Viele Unternehmen, die unter die NIS2-Richtlinie fallen, stehen vor einer ähnlichen Frage: Wie lange dauert die Umsetzung eigentlich realistisch? Die Antwort hängt weniger von der Richtlinie selbst ab als vom Ausgangszustand des jeweiligen Unternehmens. Wer noch kein strukturiertes Informationssicherheitsmanagement betreibt, braucht mehr Zeit als jemand, der bereits nach ISO 27001 arbeitet. Klar ist: Der NIS2-Zeitplan lässt sich planen, wenn man die richtigen Phasen kennt und Prioritäten setzt.
Die NIS2-Richtlinie ist in Deutschland durch das NIS2UmsuCG in nationales Recht überführt worden. Betroffene Unternehmen müssen eine Reihe technischer und organisatorischer Maßnahmen nachweislich umsetzen, Meldeprozesse etablieren und Governance-Strukturen aufbauen. Wer die NIS2 Anforderungen noch nicht vollständig überblickt, sollte zunächst klären, ob und in welchem Umfang die eigene Organisation betroffen ist.
Welche Phasen die NIS2-Umsetzung durchläuft
Eine strukturierte NIS2-Umsetzung folgt typischerweise vier aufeinanderfolgenden Phasen. Jede Phase baut auf der vorherigen auf und hat eigene Anforderungen an Zeit, Ressourcen und Entscheidungen.
Die erste Phase ist die Betroffenheitsanalyse: Fällt das Unternehmen überhaupt unter NIS2, und wenn ja, in welche Kategorie? Daraus ergibt sich das konkrete Pflichtenbild. In der zweiten Phase folgt eine GAP-Analyse, die den Ist-Zustand mit den gesetzlichen Anforderungen vergleicht. Phase drei umfasst die eigentliche Maßnahmenplanung und Umsetzung, von technischen Sicherheitsmaßnahmen bis zur Dokumentation von Prozessen. Die vierte Phase ist der laufende Betrieb: NIS2-Compliance ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess mit regelmäßigen Reviews, Meldepflichten und Anpassungen.
Realistische Zeitrahmen je nach Unternehmensreife
Wie lang der gesamte Prozess dauert, hängt stark davon ab, was bereits vorhanden ist. Unternehmen ohne jede Sicherheitsstruktur sollten mit zwölf bis achtzehn Monaten rechnen, um NIS2-konform zu werden. Wer bereits ein ISMS nach ISO 27001 betreibt, kann die Lücken oft in vier bis sechs Monaten schließen.
Ein mittlerer Mittelständler ohne vorhandenes ISMS, aber mit grundlegenden IT-Prozessen, liegt erfahrungsgemäß bei acht bis zwölf Monaten bis zur nachweisbaren NIS2-Compliance. Entscheidend ist dabei nicht nur die technische Umsetzung, sondern auch der Aufbau von Governance-Strukturen: Wer ist verantwortlich? Wie laufen Meldeprozesse ab? Welche Lieferanten sind sicherheitsrelevant? Diese Fragen brauchen Zeit und interne Abstimmung.
Häufige Verzögerungen und wie sie entstehen
In der Praxis verzögern sich NIS2-Projekte selten wegen technischer Hürden, sondern wegen organisatorischer Engpässe. Die häufigsten Bremsen sind fehlende interne Kapazitäten, unklare Zuständigkeiten und eine zu späte Einbindung der Geschäftsführung.
Ein weiteres typisches Problem: Unternehmen starten mit der Maßnahmenumsetzung, ohne vorher eine GAP-Analyse gemacht zu haben. Das führt dazu, dass Ressourcen in Bereiche fließen, die bereits ausreichend abgesichert sind, während kritische Lücken offen bleiben. Auch die Lieferkettensicherheit wird häufig unterschätzt. NIS2 verlangt, dass Unternehmen nicht nur die eigene Sicherheit, sondern auch die ihrer wesentlichen Dienstleister und Lieferanten bewerten und dokumentieren.
Maßnahmen mit dem größten Zeitdruck zuerst angehen
Nicht alle NIS2 Maßnahmen sind gleich dringend. Wer mit einem realistischen Zeitplan arbeiten will, sollte zunächst die Anforderungen angehen, die bei einer Prüfung als erstes abgefragt werden oder bei einem Sicherheitsvorfall unmittelbar relevant sind.
Dazu gehören vor allem: die Einrichtung eines Meldeprozesses für Sicherheitsvorfälle (NIS2 schreibt enge Meldefristen vor), die Identifikation und Bewertung kritischer Assets sowie ein funktionierendes Patch- und Schwachstellenmanagement. Technische Maßnahmen wie 24/7-Monitoring oder ein SIEM-System brauchen Vorlaufzeit für Planung und Implementierung und sollten deshalb früh im Projekt gestartet werden. Wer diese Maßnahmen nach hinten schiebt, riskiert, kurz vor einer Prüfung unter Zeitdruck zu geraten.
Externen ISB oder Dienstleister früh einbinden
Viele Unternehmen versuchen zunächst, NIS2 intern zu stemmen, und stellen nach einigen Monaten fest, dass die Kapazitäten nicht reichen. Der frühe Einstieg eines externen Informationssicherheitsbeauftragten oder eines spezialisierten Dienstleisters spart im Gesamtprojekt oft mehr Zeit, als er kostet.
Ein externer ISB bringt strukturiertes Vorgehen, kennt die typischen Fallstricke und kann den internen Aufwand gezielt steuern. Besonders wertvoll ist das bei der GAP-Analyse und der Priorisierung: Wer von Anfang an weiß, wo die größten Lücken liegen, kann Ressourcen gezielter einsetzen und den kostenlosen Erstcheck als Einstieg nutzen, bevor das Projekt formal beginnt. Das vermeidet Doppelarbeit und gibt dem Zeitplan eine verlässliche Grundlage.
Wie UBESAFE die NIS2-Umsetzung beherrschbar macht
UBESAFE begleitet Unternehmen durch den gesamten NIS2-Prozess, von der ersten Betroffenheitsprüfung bis zur dauerhaften Compliance im laufenden Betrieb. Das Leistungsbild ist dabei so aufgebaut, dass es sich an den tatsächlichen Bedarf anpasst:
- Betroffenheitsanalyse und Pflichtenbild: Klärung, welche Anforderungen konkret gelten
- NIS2-Audit mit GAP-Analyse: Bewertung des aktuellen Reifegrads und Ableitung priorisierter Maßnahmen
- Aufbau von Governance und Meldeprozessen: Strukturen, die bei einer Prüfung standhalten
- Technische Umsetzung: 24/7-Monitoring, SIEM, Schwachstellen-Scan und Patchmanagement als Einzelkomponenten oder Gesamtpaket
- Managed Service für kontinuierliche Überwachung, Reviews und Optimierung nach der Erstumsetzung
Der Ansatz verbindet Beratung und technische Umsetzung aus einer Hand, ohne Schnittstellenverluste zwischen Konzept und Betrieb. Wer wissen will, wo das eigene Unternehmen heute steht, kann mit einem Gratis-Audit starten und bekommt eine klare Einschätzung, bevor das eigentliche Projekt beginnt.