NIS2 ist keine abstrakte Regulierungsfrage für Compliance-Abteilungen, sondern ein Gesetz, das Geschäftsführer persönlich in die Pflicht nimmt. Wer die Anforderungen kennt, kann strukturiert handeln. Wer sie ignoriert, riskiert nicht nur Bußgelder, sondern haftet im Ernstfall mit seinem eigenen Vermögen. Eine klare NIS2-Checkliste hilft der Geschäftsführung, den eigenen Handlungsbedarf zu erkennen und die NIS2-Umsetzung gezielt anzugehen.
Dieser Beitrag gibt einen strukturierten Überblick über die wichtigsten Pflichten, typische Lücken im Mittelstand und die Schritte von der Bestandsaufnahme zur nachweisbaren Compliance.
Gesetzliche Pflichten, die Geschäftsführer persönlich treffen
NIS2 überträgt die Verantwortung für Cybersicherheit ausdrücklich auf die Leitungsebene. Geschäftsführer müssen Maßnahmen zur Informationssicherheit nicht nur anordnen, sondern aktiv überwachen und genehmigen. Das bedeutet: Wer sich auf eine IT-Abteilung oder einen externen Dienstleister verlässt, ohne selbst eingebunden zu sein, erfüllt die gesetzlichen Anforderungen nicht.
Die persönliche Haftung ist dabei kein theoretisches Risiko. Bei nachgewiesenen Verstößen können Bußgelder direkt gegen Geschäftsführer verhängt werden, unabhängig von der Unternehmensgröße. Hinzu kommt die Pflicht, Sicherheitsvorfälle innerhalb enger Fristen zu melden: 24 Stunden für eine erste Meldung, 72 Stunden für einen vollständigen Bericht. Diese Fristen setzen funktionierende Erkennungs- und Eskalationsprozesse voraus, die ohne Vorbereitung kaum einzuhalten sind.
Betroffenheit prüfen: Schwellenwerte und Sektoren im Überblick
Nicht jedes Unternehmen fällt automatisch unter NIS2. Die Richtlinie unterscheidet zwischen wesentlichen und wichtigen Einrichtungen, abhängig von Unternehmensgröße und Sektor. Als Faustregel gilt: Unternehmen mit mindestens 50 Mitarbeitern oder einem Jahresumsatz von mehr als 10 Millionen Euro, die in einem der erfassten Sektoren tätig sind, sind betroffen.
Zu den erfassten Sektoren gehören unter anderem Energie, Transport, Gesundheit, digitale Infrastruktur, Finanzwesen, Wasser und Abwasser sowie Teile des verarbeitenden Gewerbes. Auch Lieferanten und Dienstleister, die für betroffene Unternehmen tätig sind, können mittelbar in den Anwendungsbereich geraten. Die Betroffenheitsanalyse ist deshalb kein einmaliger Schritt, sondern muss bei Veränderungen im Geschäftsmodell oder in der Lieferkette regelmäßig überprüft werden.
Die NIS2-Checkliste: Kernpunkte für die Geschäftsführung
Eine praxistaugliche NIS2-Checkliste für Geschäftsführer konzentriert sich auf die Bereiche, in denen die Leitungsebene direkt gefordert ist. Die folgenden Punkte bilden das Grundgerüst:
- Betroffenheit bestätigt: Wurde geprüft, ob das Unternehmen als wesentliche oder wichtige Einrichtung gilt?
- Governance-Struktur vorhanden: Gibt es eine benannte verantwortliche Person für Informationssicherheit (intern oder extern als ISB/CISO)?
- Risikoanalyse durchgeführt: Wurden relevante Bedrohungen und Schwachstellen systematisch erfasst und bewertet?
- Technische Mindestmaßnahmen umgesetzt: Dazu zählen Patch-Management, Zugriffskontrollen, Netzwerksicherheit, Verschlüsselung und Backup-Konzepte.
- Meldeprozesse definiert: Wer meldet im Ernstfall, an wen, in welcher Form und innerhalb welcher Fristen?
- Lieferkettensicherheit adressiert: Wurden Anforderungen an IT-Dienstleister und kritische Lieferanten vertraglich und prozessual verankert?
- Schulungen nachweisbar: Sind Mitarbeitende und Führungskräfte regelmäßig zur Informationssicherheit geschult worden?
- Dokumentation aktuell: Sind alle Maßnahmen, Richtlinien und Prozesse so dokumentiert, dass sie im Audit belegt werden können?
Jeder dieser Punkte ist nicht als einmalige Aufgabe zu verstehen, sondern als dauerhafter Prozess. NIS2-Compliance entsteht nicht durch ein einmaliges Projekt, sondern durch ein funktionierendes Informationssicherheitsmanagementsystem.
Typische Lücken in der NIS2-Umsetzung im Mittelstand
In der Praxis zeigen sich bei mittelständischen Unternehmen immer wieder ähnliche Schwachstellen, wenn es um die Erfüllung der NIS2-Anforderungen geht. Die häufigste ist das Fehlen einer klaren Verantwortlichkeit: Informationssicherheit wird als IT-Thema behandelt, ohne dass die Geschäftsführung formal eingebunden ist.
Ein weiteres verbreitetes Problem ist die fehlende Dokumentation. Viele Unternehmen haben technische Maßnahmen bereits umgesetzt, können sie aber nicht nachweisen. Im Audit zählt nicht, was gemacht wurde, sondern was belegt werden kann. Dasselbe gilt für Meldeprozesse: Sie existieren oft nur informell und würden unter Zeitdruck nicht funktionieren.
Auch die Lieferkette wird häufig unterschätzt. Wer kritische IT-Dienste an externe Partner auslagert, muss sicherstellen, dass diese Partner vergleichbare Sicherheitsstandards einhalten. Fehlende Vertragsklauseln und ausgebliebene Sicherheitsbewertungen von Dienstleistern sind ein typisches Compliance-Risiko, das sich mit überschaubarem Aufwand beheben lässt.
Nächste Schritte: Von der Checkliste zur nachweisbaren Umsetzung
Eine Checkliste schafft Orientierung, ersetzt aber keine strukturierte Umsetzung. Der erste praktische Schritt ist eine Gap-Analyse: Wo steht das Unternehmen heute, welche Anforderungen sind bereits erfüllt, und wo besteht konkreter Handlungsbedarf? Dieses Bild bildet die Grundlage für eine realistische Maßnahmenplanung mit Prioritäten und Verantwortlichkeiten.
Im nächsten Schritt geht es darum, die identifizierten Lücken zu schließen, beginnend mit den Bereichen, die das höchste Risiko tragen oder die kürzesten Umsetzungszeiten haben. Technische Maßnahmen wie Monitoring, Schwachstellen-Scans und Patch-Management lassen sich oft schneller etablieren als organisatorische Prozesse. Governance-Strukturen, Meldeketten und Schulungskonzepte brauchen mehr Vorlaufzeit und sollten deshalb früh angegangen werden.
Wer seinen aktuellen Stand prüfen möchte, bevor er in die Umsetzung geht, profitiert von einer strukturierten Erstbewertung. Sie zeigt schnell, welche Anforderungen bereits erfüllt sind und wo der dringendste Handlungsbedarf liegt.
Wie UBESAFE bei der NIS2-Umsetzung unterstützt
UBESAFE begleitet Unternehmen durch den gesamten NIS2-Prozess, von der Betroffenheitsprüfung bis zur dauerhaften Compliance. Das Leistungsangebot deckt dabei sowohl die konzeptionelle als auch die technische Seite ab:
- Betroffenheitsanalyse und Pflichtenbild für die Geschäftsführung
- Gap-Analyse mit Bewertung des aktuellen Reifegrads
- Aufbau von Governance-Strukturen, Meldeprozessen und ISMS-Dokumentation
- Technische Umsetzung: 24/7-Monitoring, SIEM, Schwachstellen-Scans, Patch-Management
- Externer ISB/CISO als dauerhafter Ansprechpartner für Geschäftsführung und Behörden
- Managed Service für kontinuierliche Überwachung, Reviews und Optimierung
Alle Leistungen sind flexibel als vollumfängliches Paket oder als einzelne Komponenten buchbar. Unternehmen, die jetzt mit der Umsetzung beginnen wollen, finden auf der IT-Service-Seite einen Einstieg in das Gesamtangebot. Wer den direkten Weg in die NIS2-Compliance sucht, nimmt am besten direkt Kontakt auf und vereinbart eine erste Bestandsaufnahme.