NIS-2 ist kein IT-Projekt

Gert Poglin

| GBTEC

NIS-2 verlangt mehr als technische Schutzmaßnahmen. Unternehmen müssen Verantwortlichkeiten, Prozesse, Lieferketten und Krisenvorsorge neu betrachten. Damit wird Cybersicherheit zur Organisationsaufgabe – und zur Frage der unternehmerischen Resilienz.

Schon ein Blick auf die digitale Bedrohungslage europäischer Unternehmen und Organisationen zeigt, weshalb die Network and Information Security-2-Richtlinie (NIS-2) der Europäischen Union notwendig ist. Allein 2024 registrierte das Bundesamt für Sicherheit in der Informationstechnik (BSI) täglich rund 309.000 neue Malware-Varianten – 26 Prozent mehr als im Vorjahr. Ransomware, Angriffe auf Lieferketten und Ausfälle kritischer Dienste gehören inzwischen zum Alltag. Mit dem deutschen BSI-Gesetz wurden die Anforderungen der NIS-2-Richtlinie in nationales Recht überführt. Erfasst werden unter anderem:

Betreiber kritischer Anlagen, die zu den besonders wichtigen Einrichtungen zählenweitere
besonders wichtige Einrichtungen aus den im Gesetz definierten Sektoren
wichtige Einrichtungen aus bestimmten Sektoren. Für diese Kategorie gilt grundsätzlich: mindestens 50 Beschäftigte oder ein Jahresumsatz und eine Jahresbilanzsumme von jeweils mehr als 10 Millionen Euro. Welche Unternehmen tatsächlich erfasst werden, hängt jedoch auch von Branche und Einrichtungsart ab.

Mit NIS-2 wurde die Zahl der Unternehmen, die in die Pflicht genommen werden, erheblich erweitert. Während die ursprüngliche NIS-Richtlinie nur einen kleinen Kreis an Betreibern kritischer Infrastrukturen erfasste, ging das BSI ursprünglich von rund 29.500 betroffenen Einrichtungen aus. Dem standen zum 30. September 2026 insgesamt 20.141 Registrierungen gegenüber. Da es sich bei der Zahl der Betroffenen um eine Schätzung handelt, lässt sich daraus keine exakte Registrierungslücke ableiten. Die Differenz deutet jedoch darauf hin, dass weiterhin zahlreiche Einrichtungen ihre Betroffenheit prüfen beziehungsweise die Registrierung abschließen müssen.

Die Pflichten gelten, die NIS-2 Umsetzung stockt

Obwohl das deutsche Umsetzungsgesetz bereits im Dezember 2025 in Kraft getreten ist, gaben in einer von Plusserver gemeinsam mit Foundry durchgeführten Studie lediglich 34 Prozent der Befragten an, die Anforderungen aus NIS-2 beziehungsweise DORA vollständig umgesetzt zu haben. Die Erhebung basiert auf 324 Interviews mit IT-Entscheidern deutscher Unternehmen und erlaubt daher keine Aussage ausschließlich über NIS-2-pflichtige Unternehmen.

Auch bei der Registrierung besteht weiterhin Handlungsbedarf. Nach § 33 BSIG müssen sich besonders wichtige und wichtige Einrichtungen grundsätzlich spätestens drei Monate, nachdem sie erstmals als solche gelten, beim BSI registrieren. Für Unternehmen, die bereits mit Inkrafttreten des Gesetzes am 6. Dezember 2025 betroffen waren, endete diese Frist grundsätzlich am 6. März 2026. Eine verspätete Registrierung bleibt möglich, kann jedoch als Ordnungswidrigkeit mit einer Geldbuße von bis zu 500.000 Euro geahndet werden. Unternehmen müssen dabei selbst prüfen, ob sie unter die gesetzlichen Regelungen fallen und welcher Kategorie sie zuzuordnen sind.

NIS-2 geht weit über die IT hinaus

Zahlreiche Unternehmen behandeln NIS-2 aber noch immer als klassisches IT-Sicherheitsprojekt. Sie modernisieren Firewalls, überarbeiten Sicherheitsrichtlinien oder lassen ihre technischen Schutzmaßnahmen extern bewerten. All das ist notwendig – reicht aber nicht. Bei Weitem nicht.

Laut der Bitkom-Studie „Wirtschaftsschutz 2025“ verfügen zwar 59 Prozent der Unternehmen über ein Notfallmanagement, aber 39 Prozent haben keinen strukturierten Plan für den Fall von Datendiebstahl, Sabotage oder Spionage. Zudem führt nur etwa die Hälfte der Unternehmen regelmäßige IT-Sicherheitsschulungen durch.

Die Zahlen verdeutlichen, weshalb die Umsetzung von NIS-2 als reines IT-Projekt zu kurz greift. Gefordert sind nicht nur technische Schutzmaßnahmen, sondern auch ein systematischer Umgang mit Risiken, Sicherheitsvorfällen und Abhängigkeiten in der Lieferkette. Ebenso wichtig sind umfangreiche und wirksame Vorkehrungen für Not- und Krisenfälle sowie die Sensibilisierung der Beschäftigten. NIS-2 betrifft damit die gesamte Organisation.

Lesetipp: Sicherheit und Resilienz auf der ERP-Agenda

Informationssicherheit, Resilienz und Compliance gewinnen auch bei der Weiterentwicklung von ERP- und Business-Software-Landschaften an Bedeutung. Welche Themen Unternehmen aktuell besonders beschäftigen, zeigt die Trovarit-Studie „ERP in der Praxis – Anwenderzufriedenheit, Nutzen & Perspektiven 2026/2027“.

Lieferketten unter NIS-2 sicher steuern

Ob Unternehmen die NIS-2-Vorgaben in der Praxis wirksam erfüllen können, hängt auch davon ab, wie sie Sicherheitsanforderungen intern steuern und gegenüber externen Partnern und Dienstleistern durchsetzen. „Besonders wichtige“ und „wichtige“ Einrichtungen müssen berücksichtigen, wie ihre unmittelbaren Lieferanten und Dienstleister mit Cybersicherheitsrisiken umgehen und welche Schwachstellen etwa bei der Entwicklung und Bereitstellung von Produkten oder Diensten bestehen. Damit wird das Cyberrisikomanagement von Lieferanten und Dienstleistern zu einem festen Bestandteil der eigenen Sicherheitsorganisation. Unternehmen müssen entsprechende Risiken bewerten und angemessene Sicherheitsanforderungen an ihre Partner ableiten.

Das BSI empfiehlt zudem, Zulieferer vertraglich zur Einhaltung von Sicherheitsmaßnahmen zu verpflichten und entsprechende Nachweise einzufordern. Audits können Aufschluss darüber geben, ob die Vereinbarungen auch eingehalten werden, und gemeinsame Krisenübungen helfen gegebenenfalls dabei, die getroffenen Vorkehrungen und das Zusammenspiel der Beteiligten zu erproben. Dies erfordert eine enge Abstimmung mit den jeweiligen Dienstleistern.

Das Beispiel zeigt, dass NIS-2 nicht an den Grenzen des eigenen Unternehmens endet. Werden Vertragspartner eingebunden, sind eindeutige und verbindliche Vorgaben für die Zusammenarbeit erforderlich.

Von Compliance zu Resilienz: NIS-2 dauerhaft verankern

Wer NIS-2 nicht als einmaliges Compliance-Projekt versteht, kann die Vorgaben zum Anlass nehmen, Governance- und Risikostrukturen dauerhaft weiterzuentwickeln. Ziel ist nicht, einzelne regulatorische Anforderungen möglichst effizient abzuhaken, sondern Cyberrisiken kontinuierlich zu steuern und Entscheidungen nachvollziehbar zu treffen.

Dafür braucht es drei Voraussetzungen: klare Verantwortlichkeiten, standardisierte Prozesse und ein gemeinsames Risikoverständnis über Abteilungsgrenzen hinweg. Erst wenn Risikomanagement, Informationssicherheit, Compliance und die für interne Kontrollen, Lieferantenbeziehungen und Sicherheitsvorfälle zuständigen Funktionen ihre Informationen zusammenführen, entsteht die erforderliche Transparenz.

Genau an dieser Stelle können digitale Governance-, Risk- und Compliance-Plattformen unterstützen. Sie ersetzen nicht die fachliche Verantwortung der Unternehmen, können aber Informationen zu Risiken, Maßnahmen, Vorfällen, Fristen und Nachweisen an einer zentralen Stelle zusammenführen und Verantwortlichkeiten sowie Workflows transparent abbilden.

Der Nutzen solcher Systeme liegt damit vor allem darin, bereichsübergreifende Prozesse zu unterstützen und Informationen konsistent verfügbar zu machen. Welche technische Lösung dafür geeignet ist, hängt von den bestehenden Strukturen, dem Reifegrad und den konkreten Anforderungen des Unternehmens ab.

Entscheidend ist dabei weniger die eingesetzte Technologie als ihre Fähigkeit, unterschiedliche Fachbereiche miteinander zu verbinden. Entsprechend sollte auch die technische Unterstützung organisationsweit gedacht werden.

Aussitzen wird teuer

Bußgelder sind nur ein Teil der möglichen Konsequenzen einer mangelhaften NIS-2-Umsetzung. Für bestimmte Verstöße sieht das BSIG bei besonders wichtigen Einrichtungen Geldbußen von bis zu zehn Millionen Euro und bei wichtigen Einrichtungen von bis zu sieben Millionen Euro vor. Bei Einrichtungen mit einem weltweiten Gesamtumsatz von mehr als 500 Millionen Euro können stattdessen umsatzbezogene Höchstgrenzen von bis zu zwei Prozent beziehungsweise 1,4 Prozent des weltweiten Jahresumsatzes greifen. Hinzu kommen mögliche aufsichtsrechtliche Maßnahmen.

Verletzt die Unternehmensleitung schuldhaft ihre Pflichten zur Umsetzung und Überwachung der Risikomanagementmaßnahmen, kann sie zudem persönlich gegenüber dem Unternehmen haften.

Noch schwerer wiegen häufig die wirtschaftlichen Folgen mangelnder Resilienz: Unklare Abläufe, fehlende Transparenz und ein unzureichendes Risikomanagement erschweren es, Cybervorfälle frühzeitig zu erkennen und angemessen darauf zu reagieren. Dadurch kann wertvolle Zeit verloren gehen, wenn betroffene Systeme isoliert, Notfallmaßnahmen eingeleitet oder interne und externe Stellen informiert werden müssen. Ausfälle können sich verlängern, Folgekosten summieren und im Ernstfall den Geschäftsbetrieb erheblich beeinträchtigen.

Unternehmen, die die NIS-2 Umsetzung als Organisationsprojekt umsetzen, erfüllen daher nicht nur regulatorische Pflichten. Sie schaffen transparente Prozesse, verbessern ihre Reaktionsfähigkeit und stärken ihre Widerstandsfähigkeit gegenüber Cyberrisiken. Langfristig kann daraus auch ein Wettbewerbsvorteil entstehen. Denn angesichts der weltweiten Bedrohungslage stellt sich längst nicht mehr allein die Frage, „ob“ ein Unternehmen mit einem Cybervorfall konfrontiert wird, sondern „wann“ – und wie gut es darauf vorbereitet ist. bs