NIS2: Was Ihr Unternehmen wirklich wissen muss — und was gerade nicht mehr wartet

Was NIS2 verlangt und wen es betrifft

Die NIS2-Richtlinie ist in Deutschland seit dem 6. Dezember 2025 in Kraft, ohne Übergangsfrist. Sie betrifft Unternehmen aus 18 definierten Sektoren — von Energie und Gesundheit über Digitale Infrastruktur bis zu Abfallwirtschaft und verarbeitendem Gewerbe — sobald bestimmte Größenschwellen erreicht sind.

Die Richtlinie unterscheidet zwischen "wichtigen Einrichtungen" und "besonders wichtigen Einrichtungen" — die Einstufung bestimmt Prüftiefe und Aufsichtsintensität, nicht aber, ob die Pflichten grundsätzlich gelten.

Meldepflichten im Detail

Der Teil von NIS2, der in der Praxis am häufigsten unterschätzt wird, ist die Geschwindigkeit der Meldekette bei einem erheblichen Sicherheitsvorfall:

• 24 Stunden: Frühwarnung an das BSI — auch wenn noch nicht alle Details bekannt sind.
• 72 Stunden: Folgemeldung mit erster Einschätzung von Schwere und Auswirkung.
• 1 Monat: Abschlussbericht mit vollständiger Ursachenanalyse und getroffenen Maßnahmen.

Diese Fristen lassen sich unter akutem Stress kaum zum ersten Mal einüben — genau deshalb ist die Frage nicht nur "haben wir eine Meldepflicht", sondern "können wir sie in der Praxis einhalten".

Was das für die Geschäftsführung bedeutet

NIS2 verlagert Verantwortung explizit auf die Leitungsebene. Geschäftsführungen müssen Risikomanagementmaßnahmen persönlich billigen, deren Umsetzung überwachen und sich regelmäßig schulen lassen. Bei grober Fahrlässigkeit haften Geschäftsführer und Vorstände unter Umständen persönlich, unabhängig von einer D&O-Versicherung.

Das bedeutet nicht, dass die Geschäftsführung technische Details beherrschen muss — aber sie muss Risiken verstehen, priorisieren können und Entscheidungen nachvollziehbar dokumentieren.

Verhältnis zu ISO 27001

Wer bereits nach ISO 27001 zertifiziert ist oder ein ISMS betreibt, hat einen erheblichen Teil der NIS2-Anforderungen faktisch schon erfüllt — Schätzungen gehen von etwa 70–80 % Deckungsgrad aus. Die verbleibende Lücke liegt typischerweise in vier Bereichen:

Wie eine NIS2-Gap-Analyse abläuft

Im Kern sind es fünf Schritte: Bestandsaufnahme der relevanten Systeme und Prozesse, Abgleich gegen die NIS2-Anforderungen, Identifikation konkreter Lücken, Bewertung nach Kritikalität, und ein priorisierter Maßnahmenplan für die Geschäftsführung. Der Umfang hängt stark von Unternehmensgröße, Branche und Anzahl der Standorte ab — das lässt sich in einem kurzen Gespräch schneller einschätzen als in einer generischen Beschreibung.

Wo die meisten Lücken liegen

Aus der praktischen Arbeit mit Mittelstandsunternehmen wiederholen sich einige Muster:

• Meldeprozesse existieren auf dem Papier, wurden aber nie unter Zeitdruck getestet.
• Lieferkettenrisiken werden erfasst, aber nicht regelmäßig aktualisiert.
• Verantwortlichkeiten sind informell geregelt, nicht dokumentiert — im Ernstfall unklar, wer entscheidet.
• Schulungen der Geschäftsführung finden statt, aber ohne nachvollziehbare Dokumentation.

Welche dieser Lücken bei Ihnen am meisten wiegen, hängt von Branche, Größe und bisherigem Reifegrad ab.

Häufige Fragen