Was NIS2 verlangt und wen es betrifft
NIS2 verlangt von Unternehmen aus bestimmten Sektoren angemessene Maßnahmen zur Cybersicherheit, üblicherweise gegliedert in zehn Bereiche: von Risikoanalyse und Vorfallbehandlung über Notfallplanung und Lieferkette bis zu Zugriffskontrolle und Verschlüsselung.
Wie genau Ihre Einstufung ausfällt, lässt sich im Sofort-Check auf der Startseite einschätzen. Wer es verbindlich klären will, kann die Betroffenheitsprüfung des BSI nutzen (zur Prüfung) oder die eigene Rechtsberatung fragen.
Vorfälle: Tempo zählt
Der Teil, der in der Praxis am häufigsten unterschätzt wird, ist die Geschwindigkeit bei einem erheblichen Sicherheitsvorfall. Üblicherweise ist ein gestuftes Verfahren vorgesehen: eine frühe Meldung binnen 24 Stunden, eine Meldung mit erster Bewertung binnen 72 Stunden und ein Abschlussbericht nach etwa einem Monat. Maßgeblich ist der Gesetzestext.
Diese Fristen lassen sich unter Stress kaum zum ersten Mal einüben. Die Frage ist deshalb nicht nur, ob eine Meldepflicht besteht, sondern ob Sie sie in der Praxis einhalten können. Eine Meldekette-Karte zum Ausfüllen finden Sie im Sofort-Check.
Rolle der Geschäftsleitung
NIS2 rückt die Geschäftsleitung in den Mittelpunkt: Sie trägt Verantwortung dafür, dass Sicherheitsmaßnahmen umgesetzt und überwacht werden, und soll regelmäßig geschult sein. Das bedeutet nicht, dass sie technische Details beherrschen muss. Sie muss Risiken verstehen, priorisieren können und Entscheidungen nachvollziehbar dokumentieren.
Verhältnis zu ISO 27001
Wer nach ISO 27001 zertifiziert ist oder ein ISMS betreibt, hat eine tragfähige Grundlage. Ein ISMS deckt aber nicht automatisch alles ab, was NIS2 zusätzlich verlangt. Typische Lücken liegen in vier Bereichen:
Meldeprozesse
Vorfallmanagement ist Teil von ISO 27001. Die gestuften Meldefristen und ein geübter Meldeweg sind es oft nicht.
Lieferkette
Beide Seiten behandeln Lieferanten. Ob Umfang und Tiefe Ihrer Bewertung genügen, sollte geprüft werden.
Geschäftsleitung
ISO 27001 verlangt Leitungsverantwortung. NIS2 betont zusätzlich Überwachung und Schulung der Geschäftsleitung.
Registrierung und Nachweis
Die Registrierung bei der Aufsicht und die Nachweisführung gehören zu den NIS2-spezifischen Themen.
Wie eine Gap-Analyse abläuft
Im Kern sind es fünf Schritte: Bestandsaufnahme der relevanten Systeme und Prozesse, Abgleich mit den Anforderungen, Identifikation konkreter Lücken, Bewertung nach Kritikalität und ein priorisierter Maßnahmenplan für die Geschäftsleitung. Der Umfang hängt stark von Größe, Branche und Anzahl der Standorte ab. Das lässt sich in einem kurzen Gespräch schneller einschätzen als in einer generischen Beschreibung.
Wo die meisten Lücken liegen
Aus der praktischen Arbeit mit Mittelstandsunternehmen wiederholen sich einige Muster:
- Meldeprozesse existieren auf dem Papier, wurden aber nie unter Zeitdruck getestet.
- Lieferkettenrisiken werden einmal erfasst, aber nicht regelmäßig aktualisiert.
- Verantwortlichkeiten sind informell geregelt, nicht dokumentiert. Im Ernstfall ist unklar, wer entscheidet.
- Schulungen der Geschäftsleitung finden statt, aber ohne nachvollziehbare Dokumentation.
Welche dieser Lücken bei Ihnen am meisten wiegen, hängt von Branche, Größe und bisherigem Reifegrad ab.
Sofort-Check: Briefing für Ihre Geschäftsleitung
Statt selbst zu zählen: Der Sofort-Check auf der Startseite gibt eine Einstufung mit Begründung, zeigt die üblichen Pflichten, ordnet Ihre Lücken nach Dringlichkeit und liefert eine Meldekette-Karte zum Ausfüllen. Kostenlos, druckfertig, und Ihre Angaben verlassen den Browser nicht.
Zum Sofort-CheckHäufige Fragen
Ist das Rechtsberatung?
Nein. Wir sind Auditoren und Berater, keine Rechtsanwälte. Wir prüfen Nachweise und Reifegrad und ordnen ein, wo Sie stehen. Rechtlich verbindliche Fragen klärt Ihre Rechtsberatung oder die zuständige Aufsichtsbehörde.
Reicht ISO 27001 allein aus?
Es ist eine gute Ausgangsbasis, deckt aber nicht automatisch alles ab. Die verbleibenden Lücken lassen sich meist gezielt schließen, ohne kompletten Neuaufbau.
Wir haben noch nichts unternommen. Was zuerst?
Verschaffen Sie sich einen Überblick: betroffen oder nicht, wo die größten Lücken liegen, wer in der Geschäftsleitung zuständig ist. Der Sofort-Check gibt dafür eine erste Struktur.
Brauchen wir sofort einen externen Berater?
Nicht zwingend für den ersten Überblick: Der Sofort-Check gibt eine erste Einschätzung kostenfrei. Für die vollständige Gap-Analyse und die Dokumentation ist externe Erfahrung meist der schnellere Weg.
Klarheit statt Vermutungen
Ein kostenfreies, unverbindliches Gespräch reicht, um Ihre konkrete Situation einzuordnen.
Zum Sofort-Check Leistungen ansehenLieber schreiben? n.riveros@natalia-riveros.com
Stand: Oktober 2026. Diese Seite ist eine allgemeine Orientierung und keine Rechtsberatung. Wir sind Auditoren und Berater, keine Rechtsanwälte. Verbindlich sind der Gesetzestext und die Aussagen der Aufsichtsbehörde (Gesetzestext).