NIS-2-Richtlinie: Was betroffene Unternehmen jetzt wissen müssen

Die Cybersicherheitslandschaft in Europa hat sich grundlegend verändert. Seit dem 17. Oktober 2024 gilt die NIS2-Richtlinie als verbindlicher Rechtsrahmen für tausende Unternehmen in der gesamten EU, und viele Verantwortliche stehen noch immer vor drängenden Fragen: Bin ich betroffen? Was muss ich konkret umsetzen? Welche Konsequenzen drohen bei Verstößen?

Die NIS2 Richtlinie ist keine bloße Aktualisierung ihres Vorgängers. Sie stellt eine fundamentale Erweiterung der europäischen Cybersicherheitsanforderungen dar, die deutlich mehr Branchen und Unternehmensgrößen erfasst als bisher. Wer die Tragweite dieser Regulierung unterschätzt, riskiert empfindliche Bußgelder und erhebliche Reputationsschäden.

In dieser Analyse erhalten Sie einen fundierten Überblick über die zentralen Anforderungen der Richtlinie, die betroffenen Sektoren sowie die konkreten Maßnahmen, die Ihr Unternehmen jetzt ergreifen sollte. Dabei beleuchten wir sowohl die technischen als auch die organisatorischen Pflichten, die der Gesetzgeber vorschreibt. Nach der Lektüre wissen Sie genau, wo Ihr Unternehmen steht und welche nächsten Schritte notwendig sind.

Was ist die NIS-2-Richtlinie?

Die NIS-2-Richtlinie (EU 2022/2555) ist die konsequente Weiterentwicklung der ersten Netzwerk- und Informationssicherheitsrichtlinie aus dem Jahr 2016. Während NIS-1 noch einen vergleichsweise engen Kreis an Betreibern kritischer Infrastrukturen adressierte, verfolgt ihr Nachfolger ein deutlich ambitionierteres Ziel: ein einheitlich hohes Cybersicherheitsniveau in sämtlichen EU-Mitgliedsstaaten zu etablieren und Cybersicherheit explizit als Kernaufgabe der Unternehmensführung zu verankern, nicht länger als rein technische Angelegenheit der IT-Abteilung.

Geltungsbereich und Schwellenwerte

Der Anwendungsbereich von NIS-2 ist gegenüber dem Vorgänger erheblich ausgeweitet worden. Unternehmen mit mindestens 50 Mitarbeitenden und einem Jahresumsatz von mindestens 10 Millionen Euro fallen in die Regulierung, sofern sie in einem der 18 festgelegten Sektoren tätig sind. Dazu zählen neben den klassischen KRITIS-Bereichen wie Energie, Gesundheit und Wasser nun auch Postdienste, industrielle Produktion, Lebensmittelversorgung und digitale Verwaltung. Allein in Deutschland werden schätzungsweise 25.000 bis 30.000 Organisationen von den neuen Anforderungen erfasst, gegenüber rund 2.000 Betreibern unter dem alten NIS-1-Rahmen. Das Gesetz unterscheidet dabei zwischen besonders wichtigen Einrichtungen (Essential Entities) und wichtigen Einrichtungen (Important Entities), die unterschiedlichen Aufsichtsintensitäten unterliegen.

Deutschlands Umsetzungsweg und der Verzug

Seit dem 17. Oktober 2024 gelten die EU-weiten Anforderungen der Richtlinie verbindlich. Deutschland hat diese Umsetzungsfrist jedoch nicht eingehalten, woraufhin die Europäische Kommission ein Vertragsverletzungsverfahren einleitete. Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) wurde schließlich am 5. Dezember 2025 verabschiedet und ersetzt das bisherige BSI-Gesetz vollständig. Weitere Informationen zum aktuellen Stand der deutschen Umsetzung bietet die Analyse auf openkritis.de zur NIS2-Implementierung in Deutschland sowie der detaillierte Transpositionsbericht zur NIS-2-Richtlinie in Deutschland.

Neue BSI-Befugnisse und europäischer Regulierungskontext

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) erhält durch das NIS2UmsuCG erweiterte Aufsichts- und Kontrollbefugnisse gegenüber betroffenen Einrichtungen, einschließlich der Möglichkeit proaktiver Prüfungen bei besonders wichtigen Einrichtungen. NIS-2 steht dabei nicht isoliert: Die Richtlinie ist Teil einer breiteren europäischen Regulierungswelle, die parallel den Cyber Resilience Act für vernetzte Produkte, den Digital Operational Resilience Act (DORA) für den Finanzsektor sowie das KRITIS-Dachgesetz für physische Infrastruktursicherheit umfasst. Für betroffene Unternehmen bedeutet das einen wachsenden, mehrdimensionalen Compliance-Druck, der eine strukturierte und vorausschauende Herangehensweise zwingend erfordert.

Ist Ihr Unternehmen betroffen? Sektoren und Schwellenwerte im Überblick

Die erste entscheidende Frage, die sich Geschäftsführer und Compliance-Verantwortliche stellen müssen, lautet nicht „Was fordert die NIS-2-Richtlinie?“, sondern: „Gilt sie überhaupt für uns?“ Die Antwort hängt von zwei klar definierten Kriterien ab, die kumulativ erfüllt sein müssen: Das Unternehmen beschäftigt mindestens 50 Mitarbeitende und erzielt einen Jahresumsatz von mehr als 10 Millionen Euro. Hinzu kommt die Zugehörigkeit zu einem der 18 festgelegten Sektoren, die im Anhang der Richtlinie abschließend aufgezählt sind. Werden diese Schwellenwerte nicht erreicht, entfällt die grundsätzliche Pflicht, es sei denn, das Unternehmen wird durch die zuständige Behörde ausdrücklich als kritisch eingestuft.

Die 18 Sektoren: Bekanntes und Neues im Geltungsbereich

Der Geltungsbereich der NIS-2-Richtlinie gliedert sich in zwei Anhänge, die zusammen 18 Sektoren umfassen. Anhang I erfasst die klassischen KRITIS-Bereiche mit hoher Kritikalität: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser und digitale Infrastruktur. Diese Sektoren waren bereits in der Vorgängerrichtlinie reguliert, unterliegen nun jedoch deutlich strengeren Anforderungen.

Anhang II bringt die eigentliche Erweiterung des Geltungsbereichs und schließt Sektoren ein, die bislang außerhalb jeder vergleichbaren Regulierung standen: Post- und Kurierdienste, Abfallbewirtschaftung, die Chemieindustrie, die Lebensmittelversorgung, das verarbeitende Gewerbe und die industrielle Produktion sowie die öffentliche Verwaltung und Forschungseinrichtungen. Gerade mittelständische Produktionsunternehmen und Logistikdienstleister stehen damit erstmals vor konkreten gesetzlichen Cybersicherheitspflichten, ohne dass sie dies bisher auf dem Radar hatten. Laut BSI fallen in Deutschland rund 30.000 Unternehmen unter die NIS-2-Anforderungen, ein erheblicher Teil davon zum ersten Mal überhaupt reguliert.

Besonders wichtige versus wichtige Einrichtungen

Ein zentrales Strukturmerkmal der NIS-2-Architektur ist die Unterscheidung zwischen zwei Kategorien betroffener Unternehmen, denn die Pflichtenniveaus und Aufsichtsintensitäten unterscheiden sich erheblich. Besonders wichtige Einrichtungen stammen in der Regel aus Anhang-I-Sektoren oder überschreiten die Schwelle von 250 Mitarbeitenden beziehungsweise 50 Millionen Euro Jahresumsatz. Sie unterliegen einer proaktiven, anlassunabhängigen Aufsicht durch das BSI und müssen mit höheren Bußgeldobergrenzen rechnen. Wichtige Einrichtungen aus Anhang-II-Sektoren werden nachgelagert beaufsichtigt, tragen aber dieselben grundlegenden Cybersicherheits- und Meldepflichten.

Praktischer Selbstcheck: Bin ich betroffen?

Für eine erste Betroffenheitsprüfung empfiehlt sich folgender Dreischritt. Erstens: Ist Ihr Tätigkeitsfeld einem der 18 Sektoren zuzuordnen? Zweitens: Beschäftigt Ihr Unternehmen mindestens 50 Personen und übersteigt der Jahresumsatz 10 Millionen Euro? Drittens: Fällt Ihr Unternehmen in Anhang I oder Anhang II, und welche Einrichtungskategorie ergibt sich daraus?

Wichtig ist dabei: Unternehmen, die zwar einem relevanten Sektor angehören, die Größenschwellen jedoch nicht erreichen, sind grundsätzlich ausgenommen. Ein Lebensmittelhersteller mit 30 Mitarbeitenden und 6 Millionen Euro Umsatz fällt trotz Sektorzugehörigkeit nicht unter die Richtlinie. Dennoch sollten auch kleinere Unternehmen die regulatorische Entwicklung aufmerksam verfolgen, denn als Zulieferer regulierter Unternehmen können sie mittelbar unter Druck geraten. Eine strukturierte Ersteinschätzung durch erfahrene Informationssicherheitsexperten verschafft hier schnell Klarheit über den tatsächlichen Handlungsbedarf.

Welche Pflichten entstehen und wie läuft die Umsetzung ab?

Wer unter die NIS-2-Richtlinie fällt, steht vor einem klar strukturierten, aber anspruchsvollen Pflichtenkatalog. Die Anforderungen lassen sich in fünf Kernbereiche gliedern, die aufeinander aufbauen und in ihrer Gesamtheit ein funktionsfähiges Informationssicherheitsmanagementsystem ergeben.

Risikobewertung als Fundament

Der Ausgangspunkt aller weiteren Maßnahmen ist die systematische Risikobewertung. Betroffene Einrichtungen sind gesetzlich verpflichtet, ihre IT-Risiken zu identifizieren, zu bewerten und vollständig zu dokumentieren. Das bedeutet konkret: Unternehmen müssen nachvollziehbare Prozesse etablieren, die Cyberrisiken regelmäßig erfassen, nach Eintrittswahrscheinlichkeit und Schadensausmaß priorisieren und mit entsprechenden Gegenmaßnahmen verknüpfen. Einmalige Bestandsaufnahmen reichen nicht aus; das Gesetz fordert kontinuierliche Audits und aktualisierte Sicherheitsrichtlinien. Ohne diese dokumentierte Risikobasis können alle weiteren Maßnahmen weder sinnvoll geplant noch gegenüber dem BSI nachgewiesen werden.

Technische und organisatorische Sicherheitsmaßnahmen

Auf Basis der Risikobewertung sind technische und organisatorische Sicherheitsmaßnahmen, kurz TOMs, verbindlich umzusetzen. Der Gesetzgeber nennt hier explizit Zugriffskontrollen, Verschlüsselung sensibler Daten, Incident-Response-Prozesse sowie ein funktionierendes Business-Continuity-Management. Zugriffskontrollen müssen nach dem Prinzip der minimalen Rechtevergabe gestaltet sein; Verschlüsselung gilt sowohl für Daten im Ruhezustand als auch in der Übertragung. Incident-Response-Prozesse müssen vorab definiert, getestet und mit klaren Zuständigkeiten versehen sein. Mappings zu etablierten Standards wie ISO 27001 oder dem BSI IT-Grundschutz erleichtern die praktische Umsetzung erheblich, weil sie die geforderten Maßnahmen in erprobte Rahmenwerke einbetten.

Dreistufige Meldepflichten bei Sicherheitsvorfällen

Besonders zeitkritisch ist die Meldestruktur bei Sicherheitsvorfällen. Das NIS2-Umsetzungsgesetz schreibt ein dreistufiges Verfahren vor: Innerhalb von 24 Stunden nach Bekanntwerden eines erheblichen Vorfalls muss eine erste Frühwarnung an das BSI erfolgen. Binnen 72 Stunden ist ein detaillierter Bericht mit Einschätzung der Ursache, der betroffenen Systeme und der bereits eingeleiteten Maßnahmen einzureichen. Nach einem Monat folgt ein Abschlussbericht mit vollständiger Analyse und Dokumentation der dauerhaften Gegenmaßnahmen. Dieses Stufenmodell erfordert funktionierende interne Eskalationswege und Kommunikationskanäle, die nicht erst im Ernstfall aufgebaut werden können.

Registrierungspflicht beim BSI

Unabhängig von konkreten Vorfällen besteht eine aktive Registrierungspflicht. Betroffene Einrichtungen müssen sich im BSI-Portal registrieren, wobei die Frist auf den 31. Juli 2026 festgesetzt wurde. Das Gesetz trat im Dezember 2025 ohne Übergangsfrist in Kraft, weshalb dieser Termin unmittelbar bindend ist. Die Registrierung ist kein bürokratischer Formalakt, sondern bildet die Grundlage für die behördliche Kommunikation und Aufsicht durch das BSI, das künftig auch unangekündigte Prüfungen durchführen darf.

Verantwortung der Leitungsebene

Ein häufig unterschätzter Aspekt der NIS-2-Richtlinie betrifft die persönliche Verantwortung von Geschäftsführern und Vorständen. Die bloße Delegation an die IT-Abteilung genügt dem Gesetz ausdrücklich nicht. Führungskräfte müssen Kenntnisse über die im Unternehmen implementierten Cybersicherheitsmaßnahmen aktiv nachweisen können und haften persönlich für Verstöße. Das BSI beschließt dazu konkrete Durchsetzungsbefugnisse, die Schulungs- und Nachweispflichten für die Leitungsebene verbindlich verankern. Regelmäßige Managementschulungen, dokumentierte Teilnahmenachweise und eine aktive Einbindung der Führungsebene in Sicherheitsentscheidungen sind daher keine optionalen Best Practices, sondern regulatorische Mindestanforderungen mit Haftungsrelevanz.

Bußgelder und persönliche Haftung der Geschäftsleitung

Die finanziellen Konsequenzen eines NIS-2-Verstoßes sind erheblich und richten sich nach der Einstufung des betroffenen Unternehmens. Für besonders wichtige Einrichtungen sieht das NIS2-Umsetzungsgesetz Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor, wobei stets der höhere der beiden Beträge maßgeblich ist. Die prozentuale Schwelle von 2 Prozent greift bei Unternehmen mit einem weltweiten Umsatz von mehr als 500 Millionen Euro und kann die absolute Obergrenze damit deutlich übersteigen. Für wichtige Einrichtungen gilt ein Bußgeldrahmen von bis zu 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes. Bußgeldauslösende Tatbestände nach §65 BSIG umfassen unter anderem fehlende oder unvollständige Cybersicherheitsvorkehrungen, mangelhafte Dokumentation sowie versäumte oder verspätete Meldungen an das BSI.

Persönliche Haftung als Paradigmenwechsel

Was viele Führungskräfte unterschätzen: Die NIS-2-Richtlinie bedeutet gegenüber früheren Regelungen einen fundamentalen Wandel in der Verantwortungszuschreibung. Geschäftsführer und Vorstände haften nach Art. 20 NIS2 beziehungsweise §38 BSIG direkt und persönlich für die Erfüllung der Sicherheitspflichten ihrer Organisation, zusätzlich zu etwaigen Bußgeldern gegen das Unternehmen selbst. Die Pflicht beschränkt sich nicht auf die bloße Genehmigung von Sicherheitskonzepten: Die Leitungsebene muss die Umsetzung der Risikomanagementmaßnahmen aktiv überwachen und deren Wirksamkeit nachweislich kontrollieren. Seit dem Inkrafttreten des NIS2UmsuCG am 6. Dezember 2025 gilt dies auch ausdrücklich für den Mittelstand, wie eine aktuelle Analyse der Cybersicherheitsfolgen für Unternehmen unterstreicht.

Keine Absicherung durch reine Delegation

Ein häufig anzutreffendes Missverständnis besteht darin, dass die Übertragung der IT-Sicherheitsverantwortung an eine Fachabteilung oder einen externen Dienstleister die Geschäftsleitung von ihrer Haftung befreit. Dies ist unter NIS-2 ausdrücklich nicht der Fall. Die Gesamtverantwortung verbleibt bei der Leitungsebene; eigene Kenntnisse über Cybersicherheitsrisiken sowie eine aktive Steuerungsfunktion sind nachzuweisen. NIS-2 schreibt zudem vor, dass nicht nur Mitarbeitende, sondern auch Leitungsorgane regelmäßig zu Cybersicherheitsthemen geschult werden. Eine einmalige Awareness-Kampagne erfüllt diese Anforderung nicht. Kommt es zu einer Pflichtverletzung, greift zusätzlich eine gesellschaftsrechtliche Binnenhaftung gegenüber der eigenen Einrichtung, etwa auf Basis von §93 AktG, und subsidiär ein gesetzlicher Auffangtatbestand im BSIG.

Praxishinweis: Strukturierte Sicherheitsorganisation als Haftungsschutz

Der wirksamste Schutz vor persönlicher Haftung ist der lückenlose Nachweis, dass angemessene Sicherheitsmaßnahmen ergriffen und dokumentiert wurden. Wie die NIS2-Geschäftsführerhaftung konkret ausgestaltet ist, zeigt, dass ein zertifiziertes Informationssicherheits-Managementsystem (ISMS), etwa nach ISO 27001, im Streitfall haftungsmindernd wirken kann. Es belegt gegenüber Aufsichtsbehörden und Gerichten, dass die Geschäftsleitung Cybersicherheit nicht nur formal, sondern strukturiert und nachvollziehbar gesteuert hat. Dabei gilt: Fehlende Dokumentation ist nach §65 BSIG selbst ein eigenständiger Bußgeldtatbestand. Unternehmen, die jetzt handeln, schaffen nicht nur Compliance, sondern auch eine belastbare Grundlage für ihre persönliche Haftungsabsicherung.

NIS-2 und die Lieferkette: Auch indirekt Betroffene sind gefordert

Die NIS-2-Richtlinie entfaltet ihre Wirkung weit über die direkt regulierten Einrichtungen hinaus. Wer als Unternehmen glaubt, die Schwellenwerte von 50 Mitarbeitenden und 10 Millionen Euro Jahresumsatz sicher zu unterschreiten, und sich deshalb in Sicherheit wiegt, übersieht einen entscheidenden Mechanismus: den vertraglichen Weitergabedruck entlang der Lieferkette.

Der Kaskadeneffekt: Sicherheitsanforderungen wandern durch die Lieferkette

Regulierte Einrichtungen sind nach dem deutschen Umsetzungsgesetz (NIS2UmsuCG) ausdrücklich verpflichtet, Sicherheitsanforderungen vertraglich an ihre Lieferanten und Dienstleister weiterzugeben. Das bedeutet konkret: Lieferanten-Risikobewertungen und vertragliche Sicherheitsklauseln sind keine freiwilligen Best-Practice-Maßnahmen, sondern Pflichtbestandteile eines NIS-2-konformen Risikomanagements. Wie secjur in seiner Analyse zu NIS2 und der Lieferkette ausführt, müssen wesentliche und wichtige Einrichtungen die gesamte Lieferkette im Blick behalten, von IT-Dienstleistern über Softwareanbieter bis hin zu Cloud-Infrastrukturen. Dieser sogenannte Kaskadeneffekt sorgt dafür, dass NIS-2-Anforderungen faktisch auch bei Unternehmen ankommen, die formal gar nicht unter die Richtlinie fallen.

Welche Unternehmen geraten in den Fokus?

Besonders stark betroffen sind Unternehmenstypen, die als kritische Dienstleister für regulierte Sektoren agieren. Dazu zählen IT-Dienstleister und Managed-Service-Provider, die für Energieversorger, Krankenhäuser oder Logistikkonzerne tätig sind. Ebenso betroffen sind Softwareanbieter als Teil digitaler Lieferketten, Industriezulieferer aus Fertigung und Produktion sowie Logistikunternehmen, die Leistungen für kritische Infrastrukturen erbringen. Diese Unternehmen müssen damit rechnen, dass ihre Auftraggeber sie aktiv auf Sicherheitsreife prüfen und entsprechende Nachweise einfordern. Das NIS-2-Portal der Europäischen Kommission bestätigt, dass die Richtlinie ausdrücklich Maßnahmen zur Lieferkettensicherheit als Teil nationaler Cybersicherheitsstrategien vorschreibt.

Vertragsrechtliche Konsequenzen sind real und gravierend

Wer als Zulieferer keine ausreichenden Sicherheitsnachweise vorweisen kann, riskiert handfeste wirtschaftliche Konsequenzen. Regulierte Einrichtungen haften für die Sicherheitsleistung ihrer Dienstleister und müssen nachweisen, dass sie nur konforme Partner einsetzen. Das führt in der Praxis zur Kündigung bestehender Lieferantenbeziehungen, sobald Konformitätslücken offenkundig werden. Gleichzeitig wird NIS-2-Konformität zunehmend als Vergabekriterium in Ausschreibungen aufgenommen, sodass nicht zertifizierte Anbieter bereits in der Vorauswahl herausfallen können. Der Ausschluss aus einer einzigen Ausschreibung kann dabei wirtschaftlich schwerer wiegen als die Investition in ein angemessenes Sicherheitsniveau.

Strategische Empfehlung: Proaktiv handeln statt reaktiv nachziehen

Nicht direkt regulierte Unternehmen sollten ihre Sicherheitsorganisation frühzeitig auf NIS-2-Niveau anheben, ohne auf den formalen Druck ihrer Auftraggeber zu warten. Ein strukturierter Aufbau nach anerkannten Standards wie ISO 27001 liefert dabei nicht nur den geforderten Nachweis gegenüber Auftraggebern, sondern stärkt gleichzeitig die eigene Resilienz gegenüber Cyberbedrohungen. Wer jetzt handelt, sichert sich einen messbaren Wettbewerbsvorteil gegenüber Mitbewerbern, die das Thema weiterhin aufschieben. Die Lieferkette ist kein Randthema der NIS-2-Richtlinie, sondern eines ihrer zentralen Anwendungsfelder.

ISO 27001 als strukturierter Weg zur NIS-2-Konformität

Ein nach ISO 27001 zertifiziertes Informationssicherheits-Managementsystem (ISMS) ist derzeit der effektivste strukturelle Rahmen, um NIS-2-Konformität systematisch herzustellen. Die inhaltlichen Überschneidungen zwischen dem internationalen Standard und den Anforderungen aus Artikel 21 der NIS-2-Richtlinie sind erheblich: Risikoanalyse und Risikobewertung, die Ableitung und Dokumentation von Sicherheitsmaßnahmen, das Management von Sicherheitsvorfällen, Business-Continuity-Planung sowie der Grundsatz der kontinuierlichen Verbesserung sind Kernbestandteile beider Frameworks. ISO 27001 ist zudem als Bezugsrahmen für NIS-2 ausdrücklich anerkannt, international kommunizierbar und zertifizierbar, was gegenüber Behörden, Kunden und Geschäftspartnern einen klaren Nachweis der Sicherheitsreife ermöglicht.

BSI IT-Grundschutz als alternative Umsetzungsgrundlage

Für Unternehmen mit enger Anbindung an Behörden oder mit Nähe zu KRITIS-Sektoren bietet der BSI IT-Grundschutz eine in Deutschland behördlich etablierte und methodisch ausgesprochen detaillierte Alternative. Das BSI ist als nationale Aufsichtsbehörde für NIS-2 direkt verantwortlich und hat den IT-Grundschutz explizit als anerkannte Umsetzungsmethodik in seinen Auftrag verankert. Der IT-Grundschutz liefert branchenspezifische Bausteine, konkrete Absicherungsprofile und eine dokumentierte Vorgehensweise, die besonders für Organisationen geeignet ist, die mit öffentlichen Stellen zusammenarbeiten oder in regulierten Sektoren wie Energie, Gesundheit oder Verwaltungsinfrastruktur tätig sind. Beide Ansätze schließen sich nicht gegenseitig aus; in der Praxis werden sie häufig kombiniert eingesetzt.

Synergieeffekte statt Parallelstrukturen

Wer bereits ein funktionierendes ISMS betreibt, steht vor einer deutlich günstigeren Ausgangslage als Unternehmen, die ganz neu beginnen müssen. Die gute Nachricht: Ein paralleler Aufbau einer separaten NIS-2-Compliance-Struktur ist nicht erforderlich. Bestehende Prozesse für Risikobewertung, Lieferantenmanagement, Zugriffssteuerung und Incident Response lassen sich gezielt um die spezifischen NIS-2-Anforderungen erweitern, etwa durch Ergänzung der Meldeworkflows nach Artikel 23 oder durch Schärfung der Kriterien für erhebliche Sicherheitsvorfälle. Fachleute beschreiben diesen kombinierten Ansatz als pragmatischsten Weg zu regulatorischer Sicherheit und operativer Resilienz. Mapping-Tabellen, die NIS-2-Artikel direkt auf ISO-27001-Klauseln beziehen, helfen dabei, Lücken effizient zu identifizieren und bestehende Dokumentation nutzbar zu machen.

GAP-Analyse als unverzichtbarer erster Schritt

Bevor konkrete Maßnahmen ergriffen werden, braucht jedes Unternehmen eine ehrliche Bestandsaufnahme. Eine strukturierte GAP-Analyse vergleicht den tatsächlichen Sicherheitsstand mit den NIS-2-Anforderungen und zeigt transparent auf, in welchen Bereichen Handlungsbedarf besteht, welche Prozesse bereits ausreichend dokumentiert sind und wo technische oder organisatorische Nachbesserung erforderlich wird. Dieser erste Schritt verhindert blinde Aktionismus und schafft eine priorisierte Umsetzungsroadmap, die Ressourcen gezielt einsetzt. Sicherheitsmaßnahmen lassen sich nicht kurzfristig einführen; sie erfordern organisatorische Vorbereitung, Management-Commitment und technische Integration über einen realistischen Zeitraum.

Cognic begleitet Unternehmen beim vollständigen Aufbau und der Implementierung eines ISMS nach ISO 27001 oder BSI IT-Grundschutz, beginnend mit einer strukturierten GAP-Analyse bis hin zur audit-reifen Dokumentation. Als externer Informationssicherheitsbeauftragter oder Projektleiter übernimmt Cognic dabei operative Verantwortung, sodass interne Ressourcen geschont und Umsetzungsfristen zuverlässig eingehalten werden.

Externer Informationssicherheitsbeauftragter: Die kosteneffiziente Lösung für den Mittelstand

Der Mittelstand steht vor einem strukturellen Dilemma: Die NIS-2-Richtlinie fordert eine professionelle Sicherheitsorganisation, doch die wenigsten betroffenen Unternehmen verfügen über die personellen und finanziellen Ressourcen, um einen vollwertigen internen CISO oder Informationssicherheitsbeauftragten zu beschäftigen. Rund 29.000 Unternehmen in Deutschland fallen erstmals unter die neuen Anforderungen, viele davon mittelständische Betriebe mit 50 bis 250 Mitarbeitenden, die bislang keine dedizierte Sicherheitsfunktion aufgebaut haben. Ein interner ISB in Vollzeit bedeutet nicht nur Gehaltskosten von typischerweise 70.000 bis 100.000 Euro jährlich, zuzüglich Sozialabgaben und Weiterbildungsbudget, sondern auch ein erhebliches Abhängigkeitsrisiko: Verlässt die Person das Unternehmen, reißt sie das gesamte institutionelle Sicherheitswissen mit.

Der externe ISB als strategische Alternative

Ein externer Informationssicherheitsbeauftragter beseitigt diese Engpässe, ohne die Compliance-Anforderungen zu kompromittieren. Er bringt sofort einsatzbereites Fachwissen mit, kennt die aktuellen regulatorischen Anforderungen des NIS2UmsuCG ebenso wie relevante Standards wie ISO 27001 und BSI IT-Grundschutz, und kann vom ersten Tag an operativ tätig werden. Es gibt keine Einarbeitungszeit, keine Vakanzphasen bei Fluktuation und keine Kosten für eine Vollzeitstelle. Stattdessen wird die Leistung flexibel nach Projektbedarf oder als laufendes Retainer-Modell eingekauft, was gerade in der intensiven Aufbauphase eines ISMS erhebliche Kosteneinsparungen ermöglicht.

Der Leistungsumfang eines externen ISB umfasst dabei alle Kernfunktionen, die die NIS-2-Richtlinie von betroffenen Einrichtungen fordert. Konkret bedeutet das: die formale Übernahme der Funktion des Informationssicherheitsbeauftragten gegenüber Behörden und intern, die Steuerung von ISMS-Projekten nach anerkannten Standards, die strukturierte Vorbereitung auf Audits durch auditreife Dokumentation sowie die Koordination von Meldeprozessen bei Sicherheitsvorfällen gemäß den strengen NIS-2-Fristen. Gerade die Meldepflicht, mit einer ersten Benachrichtigungspflicht von 24 Stunden nach Bekanntwerden eines erheblichen Vorfalls, erfordert etablierte Prozesse und erfahrene Koordination, die intern kaum ad hoc aufgebaut werden können.

Cognic als externer Implementierungspartner

Cognic agiert in diesem Modell wahlweise als externer ISB, Projektleiter oder vollständiger Implementierungspartner. Das Unternehmen liefert auditreife Sicherheitskonzepte für Betriebe, die NIS-2-Compliance effizient und ohne unnötigen Ressourcenaufwand erreichen wollen, einschließlich ISO 27001 ISMS-Implementierung, BSI IT-Grundschutz, Business Continuity Management und Compliance-Automatisierung über SaaS-Plattformen. Dieser Ansatz ist besonders für Unternehmen relevant, die gleichzeitig als direkt regulierte Einrichtungen und als Teil regulierter Lieferketten betroffen sind.

Kostenvergleich: Interne Stelle vs. externer ISB

Für mittelständische Unternehmen unter der NIS-2-Richtlinie ist der externe ISB damit nicht nur die kostengünstigere, sondern in den meisten Fällen auch die fachlich überlegene Lösung, solange kein ausreichend großes internes Sicherheitsteam aufgebaut werden kann oder soll.

Jetzt handeln: Erste Schritte zur NIS-2-Compliance

Die folgenden fünf Schritte bilden einen praxiserprobten Einstiegspfad, mit dem betroffene Unternehmen strukturiert und ohne unnötigen Zeitverlust in die NIS-2-Compliance einsteigen können.

Schritt 1: Betroffenheitsprüfung

Der erste Schritt ist die systematische Klärung, ob und in welcher Kategorie das eigene Unternehmen unter die Richtlinie fällt. Entscheidend sind drei Kriterien: Sektorzugehörigkeit (einer der 18 festgelegten Sektoren), Mitarbeiterzahl (mindestens 50) und Jahresumsatz (mindestens 10 Millionen Euro). Das Ergebnis dieser Prüfung bestimmt, ob das Unternehmen als „besonders wichtig“ oder „wichtig“ eingestuft wird. Diese Kategorisierung ist nicht trivial, denn sie legt sowohl die Intensität der BSI-Aufsicht als auch das Bußgeldrisiko fest. Die NACE-Rev.-2-Wirtschaftsklassifikation des Unternehmens liefert dabei eine belastbare Grundlage für die Zuordnung.

Schritt 2: GAP-Analyse

Nach der Betroffenheitsprüfung folgt der strukturierte Abgleich des aktuellen Sicherheitsstands mit den NIS-2-Anforderungen gemäß Artikel 21. Als Referenzrahmen empfehlen sich ISO 27001 oder der BSI IT-Grundschutz, da beide erhebliche inhaltliche Überschneidungen mit den geforderten technischen und organisatorischen Maßnahmen aufweisen. Die GAP-Analyse deckt auf, welche Bereiche bereits konform sind und wo konkreter Handlungsbedarf besteht, zum Beispiel bei Risikoanalyse, Zugriffskontrolle, Schwachstellenmanagement oder Kryptografie. Eine belastbare NIS2-Compliance-Checkliste kann diesen Prozess erheblich beschleunigen.

Schritt 3: Maßnahmenplan und Meldeprozesse

Auf Basis der GAP-Analyse wird ein priorisierter Maßnahmenplan erstellt, der klare Verantwortlichkeiten, Umsetzungsfristen und Ressourcen definiert. Besondere Dringlichkeit haben funktionierende Meldeprozesse: Artikel 23 der Richtlinie schreibt eine Erstmeldung an das BSI oder zuständige CSIRT innerhalb von 24 Stunden nach Kenntnisnahme eines erheblichen Vorfalls vor. Dieser Prozess muss technisch und organisatorisch etabliert sein, bevor der Ernstfall eintritt.

Schritt 4: BSI-Registrierung vorbereiten

Sobald das NIS2UmsuCG in Kraft tritt, sind betroffene Unternehmen zur Registrierung beim BSI verpflichtet. Die Vorbereitungsarbeiten, insbesondere die Zusammenstellung der erforderlichen Organisationsdaten und die Benennung verantwortlicher Ansprechpartner, sollten jetzt beginnen. Enforcement-Maßnahmen setzen unmittelbar nach nationalem Inkrafttreten ein; Abwarten ist keine risikofreie Strategie. Aktuelle Informationen zu Registrierungsverfahren und Fristen bietet die offizielle NIS-2-Informationsplattform.

Schritt 5: Externe Unterstützung einbeziehen

Fehlen intern die Kapazitäten oder das spezialisierte Know-how, ist externe Unterstützung keine Schwäche, sondern ein strategisch sinnvoller Hebel. Cognic begleitet Unternehmen von der initialen Betroffenheitsprüfung über die GAP-Analyse bis zur audit-reifen ISMS-Implementierung, wahlweise als externer Informationssicherheitsbeauftragter, Projektleiter oder Umsetzer. Ein erster Beratungstermin genügt, um den konkreten Umsetzungsaufwand klar einzugrenzen und einen realistischen Projektplan zu entwickeln.

Fazit: NIS-2-Compliance ist kein Projekt auf Vorrat

Die NIS-2-Richtlinie ist seit Oktober 2024 EU-weit verbindlich wirksam. Mit dem deutschen Umsetzungsgesetz, das im Dezember 2025 im Bundesgesetzblatt verkündet wurde, entsteht nun der nationale Durchsetzungsrahmen mit klaren Bußgeld- und Haftungsregeln. Wer jetzt noch abwartet, riskiert nicht nur empfindliche Strafen, sondern verliert wertvolle Umsetzungszeit: Ein belastbares NIS-2-Compliance-Programm erfordert realistisch neun bis achtzehn Monate.

Unternehmen, die frühzeitig handeln, sichern sich gleich mehrfach ab. Sie vermeiden Bußgeldrisiken, stärken ihre Position gegenüber Kunden und Auftraggebern, die NIS-2-konforme Lieferantenbeziehungen zunehmend vertraglich einfordern, und schaffen eine belastbare Sicherheitsorganisation, die auch künftigen Regulierungsanforderungen standhält.

ISO 27001 und ein externer Informationssicherheitsbeauftragter sind dabei die effizientesten Hebel für mittelständische Unternehmen mit begrenzten Ressourcen. Beide Instrumente ermöglichen eine strukturierte, nachweisbare Umsetzung ohne überdimensionierten internen Aufbau.

Cognic begleitet Unternehmen entlang des gesamten Weges: von der dokumentierten Betroffenheitsanalyse über die Gap-Bewertung und ISMS-Implementierung bis zur auditfähigen NIS-2-Compliance. Der erste Schritt kostet weniger Zeit als erwartet. Das Risiko des Wartens dagegen wächst mit jedem Monat.

Fazit

Die NIS2-Richtlinie ist Realität, und die Zeit zum Handeln ist jetzt. Die wichtigsten Erkenntnisse auf einen Blick: Deutlich mehr Unternehmen als bisher sind betroffen, die Anforderungen umfassen sowohl technische als auch organisatorische Maßnahmen, Verstöße können empfindliche Bußgelder nach sich ziehen, und die Geschäftsführung trägt persönliche Verantwortung für die Umsetzung.

Nutzen Sie diesen Moment nicht als Bedrohung, sondern als Chance. Unternehmen, die NIS2 konsequent umsetzen, stärken nicht nur ihre Compliance, sondern auch ihre Widerstandsfähigkeit gegenüber realen Cyberbedrohungen.

Ihr nächster Schritt: Führen Sie noch diese Woche eine erste Bestandsaufnahme durch. Prüfen Sie Ihre Betroffenheit, identifizieren Sie bestehende Lücken und setzen Sie klare Prioritäten. Cybersicherheit ist kein einmaliges Projekt; sie ist ein kontinuierlicher Prozess, der heute beginnt.