Wer als Unternehmen unter die NIS2-Richtlinie fällt, steht früher oder später vor der Frage: Wie viel Zeit brauchen wir eigentlich für die Vorbereitung? Die Antwort hängt weniger von der Unternehmensgröße ab als von der Ausgangslage in der IT und im Sicherheitsmanagement. Wer bereits ein funktionierendes ISMS betreibt, hat andere Voraussetzungen als ein Betrieb, der Informationssicherheit bislang eher informell gehandhabt hat.
Eines lässt sich klar sagen: NIS2-Vorbereitung ist kein Projekt, das sich in wenigen Wochen abschließen lässt. Gleichzeitig müssen es auch keine zwei Jahre sein. Mit einem strukturierten Vorgehen und realistischer Planung ist NIS2-Compliance für viele mittelständische Unternehmen in einem überschaubaren Zeitrahmen erreichbar.
Typische Vorbereitungsdauer je nach Ausgangslage
Die Spanne in der Praxis reicht von etwa drei bis zu zwölf Monaten, wobei der Großteil der Unternehmen im Mittelstand mit einem Zeitrahmen von sechs bis neun Monaten rechnen sollte. Entscheidend ist, welche Grundlagen bereits vorhanden sind.
Unternehmen, die bereits nach ISO 27001 zertifiziert sind oder ein dokumentiertes ISMS betreiben, profitieren von einer deutlich kürzeren Anlaufphase. Viele Anforderungen der NIS2-Richtlinie überschneiden sich inhaltlich mit ISO 27001, sodass Governance-Strukturen, Risikoanalysen und Dokumentation häufig nur angepasst statt neu aufgebaut werden müssen. In solchen Fällen ist eine Vorbereitung von drei bis fünf Monaten realistisch.
Für Betriebe ohne jede Vorstruktur im Bereich Informationssicherheit ist hingegen mehr Zeit einzuplanen. Hier müssen Verantwortlichkeiten, Meldeprozesse, technische Schutzmaßnahmen und Dokumentation von Grund auf aufgebaut werden. Acht bis zwölf Monate sind in diesem Szenario keine Ausnahme, sondern die Regel.
Die vier Phasen auf dem Weg zur NIS2-Konformität
Unabhängig von der Ausgangslage folgt eine strukturierte NIS2-Vorbereitung typischerweise vier aufeinanderfolgenden Phasen, die sich in ihrer Intensität und Dauer je nach Betrieb unterscheiden.
Betroffenheitsanalyse und Bestandsaufnahme
Am Anfang steht die Klärung, ob und in welchem Umfang das Unternehmen überhaupt unter NIS2 fällt. Das klingt trivial, ist es aber nicht: Schwellenwerte, Sektorenzugehörigkeit und die Unterscheidung zwischen wesentlichen und wichtigen Einrichtungen bestimmen das geltende Pflichtenbild. Parallel dazu erfolgt eine Bestandsaufnahme der vorhandenen Sicherheitsmaßnahmen. Eine NIS2-Gap-Analyse macht sichtbar, wo Lücken zwischen dem aktuellen Stand und den Anforderungen der Richtlinie bestehen.
Planung und Priorisierung
Auf Basis der Gap-Analyse entsteht ein Maßnahmenplan, der Anforderungen nach Risiko und Umsetzungsaufwand priorisiert. Nicht alle Lücken müssen gleichzeitig geschlossen werden. Kritische Bereiche wie Meldepflichten, Incident-Response-Prozesse und technische Grundschutzmaßnahmen stehen typischerweise ganz oben.
Technische und organisatorische Umsetzung
Diese Phase ist zeitintensiv, weil sie konkrete Veränderungen in der IT-Infrastruktur und in den Betriebsprozessen bedeutet. Dazu gehören Patchmanagement, Netzwerksegmentierung, Zugangskontrollen, Protokollierung und der Aufbau eines funktionierenden Meldeprozesses. Gleichzeitig werden Richtlinien und Dokumentation erstellt oder überarbeitet.
Review und Nachweis der Konformität
Abschließend werden die umgesetzten Maßnahmen überprüft, Schwachstellen nachgearbeitet und die Konformität dokumentiert. NIS2 kennt zwar keine formale Zertifizierung wie ISO 27001, aber Behörden können jederzeit Nachweise verlangen. Eine saubere Dokumentation ist deshalb kein optionaler Schritt.
Häufige Verzögerungen und wie sie entstehen
In der Praxis verlängern sich NIS2-Projekte oft nicht wegen technischer Schwierigkeiten, sondern wegen organisatorischer Hürden. Die häufigste Ursache ist fehlende interne Kapazität: Wenn IT-Verantwortliche das Tagesgeschäft managen und gleichzeitig ein Compliance-Projekt stemmen sollen, entsteht zwangsläufig Stau.
Ein weiterer Faktor ist unklare Verantwortung. Wer im Unternehmen trägt die NIS2-Umsetzung? Ohne eine klare Zuständigkeit verlieren Projekte schnell an Momentum. Besonders in Betrieben ohne dedizierte Sicherheitsfunktion bleibt die Frage oft ungeklärt, bis der Zeitdruck steigt.
Auch die Lieferkette kann zum Engpass werden. NIS2 verpflichtet Unternehmen, Sicherheitsanforderungen an Dienstleister und Zulieferer weiterzugeben. Wenn externe Partner nicht kooperieren oder eigene Sicherheitsnachweise nicht liefern können, blockiert das den Fortschritt im eigenen Haus. Wer früh mit der Lieferkettenanalyse beginnt, vermeidet diesen Engpass später im Projektverlauf.
Wie externer Support die Vorbereitungszeit verkürzt
Externe Unterstützung verkürzt die NIS2-Vorbereitung vor allem dort, wo interne Kapazität oder Fachkenntnis fehlen. Ein erfahrener externer Berater bringt strukturierte Methoden mit, kennt typische Stolperstellen und kann sofort mit der Bestandsaufnahme beginnen, ohne erst Einarbeitungszeit zu benötigen.
Besonders wirksam ist externer Support in der Kombination aus strategischer Beratung und technischer Umsetzung. Wer nur ein Konzept bekommt, muss die Umsetzung danach noch intern stemmen. Wer einen Partner hat, der Governance-Strukturen aufbaut und gleichzeitig technische Maßnahmen wie SIEM, Monitoring oder Patchmanagement implementiert, spart erheblich Zeit und reduziert Schnittstellenverluste.
Ein externer Informationssicherheitsbeauftragter (ISB) übernimmt darüber hinaus eine koordinierende Funktion: Er behält den Überblick über den Gesamtfortschritt, kommuniziert mit Behörden und sorgt dafür, dass das Projekt nicht ins Stocken gerät. Für Unternehmen ohne eigene Sicherheitsfunktion ist das oft der effizienteste Weg, NIS2-Compliance planbar zu machen.
Jetzt den Zeitplan realistisch einschätzen
Der erste Schritt zu einem realistischen NIS2-Zeitplan ist eine ehrliche Bestandsaufnahme. Wer nicht weiß, wo er steht, kann nicht seriös planen, wie lange er braucht. Eine strukturierte Gap-Analyse liefert genau diese Grundlage und macht den Unterschied zwischen einem Projektplan auf Zuruf und einer belastbaren Roadmap.
2026 ist für viele Unternehmen das Jahr, in dem die NIS2-Umsetzung konkret werden muss. Behörden in Deutschland haben die Aufsicht aufgenommen, und erste Prüfungen sind zu erwarten. Wer jetzt noch in der Planungsphase steckt, sollte den Start nicht weiter verzögern, da spätere Phasen wie technische Umsetzung und Dokumentation Zeit brauchen, die sich nicht beliebig komprimieren lässt.
Ein pragmatischer Einstieg ist oft wertvoller als ein perfekter Plan. Prioritäten setzen, mit den kritischsten Anforderungen beginnen und den Rest schrittweise nachziehen: Das ist in der Praxis meist der schnellste Weg zu nachweisbarer Compliance.
Wie UBESAFE bei der NIS2-Vorbereitung unterstützt
UBESAFE begleitet Unternehmen durch den gesamten NIS2-Prozess, von der ersten Betroffenheitsprüfung bis zur dauerhaften Umsetzung. Das Angebot ist so aufgebaut, dass es sowohl als vollständiges Paket als auch in einzelnen Modulen genutzt werden kann, je nachdem, wo der größte Bedarf liegt.
- Betroffenheitsanalyse und Pflichtenbild: Klärung, welche NIS2-Anforderungen für das Unternehmen konkret gelten
- Gap-Analyse und Maßnahmenplan: Bewertung des aktuellen Reifegrades und priorisierte Roadmap zur Schließung offener Punkte
- Technische Umsetzung: Implementierung von 24/7-Monitoring, SIEM, Schwachstellen-Scans und Patchmanagement direkt durch das UBESAFE-Team
- Governance und Meldeprozesse: Aufbau der organisatorischen Strukturen, die NIS2 verlangt, inklusive Incident-Response und Dokumentation
- Externer ISB/CISO: Übernahme der Sicherheitsverantwortung mit geprüfter Expertise und strategischem Überblick
- Managed Service: Kontinuierliche Überwachung und Reviews, damit NIS2-Compliance nicht einmalig erreicht, sondern dauerhaft gehalten wird
Wer wissen möchte, wo das eigene Unternehmen aktuell steht, kann mit einem kostenlosen Erstaudit starten. UBESAFE analysiert den Ist-Zustand, bewertet die Lücken und gibt eine klare Einschätzung, welcher Zeitrahmen und welche Schritte realistisch sind. Kein allgemeines Konzept, sondern eine konkrete Grundlage für die eigene NIS2-Planung.