Hinter NIS2 steht eine einfache Beobachtung: Die Digitalisierung hat Wirtschaft und Verwaltung eng vernetzt, und mit dieser Vernetzung ist die Angriffsfläche gewachsen. Ein erfolgreicher Angriff auf einen einzelnen Dienstleister kann heute ganze Lieferketten lahmlegen. NIS2 reagiert darauf, indem sie ein Mindestniveau an Sicherheit nicht dem Zufall oder dem guten Willen einzelner Unternehmen überlässt, sondern es rechtlich verbindlich einfordert. Der Grundgedanke lautet: Wer eine wichtige Rolle im wirtschaftlichen Gefüge spielt, trägt auch eine Verantwortung für die Widerstandsfähigkeit dieses Gefüges.
Die erste NIS-Richtlinie war ein wichtiger Anfang, blieb in ihrer Wirkung aber begrenzt. Ihr Anwendungsbereich war eng gefasst, und die Mitgliedstaaten setzten sie sehr unterschiedlich um. So entstand ein Flickenteppich aus nationalen Regeln mit unterschiedlichen Anforderungen und Ausnahmen, der für grenzüberschreitend tätige Unternehmen schwer zu überblicken war und das gemeinsame Sicherheitsniveau in Europa nur ungleichmäßig anhob. Zugleich veränderte sich die Bedrohungslage rasant: Ransomware, Angriffe über Zulieferer und professionell organisierte Kampagnen wurden zur Alltagsrealität.
NIS2 zieht daraus die Konsequenzen. Sie erweitert den Kreis der betroffenen Sektoren und Einrichtungen erheblich, vereinheitlicht die Anforderungen stärker und verschärft die Durchsetzung. Neu ist unter anderem die klare Verantwortung der Unternehmensleitung, die deutlichere Ausrichtung auf Risikomanagement statt reiner Checklisten sowie die ausdrückliche Einbeziehung der Lieferkette. Damit wandelt sich der Charakter der Regulierung: weg von einer punktuellen Sonderregel für einige Betreiber, hin zu einer breit wirkenden Sorgfaltspflicht für einen großen Teil der Wirtschaft.
Ein häufiges Missverständnis betrifft die Rechtsnatur von NIS2. Als Richtlinie gilt NIS2 nicht unmittelbar für Unternehmen, sondern richtet sich zunächst an die Mitgliedstaaten. Diese sind verpflichtet, die Vorgaben in nationales Recht zu überführen. Erst dieses nationale Gesetz entfaltet die konkrete Bindungswirkung für Unternehmen. Für die Praxis heißt das: Maßgeblich ist am Ende nicht der Text der Richtlinie allein, sondern das jeweilige nationale Umsetzungsgesetz mit seinen Detailregelungen.
In Deutschland erfolgt die Umsetzung über das sogenannte NIS-2-Umsetzungsgesetz, das die europäischen Vorgaben in das deutsche Recht einfügt und dabei an bestehende Strukturen – etwa die Rolle des Bundesamts für Sicherheit in der Informationstechnik (BSI) – anknüpft. Die Richtlinie gibt den Rahmen und das Ziel vor; das nationale Gesetz konkretisiert, wer genau betroffen ist, welche Fristen gelten und wie die Aufsicht ausgestaltet ist. Wer seine Pflichten bestimmen will, muss deshalb immer die aktuelle deutsche Rechtslage betrachten und nicht ausschließlich die Richtlinie.
Ein ehrlicher Hinweis gehört an den Anfang jeder Beschäftigung mit NIS2: Der deutsche Umsetzungsprozess ist in Bewegung. Zeitpläne, Details des Anwendungsbereichs und einzelne Pflichten können sich im Gesetzgebungsverfahren noch verändern, und auch nach Inkrafttreten sind Konkretisierungen durch Verordnungen und behördliche Vorgaben zu erwarten. Aus diesem Grund verzichtet dieser Beitrag bewusst auf die Nennung exakter Fristen, Schwellenwerte oder Bußgeldhöhen – solche Zahlen sind naturgemäß volatil und sollten stets am aktuellen Stand geprüft werden.
Für Unternehmen ist diese Unsicherheit kein Grund zum Abwarten, im Gegenteil. Die inhaltliche Stoßrichtung von NIS2 – angemessenes Risikomanagement, Meldefähigkeit und Absicherung der Lieferkette – steht fest und wird sich nicht ins Gegenteil verkehren. Wer die grundlegenden organisatorischen und technischen Fähigkeiten aufbaut, ist unabhängig von den letzten Detailregelungen gut vorbereitet. Die genaue rechtliche Betroffenheit im Einzelfall zu klären, bleibt hingegen eine Aufgabe für fachkundige Beratung.
Anders als bei der Vorgängerregelung entscheidet nicht mehr eine einzelne Behörde im Einzelfall über die Einstufung, sondern das Gesetz selbst legt anhand nachvollziehbarer Kriterien fest, wer in den Anwendungsbereich fällt. Dieser Ansatz der Selbstidentifikation verlagert Verantwortung auf die Unternehmen: Sie müssen aktiv prüfen, ob sie betroffen sind, und dürfen sich nicht darauf verlassen, informiert zu werden. Gerade weil die Betroffenheit nun deutlich mehr Betriebe erfasst, ist diese Prüfung ein wichtiger erster Schritt.
NIS2 unterscheidet zwei Kategorien betroffener Organisationen: wesentliche Einrichtungen und wichtige Einrichtungen. Beide Kategorien unterliegen im Kern denselben inhaltlichen Sicherheitspflichten – der Unterschied liegt vor allem in der Intensität der Aufsicht und in den Durchsetzungsmechanismen. Bei wesentlichen Einrichtungen ist mit einer engmaschigeren, teils proaktiven Aufsicht zu rechnen, während wichtige Einrichtungen tendenziell eher anlassbezogen, also nach Hinweisen oder Vorfällen, kontrolliert werden.
Die Zuordnung zu einer der beiden Kategorien hängt typischerweise von der Sektorzugehörigkeit und der Unternehmensgröße ab. Für die Praxis ist wichtig, diese Unterscheidung nicht überzubewerten: Wer in eine der beiden Kategorien fällt, muss ein angemessenes Sicherheitsniveau nachweisen. Die Kategorie beeinflusst, wie genau die Behörde hinschaut, nicht aber die grundsätzliche Verpflichtung, Cybersicherheit ernst zu nehmen. Die genaue Einordnung im Einzelfall ergibt sich aus dem nationalen Gesetz und sollte fachkundig geprüft werden.
NIS2 benennt eine Reihe von Sektoren, die als besonders relevant für das Funktionieren von Wirtschaft und Gesellschaft gelten. Dazu zählen unter anderem Energie, Verkehr, Bankwesen und Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser und Abwasser, digitale Infrastruktur sowie die Verwaltung von IKT-Diensten. Hinzu kommen weitere Sektoren, die als wichtig eingestuft werden, etwa Teile der verarbeitenden Industrie, die Produktion und der Vertrieb von bestimmten Waren, Post- und Kurierdienste, die Abfallwirtschaft, die Chemie, die Lebensmittelbranche sowie Anbieter digitaler Dienste.
Diese Aufzählung macht den entscheidenden Unterschied zur alten Regelung deutlich: NIS2 reicht weit über die klassischen kritischen Infrastrukturen hinaus und erfasst Branchen, die sich bislang nicht als „Cybersicherheitsfälle“ verstanden haben. Ein mittelständischer Maschinenbauer, ein Lebensmittelverarbeiter oder ein IT-Dienstleister kann durchaus in den Anwendungsbereich fallen. Die genaue Sektorabgrenzung ist detailliert und im Randbereich auslegungsbedürftig; im Zweifel lohnt eine sorgfältige Zuordnung der eigenen Tätigkeit zu den gesetzlichen Sektordefinitionen.
Neben dem Sektor spielt die Unternehmensgröße eine zentrale Rolle. NIS2 knüpft die Betroffenheit typischerweise an Schwellen bei Beschäftigtenzahl und Umsatz beziehungsweise Bilanzsumme an, wobei die Zuordnung als wesentliche oder wichtige Einrichtung mit der Größe zusammenhängt. Unterhalb bestimmter Schwellen fallen viele Kleinstunternehmen grundsätzlich nicht direkt in den Anwendungsbereich – allerdings gibt es Ausnahmen, bei denen unabhängig von der Größe eine Betroffenheit bestehen kann, etwa bei besonders kritischen Diensten. Konkrete Zahlenwerte nennen wir hier bewusst nicht, weil sie sich aus dem nationalen Gesetz ergeben und im Detail zu prüfen sind.
Die praktische Empfehlung lautet, die Betroffenheit strukturiert in drei Schritten zu ermitteln: Erstens die Frage, ob die eigene Tätigkeit einem der genannten Sektoren zuzuordnen ist. Zweitens die Prüfung, ob die Größenkriterien erreicht werden. Und drittens die Klärung, ob Sonderfälle greifen, die unabhängig von der Größe zur Betroffenheit führen. Wichtig ist außerdem die mittelbare Dimension: Auch wer nicht direkt betroffen ist, wird über Verträge und Ausschreibungen häufig faktisch in die Pflicht genommen – dazu mehr im Kapitel zur Lieferkette. Die abschließende rechtliche Beurteilung dieser Prüfung sollte fachkundig erfolgen.
Der Perspektivwechsel gegenüber älteren Ansätzen ist grundlegend. NIS2 verlangt keine simple Abarbeitung einer Checkliste, sondern einen kontinuierlichen Prozess: Risiken erkennen, bewerten, mit angemessenen Maßnahmen behandeln und die Wirksamkeit überprüfen. Damit rückt die Frage in den Mittelpunkt, welche Bedrohungen für das konkrete Unternehmen tatsächlich relevant sind und welche Maßnahmen diese Bedrohungen wirksam adressieren. Sicherheit wird zur Daueraufgabe, nicht zum einmaligen Projekt.
Artikel 21 benennt eine Reihe von Bereichen, die abgedeckt sein müssen. Dazu gehören insbesondere Konzepte zur Risikoanalyse und zur Sicherheit von Informationssystemen, die Bewältigung von Sicherheitsvorfällen, Maßnahmen zur Aufrechterhaltung und Wiederherstellung des Betriebs (etwa Backup-Management und Krisenmanagement), die Sicherheit der Lieferkette, Sicherheit bei Beschaffung, Entwicklung und Wartung von Systemen sowie Konzepte zur Bewertung der Wirksamkeit der getroffenen Maßnahmen.
Hinzu kommen grundlegende Praktiken der Cyberhygiene und Schulungen im Bereich Cybersicherheit, der Einsatz von Kryptografie und Verschlüsselung, die Sicherheit des Personals und Konzepte für die Zugriffskontrolle, das Management von Anlagen und Werten sowie – wo angebracht – der Einsatz von Mehr-Faktor-Authentifizierung und gesicherter Kommunikation. Diese Aufzählung ist als Mindestrahmen zu verstehen: Sie beschreibt Themenfelder, die berücksichtigt werden müssen, überlässt die konkrete Ausgestaltung aber der Verhältnismäßigkeit im Einzelfall.
Ein häufiger Fehler ist, NIS2 als rein technisches Thema misszuverstehen. Tatsächlich verlangt die Richtlinie ein ausgewogenes Zusammenspiel aus technischen und organisatorischen Maßnahmen. Technische Maßnahmen umfassen etwa die Absicherung von Netzwerken und Systemen, Verschlüsselung, Zugriffskontrollen und Überwachung. Organisatorische Maßnahmen betreffen Zuständigkeiten, Richtlinien, Prozesse, Schulungen und die Art und Weise, wie Sicherheit im Alltag gelebt wird. Erst beide Ebenen zusammen ergeben ein tragfähiges Sicherheitsniveau.
Die Erfahrung zeigt, dass organisatorische Defizite mindestens so gefährlich sind wie technische. Ein perfekt konfiguriertes System nützt wenig, wenn niemand für seine Pflege zuständig ist, wenn Mitarbeitende Phishing nicht erkennen oder wenn Vorfälle nicht gemeldet werden. NIS2 fordert deshalb ausdrücklich Schulung und Cyberhygiene ein und macht die Wirksamkeit der Maßnahmen zum Prüfgegenstand. Die Umsetzung sollte daher immer Prozesse, Menschen und Technik gleichermaßen in den Blick nehmen.
Ein zentrales, entlastendes Prinzip ist die Verhältnismäßigkeit. NIS2 verlangt nicht von jedem Unternehmen dasselbe Maximum, sondern ein Sicherheitsniveau, das dem Risiko, der Größe und der Bedeutung der Einrichtung angemessen ist. Ein kleiner Betrieb mit begrenzter Angriffsfläche muss nicht dieselben Vorkehrungen treffen wie ein großer Betreiber kritischer Infrastruktur. Maßstab ist der Stand der Technik – also das, was fachlich als wirksam und verfügbar anerkannt ist, ohne dabei jede theoretisch denkbare Maßnahme zu verlangen.
Dieses Prinzip gibt Unternehmen Spielraum, verlangt aber zugleich eine begründete Auseinandersetzung mit den eigenen Risiken. Wer bewusst entscheidet, eine bestimmte Maßnahme nicht umzusetzen, sollte diese Entscheidung nachvollziehbar begründen und dokumentieren können. Die Angemessenheit ist damit kein Freibrief, sondern eine Aufforderung zur reflektierten, dokumentierten Risikoentscheidung. Was im Einzelfall als angemessen gilt, ist auch eine rechtlich geprägte Frage und sollte im Zweifel fachkundig abgesichert werden.
Die Logik hinter der Meldepflicht ist doppelt: Zum einen sollen die Behörden ein aktuelles Lagebild gewinnen und andere potenziell betroffene Einrichtungen warnen können. Zum anderen zwingt die Meldepflicht die Unternehmen selbst zu einem geordneten Umgang mit Vorfällen. Wer weiß, dass er einen Vorfall zeitnah melden muss, richtet seine Prozesse so ein, dass Vorfälle erkannt, bewertet und dokumentiert werden. Die Meldepflicht wirkt damit indirekt als Treiber für bessere Detektions- und Reaktionsfähigkeiten.
NIS2 sieht eine gestufte Meldung vor. Nach dem Bekanntwerden eines erheblichen Vorfalls ist typischerweise zunächst eine sehr zeitnahe Erstmeldung oder Frühwarnung vorgesehen, gefolgt von einer detaillierteren Meldung mit einer ersten Bewertung und schließlich einem Abschlussbericht, der Ursachen, Auswirkungen und ergriffene Maßnahmen darlegt. Diese Staffelung trägt der Realität Rechnung: Unmittelbar nach einem Vorfall sind die Informationen noch lückenhaft, während sich das Bild im Laufe der Aufarbeitung schärft.
Die konkreten Fristen für die einzelnen Stufen ergeben sich aus den gesetzlichen Vorgaben und sind zum Teil sehr kurz bemessen. Bewusst nennen wir hier keine exakten Stundenangaben, weil diese am aktuellen Rechtsstand zu prüfen sind und sich verändern können. Entscheidend für die Praxis ist die Erkenntnis, dass im Ernstfall wenig Zeit bleibt. Ein Unternehmen, das erst im Moment des Vorfalls überlegt, wer wie und wohin meldet, wird die Fristen kaum einhalten. Vorbereitete Meldeprozesse, klare Zuständigkeiten und Vorlagen sind deshalb unverzichtbar.
Melden kann nur, wer Vorfälle erkennt. Damit rückt die Fähigkeit zur Erkennung in den Vordergrund. In der Praxis stützt sich diese Fähigkeit auf ein kontinuierliches Monitoring der eigenen Systeme, auf die Auswertung von Protokolldaten und zunehmend auf Werkzeuge, die sicherheitsrelevante Ereignisse zentral zusammenführen und bewerten. Sogenannte SIEM-Systeme (Security Information and Event Management) sammeln Ereignisse aus verschiedenen Quellen, korrelieren sie und schlagen bei auffälligen Mustern Alarm. Sie sind ein verbreiteter, aber nicht der einzig mögliche Baustein einer solchen Detektionsfähigkeit.
Automatisierung spielt hier eine wichtige, aber realistisch einzuordnende Rolle. Automatisierte Erkennung, Alarmierung und teilweise auch Reaktion können die Zeit zwischen einem Vorfall und seiner Bemerkung erheblich verkürzen und entlasten das Personal von der lückenlosen manuellen Überwachung. Gleichwohl ersetzt Technik nicht das menschliche Urteil: Ob ein Ereignis ein meldepflichtiger, erheblicher Vorfall ist, verlangt eine Bewertung, die Fachwissen und Kontext erfordert. Der konkrete Automatisierungsgrad hängt von Größe, Reifegrad und Ressourcen des Unternehmens ab und ist im Einzelfall festzulegen.
NIS2 bringt neben der Vorfallmeldung weitere Pflichten mit sich, die den Kontakt zur Aufsicht betreffen. Dazu gehört in vielen Fällen eine Registrierungspflicht, über die sich betroffene Einrichtungen bei der zuständigen Stelle bekannt machen, sowie die Pflicht, die Umsetzung der Sicherheitsmaßnahmen nachweisen zu können. Die Aufsicht kann Nachweise, Dokumentationen und gegebenenfalls Prüfungen verlangen; wer seine Maßnahmen nicht belegen kann, steht selbst dann schlecht da, wenn er tatsächlich vieles richtig macht.
Für die Praxis bedeutet das: Dokumentation ist kein lästiges Beiwerk, sondern ein Kernbestandteil der Compliance. Sicherheitskonzepte, Risikoanalysen, Nachweise über Schulungen, Protokolle über Vorfälle und Belege für die Wirksamkeitsprüfung sollten geordnet vorliegen und aktuell gehalten werden. Eine gepflegte Dokumentation dient nicht nur der Aufsicht, sondern hilft dem Unternehmen selbst, den Überblick zu behalten. Wie die Registrierung und die Nachweisführung konkret ausgestaltet sind, ergibt sich aus dem nationalen Recht und den Vorgaben der Aufsichtsbehörde und ist am aktuellen Stand zu prüfen.
Die Aufmerksamkeit für die Lieferkette ist eine der wichtigsten Neuerungen von NIS2. Sie greift eine schmerzhafte Erfahrung der vergangenen Jahre auf: Viele schwerwiegende Angriffe erfolgten nicht direkt auf das Zielunternehmen, sondern über einen kompromittierten Zulieferer, ein manipuliertes Software-Update oder einen unzureichend gesicherten Dienstleister. Wer seine eigenen Systeme absichert, die Zulieferer aber außer Acht lässt, lässt eine gefährliche Lücke offen. NIS2 schließt diese Lücke, indem sie die Sicherheit der Lieferkette explizit in den Maßnahmenkatalog aufnimmt.
Konkret verlangt NIS2, dass betroffene Einrichtungen die Sicherheit ihrer Lieferkette und Lieferanten in ihr Risikomanagement einbeziehen. Das bedeutet nicht, dass ein Unternehmen für die Sicherheit seiner Zulieferer haftet, aber es muss die von diesen ausgehenden Risiken bewerten und angemessen behandeln. Dazu gehört, die Sicherheitsanforderungen an wichtige Dienstleister und Lieferanten zu definieren, diese vertraglich zu verankern und die Einhaltung in angemessenem Umfang zu überprüfen.
In der Praxis führt das zu einer stärkeren Auseinandersetzung mit der Frage, welche Dienstleister für den eigenen Betrieb kritisch sind und welche Risiken von ihnen ausgehen. Ein Cloud-Anbieter, ein IT-Dienstleister mit weitreichenden Zugriffsrechten oder ein zentraler Softwarelieferant verdienen dabei besondere Aufmerksamkeit. Die Sicherheit der Lieferkette wird so von einer freiwilligen Best Practice zu einer nachweisbaren Pflicht, die in Verträgen, Prüfungen und Dokumentation ihren Niederschlag findet.
Aus der Lieferkettenpflicht folgt ein Effekt, der weit über die direkt betroffenen Unternehmen hinausreicht: der Kaskadeneffekt. Weil betroffene Einrichtungen Sicherheitsanforderungen an ihre Lieferanten stellen müssen, geben sie diese Anforderungen die Kette hinunter weiter. Ein mittelständischer Zulieferer, der selbst nicht direkt unter NIS2 fällt, kann so trotzdem faktisch verpflichtet werden, bestimmte Sicherheitsstandards einzuhalten – schlicht, weil sein Kunde das vertraglich verlangt, um seine eigene Compliance zu sichern.
Für viele Mittelständler ist dies der eigentlich relevante Weg, auf dem NIS2 sie erreicht. Auch ohne direkte gesetzliche Betroffenheit werden sie über Ausschreibungen, Lieferantenfragebögen und Vertragsklauseln mit Sicherheitsanforderungen konfrontiert, deren Erfüllung zur Voraussetzung für die Geschäftsbeziehung wird. Wer diese Entwicklung frühzeitig erkennt, kann sie als Wettbewerbsvorteil nutzen: Ein Zulieferer, der nachweisbar sicher arbeitet, wird zum bevorzugten Partner. Wer sie ignoriert, riskiert, aus Lieferketten herauszufallen.
In Deutschland kommt dem Bundesamt für Sicherheit in der Informationstechnik (BSI) eine Schlüsselrolle zu. Das BSI ist bereits heute die zentrale Cybersicherheitsbehörde des Bundes und übernimmt im Rahmen der NIS2-Umsetzung zentrale Aufgaben – als Anlaufstelle für Meldungen, als Aufsichts- und Kontrollinstanz sowie als Quelle für Warnungen, Empfehlungen und Hilfestellungen. Damit bündelt sich viel Kompetenz an einer Stelle, was die Orientierung für Unternehmen erleichtert.
Für betroffene Unternehmen bedeutet das, dass das BSI zum wichtigen Bezugspunkt wird: Vorfälle werden an das BSI beziehungsweise die zuständige Meldestelle gemeldet, und das BSI kann im Rahmen seiner Aufsicht Nachweise verlangen oder Prüfungen durchführen. Zugleich stellt das BSI umfangreiche Hilfestellungen bereit, die gerade kleineren Unternehmen den Einstieg erleichtern. Die genaue Aufgabenverteilung und die Zuständigkeiten für einzelne Sektoren ergeben sich aus dem nationalen Recht und sollten am aktuellen Stand geprüft werden.
Ein verbreiteter Irrtum ist, NIS2 sei ein völlig neues, isoliertes Anforderungswerk, das von Grund auf neu erfüllt werden müsse. Tatsächlich überschneiden sich die Anforderungen von NIS2 in weiten Teilen mit dem, was etablierte Sicherheitsstandards ohnehin fordern. Wer bereits nach einem anerkannten Rahmenwerk arbeitet, hat einen großen Teil der Strecke zurückgelegt. Die folgende Einordnung hilft, das eigene Vorgehen sinnvoll anzuschließen, statt bei null zu beginnen.
Die ISO/IEC 27001 ist der international führende Standard für Informationssicherheits-Managementsysteme (ISMS). Sie beschreibt, wie ein Unternehmen Informationssicherheit systematisch aufbaut, betreibt und kontinuierlich verbessert. Der entscheidende Unterschied: ISO 27001 ist ein freiwilliger, zertifizierbarer Standard, während NIS2 eine gesetzliche Pflicht ist. Inhaltlich gibt es jedoch große Überschneidungen, weil beide auf einem risikobasierten Managementansatz beruhen.
Der BSI IT-Grundschutz ist die vom BSI entwickelte, im deutschen Raum stark verbreitete Methodik zum Aufbau von Informationssicherheit. Er bietet einen sehr konkreten, praxisnahen Baukasten aus Bausteinen, Anforderungen und Umsetzungshinweisen und lässt sich mit der ISO 27001 verzahnen. Weil das BSI zugleich zentrale Aufsichtsbehörde für NIS2 in Deutschland ist, liegt es nahe, den IT-Grundschutz als methodische Grundlage für die Umsetzung der NIS2-Anforderungen zu nutzen.
Die DORA-Verordnung (Digital Operational Resilience Act) regelt die digitale Betriebsstabilität im Finanzsektor. Für Banken, Versicherungen und viele weitere Finanzunternehmen stellt sich die Frage, wie sich DORA und NIS2 zueinander verhalten. Grundsätzlich gilt DORA als sektorspezifische Spezialregelung, die für den Finanzbereich vorrangig die einschlägigen Cybersicherheitsanforderungen bestimmt. Damit vermeidet der Gesetzgeber, dass Finanzunternehmen zwei parallele, teils widersprüchliche Regime erfüllen müssen.
NIS2 wird selten „auf der grünen Wiese“ eingeführt. Fast immer gibt es bereits IT-Sicherheitsmaßnahmen, gewachsene Zuständigkeiten und Prozesse. Eine gute Einführung nimmt diese Ausgangslage auf, schließt Lücken gezielt und überführt punktuelle Maßnahmen in einen dauerhaften, überprüfbaren Betrieb. Überstürzte, rein technikgetriebene Umsetzungen greifen dabei zu kurz – tragfähig wird Cybersicherheit erst, wenn sie organisatorisch verankert ist.
Das bewährte Rückgrat für die Umsetzung ist ein Informationssicherheits-Managementsystem (ISMS). Ein ISMS ist kein Produkt, sondern ein systematischer Rahmen aus Rollen, Richtlinien und Prozessen, mit dem ein Unternehmen Informationssicherheit steuert. Es sorgt dafür, dass Risiken erkannt, Maßnahmen entschieden, umgesetzt und regelmäßig auf ihre Wirksamkeit überprüft werden – ganz im Sinne des risikobasierten Ansatzes von NIS2. Ob das ISMS an ISO 27001, an den BSI IT-Grundschutz oder an einen anderen anerkannten Rahmen angelehnt ist, ist zweitrangig gegenüber der Frage, ob es tatsächlich gelebt wird.
Der Wert eines ISMS liegt darin, dass es Cybersicherheit vom Zufall entkoppelt. Statt darauf zu vertrauen, dass einzelne Fachleute das Richtige tun, schafft es verbindliche Abläufe, Verantwortlichkeiten und Nachweise. Genau das erwartet NIS2: nicht einzelne Maßnahmen, sondern ein funktionierendes System, das kontinuierlich für ein angemessenes Sicherheitsniveau sorgt und dies belegen kann.
Eine der schärfsten Neuerungen von NIS2 betrifft die Verantwortung der Geschäftsleitung. Die Leitungsorgane sind ausdrücklich in die Pflicht genommen: Sie müssen die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und sich mit dem Thema Cybersicherheit aktiv befassen. Cybersicherheit ist damit endgültig zur Chefsache geworden und lässt sich nicht mehr vollständig an die IT-Abteilung delegieren. Vielfach ist zudem vorgesehen, dass Leitungspersonen an Schulungen teilnehmen, um die Risiken beurteilen zu können.
Mit dieser Verantwortung geht eine mögliche persönliche Haftung einher. Kommt die Geschäftsleitung ihren Pflichten nicht nach, kann dies Konsequenzen haben, die über das Unternehmen hinaus die handelnden Personen betreffen. Die genaue Ausgestaltung dieser Haftung ergibt sich aus dem nationalen Recht und ist am aktuellen Stand zu prüfen; sie ist eine ausgesprochene Rechtsfrage. Für die Praxis ist die Botschaft eindeutig: Die Leitung muss sich nachweisbar kümmern, Entscheidungen treffen und deren Umsetzung überwachen. Dieser Beitrag ersetzt insoweit keine Rechtsberatung.
Drei weitere Bausteine tragen den laufenden Betrieb. Erstens die Dokumentation: Risikoanalysen, Konzepte, Nachweise und Protokolle müssen geordnet vorliegen, aktuell gehalten und im Aufsichtsfall vorzeigbar sein. Zweitens die Schulung und Sensibilisierung: Weil der Mensch eine zentrale Rolle für die Sicherheit spielt, sind regelmäßige Schulungen und eine gelebte Sicherheitskultur unverzichtbar – von der Geschäftsleitung bis zur einzelnen Fachkraft. Drittens die kontinuierliche Verbesserung: Bedrohungen und Systeme verändern sich, weshalb Maßnahmen regelmäßig überprüft und angepasst werden müssen.
Der Mittelstand ist heterogen: vom Zulieferer über den Handel bis zum spezialisierten Dienstleister. Was viele dieser Betriebe eint, ist eine gewachsene, aber nicht immer systematisch abgesicherte IT-Landschaft und begrenzte Ressourcen für Cybersicherheit. Genau hier setzt die neue Herausforderung an: NIS2 erwartet ein strukturiertes, nachweisbares Vorgehen, wo bisher oft pragmatische Einzelmaßnahmen genügten. Das ist anspruchsvoll, aber machbar – mit der richtigen Priorisierung.
Die größte Sorge im Mittelstand ist verständlich: Wie soll ein Betrieb mit begrenztem Personal und Budget die Anforderungen stemmen? Die Antwort liegt in der bereits erwähnten Verhältnismäßigkeit und in einer klaren Priorisierung. Nicht alles muss sofort und in maximaler Ausprägung geschehen. Sinnvoll ist, mit einer Risikoanalyse zu beginnen, die größten Lücken zuerst zu schließen und auf bewährte Bausteine wie grundlegende Cyberhygiene, Zugriffskontrolle, Backups und Schulung zu setzen, die ein gutes Verhältnis von Aufwand und Wirkung bieten.
Ebenso wichtig ist, vorhandene Ressourcen klug zu nutzen: bestehende Standards als Gerüst verwenden, öffentliche Hilfestellungen des BSI heranziehen und externe Unterstützung dort einkaufen, wo internes Wissen fehlt. Der Mittelstand muss nicht zum Sicherheitskonzern werden – aber er muss ein angemessenes, nachweisbares Niveau erreichen und dauerhaft halten. Wer strukturiert vorgeht, verwandelt die Anforderung von einer Bedrohung in eine überschaubare, planbare Aufgabe.
Verlässliche Aussagen zu Kosten lassen sich seriös nur eingeschränkt treffen: Der Aufwand hängt von Ausgangsniveau, Größe, Sektor, Systemlandschaft und dem angestrebten Reifegrad ab und verteilt sich auf einmalige und laufende Anteile. Dieser Beitrag nennt deshalb bewusst keine konkreten Beträge, sondern erläutert die Aufwandslogik und die relevanten Kostentreiber.
Die Gesamtkosten der NIS2-Umsetzung setzen sich aus mehreren Bausteinen zusammen: dem einmaligen Aufwand für Betroffenheitsanalyse, Risikobewertung und den Aufbau von Prozessen und ISMS, den Investitionen in technische und organisatorische Maßnahmen, den laufenden Aufwänden für Betrieb, Monitoring, Schulung und Nachweisführung sowie gegebenenfalls Kosten für externe Beratung oder Dienstleister. Wichtig ist der Blick auf die Gesamtbetriebskosten über mehrere Jahre – gerade der laufende Betrieb dominiert die Rechnung oft stärker als die einmalige Einführung.
Ein hilfreicher Perspektivwechsel: Ein großer Teil dieser Aufwände dient nicht nur der Compliance, sondern schützt das Unternehmen vor realen, potenziell existenzbedrohenden Schäden durch Cyberangriffe. Die Kosten der Umsetzung sind daher den möglichen Kosten eines schweren Vorfalls – Betriebsunterbrechung, Datenverlust, Reputationsschaden – gegenüberzustellen. In dieser Betrachtung erscheint das Investment häufig deutlich vernünftiger als im isolierten Blick auf die reine Ausgabe. Für eine belastbare Kalkulation empfiehlt sich eine strukturierte Aufnahme des eigenen Ausgangsniveaus.
NIS2 und die DSGVO verfolgen unterschiedliche, aber sich ergänzende Ziele. Die DSGVO schützt personenbezogene Daten und verlangt dafür unter anderem angemessene technische und organisatorische Maßnahmen zur Datensicherheit. NIS2 zielt auf die Sicherheit von Netz- und Informationssystemen insgesamt. In der Praxis überschneiden sich beide erheblich, weil viele Sicherheitsmaßnahmen sowohl die Systeme als auch die darin verarbeiteten personenbezogenen Daten schützen. Wer NIS2 sauber umsetzt, verbessert damit regelmäßig auch sein DSGVO-Sicherheitsniveau – und umgekehrt.
Zu beachten ist, dass beide Regelwerke eigene Meldepflichten kennen: Die DSGVO verlangt die Meldung bestimmter Datenschutzverletzungen an die Datenschutzaufsicht, NIS2 die Meldung erheblicher Sicherheitsvorfälle an die Cybersicherheitsbehörde. Ein einzelner Vorfall kann beide Pflichten gleichzeitig auslösen. Deshalb sollten die Meldeprozesse so gestaltet sein, dass im Ernstfall beide Perspektiven bedacht werden. Die genaue Abgrenzung und mögliche Doppelmeldungen sind rechtlich geprägt und im Einzelfall mit den zuständigen Verantwortlichen zu klären.
Weil die Umsetzung von NIS2 häufig externe Dienstleister einbindet – etwa für Monitoring, Cloud-Dienste oder Managed Security – rückt die Datenhoheit in den Blick. Sicherheitswerkzeuge verarbeiten sensible Informationen über die eigene Infrastruktur und teils auch personenbezogene Daten. Zentral sind daher die Fragen, wo ein Dienstleister die Daten verarbeitet und speichert, ob eine Verarbeitung in Rechenzentren innerhalb Deutschlands oder der EU angeboten wird und ob ein Datentransfer in Drittländer stattfindet.
Praktisch bedeutet das: Bei der Auswahl von Dienstleistern sollten der Serverstandort und die datenschutzfreundlichere Option bewusst berücksichtigt werden, sofern verfügbar. Ebenso gehören der Auftragsverarbeitungsvertrag, die Liste der Unterauftragsverarbeiter und die vertraglichen Garantien in jede Prüfung. Da die Sicherheit der Lieferkette ohnehin ein NIS2-Thema ist, fügt sich diese Sorgfalt bei der Dienstleisterauswahl nahtlos in die Gesamtstrategie ein.
