluste
• Sicherheitsvorfälle mit Auswirkungen auf Kunden oder Dienstleistungen

Ein dokumentierter Meldeprozess hilft dabei, im Ernstfall schnell und strukturiert zu handeln. Verantwortlichkeiten, Kommunikationswege und Entscheidungsprozesse sollten daher bereits im Vorfeld festgelegt werden.

Hinweis: Da sich gesetzliche Fristen und nationale Vorgaben ändern können, sollten Unternehmen regelmäßig die Veröffentlichungen des Bundesamts für Sicherheit in der Informationstechnik (BSI)sowie die jeweils aktuelle Gesetzeslage prüfen.

Perfekt. Jetzt kommen wir zum wichtigsten Teil des Artikels – den eigentlichen Anforderungen. Da dieser Abschnitt für die Suchintention entscheidend ist, gehen wir hier etwas detaillierter vor, bleiben aber kompakt.

Die wichtigsten NIS2-Anforderungen im Überblick

Die NIS2-Richtlinie schreibt Unternehmen keine konkreten Sicherheitslösungen oder Softwareprodukte vor. Stattdessen verfolgt sie einen risikobasierten Ansatz. Unternehmen müssen ihre individuellen Risiken bewerten und auf dieser Grundlage geeignete technische, organisatorische und personelle Maßnahmen umsetzen.

Welche Maßnahmen angemessen sind, hängt unter anderem von der Unternehmensgröße, der Branche, den vorhandenen IT-Systemen und dem potenziellen Schaden eines Sicherheitsvorfalls ab. Ein internationaler Cloud-Anbieter benötigt beispielsweise ein anderes Sicherheitsniveau als ein mittelständischer Produktionsbetrieb. Beide müssen jedoch nachweisen können, dass sie ihre Risiken kennen und wirksam steuern.

Die NIS2-Richtlinie nennt mehrere Kernbereiche, die Unternehmen berücksichtigen müssen:

• Risikomanagement
• Technische und organisatorische Sicherheitsmaßnahmen
• Management von Sicherheitsvorfällen
• Business Continuity Management
• Backup- und Wiederherstellungskonzepte
• Lieferkettensicherheit
• Zugriffskontrollen und Multi-Faktor-Authentifizierung
• Schwachstellen- und Patchmanagement
• Mitarbeiterschulungen
• Dokumentation und regelmäßige Überprüfung der Sicherheitsmaßnahmen

Diese Anforderungen bilden gemeinsam die Grundlage eines wirksamen Informationssicherheitsmanagements und sollten nicht isoliert, sondern als zusammenhängendes Sicherheitskonzept betrachtet werden.

Risikomanagement

Ein strukturiertes Risikomanagement ist die Grundlage der NIS2-Anforderungen. Unternehmen müssen regelmäßig analysieren, welche Gefahren ihre IT-Systeme, Daten und Geschäftsprozesse bedrohen und welche Auswirkungen ein Sicherheitsvorfall hätte.

Dabei sollten insbesondere folgende Fragen beantwortet werden:

• Welche Systeme und Daten sind geschäftskritisch?
• Welche Bedrohungen bestehen aktuell?
• Welche Schwachstellen sind vorhanden?
• Wie hoch ist die Wahrscheinlichkeit eines Angriffs?
• Welche Folgen hätte ein Ausfall für das Unternehmen?

Auf Basis dieser Bewertung werden Risiken priorisiert und geeignete Schutzmaßnahmen definiert. Ziel ist es, Ressourcen gezielt dort einzusetzen, wo das größte Risiko besteht.

Ein wirksames Risikomanagement umfasst unter anderem:

• Inventarisierung wichtiger Systeme und Informationen
• Durchführung regelmäßiger Risikoanalysen
• Bewertung und Priorisierung identifizierter Risiken
• Dokumentation der Ergebnisse
• Regelmäßige Überprüfung und Aktualisierung

Da sich Bedrohungen, Technologien und Geschäftsprozesse ständig verändern, sollte die Risikoanalyse mindestens einmal jährlich sowie nach wesentlichen Änderungen aktualisiert werden.

Technische und organisatorische Sicherheitsmaßnahmen

Die NIS2-Richtlinie verpflichtet Unternehmen dazu, angemessene technische und organisatorische Maßnahmen (TOM) einzuführen, um die Verfügbarkeit, Integrität und Vertraulichkeit ihrer Informationen zu schützen. Welche Maßnahmen erforderlich sind, richtet sich nach dem individuellen Risikoprofil des Unternehmens.

Zu den wichtigsten technischen Maßnahmen gehören:

• Multi-Faktor-Authentifizierung (MFA)
• sichere Zugriffskontrollen und Rollenmodelle
• Firewalls und Netzwerkschutz
• Endpoint Protection und EDR-Lösungen
• Verschlüsselung sensibler Daten
• regelmäßige Sicherheitsupdates und Patchmanagement
• Protokollierung und Security Monitoring
• sichere Backup- und Wiederherstellungslösungen

Ebenso wichtig sind organisatorische Maßnahmen, die klare Prozesse und Verantwortlichkeiten schaffen. Dazu zählen unter anderem:

• Informationssicherheitsrichtlinien
• Notfall- und Wiederanlaufpläne
• Berechtigungskonzepte
• Lieferantenmanagement
• regelmäßige Mitarbeiterschulungen
• Dokumentation sicherheitsrelevanter Prozesse
• interne Audits und kontinuierliche Verbesserungen

Unternehmen sollten technische und organisatorische Maßnahmen nicht getrennt betrachten. Erst ihr Zusammenspiel schafft ein wirksames Sicherheitsniveau. Moderne Sicherheitslösungen können ihre Wirkung nur entfalten, wenn sie durch klare Prozesse, geschulte Mitarbeitende und definierte Verantwortlichkeiten ergänzt werden.

Ein regelmäßiger Soll-Ist-Vergleich hilft dabei, bestehende Sicherheitsmaßnahmen zu bewerten und Verbesserungspotenziale frühzeitig zu erkennen. Dadurch lassen sich Risiken reduzieren und die Anforderungen der NIS2-Richtlinie langfristig erfüllen.

Management von Sicherheitsvorfällen (Incident Response)

Trotz umfassender Schutzmaßnahmen lässt sich ein Sicherheitsvorfall nicht immer verhindern. Deshalb fordert die NIS2-Richtlinie, dass Unternehmen über einen klar definierten Prozess verfügen, um Cyberangriffe oder andere IT-Sicherheitsvorfälle schnell zu erkennen, einzudämmen und zu bewältigen.

Ein funktionierender Incident-Response-Prozess sollte folgende Schritte umfassen:

1. Erkennen des Sicherheitsvorfalls
2. Bewerten der Auswirkungen
3. Eindämmen des Vorfalls
4. Beseitigen der Ursache
5. Wiederherstellen betroffener Systeme
6. Dokumentieren und Auswerten des Vorfalls

Darüber hinaus sollten Verantwortlichkeiten eindeutig geregelt sein. Wer informiert die Geschäftsleitung? Wer kommuniziert mit Behörden, Kunden oder Dienstleistern? Wer koordiniert die technischen Maßnahmen? Diese Fragen sollten bereits vor einem Vorfall geklärt sein.

Ein dokumentierter Incident-Response-Plan hilft dabei, im Ernstfall schnell und strukturiert zu handeln. Gleichzeitig unterstützt er Unternehmen dabei, gesetzliche Meldepflichten einzuhalten und die Auswirkungen eines Angriffs zu begrenzen.

Business Continuity, Backup und Disaster Recovery

Ein Cyberangriff oder technischer Ausfall kann den Geschäftsbetrieb erheblich beeinträchtigen. Die NIS2-Richtlinie verlangt deshalb Maßnahmen, mit denen Unternehmen kritische Prozesse auch in Krisensituationen aufrechterhalten oder möglichst schnell wiederherstellen können.

Business Continuity Management (BCM) stellt sicher, dass wichtige Geschäftsprozesse auch während eines Sicherheitsvorfalls fortgeführt werden können. Disaster Recovery beschreibt die technische Wiederherstellung von IT-Systemen und Daten nach einem schwerwiegenden Ausfall.

Ein zentrales Element ist dabei eine zuverlässige Backup-Strategie. Backups sollten:

• automatisiert erstellt werden,
• regelmäßig auf ihre Wiederherstellbarkeit geprüft werden,
• verschlüsselt gespeichert werden,
• räumlich getrennt oder unveränderbar aufbewahrt werden.

Als bewährte Methode gilt die 3-2-1-1-0-Regel:

• 3 Kopien der Daten
• 2 unterschiedliche Speichermedien
• 1 externe Sicherung
• 1 unveränderbare oder Offline-Kopie
• 0 Fehler nach regelmäßigen Wiederherstellungstests

Unternehmen sollten außerdem dokumentieren, welche Systeme priorisiert wiederhergestellt werden müssen und welche maximalen Ausfallzeiten akzeptabel sind. So lassen sich Betriebsunterbrechungen minimieren und wirtschaftliche Schäden begrenzen.

Lieferkettensicherheit

Cyberangriffe richten sich zunehmend nicht direkt gegen ein Unternehmen, sondern gegen dessen Dienstleister oder Lieferanten. Über kompromittierte Software, Fernwartungszugänge oder Cloud-Dienste können Angreifer in Unternehmensnetzwerke eindringen. Aus diesem Grund legt die NIS2-Richtlinie großen Wert auf die Sicherheit der gesamten Lieferkette.

Unternehmen sollten ihre Lieferanten daher nicht nur nach wirtschaftlichen Kriterien auswählen, sondern auch deren Sicherheitsniveau bewerten. Besonders bei IT-Dienstleistern oder Cloud-Anbietern empfiehlt es sich, Mindestanforderungen vertraglich festzulegen.

Zu einer sicheren Lieferkette gehören unter anderem:

• Bewertung sicherheitskritischer Dienstleister
• vertragliche Regelungen zu Informationssicherheit
• regelmäßige Überprüfung von Dienstleistern
• Kontrolle von Fernzugriffen
• Dokumentation externer Risiken
• Notfallpläne für den Ausfall wichtiger Lieferanten

Nicht jeder Lieferant stellt das gleiche Risiko dar. Daher empfiehlt sich eine Priorisierung: Dienstleister mit Zugriff auf sensible Daten oder kritische Systeme sollten intensiver geprüft werden als Lieferanten ohne direkten Bezug zur IT-Infrastruktur.

Eine strukturierte Bewertung der Lieferkette reduziert nicht nur das Risiko von Cyberangriffen, sondern hilft Unternehmen auch dabei, die Anforderungen der NIS2-Richtlinie nachvollziehbar zu erfüllen.

Anforderungen an die Geschäftsleitung

Eine der größten Neuerungen der NIS2-Richtlinie ist die stärkere Einbindung der Unternehmensleitung. Cybersicherheit wird nicht länger ausschließlich als Aufgabe der IT-Abteilung betrachtet, sondern als Bestandteil der Unternehmensführung.

Geschäftsführer und Vorstände sind dafür verantwortlich, dass angemessene Maßnahmen zur Informationssicherheit eingeführt, überwacht und kontinuierlich verbessert werden. Sie können diese Aufgaben zwar an Fachabteilungen oder externe Dienstleister delegieren, die Gesamtverantwortung verbleibt jedoch bei der Unternehmensleitung.

Für viele Unternehmen bedeutet dies einen grundlegenden Wandel: Informationssicherheit wird zu einem festen Bestandteil des unternehmerischen Risikomanagements und sollte regelmäßig auf Managementebene behandelt werden.

Verantwortung und Haftung

Die Geschäftsleitung muss sicherstellen, dass die Anforderungen der NIS2-Richtlinie im Unternehmen umgesetzt werden. Dazu gehört nicht nur die Bereitstellung finanzieller und personeller Ressourcen, sondern auch die regelmäßige Überprüfung der Wirksamkeit der Sicherheitsmaßnahmen.

Zu den wichtigsten Aufgaben gehören:

• Genehmigung der Sicherheitsstrategie
• Festlegung von Verantwortlichkeiten
• Bereitstellung ausreichender Ressourcen
• Überwachung des Risikomanagements
• Kontrolle der Umsetzung technischer und organisatorischer Maßnahmen
• Bewertung wesentlicher Sicherheitsvorfälle

Werden diese Pflichten vernachlässigt, können je nach nationaler Gesetzgebung Bußgelder oder weitere aufsichtsrechtliche Maßnahmen drohen. Unabhängig von möglichen Sanktionen trägt die Geschäftsleitung auch die Verantwortung für wirtschaftliche Schäden und Reputationsverluste, die durch unzureichende Sicherheitsmaßnahmen entstehen können.

Cybersicherheit sollte deshalb regelmäßig auf der Agenda von Geschäftsführungs- oder Vorstandssitzungen stehen und in bestehende Compliance- sowie Risikomanagementprozesse integriert werden.

Schulungspflichten und Governance

Technische Schutzmaßnahmen allein reichen nicht aus, wenn Mitarbeitende Sicherheitsrisiken nicht erkennen oder interne Prozesse nicht einhalten. Deshalb fordert die NIS2-Richtlinie, dass sowohl die Geschäftsleitung als auch die Beschäftigten regelmäßig im Bereich Informationssicherheit geschult werden.

Ziel ist es, ein unternehmensweites Sicherheitsbewusstsein zu schaffen und menschliche Fehler – eine der häufigsten Ursachen für Cybervorfälle – zu reduzieren.

Schulungen sollten unter anderem folgende Themen behandeln:

• Phishing und Social Engineering
• Passwortsicherheit und Multi-Faktor-Authentifizierung
• Umgang mit sensiblen Daten
• Meldewege bei Sicherheitsvorfällen
• Sicheres Arbeiten im Homeoffice
• Nutzung mobiler Endgeräte
• Aktuelle Cyberbedrohungen

Neben Schulungen spielt auch eine klare Governance-Struktur eine zentrale Rolle. Unternehmen sollten Verantwortlichkeiten eindeutig definieren und dokumentieren. Dazu gehören beispielsweise:

• Benennung eines Informationssicherheitsverantwortlichen
• klare Zuständigkeiten für Sicherheitsvorfälle
• regelmäßiges Reporting an die Geschäftsleitung
• Dokumentation von Entscheidungen und Maßnahmen
• regelmäßige Überprüfung der Sicherheitsstrategie

Durch klare Verantwortlichkeiten und kontinuierliche Schulungen schaffen Unternehmen die organisatorischen Voraussetzungen, um die Anforderungen der NIS2-Richtlinie langfristig und nachvollziehbar zu erfüllen.

NIS2-Anforderungen Schritt für Schritt umsetzen

Die Umsetzung der NIS2-Richtlinie muss nicht auf einmal erfolgen. Erfolgreiche Unternehmen gehen strukturiert vor und setzen die Anforderungen Schritt für Schritt um. Dadurch lassen sich Ressourcen gezielt einsetzen, Risiken priorisieren und bestehende Sicherheitsmaßnahmen sinnvoll erweitern.

Insbesondere mittelständische Unternehmen profitieren von einem klaren Umsetzungsplan. Statt einzelne Maßnahmen isoliert einzuführen, entsteht ein ganzheitliches Sicherheitskonzept, das langfristig weiterentwickelt werden kann.

Die folgende Roadmap bietet eine Orientierung für den Einstieg in die NIS2-Umsetzung.

H3: Roadmap für die Umsetzung

Ein strukturierter Ablauf erleichtert die Umsetzung der NIS2-Anforderungen und hilft dabei, keine wesentlichen Bereiche zu übersehen.

Schritt	Ziel
1. Betroffenheit prüfen	Feststellen, ob das Unternehmen unter die NIS2-Richtlinie fällt.
2. Ist-Analyse durchführen	Vorhandene Sicherheitsmaßnahmen und Prozesse bewerten.
3. Risikoanalyse erstellen	Kritische Systeme, Daten und Risiken identifizieren.
4. Maßnahmen priorisieren	Sicherheitslücken nach Risiko und Aufwand bewerten.
5. Sicherheitsmaßnahmen umsetzen	Technische und organisatorische Maßnahmen einführen.
6. Mitarbeitende schulen	Sicherheitsbewusstsein im Unternehmen stärken.
7. Prozesse dokumentieren	Richtlinien, Nachweise und Verantwortlichkeiten festhalten.
8. Regelmäßig überprüfen	Sicherheitsmaßnahmen testen und kontinuierlich verbessern.

Je nach Unternehmensgröße kann die Umsetzung mehrere Monate dauern. Daher empfiehlt es sich, frühzeitig mit der Planung zu beginnen und die einzelnen Schritte in bestehende Projekte oder Compliance-Maßnahmen zu integrieren.

Die häufigsten Fehler bei der Umsetzung

Viele Unternehmen beginnen erst mit der Umsetzung, wenn gesetzliche Fristen näher rücken oder ein Sicherheitsvorfall eingetreten ist. Dadurch steigt der Zeitdruck und wichtige Maßnahmen werden häufig unvollständig umgesetzt.

Zu den häufigsten Fehlern gehören:

• Betroffenheit nicht prüfen: Unternehmen gehen fälschlicherweise davon aus, dass sie nicht unter die NIS2-Richtlinie fallen.
• Nur technische Lösungen betrachten: Informationssicherheit umfasst auch Prozesse, Richtlinien und Schulungen.
• Keine Risikoanalyse durchführen: Maßnahmen werden umgesetzt, ohne die tatsächlichen Risiken zu kennen.
• Lieferanten außer Acht lassen: Externe Dienstleister werden nicht in das Sicherheitskonzept einbezogen.
• Fehlende Dokumentation: Sicherheitsmaßnahmen werden umgesetzt, aber nicht nachvollziehbar dokumentiert.
• Unklare Verantwortlichkeiten: Es ist nicht festgelegt, wer für Informationssicherheit oder Sicherheitsvorfälle zuständig ist.
• Keine regelmäßige Überprüfung: Sicherheitsmaßnahmen werden nach der Einführung nicht mehr bewertet oder aktualisiert.

Wer diese Fehler vermeidet und die Umsetzung als kontinuierlichen Prozess versteht, schafft eine solide Grundlage für die Einhaltung der NIS2-Anforderungen und erhöht gleichzeitig die Widerstandsfähigkeit des Unternehmens gegenüber Cyberangriffen.

Welche Nachweise sollten Unternehmen für die NIS2-Umsetzung bereithalten?

Die Umsetzung der NIS2-Anforderungen endet nicht mit der Einführung technischer Sicherheitsmaßnahmen. Unternehmen sollten jederzeit nachvollziehbar dokumentieren können, welche Maßnahmen umgesetzt wurden und wie Risiken bewertet sowie überwacht werden. Eine vollständige Dokumentation erleichtert nicht nur interne Prozesse, sondern unterstützt auch bei behördlichen Prüfungen und Audits.

Welche Nachweise erforderlich sind, hängt von der Größe des Unternehmens, der Branche und den bestehenden Sicherheitsprozessen ab. Folgende Dokumente bilden jedoch in vielen Unternehmen die Grundlage einer nachvollziehbaren NIS2-Umsetzung.

Dokument	Zweck
Risikoanalyse	Dokumentiert identifizierte Risiken sowie deren Bewertung und Priorisierung.
Informationssicherheitsrichtlinie	Beschreibt die grundlegenden Sicherheitsziele und Vorgaben des Unternehmens.
Rollen- und Berechtigungskonzept	Legt fest, welche Personen auf welche Systeme und Daten zugreifen dürfen.
Incident-Response-Plan	Definiert den Ablauf bei Sicherheitsvorfällen sowie Zuständigkeiten und Eskalationswege.
Backup- und Wiederherstellungskonzept	Beschreibt Sicherungsstrategien und den Wiederanlauf kritischer Systeme.
Business-Continuity-Plan	Regelt die Fortführung wichtiger Geschäftsprozesse während einer Krise.
Lieferantenbewertungen	Dokumentiert die Bewertung sicherheitsrelevanter Dienstleister und Partner.
Schulungsnachweise	Belegen, dass Mitarbeitende regelmäßig zu Informationssicherheit geschult werden.
Patch- und Schwachstellenmanagement	Zeigt, wie Sicherheitslücken erkannt und behoben werden.
Protokolle interner Audits	Dokumentieren regelmäßige Überprüfungen und Verbesserungsmaßnahmen.

Nicht jedes Unternehmen benötigt dieselben Dokumente in gleicher Tiefe. Entscheidend ist, dass Sicherheitsmaßnahmen nachvollziehbar dokumentiert und regelmäßig aktualisiert werden. Eine strukturierte Dokumentation erleichtert außerdem die interne Zusammenarbeit, reduziert organisatorische Risiken und unterstützt bei der kontinuierlichen Verbesserung der Informationssicherheit.

NIS2 und ISO 27001 – Wo liegen die Unterschiede?

Die NIS2-Richtlinie und die ISO/IEC 27001 verfolgen das gleiche Ziel: Unternehmen sollen ihre Informationssicherheit systematisch verbessern. Dennoch handelt es sich um zwei unterschiedliche Regelwerke.

NIS2 ist eine gesetzliche Vorgabe der Europäischen Union. Sie definiert Mindestanforderungen an die Cybersicherheit für betroffene Unternehmen und legt unter anderem Pflichten zum Risikomanagement, zur Meldung von Sicherheitsvorfällen und zur Verantwortung der Geschäftsleitung fest.

ISO/IEC 27001 ist hingegen eine internationale Norm für Informationssicherheitsmanagementsysteme (ISMS). Sie beschreibt, wie Unternehmen Informationssicherheit strukturiert planen, umsetzen, überwachen und kontinuierlich verbessern können. Eine Zertifizierung nach ISO 27001 ist freiwillig, kann Unternehmen jedoch dabei unterstützen, die Anforderungen der NIS2-Richtlinie effizient umzusetzen.

NIS2	ISO/IEC 27001
Gesetzliche Verpflichtung für betroffene Unternehmen	Freiwillige Zertifizierung
Fokus auf Cybersicherheit und Resilienz	Fokus auf ein strukturiertes ISMS
Behördliche Aufsicht	Zertifizierung durch unabhängige Stellen
Mindestanforderungen der EU	International anerkannter Sicherheitsstandard

Eine ISO-27001-Zertifizierung ersetzt die NIS2-Richtlinie nicht automatisch. Sie bietet jedoch eine sehr gute Grundlage, da sich viele Anforderungen, etwa Risikomanagement, Dokumentation oder kontinuierliche Verbesserung, in beiden Regelwerken überschneiden.

FAQ

Rund um die NIS2-Richtlinie und ihre Anforderungen ergeben sich in der Praxis viele Fragen. Nachfolgend finden Sie Antworten auf häufig gestellte Fragen zu Betroffenheit, Umsetzung, Fristen und den wichtigsten Pflichten für Unternehmen.

Was sind die NIS2-Anforderungen?

Die NIS2-Anforderungen umfassen technische und organisatorische Maßnahmen, mit denen Unternehmen ihre Informationssicherheit verbessern. Dazu gehören unter anderem Risikomanagement, Incident Response, Backup-Konzepte, Lieferkettensicherheit, Mitarbeiterschulungen sowie die Dokumentation und regelmäßige Überprüfung aller Sicherheitsmaßnahmen.

Welche Unternehmen sind von NIS2 betroffen?

Betroffen sind vor allem mittlere und große Unternehmen aus definierten Branchen wie Energie, Gesundheitswesen, Logistik, Telekommunikation, IT oder Finanzwesen. Ob ein Unternehmen tatsächlich unter die Richtlinie fällt, hängt von Branche, Unternehmensgröße und der Art der angebotenen Dienstleistungen ab.

Ist eine ISO-27001-Zertifizierung verpflichtend?

Nein. Die NIS2-Richtlinie schreibt keine ISO-27001-Zertifizierung vor. Sie kann Unternehmen jedoch dabei unterstützen, die gesetzlichen Anforderungen strukturiert und dauerhaft umzusetzen.

Welche Strafen drohen bei Verstößen?

Je nach Art und Schwere des Verstoßes können Bußgelder, behördliche Anordnungen oder weitere aufsichtsrechtliche Maßnahmen verhängt werden. Darüber hinaus können Cybervorfälle erhebliche wirtschaftliche Schäden und Reputationsverluste verursachen.

Wie beginnt man am besten mit der Umsetzung?

Der erste Schritt sollte eine Betroffenheitsanalyse sein. Anschließend empfiehlt sich eine Gap-Analyse, um bestehende Sicherheitslücken zu identifizieren und einen strukturierten Maßnahmenplan für die Umsetzung der NIS2-Anforderungen zu erstellen.

Fazit

Die NIS2-Richtlinie stellt viele Unternehmen vor neue Herausforderungen, bietet jedoch gleichzeitig die Chance, die eigene Informationssicherheit nachhaltig zu verbessern. Anstatt Cybersicherheit nur als gesetzliche Pflicht zu betrachten, sollten Unternehmen sie als strategischen Erfolgsfaktor verstehen. Ein strukturiertes Sicherheitsmanagement reduziert nicht nur das Risiko von Cyberangriffen, sondern stärkt auch das Vertrauen von Kunden, Geschäftspartnern und Behörden.

Für die erfolgreiche Umsetzung kommt es nicht darauf an, möglichst viele Einzellösungen einzuführen. Entscheidend ist ein ganzheitlicher Ansatz, der technische Maßnahmen, organisatorische Prozesse und klare Verantwortlichkeiten miteinander verbindet. Dazu gehören unter anderem ein wirksames Risikomanagement, aktuelle Sicherheitsrichtlinien, regelmäßige Schulungen, ein dokumentierter Umgang mit Sicherheitsvorfällen sowie eine kontinuierliche Überprüfung der getroffenen Maßnahmen.

Unternehmen sollten zudem nicht bis zur nächsten Prüfung oder zu einem Sicherheitsvorfall warten. Wer frühzeitig handelt, kann Sicherheitslücken gezielt schließen, Investitionen besser planen und die Anforderungen der NIS2-Richtlinie Schritt für Schritt umsetzen.

Zusammengefasst sollten Unternehmen folgende Punkte priorisieren:

• Betroffenheit nach NIS2 prüfen
• Risiken systematisch analysieren und bewerten
• Technische und organisatorische Sicherheitsmaßnahmen etablieren
• Geschäftsleitung aktiv einbinden
• Mitarbeitende regelmäßig sensibilisieren und schulen
• Sicherheitsmaßnahmen dokumentieren und kontinuierlich verbessern

Mit einer frühzeitigen und strukturierten Umsetzung erfüllen Unternehmen nicht nur gesetzliche Vorgaben, sondern erhöhen gleichzeitig ihre Widerstandsfähigkeit gegenüber den stetig wachsenden Cyberbedrohungen.

Unterstützung bei der Umsetzung der NIS2-Anforderungen

Die Umsetzung der NIS2-Richtlinie erfordert Zeit, Fachwissen und eine strukturierte Vorgehensweise. Gerade mittelständische Unternehmen stehen häufig vor der Herausforderung, gesetzliche Anforderungen mit begrenzten personellen und finanziellen Ressourcen umzusetzen.

Eine professionelle Begleitung hilft dabei, den Aufwand zu reduzieren und typische Fehler zu vermeiden. Von der ersten Betroffenheitsanalyse über die Risikoanalyse bis hin zur Einführung geeigneter Sicherheitsmaßnahmen können externe Experten den gesamten Umsetzungsprozess unterstützen.

Unsere Leistungen umfassen unter anderem:

• Analyse der NIS2-Betroffenheit
• Durchführung einer Gap-Analyse
• Aufbau oder Optimierung eines Informationssicherheitsmanagementsystems (ISMS)
• Entwicklung technischer und organisatorischer Sicherheitsmaßnahmen
• Erstellung von Sicherheitsrichtlinien und Dokumentationen
• Unterstützung bei der Vorbereitung auf Audits und behördliche Anforderungen
• Sensibilisierung und Schulung von Mitarbeitenden

So schaffen Sie eine belastbare Grundlage für die Einhaltung der NIS2-Anforderungen und stärken gleichzeitig die Cybersicherheit Ihres Unternehmens.

Sie möchten wissen, ob Ihr Unternehmen von der NIS2-Richtlinie betroffen ist oder benötigen Unterstützung bei der Umsetzung? Kontaktieren Sie uns für ein unverbindliches Beratungsgespräch. Gemeinsam entwickeln wir eine individuelle Strategie, mit der Sie die gesetzlichen Anforderungen effizient und nachhaltig erfüllen können.