Ein NIS2-Programm im Mittelstand läuft in fünf Phasen über 9 bis 12 Monate: Betroffenheit klären, GAP-Analyse gegen Artikel 21, Governance und Rollen festlegen, technische Maßnahmen nach Priorität einführen und den Meldeprozess üben. Das Was zur NIS2-Richtlinie haben die meisten IT-Teams in den letzten Monaten verstanden. Sie kennen die Anforderungen und wissen, wer betroffen ist und welche Strafen drohen. Beim Wie stocken viele, und das liegt selten am Verständnis. NIS2 greift gleichzeitig in Governance, Technik, Personal, Verträge und Meldeprozesse ein, und genau diese Breite erschwert den Einstieg.
Dieser Leitfaden wendet sich an IT-Leitungen, Informationssicherheitsbeauftragte und Compliance-Verantwortliche, die von der Kenntnis der Anforderungen in die Umsetzung wechseln wollen. Sie erfahren, wie Sie ein NIS2-Programm aufbauen und welche Meilensteine sich bewährt haben. Dazu kommen Fehler, die wir in Kundenprojekten immer wieder sehen, und wie Sie ihnen aus dem Weg gehen.
Wie startet ein NIS2-Umsetzungsprojekt ohne Verzettelung?
Am Anfang steht eine ehrliche Bestandsaufnahme, denn längst nicht jede NIS2-Anforderung ist neu. Viele Punkte erfüllen Unternehmen schon heute, ohne sie unter diesem Namen zu führen. Andere Bereiche fehlen fast überall, allen voran die 24-Stunden-Meldepflicht und die Sicherheit der Lieferkette.
Setzen Sie deshalb einen kurzen Kick-off an. Beteiligte aus IT, Informationssicherheit, Datenschutz, Recht und Geschäftsleitung klären dort drei Dinge:
- ob das Unternehmen betroffen ist und in welcher Kategorie
- wer die operative und wer die strategische Verantwortung übernimmt
- wie viel Zeit und Budget für die Umsetzung bereitstehen
Fehlt diese Klärung, entstehen Programme, die viele Maßnahmen anstoßen, aber keine Reihenfolge kennen und nach drei Monaten versanden. Für ein vollständiges Umsetzungsprogramm in einem mittelständischen Unternehmen planen Sie 9 bis 12 Monate ein. Schneller geht es, wenn vieles schon vorhanden ist. Spürbar länger wird es, wenn Governance-Strukturen erst entstehen müssen.
Die Verbindung zwischen NIS2 und den EU-Rahmenwerken, etwa den ENISA-Leitfäden und den Umsetzungsakten für kritische Sektoren, hat in der Startphase nichts verloren. Beginnen Sie mit der eigenen Betroffenheit. Der juristische Feinschliff kommt später.
Wie erkennen Sie, ob Ihr Unternehmen unter NIS2 fällt?
Zwei Kriterien bestimmen die Betroffenheit, die Branche und die Größe. Beide müssen zutreffen, damit Sie die Einstufung belastbar begründen können.
Branchen (18 Sektoren):
- Sektoren mit hoher Kritikalität (Anhang I): Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten (u. a. Managed Service Provider), öffentliche Verwaltung, Weltraum
- Sonstige kritische Sektoren (Anhang II): Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe (Medizinprodukte, Elektronik, Maschinenbau, Fahrzeuge), digitale Anbieter, Forschung
Größenschwellen:
| Kategorie | Mitarbeiter | Jahresumsatz | Bilanzsumme (kumulativ mit Umsatz) |
|---|---|---|---|
| Besonders wichtige Einrichtung (Anhang-I-Sektoren) | ≥ 250 | > 50 Mio. € | > 43 Mio. € |
| Wichtige Einrichtung | ≥ 50 | > 10 Mio. € | > 10 Mio. € |
Die Schwelle ist überschritten, wenn entweder die Mitarbeiterzahl darüber liegt oder, kumulativ, Jahresumsatz und Bilanzsumme (§ 28 BSIG). Mit 60 Mitarbeitern und 8 Mio. € Umsatz sind Sie eine wichtige Einrichtung. Die Kategorie folgt aus Sektor und Größe zusammen, ein mittelgroßes Unternehmen aus Anhang I ist eine wichtige, keine besonders wichtige Einrichtung. Beschrieben sind die Sektoren in Anhang I und II der EU-Richtlinie. Manche Branchen fallen unabhängig von ihrer Größe darunter, etwa Vertrauensdiensteanbieter oder öffentliche Verwaltungen.
So gehen Sie in der Praxis vor:
- Ordnen Sie Ihr Unternehmen den Sektoren nach Anhang I und II zu.
- Prüfen Sie die Größenschwellen anhand des vergangenen Geschäftsjahres.
- Halten Sie die Zuordnung schriftlich fest. Diese Unterlagen brauchen Sie für die Registrierung beim BSI (§ 33 BSIG) und bei Prüfungen. Für bereits betroffene Einrichtungen war die Registrierung bis zum 6. März 2026 fällig, neu betroffene Einrichtungen haben drei Monate Zeit. Sie läuft über „Mein Unternehmenskonto“ im BSI-Portal. Ist Ihr Unternehmen noch nicht registriert, erledigen Sie das sofort, denn das BSI kann Versäumnisse mit Bußgeld ahnden.
Auch Unternehmen ohne direkte Betroffenheit geraten über ihre Kunden in den Anwendungsbereich. Wer als IT-Dienstleister, Softwarelieferant oder Cloud-Provider für ein NIS2-pflichtiges Unternehmen arbeitet, bekommt über Lieferantenanforderungen ähnliche Kontrollen auferlegt. Die strukturierte Umsetzung lohnt sich dann genauso.
Wie führen Sie eine GAP-Analyse gegen NIS2 durch?
Die GAP-Analyse ist das Herzstück der Startphase. Sie stellt den Ist-Zustand Ihrer Sicherheitsmaßnahmen den Anforderungen aus Artikel 21 der NIS2-Richtlinie gegenüber, die in § 30 Abs. 2 BSIG nahezu wortgleich in deutsches Recht übernommen sind. Dieser Artikel nennt die zehn Maßnahmengruppen, die jedes betroffene Unternehmen umsetzen muss.
Die zehn Maßnahmengruppen aus Artikel 21:
- Konzepte für die Risikoanalyse und Informationssicherheit
- Bewältigung von Sicherheitsvorfällen (Incident Handling)
- Aufrechterhaltung des Betriebs (Business Continuity, Backup, Krisenmanagement)
- Sicherheit der Lieferkette
- Sicherheit bei Erwerb, Entwicklung und Wartung von IKT
- Bewertung der Wirksamkeit der Maßnahmen
- Cyberhygiene und Schulungen
- Kryptografie und Verschlüsselung
- Personalsicherheit, Zugriffskontrolle, Asset-Management
- Multi-Faktor-Authentifizierung, sichere Kommunikation, Notfallkommunikation
Diese Punkte arbeiten Sie für die Analyse der Reihe nach ab. Eine einfache Bewertungsskala genügt, etwa nicht vorhanden, teilweise umgesetzt, weitgehend umgesetzt oder vollständig umgesetzt und dokumentiert. Der Satz „Wir haben MFA aktiviert“ taugt als Nachweis nicht. Gefragt sind Screenshots, Konfigurations-Exports, Richtlinien-Dokumente und Testprotokolle.
In einem mittelständischen Unternehmen dauert eine erste GAP-Analyse drei bis sechs Wochen, sofern eine Person konzentriert daran arbeiten kann. Sind die Verantwortlichkeiten verteilt, zieht sie sich deutlich länger hin. Am Ende steht eine priorisierte Maßnahmenliste, aus der Sie kurzfristigen Handlungsbedarf sofort ablesen und erkennen, was zu einem strategischen Projekt wird.
Ein verbreiteter Fehler ist ein zu hoher Anspruch, bei dem die Analyse gleich als Managementsystem im Sinne von ISO 27001 aufgesetzt wird. Das ist ein legitimes Ziel, aber ein eigenes Projekt. Für NIS2 genügt zunächst eine strukturierte Analyse in Excel oder einem GRC-Tool, die die Lücken für das Unternehmen sichtbar macht.
Welche Governance-Strukturen braucht NIS2 in der Praxis?
NIS2 richtet sich an das ganze Unternehmen und reicht weit über die IT-Infrastruktur hinaus. Am deutlichsten wird das bei den Governance-Vorgaben. Gesetzlich zwingend ist nur die Verantwortung der Geschäftsleitung (§ 38 BSIG). Um sie zu erfüllen, haben sich in der Praxis drei klar besetzte Rollen bewährt.
Die Geschäftsleitung billigt die Cybersicherheitsmaßnahmen und haftet bei einer Verletzung dieser Pflicht gegenüber der Einrichtung persönlich (§ 38 BSIG). Sie besucht Schulungen, damit sie die Wirksamkeit der Maßnahmen beurteilen kann. Dazu gehört eine dokumentierte Managementbewertung, die mindestens einmal im Jahr mit festgelegten Kennzahlen stattfindet und die Wirksamkeit belegt.
Eine Informationssicherheitsbeauftragte oder eine gleichwertige Funktion schreibt das Gesetz nicht vor, doch kaum ein Programm kommt ohne sie aus. Sie trägt die operative Verantwortung und braucht ausreichende Befugnisse. Kleinere Unternehmen kombinieren die Rolle mit anderen Funktionen, etwa mit der IT-Leitung. Sie gehört aber nicht zu den Personen, deren Arbeit sie überwacht, also nicht zur IT-Leitung, die zugleich die Server administriert.
Fachliche Verantwortlichkeiten dokumentieren Sie für jede der zehn Maßnahmengruppen aus Artikel 21 namentlich. Damit steht fest, wer das Backup verantwortet, wer die Zugangsverwaltung übernimmt und wer die Awareness-Schulungen betreut. Diese Zuordnung ist kein Selbstzweck, auf ihr bauen der Meldeprozess und die späteren Nachweise auf.
Ein tragfähiges Governance-Modell besteht aus einem kleinen Steuerkreis mit Geschäftsleitung, IT-Leitung, Informationssicherheit und bei Bedarf Datenschutz. Dieses Gremium trifft sich vierteljährlich, während ein operatives Team die Maßnahmen umsetzt und dabei dokumentiert. Jede Entscheidung wird so festgehalten, dass alle Beteiligten sie später nachlesen können.
Welche technischen Maßnahmen gehen IT-Teams zuerst an?
Die technischen Anforderungen aus Artikel 21 sind umfangreich, lassen sich aber in eine Reihenfolge bringen. Aus unseren bisherigen Rollouts hat sich diese Abfolge ergeben.
Zugangsverwaltung und MFA (Priorität 1)
Kompromittierte Zugänge sind die häufigste Einfallstür bei Sicherheitsvorfällen. Vor allen anderen Maßnahmen gehören deshalb diese Punkte in Betrieb:
- Multi-Faktor-Authentifizierung für alle Benutzer und alle Cloud-Dienste
- Zentrale Verwaltung privilegierter Zugänge (Passwort-Manager auf Enterprise-Niveau, im Idealfall mit Session-Aufzeichnung für kritische Systeme)
- Härtung der Administratorkonten (getrennte Accounts für administrative Tätigkeiten, Break-Glass-Konten, regelmäßige Rezertifizierung)
- Deaktivierung veralteter Authentifizierungsprotokolle (Basic Auth, POP3, IMAP ohne modernes OAuth)
Diese Maßnahmen sind vergleichsweise schnell eingeführt und heben das Sicherheitsniveau sofort spürbar an.
Monitoring und Meldefähigkeit (Priorität 2)
Ohne Sicht auf Sicherheitsereignisse verpassen Sie die 24-Stunden-Meldefrist. Richten Sie deshalb früh ein zentrales Log-Management ein, im besten Fall ein SIEM oder ein Managed SOC. In kleineren Umgebungen überbrückt ein reines Endpoint-Detection-and-Response-Werkzeug mit Alarmierung die Zeit bis dahin.
Alles zu sammeln ist dabei nicht das Ziel. Werten Sie die passenden Ereignisse strukturiert aus: Anmeldeversuche, Rechteänderungen, Malware-Erkennungen, ungewöhnliche Datenbewegungen. Ein Sicherheitsvorfall, den niemand bemerkt, wird auch nicht gemeldet.
Backup und Business Continuity (Priorität 3)
Bei einem Ransomware-Vorfall entscheidet das Backup darüber, ob Sie handlungsfähig bleiben. NIS2 schreibt keine bestimmte Technologie vor, verlangt aber nachvollziehbare Konzepte für Datensicherung, Wiederanlauf und Krisenkommunikation.
Aus der Praxis gelten drei Punkte als Prüfstein:
- eine Off-Site- oder Cloud-Kopie, die von einem kompromittierten Domain-Controller aus unerreichbar bleibt
- regelmäßige Restore-Tests, dokumentiert mit Datum und Umfang, also der real durchgeführte Restore und kein theoretischer
- eine Notfallkommunikation, die auch bei Ausfall der Haupt-E-Mail funktioniert (etwa vorbereitete Kontaktlisten, alternative Messenger, Meeting-Point)
Awareness und Personalsicherheit (Priorität 4)
Technische Maßnahmen wirken nur, wenn die Mitarbeiter sie annehmen und richtig anwenden. Schulungen zur Cybersicherheit sind Pflicht (§ 30 Abs. 2 Nr. 7 BSIG). Bewährt hat sich ein regelmäßiges Awareness-Programm mit Phishing-Simulationen, Onboarding-Schulungen und wiederkehrenden Kampagnen. Punktuelle E-Learnings genügen als Nachweis in der Regel nicht.
Lieferketten-Sicherheit (Priorität 5)
Dieser Punkt wird oft unterschätzt. Sie dokumentieren, welche Dienstleister für Ihre kritischen Prozesse eine Rolle spielen und welche Sicherheitsanforderungen Sie an sie stellen. Dazu gehören Vertragsanhänge mit Sicherheitszusicherungen, ein Prozess zur Bewertung neuer Anbieter und eine regelmäßige Überprüfung bestehender Beziehungen. Bei Cloud-Diensten sind die Auditberichte der Anbieter (SOC 2, ISO 27001) ein wichtiger Baustein.
Wie sieht ein realistischer Zeit- und Maßnahmenplan aus?
Ein NIS2-Programm gliedert sich in fünf Phasen. Wie lange jede dauert, hängt vom Reifegrad ab. Als Orientierung für ein mittelständisches Unternehmen mit 100 bis 500 Mitarbeitern:
| Phase | Dauer | Wesentliche Ergebnisse |
|---|---|---|
| 1. Klärung und Setup | 4 Wochen | Betroffenheitsanalyse, Governance-Modell, Steuerkreis eingerichtet |
| 2. GAP-Analyse | 6 Wochen | Bewertete Maßnahmenliste je Artikel-21-Punkt, priorisierter Fahrplan |
| 3. Sofortmaßnahmen (Quick Wins) | 8 bis 12 Wochen | MFA flächendeckend, veraltete Protokolle blockiert, Backup-Konzept aktualisiert |
| 4. Strukturelle Maßnahmen | 20 bis 28 Wochen | Monitoring/SIEM in Betrieb, Awareness-Programm etabliert, Lieferantenanforderungen vertraglich verankert |
| 5. Nachweis und Meldeprozess | 4 bis 6 Wochen | Dokumentation vollständig, Meldeprozess getestet, erste Managementbewertung |
Die Phasen laufen nicht streng hintereinander. Vor allem Quick Wins und strukturelle Maßnahmen überlappen sich. Halten Sie den Fortschritt schriftlich fest, mit einem monatlichen Kurzstatus im Steuerkreis und einem vierteljährlichen Bericht an die Geschäftsleitung.
Planen Sie über die gesamte Programmlaufzeit einen spürbaren internen Aufwand für das Kernteam ein. Allein die GAP-Analyse bindet eine Person für drei bis sechs Wochen. Hinzu kommt externe Unterstützung für die GAP-Analyse und für Themen wie die SIEM-Einführung oder Awareness-Kampagnen.
Wie bereiten Sie den Meldeprozess für Sicherheitsvorfälle vor?
Die 24-Stunden-Frist ist der bekannteste Punkt der Richtlinie und zugleich der, an dem Unternehmen ohne Vorbereitung scheitern. NIS2 sieht ein dreistufiges Meldeverfahren beim BSI vor:
| Zeitpunkt | Meldung | Inhalt |
|---|---|---|
| Innerhalb 24 Stunden nach Kenntnis | Frühwarnung | Erste Einschätzung, mögliche Auswirkung, laufende Maßnahmen |
| Innerhalb 72 Stunden | Vorfallsmeldung | Aktualisierte Bewertung, Betroffenheit, Ursachenlage soweit bekannt |
| Innerhalb 1 Monat | Abschlussbericht | Detaillierte Analyse, ergriffene Maßnahmen, Lehren |
Sie brauchen also einen festen Prozess, der auch nachts und am Wochenende funktioniert. Fünf Elemente gehören dazu:
- eine klare Meldekette, die regelt, wer intern an wen meldet und wer die externe Meldung an das BSI freigibt
- vorbereitete Meldeformulare mit den Pflichtangaben (Zeitpunkt, betroffene Systeme, mögliche Auswirkung, Ansprechperson), damit in der Situation niemand improvisieren muss
- Zugänge und Kontakte. Die Registrierung beim BSI ist Pflicht (§ 33 BSIG) und war für bereits betroffene Einrichtungen bis zum 6. März 2026 fällig. Prüfen Sie, wer im Team das BSI-Portal bedienen darf und ob die Zugänge über „Mein Unternehmenskonto“ aktuell sind
- Übungen, mindestens einmal jährlich eine Tabletop-Übung mit einem realistischen Szenario. Erst dabei zeigt sich, ob der Prozess unter Druck hält
- rechtliche Begleitung für die Bewertung, ob ein Vorfall meldepflichtig ist. Regeln Sie das im Vorfeld und nicht erst im Ernstfall
Dokumentieren Sie den Prozess und testen Sie ihn regelmäßig. Ein Meldeverfahren, das nur auf dem Papier steht, versagt im Vorfall.
Welche typischen Fehler sollten IT-Teams vermeiden?
In unseren NIS2-Projekten wiederholen sich einige Muster. Vier davon wiegen besonders schwer.
Der erste Fehler ist das Warten auf Klarstellungen. Das NIS2UmsuCG gilt seit dem 6. Dezember 2025, die Registrierungsfrist ist abgelaufen und das BSI darf prüfen. Einen rechtlichen Puffer gibt es nicht mehr, jeder Monat ohne nachweisbare Maßnahmen ist ein Monat im Verstoß. Wer auf weitere Konkretisierungen durch Rechtsverordnungen oder BSI-Hilfestellungen wartet, verliert Zeit, in der die Systeme ungeschützt bleiben. Die technischen Kontrollen setzen Sie unabhängig davon sofort um.
Der zweite Fehler ist, NIS2 als reines IT-Projekt zu führen. NIS2 verlangt eine ausdrückliche Governance-Verantwortung der Geschäftsleitung, weil das Thema weit über die IT-Abteilung hinausgeht. Läuft das Programm ohne die Leitungsorgane, fehlt die Rückendeckung. Entscheidungen mit Budget- oder Personalfolgen werden dann erheblich schwieriger.
Der dritte Fehler ist eine unterschätzte Dokumentation. Nachweise belegen die Umsetzung. Eine Maßnahme ohne Dokumentation gilt im Zweifel als nicht umgesetzt. Planen Sie die Dokumentation deshalb von Beginn an ein, statt am Ende eine Sammelaktion zu starten, bei der die Hälfte der Screenshots fehlt.
Der vierte Fehler ist eine ignorierte Lieferkette. Die Sicherheit der Lieferkette landet oft auf der Liste für später, und das rächt sich. Vertragsanpassungen mit Lieferanten brauchen Zeit, und die eigenen Prüfprozesse müssen erst entstehen. Beginnen Sie früh mit der Bestandsaufnahme der kritischen Dienstleister.
Womit Sie in den nächsten vier Wochen anfangen
Stehen Sie am Anfang, sind drei Aufgaben in den nächsten vier Wochen realistisch. Klären Sie die Betroffenheit und dokumentieren Sie das Ergebnis. Halten Sie einen Kick-off mit den Beteiligten ab. Erstellen Sie eine erste Grobbewertung der zehn Maßnahmengruppen. Damit steht das Fundament für die kommenden Monate.
Sind Sie schon mittendrin, prüfen Sie drei Punkte. Ihr Governance-Modell ist dokumentiert. Die Verantwortlichkeiten je Maßnahmengruppe stehen fest. Der Meldeprozess wird mindestens einmal jährlich geübt. An diesen drei Punkten entscheidet sich Ihre Belastbarkeit im Ernstfall.
Wir begleiten mittelständische Unternehmen in Österreich und Deutschland bei der NIS2-Compliance-Umsetzung, von der GAP-Analyse bis zum Aufbau des Meldeprozesses. Für Kommunen und öffentliche Verwaltungen haben wir eine spezialisierte NIS2-Beratung. Technische Bausteine ergänzen das: Managed SOC für Überwachung und Meldefähigkeit sowie strukturierte Pentests nach BSI-Standard zur Wirksamkeitsprüfung.
Als Grundlage empfehlen wir zusätzlich unseren Überblick zu den zehn wichtigsten NIS2-Anforderungen. Die strategische Einordnung finden Sie im Ratgeber Cyber Resilience. Auch der Magazinbeitrag NIS2, was Unternehmen jetzt wissen müssen fasst den Rahmen kompakt zusammen.
Der Aufwand für eine strukturierte NIS2-Umsetzung ist real. Beginnen Sie zeitnah und priorisieren Sie pragmatisch, dann lässt er sich in 12 Monaten gut planen. Das erreichte Sicherheitsniveau erfüllt die Richtlinie und macht Ihr Unternehmen zugleich operativ deutlich widerstandsfähiger.