Ein einziger kompromittierter Dienst kann heute Produktion, Kundenservice und Lieferketten gleichzeitig lahmlegen. Die deutschen NIS-2-Anforderungen verpflichten deshalb deutlich mehr Unternehmen zu einem nachweisbaren und risikobasierten Schutz ihrer IT. Ich ordne ein, wer betroffen ist, welche Maßnahmen wirklich zählen, wie die Meldefristen funktionieren und wie Unternehmen die Umsetzung sinnvoll starten.
Die wichtigsten Pflichten lassen sich auf fünf Kernbereiche verdichten
- Betroffenheit prüfen: Entscheidend sind Branche, Größe und teilweise der Status als Betreiber einer kritischen Anlage.
- Risiken beherrschen: Gefordert sind unter anderem Notfallplanung, Backups, Lieferkettensicherheit, Schwachstellenmanagement und MFA.
- Vorfälle melden: Eine Erstmeldung muss spätestens nach 24 Stunden, die Folgemeldung nach spätestens 72 Stunden erfolgen.
- Registrieren: Betroffene Einrichtungen müssen sich grundsätzlich innerhalb von drei Monaten beim BSI registrieren.
- Geschäftsleitung einbinden: Die Leitung muss Sicherheitsmaßnahmen umsetzen, überwachen und regelmäßig an Schulungen teilnehmen.
Wer von den NIS-2-Regeln in Deutschland erfasst wird
Die Prüfung beginnt nicht mit der Frage, ob ein Unternehmen besonders viel IT besitzt. Entscheidend ist zuerst, ob es in einem relevanten Sektor tätig ist. Dazu gehören etwa Energie, Verkehr, Gesundheitswesen, digitale Infrastruktur, Wasser, Finanzwesen und öffentliche Verwaltung. Auch Hersteller bestimmter Medizinprodukte, Elektronik, Maschinen oder Fahrzeuge können erfasst sein.
Das deutsche Umsetzungsgesetz unterscheidet zwischen besonders wichtigen Einrichtungen und wichtigen Einrichtungen. Für die meisten Unternehmen gelten dabei folgende Schwellenwerte:
| Einordnung | Typische Voraussetzung | Praktische Bedeutung |
|---|---|---|
| Besonders wichtige Einrichtung | Mindestens 250 Beschäftigte oder mehr als 50 Millionen Euro Umsatz und mehr als 43 Millionen Euro Bilanzsumme | Strengere Aufsicht und potenziell intensivere Nachweise |
| Wichtige Einrichtung | Mindestens 50 Beschäftigte oder mehr als 10 Millionen Euro Umsatz und mehr als 10 Millionen Euro Bilanzsumme | Risikomanagement, Meldepflichten und mögliche Prüfungen |
| Betreiber kritischer Anlagen | Einordnung unabhängig von den allgemeinen Schwellenwerten | Automatisch besonders wichtige Einrichtung |
Die Schwellenwerte sind allerdings nur ein erster Filter. DNS-Diensteanbieter, bestimmte Telekommunikationsunternehmen, qualifizierte Vertrauensdiensteanbieter und Top-Level-Domain-Registries können auch aufgrund ihrer Tätigkeit erfasst sein. Umgekehrt reicht eine passende Unternehmensgröße allein nicht aus, wenn keine Tätigkeit aus den einschlägigen Anlagen vorliegt.
Bei verbundenen Unternehmen sollte ich besonders genau hinschauen. Beschäftigtenzahl, Umsatz und Bilanzsumme werden grundsätzlich nach den Regeln der europäischen KMU-Definition bestimmt. Eine kleine Tochtergesellschaft ist also nicht automatisch außerhalb des Anwendungsbereichs, wenn ihre IT-Strukturen eng mit dem Konzern verbunden sind.
Welche Sicherheitsmaßnahmen tatsächlich verlangt werden
NIS 2 schreibt kein einzelnes Produkt und normalerweise auch kein bestimmtes Zertifikat vor. Gefordert sind geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die zum Risiko, zur Größe und zur Bedeutung der Einrichtung passen. Genau hier liegt ein häufiger Fehler: Eine lange Sicherheitsrichtlinie ersetzt keine funktionierenden Prozesse.
| Bereich | Was im Alltag dahintersteht |
|---|---|
| Risikoanalyse | Schutzbedarf, Bedrohungen, Abhängigkeiten und kritische Systeme regelmäßig bewerten |
| Incident Response | Rollen, Eskalationswege und Maßnahmen für Sicherheitsvorfälle schriftlich festlegen und testen |
| Betriebskontinuität | Backups, Wiederherstellung, Notfallbetrieb und Krisenkommunikation praktisch erproben |
| Lieferkette | Sicherheitsanforderungen in Verträge, Auswahlprozesse und Bewertungen von Dienstleistern aufnehmen |
| Sichere Entwicklung | Schwachstellenmanagement, sichere Wartung und kontrollierte Änderungen über den gesamten Lebenszyklus |
| Wirksamkeitskontrolle | Audits, Kennzahlen, technische Tests und Verbesserungsmaßnahmen dokumentieren |
| Personal und Zugriff | Schulungen, Rollenmodelle, Berechtigungsprüfung und Schutz privilegierter Konten |
| Kryptografie und MFA | Verschlüsselung, Multi-Faktor-Authentifizierung und abgesicherte Kommunikation einsetzen |
Für Betreiber kritischer Anlagen kommt eine zusätzliche Pflicht hinzu. Sie müssen für die entscheidenden Systeme Systeme zur Angriffserkennung einsetzen, die laufende Betriebsdaten automatisch erfassen und auswerten. Ein klassischer Virenscanner genügt dafür nicht. Gemeint ist eine kontinuierliche Überwachung, die verdächtige Aktivitäten erkennt und eine Reaktion unterstützt.
Ich halte außerdem die Lieferkette für den am häufigsten unterschätzten Bereich. Ein Unternehmen kann seine eigene Umgebung gut absichern und trotzdem über einen kompromittierten Cloud-Dienst, Fernwartungszugang oder Softwarelieferanten angreifbar bleiben. Deshalb sollten Verträge mindestens Meldewege, Sicherheitsstandards, Patch-Fristen, Zugriffsrechte und Unterstützung bei Vorfällen regeln.
ISO 27001 oder der BSI IT-Grundschutz können die Umsetzung strukturieren und Nachweise erleichtern. Automatisch konform ist ein Unternehmen dadurch jedoch nicht. Entscheidend bleibt, ob die gewählten Maßnahmen die konkreten Risiken abdecken und im Betrieb nachweisbar funktionieren.
Wie Registrierung und Meldepflichten in der Praxis funktionieren
Betroffene Einrichtungen müssen sich grundsätzlich innerhalb von drei Monaten nach Eintritt oder erneutem Eintritt in den Anwendungsbereich registrieren. Dafür werden unter anderem Unternehmensdaten, Kontaktdaten, öffentliche IP-Adressbereiche, der relevante Sektor sowie zuständige Aufsichtsbehörden benötigt. Änderungen der registrierten Angaben sind spätestens innerhalb von zwei Wochen zu melden.
Bei einem erheblichen Sicherheitsvorfall läuft die Kommunikation in mehreren Stufen:
- Innerhalb von 24 Stunden: frühe Erstmeldung mit den verfügbaren Basisinformationen und einem Hinweis auf mögliche böswillige oder grenzüberschreitende Auswirkungen.
- Innerhalb von 72 Stunden: aktualisierte Meldung mit erster Bewertung, Schweregrad, Auswirkungen und gegebenenfalls Kompromittierungsindikatoren.
- Nach spätestens einem Monat: Abschlussmeldung mit Ursache, Folgen und eingeleiteten Abhilfemaßnahmen.
Ein Vorfall ist nicht erst dann erheblich, wenn die Produktion bereits vollständig stillsteht. Relevant sind auch Ereignisse, die schwere Betriebsstörungen oder finanzielle Verluste verursachen können oder andere Personen und Unternehmen erheblich schädigen könnten. Wer erst die forensische Analyse abwartet, riskiert daher eine verspätete Meldung.
Meine Empfehlung ist ein vorbereiteter Meldeprozess mit einer 24-Stunden-Rufbereitschaft, einem kurzen Entscheidungsschema und vorformulierten Textbausteinen. Das BSI-Portal ist für Registrierung und Meldungen vorgesehen. Während eines Angriffs sollte niemand erst klären müssen, wer Zugang besitzt, wer die Geschäftsleitung informiert und welche Informationen zunächst ausreichen.
Welche Verantwortung die Geschäftsleitung trägt
Die Verantwortung liegt nicht allein bei der IT-Abteilung. Die Geschäftsleitung muss die erforderlichen Sicherheitsmaßnahmen umsetzen und ihre Umsetzung überwachen. Außerdem ist eine regelmäßige Schulung vorgeschrieben, damit die Leitung Risiken, Schutzmaßnahmen und deren Auswirkungen auf die angebotenen Dienste beurteilen kann.
Das verändert die interne Organisation spürbar. Informationssicherheit braucht ein eigenes Budget, klare Zuständigkeiten und einen regelmäßigen Bericht an die Leitung. Ein Sicherheitsbeauftragter kann koordinieren, aber er nimmt der Geschäftsführung die Verantwortung nicht ab.
Bei einer schuldhaften Verletzung der Pflichten kann eine Haftung nach den jeweils geltenden gesellschaftsrechtlichen Regeln relevant werden. Deshalb sollte die Geschäftsleitung nicht nur Richtlinien abzeichnen, sondern mindestens quartalsweise Kennzahlen, offene Risiken, Vorfälle, Wiederherstellungstests und Maßnahmen aus Audits besprechen.
Wie Unternehmen die Umsetzung ohne Aktionismus starten
Ich würde die Umsetzung in sechs überschaubare Schritte teilen. So entsteht zuerst ein belastbares Bild der eigenen Lage, bevor teure Werkzeuge oder Zertifizierungsprojekte gestartet werden.
- Betroffenheit feststellen: Branche, Dienstleistungen, Unternehmensgröße, Konzernbeziehungen und kritische Anlagen prüfen.
- Systeme und Abhängigkeiten erfassen: Besonders wichtig sind Identitäten, Netzwerke, Cloud-Dienste, Produktionssysteme und externe Fernzugänge.
- Risiken priorisieren: Nicht jedes System braucht denselben Schutz. Maßgeblich sind Ausfallfolgen, Angriffsfläche und Wiederanlaufzeit.
- Lücken bewerten: Backups, MFA, Patchmanagement, Protokollierung, Lieferantenverträge und Notfallübungen anhand konkreter Nachweise prüfen.
- Maßnahmen umsetzen: Die größten Risiken zuerst behandeln und Verantwortliche sowie Fristen festlegen.
- Wirksamkeit testen: Wiederherstellung, Meldewege, Berechtigungen und Krisenkommunikation regelmäßig durchspielen.
Typische Fehlentscheidungen sind ein ungetestetes Backup, eine reine Papierprüfung oder die Annahme, ein Managed Service Provider übernehme automatisch die gesamte Verantwortung. Externe Dienstleister können viel abnehmen, aber Risikoentscheidungen, Kontrolle und Nachweisführung bleiben beim betroffenen Unternehmen.
Bei kleineren Unternehmen muss die Umsetzung nicht mit einem mehrjährigen Großprojekt beginnen. Ein aktuelles Anlagenverzeichnis, konsequente MFA, getestete Offline-Backups, zentrale Protokollierung und ein erreichbarer Notfallkontakt bringen oft mehr als ein umfangreiches Handbuch ohne praktische Übungen. Entscheidend ist, dass die Maßnahmen zum tatsächlichen Risiko passen.
Was 2026 bei Ausnahmen und Sanktionen besonders zählt
Finanzunternehmen, die den Digital Operational Resilience Act erfüllen, unterliegen für bestimmte Risikomanagement- und Meldepflichten einer sektorspezifischen Sonderregelung. Eine doppelte Umsetzung ist dadurch teilweise vermeidbar, die Registrierungspflicht kann aber bestehen bleiben. Auch Telekommunikations- und Energieunternehmen sollten prüfen, ob spezielle nationale Regeln einzelne NIS-2-Pflichten ersetzen.
Die Aufsicht kann je nach Einordnung Audits, Prüfungen, Nachweise und Abhilfemaßnahmen verlangen. Bei Verstößen reichen die Bußgeldrahmen je nach Tatbestand bis zu 10 Millionen Euro für besonders wichtige Einrichtungen beziehungsweise 7 Millionen Euro für wichtige Einrichtungen. Bei größeren Unternehmen können zusätzlich umsatzabhängige Obergrenzen von 2 Prozent beziehungsweise 1,4 Prozent des weltweiten Jahresumsatzes relevant werden.
Für mich ist deshalb die wichtigste praktische Erkenntnis klar: NIS 2 verlangt keine perfekte IT und auch keine Sammlung von Zertifikaten. Gefordert ist ein nachvollziehbares Sicherheitsniveau, das Risiken reduziert, Vorfälle schnell begrenzt und der Prüfung standhält. Wer Betroffenheit, Verantwortlichkeiten, Meldewege und Wiederherstellung jetzt sauber organisiert, schafft zugleich eine deutlich widerstandsfähigere IT-Infrastruktur.
