NIS2 zwischen Stillstand und Umsetzung – Wo steht Deutschland?

NIS2 erweitert den Geltungsbereich der Vorgängerrichtlinie NIS: Nicht nur kritische Infrastrukturen, sondern auch zahlreiche mittelständische Unternehmen – von Transportunternehmen bis zur Lebensmittelindustrie fallen darunter. Seit dem 18. Oktober 2024 gilt die Richtlinie EU-weit. Aber nur Belgien, Italien, Kroatien, Lettland Litauen und Ungarn haben die nationale Umsetzung fristgerecht abgeschlossen. Hierzulande war die Umsetzung auf einem guten Weg, kam aber im Zuge des Auseinanderbrechens der letzten Regierung nicht pünktlich durch die Zielgerade. Am 11. September hat der Bundestag ein leicht überarbeitetes Umsetzungsgesetz erstmals beraten. Es soll noch dieses Jahr verabschiedet werden und spätestens Anfang 2026 in Kraft treten.

Die Bundesregierung will die Anforderungen im NIS2-Umsetzungsgesetz leicht verschärfen. Unternehmen, die bislang untätig geblieben sind, stehen unter Zugzwang. Deutschland setzt auf das Bundesamt für Sicherheit in der Informationstechnik (BSI) als zentrale Behörde. Die Zahl der betroffenen Unternehmen wird sich voraussichtlich verzehnfachen.

Was bringt NIS2 konkret?

Die Richtlinie verpflichtet Unternehmen ab 50 Mitarbeitenden oder 10 Mio. Euro Umsatz zu umfassenden Maßnahmen, mit denen ein IT-Risikomanagement sowie Notfall- und -Schwachstellenmanagement eingeführt werden sollen, genauso wie Zugangskontrollen (physisch und digital) und regelmäßige Mitarbeiterschulungen. Sicherheitsvorfälle müssen innerhalb von 24 Stunden gemeldet werden. Geschäftsführer haften persönlich bei Verstößen. Strafen können bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Umsatzes betragen.

Diese Vorgaben sind keine bürokratische Schikane, sondern sollen Schutz und Sicherheit wesentlicher und wichtiger IT-Infrastrukturen maßgeblich verbessern. NIS2 eröffnet aber auch Chancen für IT-Dienstleister. Denn viele Betriebe, insbesondere im Mittelstand, sind auf externe Unterstützung angewiesen, um die komplexen Anforderungen zu erfüllen. Ob Risikomanagement, Notfallpläne, Schulungen oder technische Sicherheitsmaßnahmen: IT-Dienstleister spielen eine Schlüsselrolle bei der Umsetzung.

Was bedeutet das für Unternehmen?

Die Umsetzung bringt umfangreiche Dokumentationspflichten mit sich. So müssen Sicherheitsstandards geprüft und dokumentiert werden, schriftlich erstellte Notfallpläne müssen, digital und im Ausdruck, festgehalten werden. Regelmäßig müssen Mitarbeiter mit Schulungen und Sensibilisierungen auf den neuesten Stand gebracht werden. Hierfür muss es auch Nachweise geben. Außerdem ist jetzt eine fundierte Risikobewertung Pflicht, einschließlich der Identifikation besonders kritischer Systeme. Gerade hier zeigt sich ein häufiges Defizit: Viele Unternehmen setzen zwar Sicherheitsmaßnahmen um, bewerten aber nicht systematisch, welche Systeme im Ernstfall existenzbedrohend wären.

Lieferkette nicht vergessen

Auch KMUs, die unter NIS2 fallen, können durch ihre Rolle in der Lieferkette in die Pflicht genommen werden. NIS2-pflichtige Betriebe müssen sicherstellen, dass ihre Dienstleister Mindeststandards erfüllen – unabhängig von deren Größe oder Umsatz.

Ein zentraler Baustein der Umsetzung ist der Notfallplan. Im Ernstfall entscheidet er über die Zukunftsfähigkeit eines Unternehmens.

Was gehört in einen Notfallplan?

Ein wirksamer Notfallplan umfasst mehr als eine technische Checkliste. Er ist Teil eines umfassenden IT-Sicherheitskonzepts und sollte folgende Punkte enthalten:

1. Betroffenheitsanalyse

• Ist das eigene Unternehmen direkt oder indirekt von NIS2 betroffen? (Anm.d.Red.: einen ersten Überblick liefert die Betroffenheitsprüfung des BSI)
• Gehört es zur Lieferkette eines NIS2-pflichtigen Betriebs?

2. Verantwortlichkeiten festlegen

• Wer ist für IT-Sicherheit und NIS2-Compliance zuständig?

3. Gap-Analyse und erste Maßnahmen

• Welche Sicherheitsstandards sind bereits erfüllt?
• Wo bestehen Lücken?
• Sofortmaßnahmen: Backups, Zugangskontrollen, Mitarbeitersensibilisierung

4. Externe Unterstützung einholen

• Fehlt internes Know-how, sollten IT-Dienstleister hinzugezogen werden.

5. Dokumentation und Risikobewertung

• Sicherheitsrichtlinien und Schulungen dokumentiert
• Kritische Systeme identifizieren und bewerten – nicht alle Server sind gleich wichtig

NIS2 als Investition in die Zukunft

NIS2 mag zunächst wie eine bürokratische Pflicht wirken, bietet Unternehmen aber die Chance, ihre IT-Sicherheit nachhaltig zu verbessern. Ein gut umgesetzter Notfallplan schützt nicht nur vor Bußgeldern, sondern auch vor teuren Ausfällen, Datenverlusten und Reputationsschäden – etwa durch Ransomware-Angriffe.

Indirekt betroffen – und trotzdem verpflichtet

Besonders kritisch ist die Situation für Unternehmen, die nicht direkt unter NIS2 fallen, aber Teil der Lieferkette sind. Diese können von heute auf morgen mit Anforderungen konfrontiert werden, wenn ein Auftraggeber NIS2-konform werden muss. Dann heißt es: „Lieferst du nicht nach Standard, bist du raus.“

Selbst Kleinstunternehmen mit wenigen Mitarbeitenden können betroffen sein, etwa wenn sie spezialisierte Dienstleistungen für größere Betriebe erbringen. Die Größe schützt nicht vor der Pflicht zur Umsetzung. Der Notfallplan ist kein optionales Dokument, sondern ein zentrales Element der NIS2-Compliance. Unternehmen sollten ihn als strategisches Werkzeug begreifen

Jetzt handeln!

Die NIS2-Richtlinie ist bereits gültig und die nationale Umsetzung nimmt jetzt Fahrt auf. Deutschland muss das Umsetzungsgesetz noch verabschieden, dann tritt es rasch in Kraft. Unternehmen sollten jetzt handeln, um die Vorgaben rechtzeitig zu erfüllen und hohe Strafen zu vermeiden. Besonders mittelständische Betriebe müssen prüfen, ob sie betroffen sind und Maßnahmen einleiten. Denn wer jetzt handelt, sichert nicht nur die eigene IT-Infrastruktur, sondern auch die Wettbewerbsfähigkeit in einer digitalisierten Wirtschaft.

Noch mehr NIS2-Know-how entdecken: Kostenfreie Webinar-Inhalte on demand

Die neue EU-Richtlinie zur Netz- und Informationssicherheit wirft viele Fragen auf – und eröffnet gleichzeitig Chancen für eine nachhaltigere Cybersecurity-Strategie. Auf unserer Webseite finden Sie praxisnahe Einblicke und Hintergründe, unter anderem zu den Themen:

• NIS-2 und AI-Act umsetzen: Wie ISO 27001 und ISO 42001 helfen, Risiken zu senken und Sicherheit zu fördern
• Strategische Auswirkungen: Was NIS-2 für Ihre Cybersecurity-Strategie bedeutet
• Blick hinter die Kulissen: Blick auf die Rolle von CEOs und Security-Verantwortlichen zur Umsetzung der Richtlinie

Weitere Webinare auf Abruf unter: https://spezial.connect-professional.de/webinare/ Einfach registrieren und reinschauen.