NIS2 praktisch umsetzen
NIS2-Anforderungen in verantwortete, wirksame und nachweisbare Sicherheitsmaßnahmen übersetzen.
NIS2 verlangt für betroffene Einrichtungen keine isolierte Tool-Einführung, sondern ein gesteuertes Cybersicherheits-Risikomanagement. In Deutschland gelten die entsprechenden Pflichten seit dem Inkrafttreten des NIS-2-Umsetzungsgesetzes und des geänderten BSIG am 6. Dezember 2025. Ein pragmatischer Einstieg verbindet Leitungsverantwortung, Risiken, Meldewege, Lieferkette und belastbare Nachweise in einer priorisierten Roadmap. Ob ein Unternehmen erfasst ist, muss rechtlich im Einzelfall geprüft werden.
Ausgangslage
Viele Organisationen verfügen bereits über Sicherheitsmaßnahmen, aber Verantwortlichkeiten, Risikoentscheidungen, Dienstleistersteuerung und Nachweise sind nicht immer in einem belastbaren Gesamtbild verbunden. Besonders kritisch wird das bei Sicherheitsvorfällen: Wer entscheidet, wer koordiniert die technischen Schritte, wer bewertet die Meldepflicht und welche Informationen sind rechtzeitig verfügbar?
NIS2 macht diese Verbindungen zu einer Führungs- und Betriebsaufgabe. Der Ansatz sollte daher nicht mit einer unverbundenen Maßnahmenliste beginnen, sondern mit den Diensten, Systemen, Lieferbeziehungen und Risiken, die für das Unternehmen wesentlich sind.
Fachliche Einordnung
Die Richtlinie (EU) 2022/2555 schafft einen EU-Rahmen für ein hohes gemeinsames Cybersicherheitsniveau. Als Richtlinie musste sie national umgesetzt werden. In Deutschland wurde das NIS-2-Umsetzungsgesetz am 5. Dezember 2025 verkündet; das geänderte BSIG trat laut BSI am 6. Dezember 2025 in Kraft. Das Umsetzungsgesetz ist ein Artikelgesetz und ändert neben dem BSIG weitere Fachgesetze.
Der Anwendungsbereich hängt unter anderem von der Einrichtungsart nach den Anlagen zum BSIG, Größenschwellen und Sonderfällen ab. Das BSI stellt hierfür eine unverbindliche Betroffenheitsprüfung bereit, nimmt aber keine verbindliche Einzelfallentscheidung vor. ADIUMENTO stellt ebenfalls keine verbindliche Betroffenheit fest und erbringt keine Rechtsberatung.
NIS2 ist von Produktpflichten des Cyber Resilience Act zu unterscheiden. Für die übergeordnete Einordnung führt Cybersecurity & Resilienz weiter.
Was Unternehmen konkret klären müssen
- Welche Gesellschaften, Dienste und Tätigkeiten in den Prüfungsrahmen fallen und welche Rechtsberatung die Betroffenheit bewertet.
- Wie die Geschäftsleitung Risikomanagementmaßnahmen billigt, deren Umsetzung überwacht und ihre Schulungsanforderung erfüllt.
- Welche Cyberrisiken für Netz- und Informationssysteme, Dienste, Abhängigkeiten und die Lieferkette priorisiert behandelt werden.
- Wie erhebliche Sicherheitsvorfälle erkannt, bewertet, eingedämmt, intern eskaliert und fristgerecht gemeldet werden.
- Welche Rollen, Entscheidungen, Kontrollen und Betriebsdaten die Umsetzung nachvollziehbar machen.
Die NIS2-Richtlinie sieht unter anderem Risikomanagementmaßnahmen für Sicherheitsvorfälle, Business Continuity, Lieferkettensicherheit, Schwachstellenbehandlung, Wirksamkeitsprüfung und Cybersicherheits-Schulung vor. Das BSIG konkretisiert die deutschen Pflichten. Ausgelagerte IT verlagert die Verantwortung nicht: Das BSI weist darauf hin, dass die betroffene Einrichtung Dienstleistersteuerung, Überprüfung und Vorfallmeldungen weiterhin sicherstellen muss.
Von der Anforderung zur Umsetzung
Leitungsverantwortung und Schulung
Risiko: Sicherheitsentscheidungen bleiben ohne Steuerung
Organisatorische Maßnahme: Entscheidungs-, Billigungs- und Schulungsrhythmus festlegen
Technische Umsetzung: Kennzahlen und Management-Reporting bereitstellen
Möglicher Nachweis: Beschlüsse, Schulungs- und Reviewnachweise
Risikomanagement
Risiko: Lücken bleiben unpriorisiert
Organisatorische Maßnahme: Risikoanalyse, Eigentümerschaft und Maßnahmenroadmap etablieren
Technische Umsetzung: Schutz für Identitäten, Endpunkte, Cloud und Daten risikoorientiert umsetzen
Möglicher Nachweis: Risikoregister, Maßnahmenplan, Kontrollreviews
Sicherheitsvorfälle und Meldungen
Risiko: Erkennung oder Meldung erfolgt zu spät
Organisatorische Maßnahme: Incident-Response-Playbooks, Eskalations- und Kommunikationswege üben
Technische Umsetzung: Logging, Monitoring, Alarmierung und forensische Datensicherung betreiben
Möglicher Nachweis: Playbooks, Übungsprotokolle, Ereignis- und Meldeberichte
Lieferkettensicherheit
Risiko: Dienstleister- und Komponentenrisiken bleiben unbekannt
Organisatorische Maßnahme: Anforderungen, Bewertungen und regelmäßige Überprüfung vereinbaren
Technische Umsetzung: Zugriffe segmentieren, Schnittstellen härten und Dienstleisterzugänge überwachen
Möglicher Nachweis: Bewertungen, Verträge, Zugriffs- und Reviewprotokolle
Nachweisfähigkeit
Risiko: Wirksamkeit ist nicht belegbar
Organisatorische Maßnahme: Dokumentationsstruktur und Kontrollrhythmus definieren
Technische Umsetzung: Konfigurationsstände und Betriebsdaten nachvollziehbar erfassen
Möglicher Nachweis: Richtlinien, Freigaben, Audit- und Systemberichte
Für die operative Kette aus Prävention, Erkennung und Reaktion eignet sich die Vertiefung Defender, WDAC, Monitoring und Incident Response. Sicherheitsanforderungen in Entwicklung und Lieferprozess ordnet Secure Software Lifecycle / DevSecOps ein.
90-Tage-Einstieg
Tage 1–30
Arbeitsziel: Scope und Betroffenheitsannahme mit den zuständigen Funktionen abgrenzen, kritische Dienste und Verantwortlichkeiten erfassen.
Tage 31–60
Arbeitsziel: Incident-Meldekette inklusive deutscher Meldewege testen, Top-Risiken und relevante Lieferanten priorisieren.
Tage 61–90
Arbeitsziel: Maßnahmenfolge, Kontrollnachweise und einen Nachweis-Backlog für Betrieb und Leitung festlegen.
Dies ist keine universelle Konformitätsroadmap; Auslöser, Pflichten und Nachweise sind für den konkreten Fall zu prüfen.
Vorgehen mit ADIUMENTO
ADIUMENTO unterstützt dabei, vorhandene Sicherheitskontrollen, Verantwortlichkeiten und Betriebsprozesse strukturiert zu erfassen und in eine priorisierte Roadmap zu überführen. Je nach Ausgangslage kann dies die strukturierte Analyse vorhandener Kontrollen, die Umsetzung von Identity-, Access-, Endpoint- und Security-Bausteinen sowie Monitoring und dokumentierbare Betriebsprozesse umfassen – im Rahmen der bestätigten Leistungsbereiche auf adiumento.de.
Die Umsetzung wird mit IT-Security & Compliance und der Leistungsübersicht verbunden. Verbindliche Rechtsbewertungen, Betroffenheitsfeststellungen, Testate und Zertifizierungen bleiben bei den jeweils zuständigen Rechtsberatungen, Prüfern oder Zertifizierungsstellen.
Typische Ergebnisse
- abgegrenzter Untersuchungsrahmen und strukturierte Risikoübersicht;
- priorisierte Roadmap mit Verantwortlichkeiten und Umsetzungsetappen;
- Arbeitsgrundlagen für Melde-, Eskalations- und Lieferantenprozesse;
- dokumentierte Kontroll- und Nachweisstruktur für den laufenden Betrieb;
- technische Arbeitspakete für Identität, Endpunkte, Monitoring und Reaktion.
Diese Ergebnisse sind keine Zusage einer Rechtskonformität, Zertifizierung oder behördlichen Anerkennung.
Grenzen und Abhängigkeiten
Die rechtliche Einordnung hängt unter anderem von Tätigkeit, Unternehmensstruktur, Größenschwellen und besonderen Konstellationen ab. Sie kann weder durch einen Online-Check noch durch eine technische Bestandsaufnahme verbindlich ersetzt werden. Die Angemessenheit und Wirksamkeit der Maßnahmen hängen von Risiko, Architektur, Dienstleistern, Ressourcen und dem fortlaufenden Betrieb ab.
Eine ISO-27001- oder IT-Grundschutz-Zertifizierung kann die Nachweisführung unterstützen, ersetzt laut BSI aber nicht automatisch die Prüfung des gesetzlichen Maßnahmenkatalogs. ADIUMENTO erbringt keine Rechtsberatung und stellt keine Konformitätsgarantie aus.
Weiterführende offizielle Quellen
Orientierung
Häufige Fragen
Stellt das BSI verbindlich fest, ob wir von NIS2 betroffen sind?
Nein. Das BSI bietet eine unverbindliche Betroffenheitsprüfung an und weist darauf hin, dass keine verbindliche individuelle Betroffenheits- oder Nicht-Betroffenheitsentscheidung erfolgt. Bei Unklarheiten ist externe juristische Unterstützung einzubeziehen.
Reicht ein Zertifikat als NIS2-Nachweis?
Nein. Das BSI erläutert, dass es kein allgemeines Zertifikat zum Nachweis aller Anforderungen gibt. Je nach Situation können Dokumentationen, Prüfberichte, Audits oder Zertifizierungen Nachweise unterstützen; die Risikomanagementmaßnahmen und ihre Umsetzung müssen dennoch angemessen sein.
Welche Meldefristen müssen wir technisch und organisatorisch vorbereiten?
Die Richtlinie nennt bei erheblichen Sicherheitsvorfällen eine Frühwarnung binnen 24 Stunden, eine Meldung binnen 72 Stunden und einen Abschlussbericht binnen eines Monats. Für Deutschland sind Registrierung und Meldungen über das BSI-Portal sowie die aktuellen BSIG- und BSI-Vorgaben maßgeblich; Auslöser, Inhalte und Ausnahmen sind im Einzelfall zu prüfen.
Nächster sinnvoller Schritt
Starten Sie mit einem abgegrenzten Blick auf relevante Dienste, Verantwortlichkeiten, Risiken und bestehende Kontrollen. IT-Security & Compliance kann eine technische Roadmap oder ein Security-Assessment als Ausgangspunkt strukturieren; Rechtsberatung und Betroffenheitsbewertung bleiben getrennt. Für den Kontext führt der Regulatorik-Hub zu den weiteren Themen.