NIS2 Compliance: Praktische Schritte für Ihr Unternehmen

Die NIS2-Richtlinie ist seit Dezember 2025 in deutsches Recht umgesetzt. Viele Unternehmen wissen inzwischen, dass sie betroffen sind, aber was konkret zu tun ist, bleibt oft unklar. Dieser Beitrag zeigt, welche Schritte Sie jetzt gehen müssen, um NIS2-compliant zu werden.

Was NIS2 von Ihnen verlangt

NIS2 ist keine IT-Angelegenheit, die Sie an Ihre Systemadministratoren delegieren können. Die Richtlinie verpflichtet Geschäftsführungen persönlich: Sie haften für die Umsetzung der Cybersicherheitsmaßnahmen in Ihrem Unternehmen. Wer das ignoriert, riskiert nicht nur Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, sondern im Ernstfall auch die persönliche Haftung als Geschäftsführer.

Bevor Sie konkrete Maßnahmen anstoßen, müssen Sie zwei Dinge wissen:

Sind Sie überhaupt betroffen? NIS2 gilt für Unternehmen ab 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz in bestimmten Sektoren, darunter Fertigung, IT, digitale Infrastruktur, Gesundheit, Energie und Logistik. Auch Lieferanten kritischer Unternehmen können mittelbar betroffen sein. Im Zweifel sollten Sie das rechtlich prüfen lassen.

Welche Kategorie trifft auf Sie zu? NIS2 unterscheidet zwischen „wesentlichen“ und „wichtigen“ Einrichtungen. Die Einstufung entscheidet über Meldefristen und Prüfpflichten und damit darüber, wie streng das BSI im Fall eines Vorfalls vorgeht.

Schritt 1: Bestandsaufnahme

Der häufigste Fehler bei der NIS2-Umsetzung ist der Sprung in Maßnahmen ohne Bestandsaufnahme. Viele Unternehmen haben bereits technische Sicherheitslösungen: Firewalls, Virenscanner, regelmäßige Backups. Das ist gut, aber NIS2 fragt nach mehr.

Stellen Sie sich folgende Fragen:

Gibt es in Ihrem Unternehmen eine schriftliche Sicherheitsstrategie? Sind Verantwortlichkeiten für Informationssicherheit klar geregelt und dokumentiert? Wissen Ihre Mitarbeitenden, was im Fall eines Cyberangriffs zu tun ist? Gibt es einen Notfallplan?

Wenn Sie zwei oder mehr dieser Fragen mit „Nein“ beantworten, haben Sie strukturellen Nachholbedarf. Nicht auf der technischen Ebene, sondern auf der Managementebene.

Viele Unternehmen wissen an dieser Stelle nicht, wo sie konkret stehen.
Genau hier setzen wir mit unserer NIS2 Gap Analyse an.

Wir prüfen innerhalb von 1 bis 2 Tagen Ihren aktuellen Stand, gleichen ihn mit den Anforderungen ab und zeigen Ihnen konkret, wo Handlungsbedarf besteht.

Ihr Ergebnis:
Eine klare, priorisierte To-Do Liste und eine realistische Einschätzung der nächsten Schritte.

Schritt 2: Governance klären

NIS2 verlangt eine klare Governance-Struktur. Das bedeutet: jemand in Ihrem Unternehmen muss die Verantwortung für Informationssicherheit übernehmen und diese Verantwortung muss aktiv gelebt werden, nicht nur auf dem Papier stehen.

Für viele mittelständische Unternehmen ist die pragmatische Lösung die Benennung eines Informationssicherheitsbeauftragten (ISB). Das kann ein interner Mitarbeitender sein, der entsprechend geschult wird. Es kann aber auch ein externer ISB sein, was für Unternehmen ohne eigene IT-Abteilung oft die ressourceneffizientere Wahl ist.

Wichtig: Der ISB ist keine Absicherung der Geschäftsführung. Er unterstützt, koordiniert und dokumentiert, aber die Verantwortung bleibt bei Ihnen als Führungskraft. Das ist eine wesentliche Aussage von NIS2, die viele Geschäftsführer noch nicht vollständig verinnerlicht haben.

Schritt 3: Risikomanagement einführen

NIS2 schreibt ein aktives Risikomanagement vor. Das klingt nach Bürokratie, ist aber in der Praxis einer der größten Hebel, um tatsächlich sicherer zu werden.

Konkret bedeutet das: Sie identifizieren die für Ihr Unternehmen kritischen Prozesse und Systeme. Sie bewerten, welche Risiken dort bestehen, ob durch Cyberangriffe, menschliches Versagen oder technische Ausfälle. Und Sie entscheiden, welche Maßnahmen Sie ergreifen, um diese Risiken auf ein akzeptables Maß zu reduzieren.

Das Ergebnis ist kein 200-seitiges Dokument. Es ist eine strukturierte, nachvollziehbare Entscheidungsgrundlage für Sie, für Ihr Team und im Zweifel auch für Behörden.

Ein pragmatisches Risikomanagement lässt sich in drei bis fünf Workshoptagen aufbauen, wenn Sie methodisch vorgehen. Sie brauchen dafür kein ausgefeiltes IT-Sicherheits-Know-how, sondern das Wissen über Ihre eigenen Geschäftsprozesse.

Schritt 4: Technische Maßnahmen auf den Prüfstand stellen

Erst jetzt, nach der strukturellen Arbeit, kommen die technischen Maßnahmen. NIS2 definiert einen Mindestkatalog, der unter anderem folgende Punkte umfasst:

Zugangskontrollen und Berechtigungsmanagement müssen strukturiert geregelt sein. Wer hat Zugriff auf welche Systeme und warum? Verschlüsselung sensibler Daten ist kein optionales Feature mehr, sondern Pflicht. Multi-Faktor-Authentifizierung sollte für alle kritischen Zugänge aktiviert sein. Backups allein reichen nicht, Sie müssen auch nachweisen, dass eine Wiederherstellung funktioniert. Und Ihre Lieferkette gehört dazu: Auch Ihre Dienstleister und Software-Anbieter müssen Mindestsicherheitsstandards erfüllen.

Lassen Sie Ihre IT-Abteilung oder Ihren IT-Dienstleister prüfen, was davon bereits umgesetzt ist und was nicht. Wichtig dabei: Die technischen Maßnahmen müssen in Ihr Risikomanagement eingebettet sein. Maßnahmen ohne Bezug zu Ihren tatsächlichen Risiken verfehlen den Punkt.

Schritt 5: Melde- und Dokumentationspflichten organisieren

NIS2 schreibt vor, dass erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden an das BSI gemeldet werden müssen und innerhalb von 72 Stunden ein vollständiger Bericht vorliegen muss. Das ist ambitioniert.

Um das in der Praxis zu schaffen, brauchen Sie einen definierten Meldeprozess, der im Unternehmen bekannt und geübt ist. Wer erkennt einen Vorfall? Wer trifft die Entscheidung, ob er meldepflichtig ist? Wer meldet und wie?

Ebenso wichtig ist eine laufende Dokumentation Ihrer Sicherheitsmaßnahmen. Nicht weil das BSI morgen vor der Tür steht, sondern weil Sie im Ernstfall nachweisen müssen, dass Sie Ihre Sorgfaltspflicht erfüllt haben. Dokumentation ist kein Selbstzweck, sie ist Ihr Schutz.

Schritt 6: Mitarbeitende schulen und sensibilisieren

Der Mensch ist und bleibt der größte Risikofaktor in der Cybersicherheit. Phishing-E-Mails, schwache Passwörter, unbedachtes Klicken, das sind die häufigsten Einfallstore für Angreifer.

NIS2 verlangt ausdrücklich, dass Mitarbeitende regelmäßig zu Sicherheitsthemen geschult werden. Das muss keine aufwendige Präsenzschulung sein. Entscheidend ist, dass Ihre Mitarbeitenden die relevanten Risiken kennen und wissen, was zu tun ist.

Besonders wichtig: Führungskräfte. Angriffe richten sich häufig gezielt gegen Personen mit Entscheidungsbefugnis. CEO-Fraud, Spear-Phishing, manipulierte Überweisungsanfragen: das sind keine Randphänomene.

Der häufigste Fehler: NIS2 als Compliance-Checkbox behandeln

Wer NIS2 nur als regulatorische Pflichtübung betrachtet, wird scheitern oder zumindest deutlich mehr Aufwand haben als nötig. Die Unternehmen, die NIS2 als Anlass nehmen, ihre Sicherheitsstruktur grundlegend zu verbessern, profitieren doppelt: Sie erfüllen die gesetzlichen Anforderungen, und sie sind tatsächlich widerstandsfähiger gegen Angriffe.

Das ist keine Frage der Unternehmensgröße. Es ist eine Frage der Haltung.

Fazit: Jetzt strukturiert vorgehen statt später reagieren

NIS2 Compliance ist kein Sprint, den Sie in zwei Wochen absolvieren. Aber sie ist auch kein unüberwindliches Projekt, wenn Sie es strukturiert angehen.

Der erste Schritt ist immer: Wissen, wo Sie stehen. Eine Gap-Analyse zeigt Ihnen in kurzer Zeit, welche Lücken Sie schließen müssen und in welcher Reihenfolge.

Wenn Sie noch nicht wissen, ob Ihr Unternehmen betroffen ist, ob Ihre bisherigen Maßnahmen ausreichen oder wo Sie anfangen sollen: Sprechen Sie uns an. Im Rahmen eines kostenlosen Erstgesprächs beantworten wir Ihre konkreten Fragen. Ohne Fachjargon, ohne Verkaufsdruck.

Mehr Informationen zum Thema NIS2 finden Sie auch auf unserer Seite zum Thema NIS2-Beratung.