Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) gilt seit dem 6. Dezember 2025, die Registrierungsfrist für bereits betroffene Unternehmen endete am 6. März 2026 – und viele Organisationen stehen trotzdem noch am Anfang. Die Frage ist nicht mehr, ob Sie handeln müssen, sondern in welcher Reihenfolge.
Dieser Fahrplan führt in sechs Phasen durch die NIS-2-Umsetzung: von der Betroffenheitsprüfung über Gap-Analyse, Rahmenwerk, Risikomanagementmaßnahmen, Registrierung und Meldeprozess bis zu Lieferkette und nachweisbarem Betrieb. Er nennt für jede Phase das Ergebnis, das am Ende vorliegen muss, und ordnet realistisch ein, wie lange das dauert.
Vorab: Bin ich betroffen?
Das Gesetz unterscheidet in § 28 BSIG besonders wichtige Einrichtungen und wichtige Einrichtungen. Betroffen sind Unternehmen in 18 Sektoren – von Energie, Verkehr und Gesundheit über digitale Infrastruktur bis zu verarbeitendem Gewerbe, Chemie, Lebensmitteln und Post –, sobald sie mindestens 50 Mitarbeitende beschäftigen oder mehr als 10 Mio. Euro Umsatz und Bilanzsumme erreichen; ab 250 Mitarbeitenden oder mehr als 50 Mio. Euro Umsatz und 43 Mio. Euro Bilanzsumme gelten Unternehmen der Sektoren hoher Kritikalität als besonders wichtig. Einige Einrichtungen sind unabhängig von der Größe erfasst.
Drei Fragen entscheiden: Welcher Sektor? Welche Größe? Welche Rolle in der Lieferkette? Denn auch wer selbst nicht erfasst ist, erhält die Anforderungen über regulierte Kunden vertraglich weitergereicht. Eine erste Einordnung liefert die Betroffenheitsprüfung des BSI; die Details zu Sektoren und Schwellen finden Sie in NIS-2 für Unternehmen: Wer ist betroffen?, die Unterschiede der beiden Kategorien in Zentralstelle und 2. Säule. Das Ergebnis der Prüfung gehört dokumentiert in die Ablage – es ist der erste Nachweis gegenüber dem BSI.
Die sechs Phasen im Überblick
| Phase | Ergebnis | Typische Dauer |
|---|---|---|
| 1 Bestandsaufnahme und Gap-Analyse | Asset-Inventar, Reifegrad je Anforderung, priorisierter Maßnahmenplan | 2–4 Wochen |
| 2 Rahmenwerk festlegen | Entscheidung ISO 27001, IT-Grundschutz oder Kombination; Scope | 1–2 Wochen |
| 3 Pflichten mit Frist | Registrierung, Meldeprozess, Schulung der Geschäftsleitung | 2–4 Wochen, parallel zu Phase 1 |
| 4 Risikomanagementmaßnahmen | Risikoanalyse, Richtlinien, Controls, BCM, Nachweise | 3–9 Monate |
| 5 Lieferkette | Lieferantenverzeichnis, Bewertung, Vertragsklauseln | 4–8 Wochen, parallel zu Phase 4 |
| 6 Betrieb und Nachweis | Internes Audit, Managementbewertung, Übungen, laufende Pflege | dauerhaft |
Phase 1: Bestandsaufnahme und Gap-Analyse
Die Umsetzung beginnt nicht mit Maßnahmen, sondern mit Klarheit über den Ausgangszustand.
Asset-Inventar. Erfassen Sie Systeme, Anwendungen, Daten, Standorte, Dienstleister und Schnittstellen. Ohne dieses Inventar lässt sich weder eine Risikoanalyse führen noch bei einer kritischen Schwachstelle beantworten, ob und wo Sie betroffen sind – wie der Fall PHP2Shell gezeigt hat.
Gap-Analyse. Spiegeln Sie den Ist-Zustand gegen die vier Pflichtenblöcke des Gesetzes: die Risikomanagementmaßnahmen nach § 30 BSIG, die Meldepflichten nach § 32, die Registrierungspflicht nach § 33 und die Pflichten der Geschäftsleitung nach § 38. Bewerten Sie jede Anforderung nach Reifegrad und jede Lücke nach Risiko und Aufwand.
Maßnahmenplan. Das Ergebnis ist eine priorisierte Liste mit Verantwortlichen, Terminen und Budgetrahmen – das Dokument, das die Geschäftsleitung billigen muss und das bei einer Prüfung zeigt, dass Sie strukturiert vorgehen. Typische Befunde: kein gepflegtes Asset-Inventar, kein Risikoregister, kein dokumentierter Meldeweg, Lieferanten nie bewertet.
Phase 2: Rahmenwerk festlegen
NIS-2 schreibt kein Rahmenwerk vor, aber ohne Struktur wird die Umsetzung zur Zettelsammlung. Zwei Wege haben sich bewährt:
- ISO/IEC 27001: risikobasiert, international anerkannt, 93 Controls als Zielvorgaben. Der richtige Weg für Unternehmen mit internationalen Kunden oder Lieferanten und für alle, die ohnehin ein Zertifikat brauchen.
- BSI IT-Grundschutz: methodisch konkret, mit Bausteinen und vorgegebenen Anforderungen; für Behörden, KRITIS und Auftragnehmer der öffentlichen Hand meist vorgegeben. Zertifizierbar als „ISO 27001 auf Basis von IT-Grundschutz“.
Beide decken die Risikomanagementmaßnahmen des § 30 BSIG strukturell ab; das BSI bestätigt das in seinen Informationspaketen zu NIS-2. Nicht abgedeckt sind die gesetzlichen Pflichten – Registrierung, Meldefristen, Geschäftsleitung –, die Sie in Phase 3 ergänzen. Wer bereits ein ISMS betreibt, überspringt diese Phase und mappt die NIS-2-Anforderungen auf das bestehende System.
Phase 3: Pflichten mit Frist zuerst
Drei Pflichten haben feste Termine und sollten parallel zur Gap-Analyse erledigt werden – sie sind in wenigen Wochen umsetzbar und bei einer Prüfung das Erste, wonach gefragt wird.
Registrierung beim BSI (§ 33 BSIG). Innerhalb von drei Monaten nach Eintritt in den Anwendungsbereich; für Bestandsunternehmen war das der 6. März 2026. Wer die Frist verpasst hat, registriert unverzüglich nach und dokumentiert den Vorgang. Die Registrierung erfolgt über das BSI-Portal mit Unternehmenskonto und ELSTER-Organisationszertifikat; einzuplanen sind ein bis zwei Wochen Vorlauf für das Zertifikat. Anzugeben sind Sektor, Einrichtungsart, eine jederzeit erreichbare Kontaktstelle sowie IP-Adressbereiche und Domains. Jede Tochtergesellschaft wird einzeln geprüft.
Meldeprozess (§ 32 BSIG). Erhebliche Sicherheitsvorfälle sind dreistufig zu melden: Frühwarnung innerhalb von 24 Stunden, Meldung mit Bewertung innerhalb von 72 Stunden, Abschlussbericht nach einem Monat. Legen Sie fest, wer einen Vorfall als erheblich einstuft, wer die Meldung abgibt, wer vertritt, und halten Sie Vorlagen bereit. Ein Meldeweg, der am Tag des Vorfalls erst entworfen wird, hält die 24 Stunden nicht.
Geschäftsleitung (§ 38 BSIG). Die Leitungsorgane müssen die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Beschluss und Schulungsnachweis gehören in die Ablage.
Phase 4: Risikomanagementmaßnahmen nach § 30 BSIG umsetzen
Das ist die eigentliche Projektarbeit. § 30 BSIG verlangt geeignete, verhältnismäßige und wirksame Maßnahmen nach dem Stand der Technik und nennt einen Mindestkatalog von zehn Bereichen. In der Praxis ordnen sich die Arbeitspakete so:
- Risikoanalyse und Sicherheitskonzept – Risikoregister mit Bedrohungsszenarien, Bewertung, Behandlung; Leitlinie und Themenrichtlinien.
- Bewältigung von Sicherheitsvorfällen – Erkennung, Analyse, Eindämmung, verzahnt mit dem Meldeweg aus Phase 3.
- Business Continuity – Backup-Management, Wiederherstellung, Krisenmanagement, Notfallhandbuch, erste Übung. Mehr dazu in unserem BCM-Beitrag.
- Sicherheit bei Erwerb, Entwicklung und Wartung – Schwachstellenmanagement, Patch-Prozess, sichere Konfiguration.
- Zugriffskontrolle und Identitäten – Berechtigungskonzept, Multi-Faktor-Authentifizierung, privilegierte Konten.
- Kryptografie, Personalsicherheit, Cyberhygiene und Schulung – Verschlüsselungsrichtlinie, Onboarding und Offboarding, Awareness mit Nachweis.
- Wirksamkeitsbewertung – Verfahren, mit dem Sie regelmäßig prüfen, ob die Maßnahmen funktionieren.
Jede Maßnahme braucht einen Verantwortlichen, einen Umsetzungsstand und einen Nachweis. Wer die Nachweise in einer Compliance-Plattform führt, hat sie bei der Prüfung auf Knopfdruck; wer sie in Ordnern sammelt, braucht eine klare Ablagestruktur. Entscheidend ist nicht das Werkzeug, sondern dass Anforderung, Maßnahme und Beleg nachvollziehbar verknüpft sind.
Phase 5: Lieferkette absichern
§ 30 Abs. 2 Nr. 4 BSIG verpflichtet Sie, Sicherheitsrisiken in der Lieferkette zu berücksichtigen – Outsourcing befreit nicht von der Verantwortung. Ein praktikables Vorgehen:
- Lieferantenverzeichnis mit Klassifizierung nach Kritikalität: Dienstleister, deren Ausfall oder Kompromittierung den Betrieb unmittelbar gefährdet (Cloud, Managed Services, Software mit Zugriff auf Produktionssysteme), solche mit indirektem Einfluss und alle übrigen.
- Bewertung der kritischen Lieferanten über Fragebögen, Zertifikate und Auditberichte – mit dokumentiertem Ergebnis, nicht nur abgehefteten Antworten. Warum der gesetzte Haken allein nichts beweist, zeigt Lieferantenfragebögen als Scheinsicherheit.
- Vertragsklauseln: Meldepflicht des Lieferanten bei Vorfällen, Auditrechte, Transparenz über Subunternehmer, Mindestanforderungen an Sicherheit.
Dieselben Anforderungen erreichen Sie umgekehrt von Ihren regulierten Kunden. Wer Phase 4 sauber dokumentiert hat, beantwortet deren Fragebögen in Stunden statt Wochen – und hat ein Verkaufsargument, wo andere eine Pflicht sehen. Was auf Zulieferer zukommt, beschreibt NIS-2 in der Lieferkette.
Phase 6: Betrieb und Nachweis
NIS-2 ist kein Projekt mit Endtermin. Ab jetzt gilt: internes Audit mindestens jährlich, Managementbewertung mit dokumentierter Entscheidung der Geschäftsleitung, jährliche Notfallübung, Rezertifizierung von Berechtigungen, Aktualisierung von Inventar und Risikoregister bei jeder Änderung, Schulung neuer Mitarbeitender. Besonders wichtige Einrichtungen müssen mit anlassunabhängigen Prüfungen des BSI rechnen, wichtige Einrichtungen mit anlassbezogenen; Betreiber kritischer Anlagen haben zusätzlich alle drei Jahre Nachweise vorzulegen.
Für den Betrieb braucht es eine benannte Rolle. Wo keine eigene Stelle sinnvoll ist, übernimmt ein externer Informationssicherheitsbeauftragter Steuerung, Erreichbarkeit für Meldungen und Berichterstattung an die Geschäftsführung.
Zeit, Ressourcen und externe Unterstützung
Wie lange die Umsetzung dauert, hängt von der Ausgangslage ab: Mit einem bestehenden ISMS sind drei bis sechs Monate realistisch, ohne Vorarbeiten sechs bis zwölf. Intern braucht es mindestens eine Person, die das Projekt verantwortet – in der Aufbauphase mit 10 bis 30 Prozent ihrer Arbeitszeit – sowie Entscheidungsbereitschaft der Geschäftsführung und Beteiligung der Fachbereiche bei Prozessaufnahme und Schulung.
Externe Unterstützung beschleunigt vor allem Phase 1 und 4: Methodik, Vorlagen und Erfahrung aus anderen Umsetzungen müssen nicht erst entwickelt werden, und die Gap-Analyse liefert in zwei bis drei Wochen ein belastbares Bild statt nach Monaten interner Abstimmung. Cognic übernimmt dabei je nach Bedarf die Projektleitung, die Umsetzung oder die Rolle des externen ISB – bis zum Nachweis und darüber hinaus.
Bußgelder und Haftung der Geschäftsleitung
§ 65 BSIG sieht für besonders wichtige Einrichtungen Bußgelder bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes vor, für wichtige Einrichtungen bis zu 7 Mio. Euro oder 1,4 Prozent – jeweils der höhere Betrag. Daneben bestehen eigene Tatbestände für unterlassene Registrierung, verspätete Meldungen und die Nichtbefolgung von BSI-Anordnungen.
Die Geschäftsleitung trifft nach § 38 BSIG eine persönliche Pflicht: Sie muss die Maßnahmen billigen, überwachen und sich schulen lassen; bei Verletzung haftet sie der Einrichtung gegenüber für den entstandenen Schaden. In der Praxis scheitern Unternehmen bei Prüfungen selten daran, dass keine Maßnahmen existieren, sondern daran, dass sie nicht nachweisbar dokumentiert sind. Dokumentation ist deshalb keine Begleiterscheinung der Umsetzung, sondern ihr Kern.
Ausblick: Cyber Resilience Act
Wer NIS-2 strukturiert umsetzt, baut Strukturen, die die nächste Regulierung bereits verlangt. Der Cyber Resilience Act (CRA) ist seit 10. Dezember 2024 in Kraft und richtet sich an Hersteller von Produkten mit digitalen Elementen: Schwachstellenmanagement, Sicherheitsupdates über den Lebenszyklus, Dokumentation und CE-Konformität. Die Meldepflichten für aktiv ausgenutzte Schwachstellen gelten ab 11. September 2026, die übrigen Pflichten ab 11. Dezember 2027; Bußgelder reichen bis 15 Mio. Euro oder 2,5 Prozent des Jahresumsatzes. Risikoregister, Schwachstellenprozess und Nachweisstruktur aus der NIS-2-Umsetzung lassen sich direkt weiterverwenden – wenn das Sicherheitsmanagement von Anfang an als System geplant wird, nicht als einmaliger Sprint.
Fazit
Die Reihenfolge entscheidet: erst wissen, wo man steht, dann die Pflichten mit Frist erledigen, dann die Maßnahmen umsetzen – und von Anfang an so dokumentieren, dass ein Prüfer es nachvollziehen kann. Der Sechs-Phasen-Fahrplan macht aus der Compliance-Last ein Projekt mit klaren Ergebnissen. Wie weit Sie davon entfernt sind, klärt ein NIS-2 Readiness-Check in zwei bis drei Wochen.
