NIS 2 – mit dem finalen Referentenentwurf zur Umsetzung der EU-NIS2-Richtlinie beginnt in Deutschland die letzte Phase vor dem Inkrafttreten. Ab Herbst 2025 sind tausende Unternehmen verpflichtet, die neuen Vorgaben umzusetzen. Die Frist ist knapp: Ab dem Tag des Inkrafttretens bleiben betroffenen Organisationen nur drei Monate, um sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) zu registrieren – und dabei umfassend nachzuweisen, dass alle technischen und organisatorischen Sicherheitsanforderungen erfüllt sind.

Gesetzliche Pflicht mit organisatorischer Wucht

Was die Umsetzung besonders herausfordernd macht: Die Richtlinie greift in zentrale Geschäftsprozesse ein – und das in einer Zeit, in der viele Unternehmen urlaubsbedingt mit reduziertem Personal arbeiten. Die strategische und operative Vorbereitung muss daher sofort beginnen, um Haftungsrisiken, Sanktionen und Reputationsverluste zu vermeiden.

Ausweitung des Anwendungsbereichs – Wer ist betroffen?

Die NIS2-Richtlinie erweitert den Adressatenkreis deutlich. Entscheidend sind neben dem wirtschaftlichen Tätigkeitsfeld auch Größe und Relevanz des Unternehmens. Die Pflicht zur Umsetzung gilt für:

• Große Unternehmen mit mehr als 250 Mitarbeitenden, einem Jahresumsatz über 50 Mio. € oder einer Bilanzsumme über 43 Mio. €
• Mittlere Unternehmen, sofern sie für digitale Infrastruktur, Versorgungssicherheit oder wirtschaftliche Stabilität relevant sind
• Kleine Unternehmen, wenn sie Teil kritischer Lieferketten oder Betreiber wesentlicher Dienste sind

Zudem unterscheidet die Richtlinie zwischen zwei Stufen der Kritikalität:

• „Sehr wichtige Einrichtungen“ (z. B. Energieversorgung, Gesundheitswesen, Telekommunikation): Bei Pflichtverletzungen droht nicht nur ein Bußgeld, sondern auch der Entzug der Betriebsgenehmigung oder das Leitungsverbot für verantwortliche Personen.
• „Wichtige Einrichtungen“ (z. B. digitale Dienste, Lebensmittelwirtschaft, Logistik): Es drohen Strafen bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes sowie ergänzende Sanktionen nach DSGVO.

Vier Handlungsfelder – Was NIS2 konkret verlangt

Im Zentrum der Umsetzung stehen vier sicherheitsrelevante Kernbereiche. Diese bilden zugleich die Grundlage für interne Audits und mögliche Prüfungen durch das BSI:

1. Cybersecurity
   Einführung und Kontrolle von Erkennungs- und Schutzmaßnahmen, z. B. durch Managed Detection & Response, Vulnerability Management und Echtzeit-Überwachung kritischer Systeme.
2. Business Continuity Management (BCM)
   Absicherung der Betriebsfähigkeit – inklusive Notfallplänen, Ressourcenplanung und Wiederanlaufstrategien
3. IKT-Dienstleistersteuerung.

   Sicherstellung, dass IT-Dienstleister ebenfalls NIS2-konform arbeiten. Dies schließt vertragliche Anpassungen von SLAs, regelmäßige Kontrollen und Risikotransparenz ein.

4. Risikomanagement
   Kontinuierliche Bewertung kritischer Prozesse gegen bekannte Bedrohungen (z. B. auf Basis des IT-Grundschutzes), Definition technischer und organisatorischer Maßnahmen und Dokumentation von Restrisiken

Unternehmen, die diesen Anforderungen nicht vollständig nachkommen, müssen mit Zwangsgeldern von bis zu 100.000 €, verpflichtenden Zertifizierungen, Nachbesserungsforderungen und – im Ernstfall – mit interventionistischen Maßnahmen durch das BSI rechnen.

Verantwortung auf Geschäftsleitungsebene

Besonders brisant: Die Einhaltung der NIS2-Vorgaben ist nicht delegierbar. Die Verantwortung liegt unmittelbar bei der Geschäftsführung. Bei vorsätzlicher oder fahrlässiger Missachtung drohen verschärfte persönliche Haftungsrisiken, auch unabhängig davon, ob Aufgaben intern weitergegeben wurden.

Die nächsten Schritte – so schaffen Sie Klarheit und Compliance

Um nicht nur formell, sondern auch inhaltlich NIS2-konform aufgestellt zu sein, empfehlen sich folgende Schritte:

1. Betroffenheit prüfen
   Ermitteln Sie, ob Ihr Unternehmen in den Anwendungsbereich der Richtlinie fällt – und wenn ja, in welcher Kritikalitätsstufe.
2. Internes NIS2-Audit durchführen
   Analysieren Sie Ihre aktuelle Sicherheits- und Prozesslandschaft, identifizieren Sie Schwachstellen und priorisieren Sie Handlungsfelder.
3. Registrierung im BSI-Meldeportal vorbereiten
   Klären Sie Zuständigkeiten, Kommunikationswege und welche Nachweise zur Konformität vorgelegt werden müssen.
4. Meldeprozess im Unternehmen etablieren
   Entwickeln Sie klare Abläufe zur Erkennung, Bewertung und Meldung von Sicherheitsvorfällen – inklusive Eskalations- und Dokumentationsprozesse.

Alle Maßnahmen müssen nachweisbar, wirksam und nachvollziehbar sein. Es reicht nicht aus, auf dem Papier sicher zu sein – die Umsetzung muss sich im Alltag bewähren.

Fazit: Pflicht, Risiko – und strategische Chance

Die NIS2-Richtlinie stellt Unternehmen vor große Herausforderungen. Sie verlangt nicht nur technische Upgrades, sondern auch neue Denkweisen in Führung, Struktur und Kultur. Doch mit konsequenter Vorbereitung lassen sich Risiken minimieren und gleichzeitig wertvolle Vorteile schaffen: mehr digitale Resilienz, höhere Kunden- und Partnervertrauen, Schutz vor Reputationsschäden – und nicht zuletzt: Rechtskonformität.

Jetzt ist der richtige Zeitpunkt strategisch zu handeln.

Kontaktieren Sie uns für ein unverbindliches Erstgespräch – und sichern Sie sich mit uns eine rechtskonforme, zukunftsfähige und resilient aufgestellte Organisation im digitalen Zeitalter.