Mit dem NIS2-Umsetzungsgesetz stehen Unternehmen in Deutschland vor konkreten Pflichten, die weit über allgemeine Sicherheitsempfehlungen hinausgehen. Die Richtlinie definiert einen verbindlichen Mindeststandard für technische und organisatorische Maßnahmen, der je nach Einstufung als „wichtige“ oder „besonders wichtige“ Einrichtung unterschiedlich streng greift. Wer die NIS2-Anforderungen systematisch angeht, schützt nicht nur seine IT-Infrastruktur, sondern vermeidet auch empfindliche Bußgelder und Haftungsrisiken für die Geschäftsführung.
Gerade im Mittelstand herrscht noch erhebliche Unsicherheit darüber, was konkret umzusetzen ist. Technische Maßnahmen nach NIS2 und organisatorische Maßnahmen nach NIS2 greifen dabei ineinander, und keiner der beiden Bereiche lässt sich isoliert betrachten. Dieser Beitrag gibt einen strukturierten Überblick über die wesentlichen Anforderungen und zeigt, wo in der Praxis die häufigsten Lücken entstehen.
Technische Maßnahmen nach NIS2 im Überblick
NIS2 schreibt einen risikobasierten Ansatz vor: Unternehmen müssen geeignete technische Vorkehrungen treffen, die dem Stand der Technik entsprechen und die konkreten Risiken für Netzwerke und Informationssysteme adressieren. Das bedeutet keine starre Checkliste, sondern eine begründete Auswahl von Maßnahmen auf Basis einer Risikoanalyse.
Zu den zentralen technischen Anforderungen gehören:
- Kontinuierliches Monitoring und Anomalieerkennung, etwa durch ein SIEM-System mit 24/7-Überwachung
- Strukturiertes Schwachstellenmanagement und regelmäßige Patch-Zyklen
- Netzwerksegmentierung und Zugriffskontrollen nach dem Least-Privilege-Prinzip
- Verschlüsselung sensibler Daten bei der Übertragung und im Ruhezustand
- Backup- und Wiederherstellungskonzepte mit definierten Recovery-Zielen
- Multi-Faktor-Authentifizierung für privilegierte Zugänge und kritische Systeme
Wichtig ist dabei die Dokumentation der Maßnahmenauswahl. Nicht allein die Implementierung zählt, sondern auch die nachvollziehbare Begründung, warum bestimmte Kontrollen als angemessen bewertet wurden. Das ist im Falle einer Behördenanfrage oder eines Sicherheitsvorfalls von erheblicher Bedeutung.
Organisatorische Maßnahmen: Prozesse, Rollen und Dokumentation
Technische Werkzeuge allein erfüllen die NIS2-Compliance nicht. Die Richtlinie verlangt ausdrücklich, dass Sicherheit als Managementaufgabe verankert wird, mit klaren Verantwortlichkeiten und gelebten Prozessen.
Auf der organisatorischen Seite stehen vor allem folgende Anforderungen im Vordergrund:
- Eine formale Informationssicherheitspolitik, die von der Geschäftsführung verabschiedet und regelmäßig überprüft wird
- Definierte Rollen für Informationssicherheit, inklusive eines benannten Verantwortlichen
- Ein dokumentierter Incident-Response-Prozess mit klaren Eskalationswegen
- Schulungs- und Awareness-Programme für alle Mitarbeitenden
- Regelmäßige Risikoanalysen und deren Dokumentation
- Klare Meldeprozesse für sicherheitsrelevante Vorfälle gegenüber dem BSI
Die Meldepflichten sind dabei besonders praxisrelevant: Bei erheblichen Sicherheitsvorfällen muss innerhalb von 24 Stunden eine Erstmeldung erfolgen, gefolgt von einem detaillierten Bericht innerhalb von 72 Stunden. Wer diese Prozesse nicht vorab definiert hat, wird im Ernstfall kaum in der Lage sein, diese Fristen einzuhalten.
Lieferkettensicherheit als unterschätztes NIS2-Thema
Viele Unternehmen konzentrieren sich bei der NIS2-Umsetzung auf die eigene IT-Umgebung und vernachlässigen dabei die Anforderungen an die Lieferkette. Dabei ist Lieferkettensicherheit ein explizit genannter Bestandteil der Richtlinie.
NIS2 verlangt, dass Unternehmen die Sicherheitsrisiken durch Dienstleister, Softwareanbieter und andere Dritte systematisch bewerten und vertraglich absichern. Das umfasst unter anderem:
- Eine Inventarisierung aller relevanten Drittanbieter und ihrer Zugriffsrechte
- Sicherheitsanforderungen in Verträgen und Service Level Agreements
- Regelmäßige Überprüfung der Sicherheitsmaßnahmen von Lieferanten
- Bewertung von Abhängigkeiten bei kritischen IT-Komponenten und Cloud-Diensten
Gerade mittelständische Unternehmen beziehen viele IT-Leistungen von externen Anbietern. Wer hier keine strukturierte Übersicht hat, trägt Risiken, die im eigenen Sicherheitskonzept schlicht nicht sichtbar sind. Die Erfahrung aus der Praxis zeigt, dass ein kompromittierter Dienstleister häufig der Einstiegspunkt für erfolgreiche Angriffe ist.
Typische Lücken bei der NIS2-Umsetzung im Mittelstand
Auch Unternehmen, die bereits in IT-Sicherheit investiert haben, weisen bei einer strukturierten GAP-Analyse häufig ähnliche Schwachstellen auf. Diese entstehen weniger aus Nachlässigkeit als aus fehlender Systematik.
Zu den häufigsten Lücken gehören fehlende oder unvollständige Risikoanalysen, die zwar formal existieren, aber nicht auf die NIS2-Anforderungen abgestimmt sind. Ebenso verbreitet ist ein Incident-Response-Prozess auf dem Papier, der in der Praxis nie getestet wurde. Backup-Konzepte sind oft vorhanden, aber Recovery-Tests fehlen, sodass im Ernstfall unklar bleibt, ob die Wiederherstellung tatsächlich funktioniert.
Ein weiteres strukturelles Problem betrifft die Dokumentation. Viele Sicherheitsmaßnahmen werden in der Praxis gelebt, ohne dass dies nachvollziehbar festgehalten wird. Für Behörden und Auditoren ist eine Maßnahme, die nicht dokumentiert ist, faktisch nicht vorhanden. Wer sich auf die NIS2-Anforderungen vorbereitet, sollte die Dokumentation von Anfang an als integralen Bestandteil der Umsetzung betrachten, nicht als nachgelagerte Aufgabe.
Von der Maßnahmenplanung zur nachweisbaren Umsetzung
Der Übergang von einer Maßnahmenplanung zur tatsächlich nachweisbaren Umsetzung ist der Punkt, an dem viele NIS2-Projekte ins Stocken geraten. Ein Maßnahmenplan ist kein Abschluss, sondern ein Startpunkt.
Nachweisbarkeit bedeutet konkret: Jede umgesetzte Maßnahme muss mit Belegen hinterlegt sein, sei es durch Konfigurationsdokumentationen, Audit-Logs, Schulungsnachweise oder Testprotokolle. Gleichzeitig ist NIS2 kein einmaliges Projekt, sondern ein dauerhafter Betriebszustand. Sicherheitsmaßnahmen müssen regelmäßig überprüft, an neue Bedrohungslagen angepasst und bei wesentlichen Änderungen der IT-Umgebung neu bewertet werden.
Für den Mittelstand bedeutet das in der Praxis: Wer die NIS2-Compliance dauerhaft sicherstellen will, braucht Prozesse, die in den regulären IT-Betrieb integriert sind. Einmalige Projekte reichen nicht aus. Managed IT-Services können hier eine sinnvolle Grundlage schaffen, weil sie Betrieb und Sicherheitsüberwachung strukturell verbinden.
So unterstützt UBESAFE bei der NIS2-Umsetzung
UBESAFE macht die NIS2-Umsetzung beherrschbar, von der ersten Betroffenheitsprüfung bis zur dauerhaften Erfüllung der Anforderungen. Der Ansatz verbindet Auditoren-Erfahrung mit technischer Umsetzungskompetenz, sodass Konzepte nicht im Regal bleiben, sondern in der IT-Infrastruktur ankommen.
Das Leistungsangebot umfasst:
- Betroffenheitsanalyse und Pflichtenbild: Klärung, ob und in welchem Umfang NIS2 gilt
- GAP-Analyse mit Reifegradermittlung: Wo steht das Unternehmen, was fehlt konkret?
- Aufbau von Governance und Meldeprozessen: Rollen, Verantwortlichkeiten, Incident-Response
- Technische Umsetzung: 24/7-Monitoring, SIEM, Schwachstellen-Scan, Patchmanagement
- Lieferkettensicherheit: Bewertung und vertragliche Absicherung von Drittanbietern
- NIS2 Managed Service: Kontinuierliche Überwachung, Reviews und Anpassung
Ob als vollumfängliches Paket oder als Ergänzung bestehender Strukturen, UBESAFE liefert beides aus einer Hand: den sicheren IT-Betrieb und die Compliance-Sicherheit. Wer wissen möchte, wo sein Unternehmen aktuell steht, kann mit einem kostenlosen Erstaudit beginnen.