Mit welchem Schritt sollte die NIS2-Umsetzung beginnen?

Alexander Brütsch · 06 Aug. 2026

Viele Unternehmen wissen inzwischen, dass NIS2 sie betrifft. Doch zwischen diesem Bewusstsein und einer strukturierten NIS2-Umsetzung liegt oft eine erhebliche Lücke. Die Richtlinie stellt konkrete Anforderungen an Risikomanagement, Meldeprozesse, Lieferkettensicherheit und technische Schutzmaßnahmen. Wer ohne klare Reihenfolge in die Umsetzung startet, riskiert doppelten Aufwand, fehlende Nachweise oder Maßnahmen, die am tatsächlichen Bedarf vorbeigehen.

Der entscheidende Erfolgsfaktor ist nicht das Budget und auch nicht die Größe des IT-Teams. Es ist die richtige Abfolge der Schritte. Dieser Artikel beschreibt, wie eine strukturierte NIS2-Umsetzung aufgebaut ist und worauf es in jeder Phase ankommt.

Betroffenheit klären: Der erste Schritt vor allem anderen

Bevor ein einziges Dokument erstellt oder eine technische Maßnahme geplant wird, muss eine Frage eindeutig beantwortet sein: Fällt das Unternehmen tatsächlich unter den Anwendungsbereich der NIS2-Richtlinie? Die Antwort ist nicht immer offensichtlich.

NIS2 unterscheidet zwischen wesentlichen und wichtigen Einrichtungen, wobei Branche, Mitarbeiterzahl und Jahresumsatz zusammen die Einstufung bestimmen. Auch Unternehmen, die nicht direkt unter NIS2 fallen, können indirekt betroffen sein, wenn sie Dienstleistungen für regulierte Einrichtungen erbringen. Eine NIS2-Betroffenheitsanalyse klärt genau das: Welcher Sektor ist relevant, welche Schwellenwerte gelten, und welche Pflichten entstehen daraus konkret?

Dieser Schritt ist keine Formalität. Wer die eigene Einstufung falsch einschätzt, plant entweder zu wenig oder investiert in Maßnahmen, die gar nicht erforderlich sind. Die Betroffenheitsanalyse legt das Fundament für alles, was danach kommt.

Gap-Assessment: Den tatsächlichen Handlungsbedarf ermitteln

Sobald die Betroffenheit feststeht, folgt die systematische Bestandsaufnahme. Ein NIS2 Gap-Assessment vergleicht den aktuellen Sicherheitszustand des Unternehmens mit den Anforderungen der Richtlinie und macht sichtbar, wo konkrete Lücken bestehen.

Dabei geht es nicht nur um technische Kontrollen wie Firewalls oder Patch-Management. NIS2 stellt auch organisatorische Anforderungen: Gibt es ein funktionierendes Risikomanagement? Sind Meldeprozesse für Sicherheitsvorfälle definiert? Ist die Lieferkette auf Sicherheitsanforderungen hin bewertet? Ein gründliches Gap-Assessment nimmt all diese Dimensionen in den Blick.

Das Ergebnis ist keine abstrakte Bewertung, sondern eine priorisierte Liste konkreter Handlungsfelder. Nur wer seinen tatsächlichen Ausgangszustand kennt, kann realistische Ziele setzen und Ressourcen gezielt einsetzen. Ohne diese Grundlage bleibt jede Maßnahmenplanung Schätzarbeit.

Maßnahmenplanung: Prioritäten richtig setzen

Aus dem Gap-Assessment entsteht ein Bild mit vielen offenen Punkten. Die Herausforderung besteht darin, diese nicht alle gleichzeitig anzugehen, sondern eine sinnvolle Reihenfolge zu entwickeln.

Priorität haben Maßnahmen, die das Risiko am stärksten reduzieren und gleichzeitig als Voraussetzung für weitere Schritte dienen. Typischerweise sind das grundlegende Governance-Strukturen wie die Einführung eines Informationssicherheits-Managementsystems, die Definition von Verantwortlichkeiten sowie die Einrichtung von Meldeprozessen. Technische Maßnahmen wie 24/7-Monitoring, Schwachstellen-Scans oder SIEM bauen auf dieser organisatorischen Basis auf.

Ein realistischer Zeitplan mit messbaren Meilensteinen ist dabei genauso wichtig wie die inhaltliche Planung. NIS2-Pflichten müssen dauerhaft erfüllt werden, nicht nur zum Stichtag einer Prüfung. Die Maßnahmenplanung sollte deshalb von Anfang an auf Nachhaltigkeit ausgelegt sein, nicht auf kurzfristige Compliance-Nachweise.

Nachweisbare Umsetzung: Dokumentation und Auditreife sicherstellen

NIS2 verlangt nicht nur, dass Maßnahmen umgesetzt werden, sondern auch, dass dies nachweisbar geschieht. Behörden und Auftraggeber können Belege einfordern. Fehlende oder lückenhafte Dokumentation ist deshalb kein Detailproblem, sondern ein Compliance-Risiko.

Zur nachweisbaren Umsetzung gehören strukturierte Richtlinien und Verfahrensanweisungen, Nachweise über durchgeführte Risikoanalysen, protokollierte Meldeprozesse sowie Belege für technische Schutzmaßnahmen. Wer diese Dokumentation von Beginn an mitdenkt, spart erheblichen Aufwand, wenn eine Prüfung oder ein Audit ansteht.

Automatisierung kann hier einen großen Unterschied machen. Viele Dokumentations- und Nachweisprozesse lassen sich mit den richtigen Werkzeugen deutlich effizienter gestalten, ohne dass der Aufwand mit wachsenden Anforderungen linear steigt. Auditreife ist kein einmaliger Zustand, sondern das Ergebnis kontinuierlicher Pflege.

Häufige Fehler beim Einstieg in die NIS2-Umsetzung

Auch mit guter Absicht entstehen beim Start in die NIS2-Umsetzung immer wieder ähnliche Fehler. Sie zu kennen hilft, sie zu vermeiden.

Betroffenheit voraussetzen statt prüfen: Viele Unternehmen gehen davon aus, betroffen zu sein, ohne eine strukturierte Analyse durchgeführt zu haben. Das führt entweder zu unnötigem Aufwand oder zu einer falschen Einstufung mit rechtlichen Konsequenzen.
Maßnahmen ohne vorheriges Gap-Assessment starten: Wer direkt mit der Umsetzung beginnt, ohne den Ist-Zustand zu kennen, investiert oft in die falschen Bereiche und schließt echte Lücken nicht.
Dokumentation als nachgelagerte Aufgabe behandeln: Nachweise im Nachhinein zusammenzustellen ist deutlich aufwendiger, als sie von Beginn an systematisch zu erfassen.
NIS2 als einmaliges Projekt verstehen: Die Richtlinie verlangt kontinuierliche Compliance. Unternehmen, die NIS2 als abgeschlossenes Projekt behandeln, verlieren die Anforderungen nach kurzer Zeit wieder aus dem Blick.
Interne Ressourcen überschätzen: IT-Compliance nach NIS2 erfordert spezialisiertes Wissen über Informationssicherheit, Recht und technische Umsetzung gleichzeitig. Ohne externe Unterstützung oder einen erfahrenen IT-Partner entsteht schnell ein Engpass.

Diese Fehler entstehen selten aus Nachlässigkeit, sondern aus dem Druck, schnell handeln zu müssen. Gerade deshalb lohnt es sich, den Einstieg strukturiert anzugehen statt reaktiv.

So unterstützt UBESAFE bei der NIS2-Umsetzung

UBESAFE macht die NIS2-Umsetzung für Unternehmen ab 10 Mitarbeitern beherrschbar, von der ersten Betroffenheitsprüfung bis zur dauerhaften Compliance. Das Leistungsangebot deckt den gesamten Prozess ab:

Betroffenheitsanalyse und Pflichtenbild: Klärung, ob und wie NIS2 anwendbar ist, inklusive Einstufung als wesentliche oder wichtige Einrichtung
NIS2-Audit mit GAP-Analyse: Systematische Bewertung des aktuellen Reifegrads und Offenlegung aller Handlungsfelder
Aufbau von Governance und Meldeprozessen: Strukturierte Einführung der organisatorischen Anforderungen nach NIS2
Technische Umsetzung: 24/7-Monitoring, Schwachstellen-Scans, SIEM, Patchmanagement und weitere Schutzmaßnahmen, flexibel als Paket oder einzelne Komponenten
Managed Service für kontinuierliche Compliance: Laufende Überwachung, Reviews und Optimierung, damit NIS2 nicht einmalig, sondern dauerhaft erfüllt wird

Unternehmen, die jetzt mit der NIS2-Umsetzung beginnen oder ihren aktuellen Stand einschätzen wollen, können mit einem kostenlosen Erstaudit starten und erhalten direkt eine fundierte Einschätzung der eigenen Situation.