NIS-2-Umsetzung in Deutschland mit Haftung und Meldepflicht im Fokus NIS 2 in der Praxis zeigt die 6 typischen Fehler bei der Umsetzung

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

FTAPI Software GmbH

Mit NIS 2 wird IT-Sicherheit zur Managementaufgabe mit Haftung. Wir zeigen sechs typische Umsetzungsfehler, vom korrekt abgegrenzten Geltungsbereich über Lieferkettensteuerung bis zu Incident Readiness und gelebter Compliance. Außerdem erklären wir, warum Abwarten auf die deutsche Ausgestaltung riskant ist und welche strukturellen Schritte CISOs jetzt anstoßen sollten.

Am 13. November 2025 hat der Deutsche Bundestag endlich das NIS-2-Umsetzungsgesetz verabschiedet. Jetzt muss noch der Bundesrat dem Gesetz zustimmen und dann ist die Überführung der NIS-2-Richtlinie in nationales Recht endlich abgeschlossen. Dann beginnt für viele CISOs und IT-Abteilungen eine Phase intensiver Veränderung. Was sich erst einmal wie eine weitere Compliance-Vorgabe anhört, ist eine der umfassendsten Reformen im Hinblick auf die IT-Sicherheit der letzten zehn Jahre. Abteilungen für IT-Sicherheit, die bisher keinerlei Berührung mit staatlich regulierter IT-Security hatten, werden plötzlich verpflichtet, ihre Lieferketten und ihre Incident-Response-Prozesse umzugestalten. Und genau hier beginnt die Gefahr, nicht in der Richtlinie selbst, sondern in ihrer Implementierung.

Die NIS-2-Richtlinie verlangt nicht nur, dass CISOs und IT-Abteilungen Prozesse dokumentieren, sondern auch dass sie diese auch wirklich beherrschen. Das klingt nicht sonderlich ungewöhnlich, ist aber für viele Abteilungen der Cyber-Security eine große Zäsur, denn nicht zuletzt wird die IT-Sicherheit von einer unterstützenden Rolle zu einer Management-Aufgabe mit rechtlicher Haftung. Die Risiken beginnen dann meist dort, wo Unternehmen glauben, Compliance sei ein Projekt mit Enddatum und nicht eine strukturelle und vor allem kontinuierliche Veränderung. Daher sind für die Implementierung eine Reihe von Fallstricken zu identifizieren:

Update: NIS 2 tritt morgen in Kraft

Bundestag verabschiedet NIS 2

1: Geltungsbereich identifizieren

Ein Kernelement von NIS-2 ist die erhebliche Ausweitung des Anwendungsbereichs. Während die Vorgängerrichtlinie auf Betreiber kritischer Infrastrukturen beschränkt war, umfasst NIS-2 nun wesentliche und wichtige Einrichtungen quer durch die Sektoren. Dazu gehören Energie, Transport, Gesundheit, öffentliche Verwaltung und digitale Dienstleistungen. IT-Verantwortliche müssen klären, ob ihr Unternehmen betroffen ist und wie die Klassifizierung in ihrer Branche definiert wird.

2: Nicht auf finale Richtlinie warten

Die gefährlichste Falle im Umgang mit NIS-2 ist die Haltung, erst dann zu handeln, wenn das Gesetz vollständig verabschiedet ist. Viele Unternehmen befinden sich genau in diesem Abwarte-Modus, weil der endgültige Wortlaut der deutschen Umsetzung noch aussteht. Da die nationale Verordnung voraussichtlich erst 2026 vorliegen wird, glauben manche IT-Verantwortliche und Manager, vorher nicht sinnvoll planen zu können. Doch diese Strategie führt unweigerlich in eine Zeitfalle. NIS-2 fordert ein Sicherheitsniveau, das sich nicht in wenigen Monaten aufbauen lässt.

Wer erst mit Beginn der nationalen Gesetzgebung aktiv wird, erkennt oft viel zu spät, dass die existierenden Strukturen meist weder skalierbar noch prüffähig sind. Ein Konzept zur Umsetzung sollte idealerweise bereits bestehen: Bestandsaufnahme der IT-Landschaft, Identifikation kritischer Resilienz-Assets, Gap-Analyse zu bestehenden Sicherheitsmaßnahmen. Anschließend gilt es, ein Umsetzungsprogramm mit Budget, Verantwortungsträger, Projektplan und Audit-Vorbereitung zu definieren.

Nationale Behörden wie das Bundesamt für Sicherheit in der Informationstechnik (BSI) in Deutschland haben dazu erste Leitfäden veröffentlicht. CISOs und IT-Verantwortliche sollten regelmäßig die nationale Umsetzung der Richtlinie verfolgen, um rechtzeitig Reaktionspläne zu aktivieren. Nicht zuletzt können Verzögerungen lästige Sanktionen nach sich ziehen.

In zehn Schritten zur NIS-2-Konformität, Teil 1

NIS 2 – Anschnallpflicht für Unternehmen

3: Die Compliance-Illusion

Viele IT-Abteilungen für Informationssicherheit glauben, dass es bei NIS-2 vor allem darauf ankomme, sauber zu dokumentieren. Das heißt, man erstellt Richtlinien, entwickelt einheitliche Vorlagen, schreibt Verantwortlichkeiten nieder und definiert Prozesse – und glaubt damit bereits, den Anforderungen zu genügen. In manchen Organisationen entsteht dadurch eine Art „PowerPoint-Security“, die auf dem Papier beeindruckend aussieht, aber im Ernstfall keinerlei Schutzwirkung entfaltet.

Genau darin liegt das Problem: NIS-2 bewertet nicht, wie ordentlich die Dokumentation strukturiert ist, sondern wie belastbar die Organisation in einem realen Angriff reagiert. Ein perfekter Backup-Plan ist wertlos, wenn nie überprüft wurde, ob Daten auch tatsächlich wiederherstellbar sind. In der Praxis zeigt sich diese Lücke immer wieder. Ein Unternehmen besitzt vielleicht einen Incident-Response-Plan, doch im Ernstfall weiß niemand, wen er zuerst informieren muss. Die Netzwerkabteilung hat ein Backup-System eingerichtet, aber eventuell noch nie einen Restore-Test durchgeführt. Oder: Verantwortlichkeiten sind zwar dokumentiert, aber im Alltag kennt sie eigentlich niemand.

4: Die Lieferkettenproblematik

Ein weiterer kritischer Risikofaktor bei der Umsetzung von NIS-2 ist der „blinde Fleck“ in den Lieferketten. Deshalb verschiebt die Richtlinie die Perspektive weg vom Schutz des eigenen Unternehmens hin zu einem vernetzten Sicherheitsverständnis. Das heißt, das gesamte Ökosystem aus Dienstleistern, Zulieferern und externen IT-Partnern sind jetzt relevant. Jeder Cloud-Anbieter, jeder Software-Dienstleister, sogar kleine Integratoren oder Wartungsfirmen werden ab sofort Teil des eigenen Risikoprofils.

Viele Organisationen haben den Umfang dieser Verantwortung noch längst nicht erfasst. Das heißt im Klartext: Die Haftung bleibt immer beim Unternehmen, nicht beim Dienstleister. Wer seine Lieferketten nicht kennt, nicht bewertet und nicht vertraglich geregelt hat, steuert blind in die Auditpflicht. Damit wird Supplier-Risk-Management von einer Randnotiz zu einer zentralen Disziplin der IT-Sicherheit. Ohne Transparenz nach außen wird es künftig keine Compliance nach innen geben.

Weckruf für Unternehmen

NIS-2 – Nicht warten, machen!

5: Mangelnde Incident-Readiness

Die Richtlinie fordert, dass Unternehmen Sicherheitsvorfälle innerhalb von 24 Stunden melden müssen. Das ist ein extrem kurzer Zeitraum, der viele CISOs und IT-Abteilungen unvorbereitet trifft. Die größte Herausforderung liegt dabei nicht im Melden selbst, sondern im Erkennen. Unternehmen ohne zentrales Monitoring, ohne funktionierende Log-Aggregation oder ohne automatisierte Anomalie-Erkennung laufen Gefahr, Vorfälle schlicht zu spät zu bemerken oder nicht korrekt zu klassifizieren.

NIS-2 zwingt als IT-Abteilungen dazu, ihre Reaktionsfähigkeit zu professionalisieren. Dazu gehört nicht nur ein klar definierter Incident-Response-Prozess, sondern insbesondere die Fähigkeit, in kürzester Zeit belastbare Daten bereitzustellen. Wer keine Klarheit über den eigenen Sicherheitsstatus hat, kann auch nichts melden – und damit entsteht das eigentliche Risiko. NIS-2 macht sichtbar, was bislang oft im Hintergrund lief: Sicherheit beginnt mit Transparenz.

6: NIS-2 ist ein Reifeprozess

Eine der Gefahren, die bei der Umsetzung von NIS-2 gerne unterschätzt werden, liegt nicht in der Technik, sondern in der Verantwortlichkeit. Das bedeutet, die Verantwortung wird erstmals nicht mehr allein in der IT verankert. Stattdessen rückt das Management in die Pflicht. Vorstände, Geschäftsführer und andere Leitungspositionen können künftig persönlich haftbar gemacht werden, wenn sie die notwendigen Sicherheitsmaßnahmen ignorieren oder Entscheidungen hinauszögern.

Damit verschiebt sich der Schwerpunkt von operativer Umsetzung zu strategischer Verantwortung. Das heißt, CISOs und IT-Teams müssen nicht nur technische Projekte planen, sondern auch die Führungsebene überzeugen, Budgets sichern und klare Verantwortlichkeiten etablieren. In Unternehmen, in denen Führungskräfte Cybersecurity als Kostenblock statt als Geschäftsrisiko betrachten, scheitert jede NIS-2-Umsetzung schon vor dem Start.

Empfehlungen und Meldepflichten

BSI veröffentlicht NIS-2-Infopakete

(ID:50632971)