NIS2 ist seit der Umsetzung in deutsches Recht keine abstrakte EU-Richtlinie mehr, sondern eine konkrete Anforderung, die IT-Abteilungen direkt betrifft. Während die Diskussion in Unternehmen oft auf Managementebene beginnt, landet die eigentliche Arbeit bei den IT-Verantwortlichen: neue Prozesse, technische Maßnahmen, Dokumentationspflichten und Meldewege müssen aufgebaut oder nachgerüstet werden. Wer die NIS2-Anforderungen versteht, kann die Umsetzung strukturiert angehen statt reaktiv.
Dieser Beitrag erklärt, was NIS2 für den IT-Betrieb konkret bedeutet, welche Maßnahmen vorgeschrieben sind und wo typische Lücken entstehen.
Welche Unternehmen unter NIS2 fallen
NIS2 unterscheidet zwischen wesentlichen und wichtigen Einrichtungen, die anhand von Branche und Unternehmensgröße eingestuft werden. Grundsätzlich gilt: Unternehmen ab 50 Mitarbeitern oder einem Jahresumsatz von mehr als 10 Millionen Euro, die in einem der definierten Sektoren tätig sind, fallen in den Anwendungsbereich. Zu diesen Sektoren gehören unter anderem Energie, Transport, Gesundheit, digitale Infrastruktur, Produktion und der Lebensmittelsektor.
Für viele mittelständische Unternehmen ist die Betroffenheit nicht auf den ersten Blick erkennbar. Wer etwa als Zulieferer für kritische Infrastrukturen tätig ist oder digitale Dienste erbringt, kann ebenfalls unter die Regelung fallen. Eine NIS2-Betroffenheitsprüfung ist deshalb der sinnvolle erste Schritt, bevor Ressourcen in die Umsetzung fließen.
Technische Maßnahmen, die NIS2 konkret vorschreibt
NIS2 verlangt einen risikobasierten Ansatz für die technische Absicherung von Netz- und Informationssystemen. Das bedeutet nicht, dass jede Maßnahme für alle Unternehmen gleich aussieht, aber bestimmte Bereiche sind klar adressiert.
Zu den technischen Pflichten gehören:
- Zugangskontrolle und Authentifizierung, einschließlich Mehrfaktorauthentifizierung für kritische Systeme
- Verschlüsselung von Daten bei Übertragung und Speicherung
- Patch- und Schwachstellenmanagement mit nachweisbaren Prozessen
- Netzwerksegmentierung und Firewall-Konfiguration
- Kontinuierliches Monitoring und Protokollierung, zum Beispiel über ein SIEM-System
- Backup- und Wiederherstellungskonzepte, die regelmäßig getestet werden
Besonders das Thema Monitoring gewinnt an Gewicht: NIS2 erwartet, dass Sicherheitsvorfälle nicht nur behoben, sondern auch erkannt und dokumentiert werden. Ein 24/7-Monitoring ist für viele Unternehmen neu und stellt die IT vor organisatorische wie technische Fragen.
Organisatorische Pflichten für IT-Verantwortliche
Neben der Technik schreibt NIS2 eine Reihe organisatorischer Maßnahmen vor, die direkt in den Verantwortungsbereich von IT-Leitern und Sicherheitsverantwortlichen fallen. Die Geschäftsleitung trägt zwar die formale Verantwortung, aber die operative Umsetzung liegt in der IT.
Konkret geht es um:
- Aufbau und Betrieb eines Informationssicherheitsmanagementsystems (ISMS) oder vergleichbarer Strukturen
- Dokumentation von Sicherheitsrichtlinien, Risikoanalysen und Notfallplänen
- Regelmäßige Schulungen für Mitarbeitende zu Cybersicherheit und Phishing-Prävention
- Etablierung von Meldeprozessen für Sicherheitsvorfälle gegenüber dem BSI
- Incident-Response-Pläne, die im Ernstfall tatsächlich funktionieren
Die Meldefristen unter NIS2 sind eng: Ein erheblicher Sicherheitsvorfall muss innerhalb von 24 Stunden gemeldet werden, ein vollständiger Bericht folgt innerhalb von 72 Stunden. Wer diese Prozesse nicht vorab definiert hat, wird im Ernstfall kaum in der Lage sein, sie einzuhalten.
Lieferkettensicherheit als neue IT-Aufgabe
Eine der neuen Anforderungen, die viele IT-Abteilungen überrascht, ist die explizite Pflicht zur Absicherung der Lieferkette. NIS2 verlangt, dass Unternehmen die Sicherheitsrisiken ihrer Dienstleister, Softwareanbieter und sonstigen Drittparteien bewerten und steuern.
Das bedeutet in der Praxis: Verträge mit IT-Dienstleistern müssen Sicherheitsanforderungen enthalten, Lieferanten sollten auf ihre Sicherheitsreife geprüft werden, und kritische Abhängigkeiten müssen identifiziert sein. Für viele Unternehmen ist das ein neues Aufgabenfeld, das bisher weder strukturiert noch dokumentiert wurde. Die IT-Abteilung wird dabei zur Schnittstelle zwischen Einkauf, Recht und Informationssicherheit.
Typische Lücken in der IT bei der NIS2-Umsetzung
In der Praxis zeigen sich bei der NIS2-Umsetzung immer wieder ähnliche Schwachstellen, unabhängig von Branche oder Unternehmensgröße.
Fehlende oder unvollständige Dokumentation ist eine der häufigsten Lücken. Viele IT-Abteilungen betreiben Sicherheitsmaßnahmen bereits, haben diese aber nie schriftlich festgehalten. NIS2 verlangt Nachweisbarkeit, nicht nur Wirksamkeit. Ähnliches gilt für das Patch-Management: Prozesse existieren oft informell, ohne definierte Fristen, Verantwortlichkeiten oder Eskalationswege.
Weitere typische Lücken:
- Kein strukturiertes Risikomanagement mit dokumentierten Bewertungen
- Fehlende Meldeprozesse und unklare Zuständigkeiten im Incident-Fall
- Kein Monitoring oder Logging, das Angriffe frühzeitig erkennt
- Lieferanten ohne vertragliche Sicherheitsanforderungen
- Awareness-Schulungen, die einmalig stattfanden, aber nicht wiederholt werden
Ein Gap-Assessment auf Basis der NIS2-Anforderungen macht diese Lücken sichtbar und liefert eine priorisierte Grundlage für die Umsetzung.
Nächste Schritte zur NIS2-Konformität im IT-Betrieb
Der Einstieg in die NIS2-Umsetzung beginnt mit Klarheit über den eigenen Status. Bevor technische Maßnahmen umgesetzt oder Prozesse dokumentiert werden, sollte feststehen, ob und in welchem Umfang das Unternehmen betroffen ist und wo der aktuelle Reifegrad liegt.
Darauf aufbauend empfiehlt sich folgende Reihenfolge:
- Betroffenheitsanalyse: Einstufung als wesentliche oder wichtige Einrichtung klären
- Gap-Assessment: Abgleich des Ist-Zustands mit den NIS2-Anforderungen
- Maßnahmenplan: Priorisierte Liste technischer und organisatorischer Schritte mit klaren Verantwortlichkeiten
- Umsetzung: Technische Maßnahmen einführen, Prozesse dokumentieren, Schulungen planen
- Kontinuierlicher Betrieb: Monitoring, Reviews und Anpassungen als Dauerprozess verankern
NIS2-Compliance ist kein Projekt mit definiertem Ende, sondern ein laufender Betriebszustand. Wer das von Anfang an so anlegt, spart sich spätere Nacharbeit und ist auf Prüfungen oder Vorfälle besser vorbereitet. Der kostenlose Erstcheck kann helfen, den eigenen Ausgangspunkt zu bestimmen.
Wie UBESAFE bei der NIS2-Umsetzung unterstützt
UBESAFE begleitet Unternehmen durch den gesamten NIS2-Prozess, von der ersten Betroffenheitsprüfung bis zur dauerhaften Erfüllung der Anforderungen. Der Ansatz verbindet Beratungskompetenz mit technischer Umsetzung, sodass keine Lücke zwischen Konzept und Betrieb entsteht.
Konkret umfasst das Angebot:
- NIS2-Audit mit Betroffenheitsprüfung, Reifegradanalyse und strukturierter Gap-Analyse
- Aufbau von Governance-Strukturen, Meldeprozessen und ISMS-Dokumentation
- Technische Umsetzung: 24/7-Monitoring, SIEM, Schwachstellen-Scanning, Patch-Management
- Managed Service für kontinuierliche Überwachung, Reviews und Optimierung
- Flexibler Einstieg: vollumfängliches Paket oder einzelne Komponenten nach Bedarf
Wer wissen möchte, wo das eigene Unternehmen bei der NIS2-Compliance steht, kann mit einem Gratis-Audit starten und bekommt eine klare Einschätzung ohne Verpflichtung.