NIS-2 ist die zweite EU-Richtlinie zur Sicherheit von Netz- und Informationssystemen. Sie soll das Cybersicherheitsniveau in der EU deutlich anheben, mehr Sektoren erfassen, Meldepflichten vereinheitlichen und dafür sorgen, dass Cyberrisiken nicht länger nur als IT-Thema behandelt werden. Die EU-Kommission beschreibt NIS-2 als einheitlichen Rechtsrahmen für 18 kritische Sektoren, mit strengeren Anforderungen an Risikomanagement, Vorfallmeldung, Aufsicht und Durchsetzung.
In Deutschland ist die Umsetzung seit dem 6. Dezember 2025 in Kraft. Damit ist NIS-2 kein abstraktes Zukunftsthema mehr, sondern operative Compliance-Realität für betroffene Unternehmen und Einrichtungen. Die Bundesregierung formuliert das Ziel klar: wichtige Einrichtungen und den europäischen Binnenmarkt schützen, Abwehrfähigkeit stärken und einheitliche Sicherheitsstandards verbindlich machen.
NIS-2 ist kein IT-Projekt, sondern ein Führungs- und Resilienzthema
Viele Unternehmen starten bei NIS-2 reflexartig mit Tools, Policies oder technischen Einzelmaßnahmen. Das ist nachvollziehbar, greift aber zu kurz. NIS-2 fragt nicht zuerst, ob ein Unternehmen ein bestimmtes Produkt eingeführt hat. NIS-2 fragt, ob Cyberrisiken systematisch gesteuert werden, ob Verantwortlichkeiten klar sind, ob kritische Dienste auch unter Stress handlungsfähig bleiben und ob Sicherheitsvorfälle fristgerecht erkannt, bewertet und gemeldet werden können.
Der erste pragmatische Schritt ist daher die saubere Betroffenheitsprüfung. In Deutschland unterscheidet das novellierte BSI-Gesetz unter anderem zwischen „besonders wichtigen Einrichtungen“ und „wichtigen Einrichtungen“; zentrale Pflichten finden sich etwa in den Regelungen zu Risikomanagement, Registrierung, Meldung, Nachweis und Geschäftsleitung. Das BSI stellt dafür eine Betroffenheitsprüfung und einen Entscheidungsbaum bereit, weist aber ausdrücklich darauf hin, dass das Ergebnis nicht rechtlich bindend ist und im Zweifel juristische Beratung hinzugezogen werden sollte.
Gerade hier entstehen in der Praxis die ersten Fehlentscheidungen. Manche Unternehmen unterschätzen ihre Rolle in einem regulierten Sektor, andere betrachten nur die Muttergesellschaft und übersehen Tochtergesellschaften, Betriebsstätten, verbundene Dienste oder grenzüberschreitende Leistungsbeziehungen. Eine belastbare Betroffenheitsanalyse gehört deshalb dokumentiert. Sie sollte nicht nur beantworten, ob NIS-2 gilt, sondern auch warum diese Einschätzung getroffen wurde, welche Gesellschaften und Leistungen umfasst sind und wer die Verantwortung für die weitere Umsetzung trägt.
Die Geschäftsführung gibt nicht nur frei, sie steuert
NIS-2 hebt Cybersicherheit auf die Ebene der Unternehmensleitung. Die EU-Kommission betont ausdrücklich die Verantwortung der obersten Leitung für Nichtbeachtung von Cyber-Risikomanagementmaßnahmen und damit den Schritt „in den Boardroom“. In der deutschen Umsetzung spiegelt sich das unter anderem in den Pflichten der Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen wider.
Praktisch bedeutet das: Die Geschäftsführung muss nicht jedes technische Detail selbst bewerten, aber sie muss den Rahmen setzen. Dazu gehören ein klares Risikoverständnis, ein genehmigtes Sicherheitsbudget, eine belastbare Governance, definierte Rollen, regelmäßige Berichte und die Bereitschaft, Restrisiken bewusst zu akzeptieren oder eben nicht. Cybersecurity wird damit Teil der Unternehmenssteuerung, vergleichbar mit Finanzen, Recht, Datenschutz oder Arbeitssicherheit.
Ein wirksamer NIS-2-Ansatz beginnt deshalb mit einer Managemententscheidung: Welche kritischen Leistungen müssen geschützt werden? Welche Ausfallzeiten sind akzeptabel? Welche Risiken sind geschäftskritisch? Welche Investitionen sind notwendig, um ein angemessenes Sicherheitsniveau zu erreichen? Wer diese Fragen nicht beantwortet, wird später zwar Dokumente haben, aber keine Steuerungsfähigkeit.
Das ISMS ist der operative Kern der NIS-2-Konformität
Ein Informationssicherheitsmanagementsystem, kurz ISMS, ist der Ort, an dem NIS-2 praktisch beherrschbar wird. Ein gutes ISMS übersetzt regulatorische Anforderungen in ein wiederholbares System aus Verantwortlichkeiten, Risikoanalysen, Schutzmaßnahmen, Nachweisen, Kontrollen und Verbesserungen. ISO/IEC 27001 beschreibt ein ISMS als System, das Vertraulichkeit, Integrität und Verfügbarkeit von Informationen durch einen Risikomanagementprozess schützt. Der BSI IT-Grundschutz und der künftige Grundschutz++ sind nach Angaben des BSI kompatibel zur ISO 27001 und bieten für deutsche Organisationen eine etablierte methodische Brücke.
Für NIS-2 ist entscheidend, dass das ISMS nicht als Zertifizierungsprojekt missverstanden wird. Eine Zertifizierung kann sinnvoll sein, etwa für Kundenanforderungen, Ausschreibungen, Nachweispflichten oder internationale Governance. Sie ersetzt aber nicht automatisch die konkrete NIS-2-Umsetzung. Umgekehrt kann ein Unternehmen auch ohne sofortige Zertifizierungsambition sehr pragmatisch beginnen: kritische Assets erfassen, Risiken bewerten, Maßnahmen priorisieren, Lieferanten einbeziehen, Incident Response definieren und die Wirksamkeit regelmäßig überprüfen.
Der Unterschied zwischen Papierlage und echter Konformität zeigt sich im Ernstfall. Gibt es ein aktuelles Asset- und Serviceverzeichnis? Sind Identitäten, Berechtigungen und privilegierte Zugriffe kontrolliert? Sind Schwachstellenprozesse messbar? Sind Backups geschützt und getestet? Gibt es ein Lagebild aus Logging, Monitoring und Incident Response? Werden Sicherheitsentscheidungen nachvollziehbar dokumentiert? Genau an diesen Stellen wird aus einem ISMS ein Steuerungssystem statt einer Dokumentenablage.
BCM macht aus Sicherheit echte Widerstandsfähigkeit
NIS-2 ist eng mit Resilienz verbunden. Es reicht nicht, Angriffe zu verhindern. Unternehmen müssen auch in der Lage sein, Sicherheitsvorfälle zu bewältigen, Dienste wiederherzustellen und in Krisensituationen entscheidungsfähig zu bleiben. Das ist der Punkt, an dem Business Continuity Management ins Zentrum rückt.
BCM beantwortet die Fragen, die in vielen Sicherheitsprogrammen zu spät gestellt werden: Welche Geschäftsprozesse sind zeitkritisch? Welche Systeme, Daten, Standorte, Personen und Dienstleister hängen daran? Welche Wiederanlaufzeiten sind realistisch? Welche manuellen Ausweichprozesse gibt es? Wer entscheidet in der Krise, wer kommuniziert und wer dokumentiert? Der BSI-Standard 200-4 bietet hierfür eine praxisnahe Anleitung zum Aufbau eines Business Continuity Management Systems.
In der NIS-2-Praxis sollten ISMS und BCM nicht nebeneinander herlaufen. Das ISMS identifiziert und behandelt Informationssicherheitsrisiken. Das BCM bewertet die Auswirkungen auf Geschäftsprozesse und sorgt für Wiederanlauf- und Krisenfähigkeit. Incident Response verbindet beide Welten: technisch analysieren, organisatorisch eskalieren, regulatorisch melden, geschäftlich stabilisieren. Wenn diese Kette nicht geübt ist, entstehen im Vorfall die teuersten Lücken.
Besonders relevant sind die Meldepflichten. Das BSI beschreibt für betroffene Einrichtungen Meldefristen von 24 Stunden für die frühe Erstmeldung, 72 Stunden für die Meldung und 30 Tagen für Abschluss- beziehungsweise Folgemeldungen; die Meldung umfasst unter anderem Schweregrad, Auswirkungen, Kompromittierungsindikatoren und Kontaktinformationen. Wer diese Fristen erst dann organisatorisch klärt, wenn ein Ransomware-Vorfall läuft, ist zu spät. Meldefähigkeit muss vorbereitet, geübt und in Krisenhandbüchern verankert sein.
KI ist kein Shortcut, sondern ein neuer Risikobaustein
Künstliche Intelligenz spielt in der NIS-2-Umsetzung eine doppelte Rolle. Einerseits kann KI helfen, Sicherheitsereignisse schneller zu korrelieren, Phishing zu erkennen, Schwachstellen zu priorisieren, Dokumentation vorzubereiten oder Awareness zielgruppengerechter zu machen. Andererseits schafft KI neue Angriffsflächen und Governance-Fragen. Das BSI weist darauf hin, dass generative KI-Modelle neue IT-Sicherheitsrisiken erzeugen und bekannte Bedrohungen verstärken können.
Pragmatisch heißt das: KI-Systeme gehören in das ISMS. Sie sind Assets, Anwendungen, Datenverarbeiter, Lieferantenleistungen oder produktive Komponenten und müssen entsprechend bewertet werden. Welche Daten dürfen in externe Modelle eingegeben werden? Welche Fachprozesse nutzen KI bereits informell? Welche KI-Funktionen sind in Sicherheitswerkzeugen, Cloud-Diensten oder Softwareprodukten enthalten? Welche Risiken entstehen durch Prompt Injection, Datenabfluss, fehlerhafte Empfehlungen, Modellabhängigkeiten oder unklare Verantwortlichkeiten?
KI kann NIS-2-Umsetzung beschleunigen, aber sie ersetzt keine Governance. Gerade im Sicherheitsbetrieb sollte klar geregelt sein, welche KI-Ausgaben automatisch verarbeitet werden dürfen, wo menschliche Freigabe notwendig bleibt und wie Fehlentscheidungen nachvollzogen werden. Wer KI im SOC, im Schwachstellenmanagement oder in der Incident Response nutzt, sollte Nachvollziehbarkeit, Datenklassifizierung, Rollenmodelle und Lieferantenkontrolle besonders ernst nehmen.
Lieferkette, Cloud und Dienstleister entscheiden mit über Konformität
NIS-2 betrachtet Cybersicherheit nicht isoliert innerhalb der eigenen Unternehmensgrenzen. Die Richtlinie adressiert ausdrücklich Lieferketten, Dienstleisterbeziehungen und Sicherheitsaspekte in Beschaffung, Entwicklung und Betrieb. Die EU-Kommission nennt Supply-Chain-Sicherheit und Verwundbarkeitsmanagement als Bestandteile nationaler Cybersicherheitsstrategien und NIS-2-Pflichten.
Das ist einer der größten Praxishebel. Viele kritische Dienste hängen heute an Cloud-Plattformen, Managed Service Providern, SaaS-Anbietern, Softwarelieferanten, Rechenzentren, OT-Dienstleistern oder spezialisierten Integratoren. NIS-2-konform kann ein Unternehmen nur werden, wenn diese Abhängigkeiten bekannt, bewertet und vertraglich beherrscht werden. Dazu gehören Sicherheitsanforderungen in Verträgen, Meldeketten bei Vorfällen, Prüf- und Auskunftsrechte, Mindeststandards für Zugriffsschutz, Regelungen zu Subdienstleistern und realistische Exit- beziehungsweise Wiederanlaufoptionen.
Gerade mittelständische Unternehmen sollten hier pragmatisch priorisieren. Nicht jeder Lieferant braucht denselben Prüfaufwand. Kritisch sind jene Dienstleister, die Zugang zu sensiblen Daten, administrativen Rechten, produktionsnahen Systemen oder geschäftskritischen Prozessen haben. Dort lohnt sich eine tiefe Prüfung deutlich mehr als ein generischer Fragebogen an alle Lieferanten.
Der pragmatische Weg zur NIS-2-Konformität
NIS-2-konform wird ein Unternehmen nicht durch ein einzelnes Projekt, sondern durch ein belastbares Betriebsmodell. Der Start sollte nüchtern sein: Betroffenheit klären, Ergebnis dokumentieren, Geschäftsführung einbinden, Verantwortliche benennen, Registrierungspflichten erfüllen und die wichtigsten Sicherheits- und Meldeprozesse priorisieren. Das BSI beschreibt, dass betroffene Einrichtungen sich registrieren, erhebliche Sicherheitsvorfälle melden sowie Risikomanagementmaßnahmen implementieren und dokumentieren müssen. Die Registrierung erfolgt über das BSI-Portal; laut BSI müssen Einrichtungen sich spätestens drei Monate nach erstmaliger oder erneuter NIS-2-Betroffenheit registrieren.
Danach sollte kein blinder Vollausbau folgen, sondern eine risikobasierte Roadmap. Ein Unternehmen braucht zuerst Klarheit über seine kritischen Services, Kronjuwelen, technischen Abhängigkeiten und realen Bedrohungen. Auf dieser Basis lassen sich vorhandene Maßnahmen gegen NIS-2-Anforderungen spiegeln und Lücken priorisieren. Typischerweise entstehen daraus Arbeitsstränge für Governance, ISMS, BCM, Incident Response, Schwachstellenmanagement, Lieferantensteuerung, Identitäts- und Zugriffsmanagement, Logging, Awareness und Nachweisführung.
Der Maßstab sollte dabei „angemessen und wirksam“ sein, nicht „maximal kompliziert“. NIS-2 verlangt keine Sicherheitsbürokratie um ihrer selbst willen. Sie verlangt, dass Risiken erkannt, behandelt, überwacht und im Ernstfall beherrscht werden. Ein schlankes, gut gelebtes ISMS ist besser als ein überdimensioniertes Regelwerk, das niemand nutzt.
Wo externe Unterstützung wirklich sinnvoll ist
Externe Unterstützung ist besonders dort wertvoll, wo Unabhängigkeit, Spezialwissen oder Umsetzungsgeschwindigkeit entscheidend sind. Das beginnt bei der rechtlichen Betroffenheitsprüfung, wenn Konzernstrukturen, Sektorzuordnung, Schwellenwerte oder grenzüberschreitende Dienste nicht eindeutig sind. Es setzt sich fort bei Gap-Analysen, weil ein externer Blick erfahrungsgemäß schneller erkennt, ob Maßnahmen nur dokumentiert oder tatsächlich wirksam sind.
Auch beim Aufbau oder der Weiterentwicklung von ISMS und BCM ist Unterstützung sinnvoll, wenn interne Teams zwar fachlich stark sind, aber keine Zeit haben, Methodik, Governance, Dokumentation und Umsetzung parallel aufzubauen. Bei technischen Themen wie Architekturreviews, Cloud- und OT-Security, Active-Directory-Härtung, Schwachstellenmanagement, Backup-Resilienz, SIEM/SOC-Anbindung oder Incident-Response-Übungen sollte externe Expertise gezielt dort eingesetzt werden, wo internes Know-how fehlt oder eine unabhängige Validierung gebraucht wird.
Wichtig ist dabei die richtige Rollenverteilung. Berater, Auditoren, MDR-Anbieter, Juristen oder Incident-Response-Teams können beschleunigen, prüfen, entlasten und fachlich absichern. Die Verantwortung für Cyberrisiken, Prioritäten und Restrisikoentscheidungen bleibt jedoch im Unternehmen. Externe Unterstützung ist dann am wertvollsten, wenn sie nicht nur Dokumente liefert, sondern Fähigkeiten aufbaut.
Aus Regulierung wird Steuerbarkeit
NIS-2 sollte nicht als isolierte Compliance-Pflicht behandelt werden. Richtig umgesetzt, entsteht daraus ein integriertes Steuerungssystem für digitale Resilienz. Die Geschäftsführung setzt Richtung und Risikobereitschaft. Das ISMS macht Risiken, Maßnahmen und Nachweise beherrschbar. Das BCM stellt Handlungsfähigkeit und Wiederanlauf sicher. Incident Response verbindet Technik, Organisation und Meldepflichten. KI wird als Werkzeug genutzt, aber als Risiko kontrolliert. Lieferanten werden nicht nur eingekauft, sondern in die Sicherheitsarchitektur eingebunden.
Unternehmen, die diesen Zusammenhang verstehen, werden nicht nur regulatorisch robuster. Sie können gegenüber Kunden, Aufsichtsbehörden, Versicherern, Partnern und Mitarbeitenden glaubwürdig zeigen, dass sie wissen, welche Dienste kritisch sind, welche Risiken bestehen, wer entscheidet, wie ein Vorfall bewältigt wird und wie der Geschäftsbetrieb wieder stabil läuft. Genau dort beginnt echte NIS-2-Konformität.