NIS2 2026: Der Praxis-Check für Unternehmen

Cyberangriffe, Lieferkettenrisiken und Systemausfälle sind längst keine reinen IT-Probleme mehr. Mit NIS2 gelten seit Ende 2025 für deutlich mehr Unternehmen verbindliche Anforderungen an Cybersicherheit, Organisation und Vorfallmeldungen. Im Jahr 2026 zählt deshalb nicht mehr nur die Frage, ob Schutzmaßnahmen geplant sind, sondern ob sie nachvollziehbar umgesetzt und dokumentiert wurden.

Das deutsche NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Das BSI-Portal für Registrierung und Meldungen steht seit Januar 2026 bereit. Unternehmen sollten ihre Betroffenheit deshalb nicht aufschieben – auch dann nicht, wenn sie sich bisher nicht als kritische Infrastruktur verstanden haben.

Was NIS2 verändert

NIS2 erweitert den Kreis regulierter Unternehmen und vereinheitlicht Sicherheitsanforderungen innerhalb Europas. Betroffene Organisationen müssen geeignete, verhältnismäßige technische und organisatorische Maßnahmen umsetzen. Hinzu kommen Melde-, Registrierungs- und Nachweispflichten sowie eine stärkere Verantwortung der Geschäftsleitung.

Die Anforderungen betreffen nicht ausschließlich große Konzerne. Je nach Branche, Unternehmensgröße und Bedeutung der angebotenen Leistung können auch mittelständische Betriebe als wichtige oder besonders wichtige Einrichtung eingestuft werden.

Ist Ihr Unternehmen betroffen?

Eine pauschale Antwort ist ohne Einzelfallprüfung nicht möglich. Relevant sind insbesondere Branche, Tätigkeit, Mitarbeiterzahl, Umsatz und Bilanzsumme. Zu den erfassten Bereichen gehören unter anderem:

• Energie, Verkehr, Gesundheit und digitale Infrastruktur
• IT- und Cloud-Dienste, Rechenzentren und Managed Services
• Produktion bestimmter kritischer Waren und Maschinen
• Post-, Kurier-, Abfall- und Wasserdienstleistungen
• Lebensmittelproduktion und ausgewählte Forschungsbereiche
• Anbieter wichtiger digitaler Plattformen und Dienste

Auch nicht direkt regulierte Unternehmen spüren NIS2 über ihre Kunden. Auftraggeber verlangen zunehmend Sicherheitsnachweise, verbindliche Reaktionszeiten, Schwachstellenmanagement und belastbare Notfallkonzepte von ihren Lieferanten.

Die zehn zentralen Sicherheitsbereiche

Das BSI nennt zentrale Bereiche, die ein angemessenes Risikomanagement abdecken muss. Für die Praxis bedeutet das:

1. Risikoanalyse und Sicherheitskonzepte: Risiken systematisch erfassen, bewerten und behandeln.
2. Bewältigung von Sicherheitsvorfällen: Verantwortlichkeiten, Eskalation und Abläufe verbindlich festlegen.
3. Business Continuity: Backups, Wiederherstellung, Krisenmanagement und Notbetrieb testen.
4. Sicherheit der Lieferkette: Risiken bei unmittelbaren Dienstleistern und Softwareanbietern bewerten.
5. Sichere Entwicklung und Wartung: Schwachstellen erkennen, priorisieren und zeitnah beheben.
6. Wirksamkeitskontrolle: Maßnahmen regelmäßig prüfen, messen und verbessern.
7. Schulungen und Cyberhygiene: Mitarbeitende und Führungskräfte passend zu ihren Rollen sensibilisieren.
8. Kryptografie: Verschlüsselung und Schlüsselverwaltung angemessen einsetzen.
9. Zugriffs- und Asset-Management: Systeme, Konten, Rechte und Verantwortliche vollständig kennen.
10. Multi-Faktor-Authentifizierung: Kritische Zugänge und Kommunikation zusätzlich absichern.

Geschäftsleitung trägt Verantwortung

NIS2 macht Cybersicherheit ausdrücklich zur Führungsaufgabe. Die Geschäftsleitung muss Risikomanagementmaßnahmen billigen, deren Umsetzung überwachen und sich regelmäßig mit den relevanten Risiken befassen. Eine vollständige Delegation an IT-Abteilung oder Dienstleister reicht nicht aus.

Für die Praxis empfiehlt sich ein regelmäßiges Management-Reporting mit verständlichen Kennzahlen: kritische Schwachstellen, Wiederherstellungstests, Sicherheitsvorfälle, Schulungsquote, Risiken bei Dienstleistern und Status offener Maßnahmen.

Vorfallmeldungen: 24 und 72 Stunden im Blick behalten

Bei erheblichen Sicherheitsvorfällen gelten kurze Fristen. Nach den Informationen des BSI ist grundsätzlich eine frühe Erstmeldung innerhalb von 24 Stunden nach Kenntniserlangung vorgesehen. Eine Folgemeldung muss innerhalb von 72 Stunden erfolgen. Weitere Informationen oder ein Abschlussbericht können folgen.

Diese Fristen lassen sich nur einhalten, wenn Erkennung, Bewertung und Eskalation bereits vor einem Vorfall vorbereitet sind. Unternehmen benötigen daher klare Ansprechpartner, Rufbereitschaften, Entscheidungskriterien und einen funktionierenden Zugang zum BSI-Portal.

Der NIS2-Praxis-Check

1. Betroffenheit dokumentiert?

Prüfen und dokumentieren Sie Branche, Unternehmensgröße, Tätigkeiten und mögliche Sonderregeln. Halten Sie auch fest, warum Ihr Unternehmen als betroffen oder nicht betroffen eingestuft wurde.

2. Verantwortlichkeiten benannt?

Geschäftsleitung, Informationssicherheit, IT-Betrieb, Datenschutz, Kommunikation und Fachbereiche benötigen klar abgegrenzte Rollen. Für Sicherheitsvorfälle muss jederzeit feststehen, wer entscheidet und wer meldet.

3. Kritische Systeme und Daten bekannt?

Ohne aktuelles Asset-Inventar ist belastbares Risikomanagement kaum möglich. Erfassen Sie Systeme, Cloud-Dienste, Netzwerke, Identitäten, Datenbestände und verantwortliche Dienstleister.

4. MFA und Berechtigungen konsequent umgesetzt?

Priorisieren Sie administrative Konten, Fernzugänge, Cloud-Plattformen, E-Mail, Backup-Systeme und externe Dienstleisterzugänge. Entfernen Sie veraltete Konten und reduzieren Sie dauerhafte Administratorrechte.

5. Backups wirklich wiederherstellbar?

Ein erfolgreich abgeschlossenes Backup ist noch kein Nachweis für Wiederherstellbarkeit. Testen Sie regelmäßig komplette Restore-Szenarien, dokumentieren Sie Ergebnisse und schützen Sie Sicherungen vor Manipulation durch Angreifer.

6. Vorfallprozess getestet?

Führen Sie mindestens eine realistische Notfallübung durch. Ein Ransomware-Szenario zeigt schnell, ob Kontaktdaten, Entscheidungswege, Kommunikationsvorlagen und technische Zugänge tatsächlich funktionieren.

7. Lieferanten bewertet?

Klären Sie, welche Anbieter Zugriff auf Systeme oder Daten haben und welche Leistungen für Ihren Betrieb kritisch sind. Verträge sollten Sicherheitsanforderungen, Meldewege, Reaktionszeiten und Unterstützung bei Vorfällen eindeutig regeln.

Ein sinnvoller 90-Tage-Plan

• Tag 1–30: Betroffenheit prüfen, Verantwortliche festlegen, Assets und kritische Dienstleister erfassen.
• Tag 31–60: Risikoanalyse aktualisieren, größte Schutzlücken schließen, Meldeprozess und BSI-Zugang vorbereiten.
• Tag 61–90: Wiederherstellung und Incident Response testen, Lieferanten bewerten, Management-Reporting etablieren.

Unternehmen müssen nicht jede Maßnahme gleichzeitig perfektionieren. Entscheidend ist ein risikobasierter, nachvollziehbarer Verbesserungsprozess mit klaren Prioritäten und belastbaren Nachweisen.

Fazit: NIS2 ist mehr als eine Compliance-Checkliste

NIS2 verbindet technische Sicherheit mit Organisation und Führungsverantwortung. Wer nur einzelne Tools einkauft, aber keine Zuständigkeiten, Tests und Meldewege schafft, bleibt im Ernstfall handlungsunfähig.

Webect unterstützt Unternehmen bei NIS2-Betroffenheitsanalyse, Security Assessment, Risikomanagement, Monitoring, Backup-Konzepten und Incident-Response-Prozessen. Gemeinsam entwickeln wir einen realistischen Maßnahmenplan, der zu Ihrer Infrastruktur passt.

Hinweis: Dieser Beitrag bietet eine technische und organisatorische Orientierung und ersetzt keine Rechtsberatung. Verbindliche Informationen und Hilfestellungen finden Sie im NIS2-Bereich des Bundesamts für Sicherheit in der Informationstechnik.