Die NIS2-Richtlinie der Europäischen Union ist seit ihrer Umsetzung in nationales Recht eines der meistdiskutierten Themen in deutschen Unternehmen. Und das aus gutem Grund: Der Anwendungsbereich ist deutlich weiter gefasst als bei der Vorgängerregelung, die Anforderungen sind konkreter, und die Konsequenzen bei Verstößen sind spürbar. Viele Unternehmen fragen sich derzeit, ob sie überhaupt betroffen sind, was genau von ihnen verlangt wird, und wie sie den Umsetzungsdruck bewältigen sollen. Dieser Beitrag gibt Orientierung.
Welche Unternehmen NIS2 tatsächlich betrifft
NIS2 betrifft deutlich mehr Unternehmen als die ursprüngliche NIS-Richtlinie. Grundsätzlich gilt: Wer in einem der definierten Sektoren tätig ist und bestimmte Schwellenwerte überschreitet, fällt in den Anwendungsbereich. Die Richtlinie unterscheidet zwischen „wesentlichen“ und „wichtigen“ Einrichtungen, wobei die Einteilung von Unternehmensgröße, Umsatz und Sektorzugehörigkeit abhängt.
Zu den betroffenen Sektoren zählen unter anderem Energie, Transport, Gesundheit, digitale Infrastruktur, Finanzwesen, Wasserversorgung und das verarbeitende Gewerbe. Gerade für den deutschen Mittelstand ist das verarbeitende Gewerbe relevant: Automobilzulieferer, Maschinenbauer und Produktionsunternehmen mit mehr als 50 Mitarbeitern oder einem Jahresumsatz von über zehn Millionen Euro können direkt betroffen sein. Hinzu kommt die indirekte Betroffenheit durch Lieferkettenpflichten, denn wesentliche Einrichtungen müssen auch ihre Zulieferer auf Sicherheitsanforderungen hin überprüfen. Wer als Zulieferer für einen NIS2-pflichtigen Kunden tätig ist, wird dessen Anforderungen erfüllen müssen, unabhängig von der eigenen Einstufung.
Konkrete Pflichten, die NIS2 mit sich bringt
NIS2 ist kein abstraktes Regelwerk. Die Richtlinie formuliert konkrete Maßnahmen, die Unternehmen technisch und organisatorisch umsetzen müssen. Im Kern geht es um ein funktionierendes Risikomanagement, das Sicherheitsmaßnahmen nicht als einmalige Aktivität, sondern als kontinuierlichen Prozess versteht.
Zu den zentralen Pflichten gehören:
- Einführung und Betrieb eines Risikomanagementsystems für Cybersicherheit
- Technische Maßnahmen wie Zugangskontrollen, Verschlüsselung, Schwachstellenmanagement und Netzwerksicherheit
- Meldepflichten: Erhebliche Sicherheitsvorfälle müssen innerhalb von 24 Stunden gemeldet und innerhalb von 72 Stunden detaillierter berichtet werden
- Sicherheitsanforderungen an Lieferketten und Dienstleister
- Schulung und Sensibilisierung der Mitarbeitenden sowie der Geschäftsleitung
- Business-Continuity-Planung und Krisenmanagement
Besonders hervorzuheben ist die persönliche Haftung der Geschäftsleitung. NIS2 macht explizit deutlich, dass Führungskräfte für die Umsetzung verantwortlich sind und bei Verstößen persönlich zur Rechenschaft gezogen werden können. Das verändert die Diskussion in vielen Unternehmen grundlegend.
Warum der Umsetzungsdruck gerade jetzt steigt
Die Umsetzungsfristen sind abgelaufen, die Behörden haben ihre Aufsichtstätigkeit aufgenommen, und erste Prüfverfahren laufen. In Deutschland liegt die Umsetzung der NIS2-Richtlinie im NIS2UmsuCG, und die zuständige Behörde, das BSI, hat ihre Befugnisse ausgebaut. Das bedeutet: Unternehmen, die bislang abgewartet haben, geraten zunehmend unter Druck.
Gleichzeitig steigt die Bedrohungslage. Ransomware-Angriffe, Lieferkettenangriffe und gezielte Attacken auf Produktionsumgebungen nehmen zu. NIS2 ist insofern keine bürokratische Pflichtübung, sondern eine Reaktion auf eine reale Risikoentwicklung. Wer die Anforderungen erfüllt, verbessert nicht nur seine Compliance-Position, sondern erhöht tatsächlich seine Widerstandsfähigkeit. Für Unternehmen, die NIS2-Konformität anstreben, ist jetzt der richtige Zeitpunkt zu handeln, bevor behördliche Prüfungen oder Vorfälle den Druck weiter erhöhen.
Typische Lücken in der NIS2-Vorbereitung
In der Praxis zeigen sich immer wieder ähnliche Schwachstellen, wenn Unternehmen ihre NIS2-Readiness bewerten. Die häufigste ist die fehlende Betroffenheitsanalyse: Viele Unternehmen wissen schlicht nicht, ob und in welcher Kategorie sie unter NIS2 fallen. Ohne diese Grundlage lässt sich keine sinnvolle Planung aufbauen.
Weitere verbreitete Lücken:
- Kein dokumentiertes Risikomanagementsystem, obwohl technische Einzelmaßnahmen vorhanden sind
- Fehlende oder ungetestete Meldeprozesse für Sicherheitsvorfälle
- Unzureichende Einbindung der Geschäftsleitung in Sicherheitsentscheidungen
- Keine systematische Überprüfung von Lieferanten und Dienstleistern
- Sicherheitsmaßnahmen, die technisch vorhanden, aber nicht dokumentiert oder auditierbar sind
Das letzte Problem ist besonders tückisch: Unternehmen, die bereits gut aufgestellt sind, scheitern im Zweifel nicht an der Technik, sondern an der Nachweisbarkeit. NIS2 verlangt nicht nur Maßnahmen, sondern auch den Nachweis, dass diese systematisch geplant, umgesetzt und überprüft werden.
Erste Schritte zur NIS2-Konformität
Der sinnvolle Einstieg beginnt mit einer klaren Bestandsaufnahme. Bevor Maßnahmen geplant werden, muss die eigene Betroffenheit geprüft und der aktuelle Reifegrad bewertet werden. Eine strukturierte Gap-Analyse schafft Transparenz darüber, wo ein Unternehmen steht und welche Schritte in welcher Reihenfolge notwendig sind.
Danach folgt der Aufbau der Governance-Strukturen: Wer ist intern verantwortlich? Wie werden Vorfälle erkannt und gemeldet? Welche Prozesse müssen dokumentiert werden? Technische Maßnahmen wie Monitoring, Patch-Management und Zugriffskontrollen lassen sich parallel aufbauen, aber ohne eine klare Verantwortungsstruktur fehlt der Rahmen, der alles zusammenhält.
Unternehmen ohne eigene IT-Sicherheitskapazitäten profitieren davon, einen externen Informationssicherheitsbeauftragten einzubinden. Diese Rolle bringt nicht nur Fachkenntnis, sondern auch die nötige Unabhängigkeit, um Sicherheitsthemen gegenüber der Geschäftsleitung klar zu vertreten. Wer mehr über konkrete Einstiegsmöglichkeiten erfahren möchte, findet unter kostenlosem Erstaudit einen niedrigschwelligen Startpunkt.
Wie UBESAFE bei der NIS2-Umsetzung unterstützt
UBESAFE begleitet Unternehmen durch den gesamten NIS2-Prozess, von der ersten Betroffenheitsprüfung bis zur dauerhaften Compliance. Der Ansatz verbindet Beratung und technische Umsetzung in einem, ohne Schnittstellenverluste zwischen Konzept und Realität.
Das NIS2-Angebot umfasst konkret:
- Betroffenheitsanalyse und Einstufung nach wesentlicher oder wichtiger Einrichtung
- Strukturierte Gap-Analyse mit klarem Maßnahmenplan und Priorisierung
- Aufbau von Governance, Meldeprozessen und Risikomanagement
- Technische Umsetzung: 24/7-Monitoring, SIEM, Schwachstellenscans, Patch-Management
- Externer ISB/CISO für strategische Verantwortung und Auditbegleitung
- Managed Service für kontinuierliche Überwachung und Optimierung nach der Erstimplementierung
Einzelne Komponenten lassen sich flexibel einsetzen oder als vollständiges Paket nutzen, je nach internen Ressourcen und Ausgangslage. Wer wissen möchte, wo das eigene Unternehmen bei NIS2 steht, kann mit einem IT-Service-Gespräch beginnen oder direkt ein Erstaudit anfragen.