NIS-2-Implementierung: Der Fahrplan für betroffene Unternehmen

Die Uhr tickt. Seit dem 17. Oktober 2024 gilt die NIS-2-Richtlinie europaweit, und Unternehmen, die noch keine konkreten Schritte unternommen haben, geraten zunehmend unter Druck. Die Frage ist nicht mehr, ob Sie handeln müssen, sondern wie Sie die Implementierung strukturiert und effizient umsetzen.

Die NIS-2-Richtlinie betrifft schätzungsweise 30.000 Unternehmen allein in Deutschland und stellt viele vor erhebliche Herausforderungen. Neue Sicherheitsanforderungen, erweiterte Meldepflichten und empfindliche Bußgelder bei Nichteinhaltung machen eine durchdachte Vorgehensweise unerlässlich. Wer die Implementierung als bloße Pflichtübung betrachtet, übersieht das eigentliche Potenzial: eine nachhaltig gestärkte Cyberresilienz für Ihr Unternehmen.

In diesem Leitfaden erfahren Sie, welche konkreten Schritte Sie für eine erfolgreiche NIS-2-Implementierung benötigen. Sie erhalten einen praxisnahen Fahrplan, der von der ersten Bestandsaufnahme bis zur finalen Zertifizierung führt. Dabei berücksichtigen wir sowohl technische als auch organisatorische Maßnahmen, damit Sie die Anforderungen nicht nur erfüllen, sondern langfristig verankern.

Bin ich betroffen? Einrichtungskategorien und Schwellenwerte

Seit dem 6. Dezember 2025 gilt das NIS2-Umsetzungsgesetz (NIS2UmsuCG) in Deutschland verbindlich. Für viele Unternehmen stellt sich damit die entscheidende Frage: Bin ich überhaupt betroffen? Laut aktuellen Erhebungen schätzen rund 48 Prozent der befragten Unternehmen ihre regulatorische Betroffenheit falsch ein, obwohl die Zahl regulierter Unternehmen von rund 4.500 auf über 29.500 gestiegen ist. Eine fundierte Prüfung ist daher kein optionaler Schritt, sondern Voraussetzung für jede erfolgreiche Implementierung.

Zwei Kategorien, unterschiedliche Pflichten

Das Gesetz, verankert in § 28 BSIG, unterscheidet zwischen zwei regulierten Kategorien. Besonders wichtige Einrichtungen (Higher Tier) unterliegen strengeren Aufsichtspflichten, darunter regelmäßige Prüfungen alle drei Jahre sowie umfangreiche Nachweispflichten. Wichtige Einrichtungen (Lower Tier) müssen ebenfalls dokumentieren und mit behördlichen Stichproben rechnen, jedoch mit etwas geringerem Prüfungsrhythmus. Die Einordnung richtet sich nach Mitarbeiterzahl und Jahresumsatz: Ab 50 Mitarbeitenden oder 10 Millionen Euro Umsatz beginnt der untere Schwellenwert, ab 250 Mitarbeitenden oder 50 Millionen Euro greift die höhere Kategorie. Entscheidend ist jedoch stets die Kombination aus Unternehmensgröße und dem jeweiligen Sektor. Weitere Details finden Sie direkt beim BSI für NIS-2-regulierte Unternehmen.

Defense-Tech und Lieferketten: Häufig betroffen, selten erkannt

Besondere Aufmerksamkeit verdienen Unternehmen aus dem Defense-Tech-Bereich und Betreiber kritischer Lieferketten. Luftfahrt und Verteidigung gehören ausdrücklich zu den erfassten Sektoren, sodass selbst mittelgroße Rüstungszulieferer direkt reguliert sein können, auch wenn sie sich intern als „zu klein“ einschätzen. Hinzu kommt die indirekte Betroffenheit durch Supply-Chain-Anforderungen: Das NIS2UmsuCG verpflichtet regulierte Einrichtungen, Sicherheitsanforderungen vertraglich an ihre Lieferkette weiterzugeben. Wer also als Zulieferer für einen direkt regulierten Auftraggeber tätig ist, muss Sicherheitsmaßnahmen nachweisen können, unabhängig von der eigenen direkten Regulierung. Einen kompakten Überblick zu Fristen, Bußgeldern und Betroffenheitskriterien bietet die aktuelle Übersicht zu NIS2 in Deutschland 2026.

Die drei Prüfparameter für Ihre Betroffenheitsanalyse

Für eine strukturierte Selbstprüfung sind drei Fragen maßgeblich:

1. Welcher Sektor? Gehört Ihr Unternehmen zu einem Hochrisikobereich wie Energie, Gesundheit, Verteidigung oder digitaler Infrastruktur?
2. Welche Unternehmensgröße? Überschreiten Sie die gesetzlichen Schwellenwerte bei Mitarbeiterzahl oder Jahresumsatz?
3. Welche Rolle in der Lieferkette? Sind Sie direkter Betreiber oder indirekter Zulieferer mit vertraglichen Nachweispflichten?

Diese drei Parameter bestimmen gemeinsam Art und Umfang Ihrer Implementierungspflichten. Das BSI stellt Starterpakete und Kick-off-Seminare zur ersten Orientierung bereit. Diese Angebote sind hilfreich, ersetzen jedoch keine individuelle Betroffenheitsprüfung, da Sonderfälle wie Konzernstrukturen, Schwellenwertberechnungen auf Gruppenebene oder sektorspezifische Sonderkategorien eine fachkundige Einschätzung erfordern. Bei Verstößen drohen Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, weshalb Fehleinschätzungen teuer werden können.

Phase 1: Bestandsaufnahme und Gap-Analyse

Wer die NIS-2-Implementierung strukturiert angehen will, beginnt nicht mit Maßnahmen, sondern mit Klarheit über den eigenen Ausgangszustand. Phase 1 legt das Fundament für alles Weitere.

Schritt 1: Bestandsaufnahme des aktuellen Sicherheitsniveaus

Erfassen Sie systematisch alle bereits vorhandenen Schutzmaßnahmen, Sicherheitsrichtlinien und technischen Kontrollen im Unternehmen. Dazu gehören Firewalls, Zugriffskonzepte, Passwortrichtlinien, Backup-Strategien und bestehende Schulungsprogramme ebenso wie organisatorische Regelwerke. Wichtig ist eine vollständige Inventarisierung aller IT-Assets, also Hardware, Software, Daten und Schnittstellen zu Dritten. Ohne diesen Überblick fehlt jede belastbare Grundlage für die nachfolgenden Schritte. Die NIS2-Umsetzungsgesetzgebung schreibt ausdrücklich umfassende Sicherheitsmaßnahmen im gesamten Unternehmen vor, von Governance bis zu technischen Kontrollen.

Schritt 2: Strukturierte Gap-Analyse gegen die NIS2-Kernpflichten

Der Ist-Zustand wird nun gegen die gesetzlichen Anforderungen des NIS2UmsuCG gespiegelt. Prüfen Sie dabei vier zentrale Bereiche:

• Risikomanagement (Art. 21 NIS2): Existiert ein dokumentierter Prozess zur Risikoidentifikation, -bewertung und -behandlung?
• Meldepflichten: Sind Incident-Response-Prozesse vorhanden, die das neue dreistufige Melderegime abbilden?
• Registrierung beim BSI: Wurde die Registrierungspflicht fristgerecht bis zum 6. März 2026 erfüllt?
• Lieferkettensicherheit: Wurden Drittanbieter und IT-Dienstleister in die Sicherheitsbewertung einbezogen?

Laut Bundesregierung sind über 30.000 Unternehmen in Deutschland vom Gesetz betroffen. Die meisten mittelständischen Betriebe weisen in mindestens zwei der vier Bereiche erhebliche Lücken auf.

Schritt 3: Dokumentation als rechtlich tragfähige Ausgangsbasis

Die Ergebnisse der Bestandsaufnahme müssen schriftlich fixiert werden. Betreiber unterliegen einer Nachweispflicht, und das BSI kann Stichprobenprüfungen durchführen. Ohne nachvollziehbare Dokumentation ist weder ein internes Audit noch eine Behördenprüfung bestehbar. Die Dokumentation bildet zugleich die Grundlage für einen realistischen, priorisierten Implementierungsplan.

Typische Befunde im Mittelstand

Die Gap-Analyse deckt in mittelständischen Unternehmen regelmäßig folgende Schwachstellen auf: fehlende oder unvollständige Risikoregister, lückenhafte Asset-Inventare, keine formal dokumentierten Incident-Response-Prozesse sowie unzureichende Berücksichtigung der IT-Lieferkette. Diese Befunde sind keine Ausnahme, sondern die Regel. Mehr als 800 Unternehmen meldeten allein 2023 Ransomware-Angriffe bei den Behörden. Die Identifikation kritischer Systeme und Prozesse in dieser Phase schafft zudem die Grundlage für die spätere Schutzbedarfsfeststellung nach BSI IT-Grundschutz oder ISO 27001, die in Phase 2 aufgreift, was hier erarbeitet wurde.

Phase 2: Framework-Entscheidung zwischen BSI IT-Grundschutz und ISO 27001

Mit abgeschlossener Gap-Analyse steht die nächste strategische Weichenstellung an: die Wahl des Implementierungsrahmens. Diese Entscheidung beeinflusst nicht nur den Projektaufwand, sondern auch die langfristige Auditierfähigkeit und die Akzeptanz bei Auftraggebern und Behörden.

BSI IT-Grundschutz: strukturiert, praxisnah, national verankert

Der BSI IT-Grundschutz verfolgt einen maßnahmenorientierten, bausteinbasierten Ansatz. Das IT-Grundschutz-Kompendium in der aktuellen Edition umfasst 111 Bausteine mit jeweils konkreten Sicherheitsanforderungen, die direkt umsetzbar sind. Dieser Detailgrad reduziert den Eigenaufwand bei der Risikoanalyse erheblich, da für Normalbetrieb eine vollständige eigenständige Risikoanalyse erst bei erhöhtem Schutzbedarf erforderlich wird. Für deutsche Behörden, KRITIS-Betreiber und Unternehmen, die primär im nationalen Regulierungsumfeld operieren, ist dieser Rahmen besonders geeignet. Das BSI erkennt IT-Grundschutz ausdrücklich als validen Implementierungsrahmen zur Erfüllung der NIS-2-Anforderungen an, was den direkten Brückenschlag zur aktuellen Compliance-Pflicht herstellt. Zudem modernisiert das BSI das Kompendium kontinuierlich als lebendes Werkzeug, parallel zur laufenden NIS-2-Umsetzungsphase, sodass neue regulatorische Anforderungen zeitnah integriert werden.

ISO 27001: international anerkannt, risikobasiert, exportfähig

ISO/IEC 27001:2022 verfolgt einen flexiblen, risikobasierten Ansatz: Die Norm definiert, was erreicht werden muss, überlässt der Organisation jedoch den konkreten Umsetzungsweg. Anhang A listet 93 Controls auf, die als Zielvorgaben formuliert sind. Eine vollständige, eigenständige Risikoanalyse ist von Beginn an verpflichtend, was einen höheren Analyseaufwand bedeutet, gleichzeitig aber mehr Gestaltungsspielraum bietet. Besonders relevant ist ISO 27001 für Unternehmen mit internationalen Kunden oder Lieferanten sowie für Defense-Tech-Unternehmen im NATO-Umfeld, wo internationale Zertifizierungsanforderungen gegenüber nationalen Standards bevorzugt werden. Die Zertifizierung läuft über drei Jahre mit jährlichen Überwachungsaudits, identisch zum IT-Grundschutz-Zertifikat.

Der kombinierte Implementierungspfad als strategische Option

Ein entscheidender Vorteil: Beide Frameworks schließen sich nicht aus. Das BSI bietet offiziell die Zertifizierungsoption „ISO 27001 auf Basis von IT-Grundschutz“ an, die internationale Anerkennung mit strukturierter deutscher Maßnahmenlogik verbindet. Für Unternehmen, die sowohl nationale Behördenanforderungen als auch internationale Auftraggeber bedienen, ist dieser kombinierte Pfad oft die wirtschaftlichste Lösung. Wie BSI IT-Grundschutz und ISO 27001 im direkten Vergleich zeigt, können beide Rahmenwerke synergetisch eingesetzt werden, um beide Anforderungsprofile gleichzeitig zu erfüllen.

Entscheidungskriterien strukturiert anwenden

Die Framework-Wahl sollte anhand von vier Kriterien getroffen werden:

1. Branche und Regulierungsumfeld: Behörden und KRITIS-Betreiber wählen typischerweise IT-Grundschutz; international tätige Unternehmen und Tech-Firmen bevorzugen ISO 27001.
2. Zertifizierungsanforderungen der Auftraggeber: Welche Nachweise fordern Kunden oder öffentliche Auftraggeber vertraglich?
3. Interne Ressourcen: IT-Grundschutz reduziert durch konkrete Maßnahmenkataloge den Eigenanalyseaufwand; ISO 27001 erfordert mehr konzeptionelle Eigenleistung.
4. Langfristige Compliance-Ziele: Wer mittelfristig in Exportmärkte oder das NATO-Lieferantenumfeld expandieren möchte, sollte ISO 27001 von Beginn an einplanen.

Die Framework-Entscheidung ist keine Einbahnstraße. Mit klarer Positionierung in Phase 2 schafft die Organisation die Voraussetzung für eine strukturierte, auditierfähige Implementierung in den nachfolgenden Phasen.

Phase 3: Risikomanagement nach Artikel 21 NIS2 operativ umsetzen

Mit abgeschlossener Gap-Analyse und gewähltem Framework beginnt die operative Kernarbeit: die Umsetzung der Risikomanagementpflichten nach Artikel 21 der NIS2-Richtlinie. Dieser Artikel ist das gesetzliche Herzstück der NIS-2-Implementierung. Er schreibt technische und organisatorische Maßnahmen explizit vor: Risikoanalyse, dokumentierte Sicherheitskonzepte, Zugangskontrollen und Identitätsmanagement, Kryptografie und Verschlüsselung, Business Continuity Management sowie Sicherheit der Lieferkette. Wer diese Pflichten nicht nachweisbar erfüllt, riskiert nicht nur Bußgelder, sondern auch den Verlust des Vertrauens von Auftraggebern und Behörden.

Schritt 1: Risikoregister strukturiert aufbauen

Das Risikoregister ist das operative Steuerungsinstrument der gesamten Phase 3. Der Aufbau folgt einem klaren Prozess: Zunächst werden relevante Bedrohungsszenarien identifiziert, zum Beispiel Ransomware-Angriffe, Insider-Threats oder Lieferkettenangriffe auf kritische Softwarekomponenten. Für jedes Szenario werden Eintrittswahrscheinlichkeit und potenzielle Schadenshöhe bewertet und in einer Matrix dokumentiert. Anschließend werden Gegenmaßnahmen priorisiert, Verantwortlichkeiten zugewiesen und Umsetzungsfristen festgelegt. Wichtig: NIS-2 fordert Risikomanagement ganzheitlich für die gesamte Organisation, nicht nur für einzelne IT-Systeme. Das BSI stellt für NIS-2-regulierte Unternehmen spezifische Informationspakete zu diesen Risikomanagementmaßnahmen bereit, die als Orientierungsrahmen genutzt werden sollten. Für Betreiber kritischer Anlagen gilt zudem eine Nachweispflicht alle drei Jahre gegenüber der Aufsichtsbehörde.

Schritt 2: Sicherheitskonzept als auditfähiges Steuerungsdokument erstellen

Das Sicherheitskonzept ist mehr als ein internes Arbeitsdokument. Es ist der strukturierte Nachweis gegenüber dem BSI, dass alle gesetzlichen Pflichten nach Artikel 21 planmäßig adressiert werden. Es muss die Dimensionen Risikomanagement, technische Schutzmaßnahmen, Governance und Vorfallsmanagement vollständig abdecken. Unternehmen, die in Phase 2 ISO 27001 als Framework gewählt haben, können bestehende Dokumente durch Mapping auf NIS-2-Anforderungen übertragen und so erheblichen Erstellungsaufwand einsparen. Entscheidend ist, dass das Dokument nicht nur beschreibt, was geplant ist, sondern nachweisbar belegt, was bereits umgesetzt wurde. Fehlende oder unvollständige Dokumentation ist bei Behördenprüfungen einer der häufigsten Kritikpunkte.

Schritt 3: Business Continuity Management operativ verankern

BCM ist nach Artikel 21 keine optionale Ergänzung, sondern verbindliche Pflicht. Zur NIS-2-konformen Implementierung gehören konkrete Notfallpläne, dokumentierte Wiederanlaufprozesse, ein funktionierendes Backup-Management sowie regelmäßige Übungen zur Überprüfung der Notfallpläne. Geeignete Formate sind Tabletop Exercises, bei denen Notfallszenarien simuliert durchgespielt werden, sowie technische Recovery-Tests, die reale Wiederherstellungszeiten messen. Leitungsorgane tragen dabei persönliche Verantwortung: Das NIS2UmsuCG verpflichtet Geschäftsführungen ausdrücklich, Cybersicherheitsrisiken aktiv zu kennen, zu steuern und BCM-Maßnahmen zu verantworten.

Cognic begleitet Unternehmen in Phase 3 als externer Projektleiter und Implementierer: vom methodischen Aufbau des Risikoregisters über die Erstellung audit-reifer Sicherheitskonzepte bis hin zur operativen Verankerung des BCM. Das Ergebnis ist ein vollständig dokumentierter Risikomanagementprozess, der Aufsichtsbehörden standhält und intern als verlässliches Steuerungsinstrument funktioniert.

Phase 4: Meldepflichten und BSI-Registrierung als laufende Prozesse etablieren

Mit Abschluss der operativen Risikomanagementmaßnahmen aus Phase 3 rücken zwei weitere Kernpflichten in den Fokus, die dauerhaft als lebende Prozesse betrieben werden müssen: die BSI-Registrierung und das strukturierte Meldewesen bei Sicherheitsvorfällen.

Schritt 1: BSI-Registrierung nachholen und dokumentieren

Die Registrierungsfrist beim BSI endete am 6. März 2026. Unternehmen, die diese Frist versäumt haben, befinden sich in einer haftungsrelevanten Situation, da Aufsichtsbehörden und Gerichte die Einhaltung aktiv prüfen. Entscheidend ist: Eine proaktive Information durch staatliche Stellen erfolgt nicht. Jede Einrichtung muss selbstständig prüfen, ob sie unter das neue BSIG fällt, und die Registrierung eigenverantwortlich nachholen. Dabei ist zwingend eine jederzeit erreichbare Kontaktstelle gegenüber dem BSI zu benennen. Wer die Nachholregistrierung angeht, sollte den gesamten Prozess lückenlos dokumentieren, einschließlich Zeitstempel, verantwortlicher Personen und übermittelter Angaben.

Schritt 2: Das dreistufige Melderegime operativ verankern

Das neue BSIG schreibt für besonders wichtige und wichtige Einrichtungen ein verbindliches dreistufiges Melderegime bei erheblichen Sicherheitsvorfällen vor. Die Fristen sind fest und nicht verhandelbar:

1. Erstmeldung innerhalb von 24 Stunden nach Kenntnisnahme des Vorfalls
2. Folgemeldung mit detaillierterer Bewertung innerhalb von 72 Stunden
3. Abschlussbericht nach vollständiger Analyse des Vorfalls

Meldepflichtig sind Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse. Die 24-Stunden-Frist lässt praktisch keinen Spielraum für Ad-hoc-Entscheidungen im Ernstfall, was den Aufbau vorab definierter Strukturen zur absoluten Pflicht macht.

Schritt 3: Interne Meldeprozesse mit klaren Verantwortlichkeiten aufbauen

Cybersicherheit ist durch das neue BSIG zur haftungsbewehrten Führungsverantwortung der Geschäftsleitung geworden. Interne Meldeprozesse müssen deshalb folgende Elemente verbindlich regeln: wer einen Vorfall meldet, über welchen Kanal die Eskalation erfolgt, wer die BSI-Meldung authorisiert und welche technischen Systeme zur Vorfallserkennung und Protokollierung bereitstehen. Eskalationswege müssen schriftlich fixiert und allen Beteiligten bekannt sein.

Schritt 4: Meldepflicht und Incident Management als integriertes System implementieren

Die Meldepflicht darf nicht als isolierte Compliance-Übung behandelt werden. Das NIS-2-Umsetzungsgesetz fordert Governance, Risikomanagement und technische Maßnahmen als integriertes Gesamtsystem. In der Praxis bedeutet das: Erkennungs-, Analyse- und Kommunikationsprozesse müssen so verzahnt sein, dass eine fristgerechte BSI-Meldung ohne zusätzlichen Koordinationsaufwand ausgelöst werden kann. Incident-Response-Playbooks sollten explizit einen Meldepfad zum BSI enthalten und mit dem ISMS-Dokumentationsrahmen verbunden sein.

Schritt 5: Prozesse regelmäßig testen und auditieren

Für besonders wichtige Einrichtungen gilt eine Nachweispflicht alle drei Jahre, beispielsweise durch Sicherheitsauditierungen oder Zertifizierungen. Interne Audits und Simulationsübungen, sogenannte Tabletop-Exercises, stellen sicher, dass die Meldeprozesse im tatsächlichen Ernstfall funktionieren. Dabei sollten realistische Szenarien durchgespielt werden, zum Beispiel ein Ransomware-Vorfall mit Datenverlust, um Schwachstellen im Eskalationsweg frühzeitig zu identifizieren. Die Ergebnisse dieser Übungen fließen direkt in die kontinuierliche Verbesserung des ISMS ein.

Phase 5: Lieferkettensicherheit und Supply-Chain-Anforderungen umsetzen

§ 30 Abs. 2 Nr. 4 BSIG verpflichtet betroffene Unternehmen ausdrücklich dazu, Sicherheitsrisiken in der gesamten Lieferkette zu bewerten und vertraglich zu adressieren. Der Gesetzgeber macht dabei deutlich: Outsourcing befreit nicht von der Verantwortung. Wer kritische Dienste oder Komponenten bei Dritten bezieht, bleibt für die Sicherheit dieser Schnittstellen haftbar. Das BSI hat hierzu ein eigenes Informationspaket unter dem Titel #nis2know Sichere Lieferkette veröffentlicht, das als Orientierungsrahmen dient.

Lieferanten klassifizieren und bewerten

Der bewährte Praxisansatz folgt einem dreistufigen Klassifikationsmodell nach Kritikalität. Lieferanten der Stufe 1 sind solche, deren Ausfall oder Kompromittierung unmittelbar den eigenen Betrieb gefährdet, etwa Managed-Service-Provider oder Cloud-Infrastrukturanbieter. Stufe 2 umfasst Dienstleister mit indirektem Einfluss auf Sicherheitsprozesse, Stufe 3 alle übrigen Lieferanten mit nachrangiger Relevanz. Für jede Stufe gelten unterschiedliche Anforderungen an Bewertungstiefe und Nachweispflichten. ISO 27001:2022 Annex A Controls 5.19 bis 5.22 liefern den methodischen Rahmen für diese Klassifikation und lassen sich direkt in bestehende ISMS-Strukturen integrieren.

Standardisierte Sicherheitsfragebögen sind das operative Werkzeug der Lieferantenbewertung. Sie erfassen Angaben zur Zertifizierung des Lieferanten, zu Incident-Response-Fähigkeiten, zur Subunternehmerstruktur und zu technischen Schutzmaßnahmen. Antworten werden dokumentiert, bewertet und als Grundlage für Folgemaßnahmen genutzt. Vertragliche Sicherheitsklauseln schließen die Lücke zwischen Bewertung und verbindlicher Anforderung: Sie regeln Vorfallmeldepflichten des Lieferanten innerhalb von 24 Stunden, Auditrechte, Transparenz über Sub-Lieferanten sowie Änderungsmanagement-Zusagen.

Bidirektionaler Druck und Branchenfokus

Betroffene Unternehmen stehen in einer Doppelrolle. Sie müssen einerseits ihre eigene Lieferkette absichern und andererseits als Lieferant den Sicherheitsnachweisanforderungen ihrer Auftraggeber genügen. Dieser bidirektionale Druck zieht auch Unternehmen in die Pflicht, die selbst nicht direkt unter NIS-2 fallen. Das neue BSI-Gesetz macht Cybersicherheit zur Führungsverantwortung, nicht mehr nur zur IT-Aufgabe.

Defense-Tech-Startups und Rüstungszulieferer sind dabei besonders exponiert. Auf NIS-2-Anforderungen treffen hier branchenspezifische Vorgaben der Auftraggeber, etwa NATO-Sicherheitsanforderungen oder VS-NfD-Klassifizierungen. Die Compliance-Last ist entsprechend komplex und erfordert eine abgestimmte Implementierungsstrategie.

Dokumentation als prüfungssicheres Paket

Gegenüber der BSI-Aufsicht zählt nur, was nachweisbar dokumentiert ist. Ein belastbares Supply-Chain-Dokumentationspaket umfasst mindestens vier Bestandteile: ein aktuelles Lieferantenverzeichnis mit Klassifizierung, ein Risikobewertungsprotokoll je Lieferant, die abgeschlossenen vertraglichen Sicherheitsklauseln sowie einen dokumentierten Maßnahmenplan mit Verantwortlichkeiten und Fristen. Besonders wichtige Einrichtungen müssen zudem mit anlasslosen BSI-Stichprobenprüfungen rechnen. Wer diese Unterlagen strukturiert vorhält, reduziert nicht nur das Haftungsrisiko, sondern verkürzt auch den Aufwand im Prüfungsfall erheblich.

Ressourcen und Zeitbedarf: Realistische Planung für die Implementierung

Mit dem Inkrafttreten des NIS2UmsuCG am 6. Dezember 2025 und der abgelaufenen Registrierungsfrist vom 6. März 2026 steht der Mittelstand unter konkretem Umsetzungsdruck. Wer jetzt plant, muss realistisch kalkulieren, und zwar sowohl zeitlich als auch personell und finanziell.

Wie lange dauert eine vollständige Implementierung?

Die ehrliche Antwort lautet: Das hängt stark von der Ausgangslage ab. Unternehmen, die bereits ein funktionierendes ISMS nach ISO 27001 betreiben oder BSI IT-Grundschutz eingeführt haben, können eine audit-reife NIS-2-Umsetzung in sechs bis neun Monaten erreichen. Wer hingegen ohne jegliche Vorarbeit startet, also ohne dokumentierte Sicherheitsrichtlinien, ohne etabliertes Risikomanagement und ohne definierte Verantwortlichkeiten, muss realistisch mit zwölf bis achtzehn Monaten planen. Entscheidend ist dabei nicht nur die technische Umsetzung, sondern die Verankerung von Prozessen, die im Prüfungsfall gegenüber der BSI-Aufsicht nachweisbar sind.

Wer trägt die Implementierung intern?

Mindestens eine Person muss die Verantwortung für das Projekt übernehmen, typischerweise ein Informationssicherheitsbeauftragter (ISB) oder eine dedizierte Projektleitung. In der Aufbauphase entspricht der realistische Zeitaufwand zehn bis dreißig Prozent einer Vollzeitstelle. Dieser Wert klingt zunächst handhabbar, wird aber unterschätzt, wenn operative Aufgaben wie Risikoanalysen, Lieferantenbewertungen und Schulungsmaßnahmen parallel laufen. Kleinere Unternehmen stoßen hier schnell an personelle Grenzen, weil diese Aufgaben selten auf vorhandene Rollen verteilt werden können, ohne andere Kernaufgaben zu vernachlässigen.

Externe Unterstützung als konkreter Zeitgewinn

Ein erfahrener externer ISB beschleunigt die Implementierung aus einem einfachen Grund: Methodikwissen, erprobte Prozessmodelle und praxistaugliche Dokumentationsvorlagen müssen nicht intern entwickelt werden. Was ein internes Team in sechs Monaten aufbaut, kann mit externer Unterstützung in zwei bis drei Monaten abgebildet werden. Cognic agiert in dieser Rolle direkt als externer ISB, Projektleitung oder umsetzender Partner, je nach Bedarf des Unternehmens. Ein strukturierter Praxis-Fahrplan für die NIS-2-Implementierung zeigt, wie viele Unternehmen externe Expertise gezielt als Beschleuniger einsetzen.

Budgetpositionen realistisch einplanen

Die relevanten Kostentreiber lassen sich in vier Blöcke gliedern:

• Technische Maßnahmen: SIEM-Systeme, Schwachstellenscans und Penetrationstests gehören zu den größten Einzelposten.
• Schulungsaufwand: Awareness-Trainings für Mitarbeitende sind Pflichtbestandteil, nicht optional.
• Externe Beratung: ISB-as-a-Service oder projektbasierte Begleitung reduziert interne Belastung, verursacht aber laufende Kosten.
• Zertifizierungskosten: Eine ISO-27001-Zertifizierung ist nicht verpflichtend, aber als Nachweis gegenüber Auftraggebern und Behörden zunehmend wertvoll.

Iterativ statt alles auf einmal

Ein iterativer, meilensteinbasierter Ansatz ist einer simultanen Gesamtimplementierung klar vorzuziehen. Schrittweise dokumentierte Fortschritte sind gegenüber der BSI-Aufsicht unmittelbar nachweisbar und senken das persönliche Haftungsrisiko der Geschäftsführung, die nach NIS-2 direkt verantwortlich ist. Definieren Sie klare Meilensteine: Bestandsaufnahme abgeschlossen, Risikoanalyse dokumentiert, erste technische Maßnahmen umgesetzt. Jeder abgeschlossene Schritt ist ein belegbarer Compliance-Fortschritt, der im Prüfungsfall zählt.

Die Rolle des externen Informationssicherheitsbeauftragten bei der Implementierung

Die bisherigen Phasen der Implementierung machen deutlich: Der Aufwand ist erheblich, die Methodik komplex und die Anforderungen an Dokumentation und Prozessgestaltung sind anspruchsvoll. Genau hier entscheidet sich, ob ein Unternehmen diese Herausforderung allein stemmt oder gezielt externe Expertise einbindet.

Wann lohnt sich ein externer ISB?

Drei Konstellationen zeigen klar, wann ein externer Informationssicherheitsbeauftragter der internen Lösung überlegen ist. Erstens: Das interne Team ist zu klein oder zu stark im Tagesgeschäft gebunden, um eine strukturierte Implementierung parallel zu betreiben. Zweitens: Das notwendige Methodikwissen für ISO 27001, BSI IT-Grundschutz oder NIS-2-konforme Risikomanagementprozesse ist intern nicht vorhanden und müsste aufwendig aufgebaut werden. Drittens: Gegenüber dem BSI oder externen Auditoren ist die Objektivität eines unabhängigen Dritten gefragt, die ein intern positionierter ISB strukturell kaum liefern kann, da Interessenkonflikte mit der IT-Abteilung oder der Geschäftsführung zu häufig entstehen.

Projektleitung, Methodikkompetenz und Dokumentationsverantwortung aus einer Hand

Ein externer ISB übernimmt nicht nur beratende Funktion, sondern trägt aktiv Verantwortung für den Projektfortschritt. Er entwickelt Richtlinien, strukturiert die Risikoanalyse, erstellt auditfähige Dokumentation und koordiniert abteilungsübergreifende Maßnahmen. Das entlastet das interne Team dauerhaft, ohne es aus der Verantwortung zu entlassen. Cognic agiert in diesem Modell gleichzeitig als externer Informationssicherheitsbeauftragter, Projektleiter und operativer Implementierer. Das bedeutet in der Praxis: ein einziger Ansprechpartner für den gesamten Implementierungsprozess, vom ersten Gap-Assessment bis zur Übergabe eines betriebsfähigen ISMS.

Der Zeitvorteil gegenüber dem internen Aufbau

Der direkte Vergleich mit einer intern besetzten ISB-Stelle verdeutlicht den entscheidenden Unterschied im Faktor Zeit. Eine interne Lösung erfordert Rekrutierung, Vertragsverhandlung, Onboarding und Schulung. Bis ein intern aufgebauter Informationssicherheitsbeauftragter vollständig operativ und methodisch eigenständig handlungsfähig ist, vergehen realistisch sechs bis zwölf Monate. In der aktuellen Post-Frist-Phase nach dem 6. März 2026, in der viele Unternehmen unter unmittelbarem BSI-Umsetzungsdruck stehen, ist dieser Zeitverlust kaum vertretbar. Ein externer ISB liefert ab dem ersten Tag operative Kapazität.

Kontinuität über die Implementierung hinaus

Die Arbeit endet nicht mit dem Abschluss der Implementierungsphase. Ein externer ISB begleitet den laufenden Betrieb des ISMS, bereitet interne und externe Audits vor und fungiert bei Sicherheitsvorfällen als erste Eskalationsstufe, bevor die Geschäftsführung eingebunden wird. Diese Kontinuität ist besonders wertvoll, da ein einmal aufgebautes ISMS regelmäßig überprüft, angepasst und weiterentwickelt werden muss, um den sich verändernden regulatorischen Anforderungen gerecht zu bleiben. Wer heute in eine externe ISB-Partnerschaft investiert, schafft damit nicht nur kurzfristige Compliance, sondern eine tragfähige Sicherheitsstruktur für die kommenden Jahre.

Bußgelder und Geschäftsführerhaftung unter NIS-2: Was auf dem Spiel steht

Die bisher beschriebenen Implementierungsphasen erfordern erheblichen Aufwand. Wer dennoch zögert, sollte die Konsequenzen einer unvollständigen oder fehlenden Umsetzung kennen, denn das NIS2UmsuCG setzt auf ein gestaffeltes, empfindliches Sanktionsregime.

Der Bußgeldrahmen: Zahlen, die Aufmerksamkeit erzwingen

Für besonders wichtige Einrichtungen sieht § 65 BSIG Bußgelder von bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes vor, wobei stets der höhere Betrag gilt. Wichtige Einrichtungen riskieren Sanktionen von bis zu sieben Millionen Euro oder 1,4 Prozent des Jahresumsatzes. Ein konkretes Beispiel verdeutlicht die Tragweite: Ein Fertigungsunternehmen mit 160 Mitarbeitenden und 25 Millionen Euro Jahresumsatz, das als wichtige Einrichtung eingestuft wird, riskiert Bußgelder von potenziell mehr als einem Viertel seines Jahresumsatzes. Hinzu kommen gestaffelte Einzeltatbestände: Melde- und Registrierungsverstöße können bis zu fünf Millionen Euro kosten, fehlende Nachweise bis zu eine Million Euro.

Persönliche Haftung der Geschäftsführung: Kein Delegationsschutz

§ 38 BSIG adressiert Leitungsorgane unmittelbar und persönlich. Die Pflicht zur Überwachung der Cybersicherheits-Risikomanagementmaßnahmen ist nicht delegierbar, weder an einen CISO noch an externe Dienstleister. Bei nachgewiesener Pflichtverletzung droht die Haftung mit dem Privatvermögen. Wo gesellschaftsrechtliche Regelungen wie § 93 AktG nicht greifen, sieht das BSIG einen gesetzlichen Auffangtatbestand vor. Ein vertraglicher Haftungsausschluss ist gesetzlich ausgeschlossen. Geschäftsleiter müssen die nach Artikel 21 NIS2 vorgeschriebenen Maßnahmen aktiv billigen und deren Umsetzung dauerhaft überwachen.

Das BSI als durchsetzungsstarke Aufsichtsbehörde

Das BSI agiert unter NIS-2 nicht länger nur beratend, sondern mit konkreten Durchsetzungsbefugnissen. Gegenüber besonders wichtigen Einrichtungen gilt ein proaktiver Aufsichtsansatz mit der Möglichkeit zu Vor-Ort-Prüfungen, Nachweisanforderungen und der Anordnung von Abhilfemaßnahmen. Die Nichtbefolgung einer BSI-Anordnung ist selbst ein eigenständiger Bußgeldtatbestand mit einem Rahmen von bis zu zwei Millionen Euro.

Fehlende Dokumentation als das eigentliche Hauptrisiko

In der Praxis scheitern Unternehmen bei BSI-Prüfungen selten daran, dass keine Sicherheitsmaßnahmen existieren, sondern daran, dass diese nicht nachweisbar dokumentiert sind. § 30 Abs. 1 Satz 3 BSIG macht die lückenlose Dokumentation zur eigenständigen Rechtspflicht. Ein fehlerhaft dokumentiertes ISMS kann denselben Bußgeldrahmen auslösen wie ein vollständig fehlendes Sicherheitskonzept.

Compliance-Automation als praktische Absicherung

SaaS-Plattformen zur Compliance-Automatisierung unterstützen dabei, Aufgabenverfolgung, Nachweisführung und Audit-Trails kontinuierlich und strukturiert zu pflegen. Sie ersetzen keine fachkundige Beratung, reduzieren jedoch das Risiko von Dokumentationslücken erheblich. Entscheidend bleibt: Auch eine bestehende ISO 27001-Zertifizierung schützt nicht automatisch vor NIS-2-Bußgeldern, da NIS2-spezifische Pflichten wie Meldefristen und BSI-Registrierung gesondert nachzuweisen sind.

Ausblick: Cyber Resilience Act und weitere Regulierungswellen

Die Implementierung von NIS-2 ist kein Endpunkt, sondern der Beginn einer dauerhaften Compliance-Architektur. Denn die Regulierungslandschaft entwickelt sich weiter, und der nächste bedeutende Schritt steht bereits fest: der Cyber Resilience Act (CRA), der am 10. Dezember 2024 als EU-Verordnung in Kraft getreten ist und bis zum 11. Dezember 2027 vollständig umgesetzt sein muss.

Was der CRA konkret bedeutet

Anders als NIS-2 richtet sich der CRA nicht an Betreiber kritischer Infrastrukturen, sondern an Hersteller von Produkten mit digitalen Elementen, also Hardware mit Netzwerkfähigkeit und verbindungsfähige Software. Die Anforderungen umfassen Schwachstellenmanagement, Sicherheitsupdates, Dokumentation und CE-Kennzeichnung als Konformitätsnachweis. Erste Meldepflichten greifen bereits ab dem 11. September 2026, was bedeutet: Vorbereitungszeit ist jetzt, nicht in zwei Jahren. Bei Verstößen drohen Sanktionen von bis zu 15 Millionen Euro oder 2 Prozent des globalen Jahresumsatzes.

Defense-Tech im doppelten Regulierungsrahmen

Für Defense-Tech-Unternehmen verschärft sich die Lage besonders. Zwar nimmt der CRA militärische Produkte grundsätzlich aus, jedoch bewegen sich viele Unternehmen im Dual-Use-Bereich, in dem die Abgrenzung komplex bleibt. Gleichzeitig treffen branchenspezifische Sicherheitsanforderungen auf NIS-2-Pflichten und künftige CRA-Vorgaben. Wer hier reaktiv vorgeht, riskiert Parallelstrukturen, Mehraufwand und Compliance-Lücken.

Strategische Implementierung als Wettbewerbsvorteil

Der entscheidende Synergieeffekt liegt auf der Hand: Unternehmen, die NIS-2 konsequent implementieren, bauen bereits die Strukturen auf, die der CRA ebenfalls fordert. Risikomanagementprozesse, Schwachstellen-Workflows und Dokumentationsstandards lassen sich direkt weiterverwenden. Die Implementierung sollte daher von Anfang an als skalierbares Sicherheitsmanagementsystem geplant werden, das mit neuen Anforderungen mitwächst, und nicht als einmaliger Compliance-Sprint.

Cognic begleitet Unternehmen genau mit diesem Ansatz: von der strukturierten NIS-2-Implementierung heute bis zur vorausschauenden Vorbereitung auf den CRA und weitere Regulierungswellen. Wer jetzt die richtigen Grundlagen legt, sichert sich nachhaltig und kosteneffizient ab.

Fazit: Jetzt handeln statt abwarten

Die BSI-Registrierungsfrist ist seit dem 6. März 2026 abgelaufen, und die Aufsicht ist aktiv. Jedes weitere Zögern erhöht das Bußgeld- und Haftungsrisiko für betroffene Unternehmen sowie deren Geschäftsführungen konkret und täglich. Das NIS2UmsuCG kennt keine Übergangsfrist für Sicherheitsmaßnahmen; Bußgelder bis zu 10 Millionen Euro sind bereits jetzt verhängbar.

Der in diesem Artikel vorgestellte Fünf-Phasen-Fahrplan liefert einen klaren, strukturierten Einstiegspunkt: Bestandsaufnahme, Framework-Wahl, Risikomanagement, Meldeprozesse und Lieferkettensicherheit bilden die fünf operativen Kernschritte, die aus einer ungeordneten Compliance-Last ein beherrschbares Projekt machen. Wer diese Phasen konsequent durchläuft, schafft nicht nur regulatorische Konformität, sondern echte organisatorische Widerstandsfähigkeit.

Externe Unterstützung durch einen erfahrenen Informationssicherheitsbeauftragten verkürzt den Weg zur Audit-Reife erheblich und schützt die Geschäftsführung nachweisbar vor persönlicher Haftung nach §38 BSIG. Cognic begleitet Unternehmen als externer ISB, Projektleiter oder Implementierer durch alle Phasen und bietet ein kostenfreies Erstgespräch an, um Betroffenheit, konkreten Handlungsbedarf und einen realistischen Implementierungsplan gemeinsam zu besprechen.

NIS-2-Implementierung ist kein Projekt mit Endtermin. Die aufgebauten Strukturen bereiten Ihr Unternehmen gleichzeitig auf kommende Regulierungswellen wie den Cyber Resilience Act vor. Wer jetzt handelt, investiert in dauerhafte Sicherheitsreife.

Fazit

Die NIS-2-Implementierung mag komplex erscheinen, doch mit dem richtigen Fahrplan wird sie zur beherrschbaren Aufgabe. Die wichtigsten Erkenntnisse auf einen Blick: Erstens, eine gründliche Bestandsaufnahme bildet das Fundament jeder erfolgreichen Umsetzung. Zweitens, strukturierte Prozesse und klare Verantwortlichkeiten reduzieren den Aufwand erheblich. Drittens, frühzeitiges Handeln schützt vor kostspieligen Bußgeldern und Reputationsschäden. Viertens, gut umgesetzte Cybersicherheit ist kein Kostenfaktor, sondern ein echter Wettbewerbsvorteil.

Der nächste Schritt liegt bei Ihnen. Starten Sie noch heute mit einer ersten Gap-Analyse und identifizieren Sie die dringlichsten Handlungsfelder in Ihrem Unternehmen.

Unternehmen, die NIS-2 konsequent umsetzen, investieren nicht nur in Compliance. Sie bauen eine widerstandsfähige digitale Infrastruktur, die langfristig Vertrauen schafft und Ihr Unternehmen zukunftssicher aufstellt.