Wie oft sollte eine Risikoanalyse nach NIS2 wiederholt werden?

Alexander Brütsch · 27 Juli 2026

Wer unter NIS2 fällt, kommt an der Risikoanalyse nicht vorbei. Die Richtlinie macht Risikomanagement zur Pflicht, lässt dabei aber bewusst Spielraum, wie Unternehmen diesen Prozess organisieren. Genau dieser Spielraum führt in der Praxis zu einer der häufigsten Fragen: Wie oft muss eine Risikoanalyse nach NIS2 eigentlich wiederholt werden? Die Antwort hängt von gesetzlichen Mindestanforderungen, betrieblichen Ereignissen und dem Reifegrad des eigenen Sicherheitsmanagements ab.

Wer diesen Rhythmus falsch plant, riskiert entweder eine veraltete Risikobasis, die im Ernstfall nicht mehr trägt, oder einen unverhältnismäßigen Aufwand durch zu häufige, schlecht integrierte Bewertungszyklen. Beides lässt sich vermeiden, wenn die Grundlagen klar sind.

Gesetzliche Vorgaben zur Häufigkeit der Risikobewertung

NIS2 schreibt kein festes Intervall vor, etwa „einmal jährlich“. Die Richtlinie und ihre nationale Umsetzung fordern stattdessen, dass Maßnahmen zum Risikomanagement in der Informationssicherheit regelmäßig überprüft und aktualisiert werden. Maßgeblich ist dabei Artikel 21 der NIS2-Richtlinie, der ein risikobasiertes Vorgehen verlangt, das dem aktuellen Stand der Technik entspricht und kontinuierlich gepflegt wird.

Das bedeutet in der Praxis: Es gibt keine gesetzlich fixierte Mindesthäufigkeit, aber die Anforderung an Aktualität und Angemessenheit ist real. Aufsichtsbehörden und Prüfer werden im Zweifelsfall fragen, wann die letzte vollständige Risikobewertung durchgeführt wurde und ob das Ergebnis noch den tatsächlichen Gegebenheiten entspricht. Wer keine nachvollziehbare Antwort darauf hat, bewegt sich auf dünnem Eis. Mehr zu den konkreten NIS2-Anforderungen und dem gesetzlichen Rahmen findet sich auf der entsprechenden Übersichtsseite.

Anlassbezogene Auslöser für eine erneute Risikoanalyse

Neben dem regelmäßigen Zyklus gibt es Ereignisse, die eine sofortige Neubewertung notwendig machen, unabhängig davon, wann zuletzt eine Analyse stattgefunden hat. Diese anlassbezogenen Auslöser sind in der Praxis mindestens genauso wichtig wie der Kalenderrhythmus.

Typische Auslöser sind:

Einführung neuer IT-Systeme, Cloud-Dienste oder Applikationen, die kritische Prozesse berühren
Sicherheitsvorfälle oder Beinahevorfälle, die Schwachstellen im bestehenden Schutzkonzept offengelegt haben
Wesentliche Änderungen in der Unternehmensstruktur, etwa Fusionen, Übernahmen oder neue Geschäftsbereiche
Veränderungen in der Lieferkette, insbesondere wenn kritische Dienstleister oder Zulieferer betroffen sind
Neue regulatorische Anforderungen oder Änderungen an bestehenden Rahmenwerken
Erkenntnisse aus Branchenwarnungen, CERT-Meldungen oder öffentlich bekannten Schwachstellen mit direkter Relevanz für die eigene Infrastruktur

Wer Risikoanalyse nur als Jahrespflicht versteht, wird diesen Ereignissen strukturell immer hinterherhinken. Ein gutes Risikomanagementsystem unterscheidet zwischen dem geplanten Zyklus und dem reaktiven Prozess, der durch Auslöser angestoßen wird.

Empfohlene Zyklen in der Praxis

Auch wenn NIS2 kein festes Intervall vorschreibt, hat sich in der Praxis ein jährlicher Vollzyklus als sinnvoller Ausgangspunkt etabliert. Dieser Rhythmus deckt sich mit dem, was viele Unternehmen bereits aus ISO 27001 kennen, und lässt sich gut mit anderen Compliance-Aktivitäten synchronisieren.

Für Unternehmen mit höherer Exposition, etwa solche in kritischen Sektoren oder mit komplexen IT-Infrastrukturen, empfiehlt sich ein halbjährlicher Überprüfungszyklus für die wesentlichen Risikobereiche, ergänzt durch eine vollständige Neubewertung einmal jährlich. Dabei muss nicht jede Überprüfung denselben Umfang haben: Eine abgestufte Methodik, bei der ein kurzes Review den Status quo prüft und nur bei Abweichungen eine vollständige Analyse ausgelöst wird, spart Ressourcen ohne Abstriche bei der Qualität.

Entscheidend ist nicht die Häufigkeit allein, sondern die Nachvollziehbarkeit. Jede Risikobewertung sollte dokumentiert sein, mit Datum, Scope, Methodik und den daraus abgeleiteten Maßnahmen. Nur so lässt sich gegenüber Aufsichtsbehörden oder im Schadensfall belegen, dass das Risikomanagement tatsächlich gelebt wurde.

Risikoanalyse effizient in den IT-Betrieb integrieren

Eine der größten Hürden ist nicht das Wissen um die Notwendigkeit, sondern die praktische Umsetzung im laufenden Betrieb. Risikoanalyse wird oft als separates Projekt behandelt, das neben dem Tagesgeschäft läuft. Dieses Modell ist fehleranfällig und ressourcenintensiv.

Effizienter ist ein Ansatz, bei dem Risikoinformationen kontinuierlich aus dem laufenden IT-Betrieb gespeist werden. Konkret bedeutet das:

Vulnerability-Scans und Patch-Management liefern laufend Erkenntnisse, die direkt in die Risikobewertung einfließen
SIEM-Systeme und Log-Management erzeugen Ereignisdaten, die Risikoindikatoren sichtbar machen
Change-Management-Prozesse lösen automatisch eine Prüfung aus, ob ein neues System oder eine Konfigurationsänderung die Risikolage verändert
Incident-Tracking stellt sicher, dass Vorfälle nicht nur behoben, sondern auch risikoseitig ausgewertet werden

Wer IT-Betrieb und Sicherheitsmanagement eng verzahnt, reduziert den Zusatzaufwand für die Risikoanalyse erheblich. Die notwendigen Informationen sind dann nicht in separaten Silos, sondern fließen strukturiert in einen gemeinsamen Prozess.

Häufige Fehler bei der Planung von Wiederholungszyklen

Viele Unternehmen machen bei der Planung von Risikoanalysezyklen ähnliche Fehler, die sich mit etwas Vorarbeit vermeiden lassen.

Ein verbreitetes Problem ist die fehlende Verbindung zwischen Risikoanalyse und tatsächlicher Maßnahmenumsetzung. Die Analyse wird durchgeführt, Risiken werden identifiziert, aber die Maßnahmen bleiben offen oder werden nicht nachverfolgt. Beim nächsten Zyklus findet sich dann dieselbe Risikolage, ohne dass sich etwas verändert hat. Das ist nicht nur ineffizient, sondern auch gegenüber Prüfern schwer zu rechtfertigen.

Ein weiterer Fehler ist die Überfrachtung des Prozesses. Wer versucht, bei jeder Wiederholung eine vollständige Neubewertung aller Assets und Bedrohungsszenarien durchzuführen, schafft einen Aufwand, der im Alltag nicht dauerhaft getragen werden kann. Das führt dazu, dass Zyklen verschoben oder ganz ausgelassen werden. Eine abgestufte Methodik mit klar definierten Tiefengraden je nach Anlass und Scope ist hier die bessere Wahl.

Schließlich wird die Verantwortlichkeit oft nicht klar genug geregelt. Risikoanalyse braucht eine namentlich benannte Zuständigkeit, einen definierten Prozessverantwortlichen, der sicherstellt, dass Zyklen eingehalten, Auslöser erkannt und Ergebnisse dokumentiert werden. Ohne diese Verankerung bleibt das Thema dauerhaft im Bereich der guten Absichten.

Wie UBESAFE bei der NIS2-Risikoanalyse unterstützt

UBESAFE begleitet Unternehmen bei der NIS2-Umsetzung von der ersten Bestandsaufnahme bis zur dauerhaften Compliance. Konkret bedeutet das:

Ein NIS2-Audit analysiert den aktuellen Stand, bewertet Anwendbarkeit und Reifegrad und legt mit einer GAP-Analyse offen, wo Handlungsbedarf besteht
Aufbau von Governance-Strukturen und Meldeprozessen, die den gesetzlichen Anforderungen entsprechen
Integration der Risikoanalyse in den laufenden IT-Betrieb, gestützt durch technische Maßnahmen wie 24/7-Monitoring, Schwachstellen-Scans, SIEM und Patchmanagement
Ein Managed Service sorgt für kontinuierliche Überprüfung und Optimierung, damit NIS2-Compliance nicht nach dem ersten Audit endet, sondern dauerhaft gewährleistet bleibt

Ob als vollumfängliches Paket oder als gezielte Ergänzung bestehender Strukturen: UBESAFE liefert Engineering-Expertise und Auditoren-Erfahrung aus einer Hand. Wer wissen möchte, wo das eigene Unternehmen heute steht, kann mit einem kostenlosen Erstaudit starten.