Die Studie „Cybersicherheit in Zahlen“ von G Data, Statista und Brand Eins ergab, dass 25 Prozent der deutschen Unternehmen noch am Anfang stehen.

Aktuelle Umfragen zeichnen ein beunruhigendes Bild der Umsetzungslage der NIS2. Die Studie „Cybersicherheit in Zahlen“ von G Data, Statista und Brand Eins ergab, dass 25 Prozent der deutschen Unternehmen noch am Anfang stehen. Es ist zu vermuten, dass die wirkliche Zahl noch höher sein wird, denn frei nach Bernd Stromberg ist die Antwort „Joa, läuft“ eine auf Nachfragen gern gegebene Antwort. 

Am 13. November 2025 stimmte der Bundestag der Umsetzung der Richtlinie in deutsches Recht zu. Sobald auch der Bundesrat zugestimmt hat, wird NIS2 in Kraft treten. Die Richtlinie wird also viele betroffene Unternehmen eiskalt erwischen. Das liegt maßgeblich daran, dass gerade in KMUs Ressourcen stark limitiert sind und niemand Briefe mit Inhalten wie „Achtung, Sie sind NIS2-pflichtig“ versendet. Das müssen Unternehmen selbst herausfinden. Dafür hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) einen guten Betroffenencheck veröffentlicht. (LINK)

Wer weiß, er ist NIS2-pflichtig, limitierte Ressourcen hat, aber strategisch handeln will und nicht auf Kaltstarts steht, kann sechs Schritte unternehmen, die dem „Machen ist besser als Warten“-Prinzip folgen. 

Sie müssen sich darüber bewusst sein, dass NIS2 einen großen proaktiven, eigenorganisatorischen Teil beinhaltet. NIS2 verpflichtet Unternehmen, ihre (IT)-Sicherheit massiv zu verstärken, Vorfälle zu melden und Schutzmaßnahmen nachweisbar zu machen. NIS2 fragt Sie also nicht, ob Sie alles haben, sondern, ob Sie es nachweisen können.

Ein Kernaspekt der Richtline ist es, Unternehmen zu zwingen, Sicherheit nicht bei einem reinen IT-Thema zu belassen. In der Praxis wird sicher vieles an der IT hängen bleiben, aber da potenzielle Sanktionierungen mit persönlicher Haftung der Geschäftsführung drohen, ist NIS2 buchstäblich Chefsache.

Wenn es also etwas gibt, mit dem Sie jetzt beginnen müssen, dann sich über die Prozessorganisation der Umsetzung Gedanken zu machen. Denn am Ende müssen Sie ein Risikomanagement etablieren, Business Continuity einführen und in der Lage sein, Sicherheitsvorfalle blitzschnell zu melden.

Dieser Beitrag zeigt Ihnen einen pragmatischen Weg, wie Sie ohne in sechs Schritten starten können. 

Die sechs Schritte: Kompakt und praxistauglich

1) Betroffenheit klären

Prüfen Sie auf der BSI-Seite noch einmal sauber, aber Sie wirklich in den Scope fallen. Dann wissen alle, warum NIS2 Priorität hat. Wenn das Ergebnis „ja“ lautet, gilt es, die nötigen Gremien zu sensibilisieren.

2) Wer muss dabei sein?

Definitiv muss die Geschäftsführung dabei sein. Wenn Sie einen Chief Information Security Officer – Leitung Informationssicherheit (CISO) oder eine ähnliche Position haben, muss diese Person ebenfalls zwingend mit dabei sein. Auch die IT/OT müssen Sie sensibilisieren. Falls es jemanden gibt, der schon jetzt Business Continuity Management – Management der geschäftlichen Betriebsfähigkeit (BCM) betreibt, auch diese Person. Zu guter Letzt auch die Rechtsabteilung. Dieses Setup muss in der Lage sein, die NIS2-Umsetzung zu steuern.

3) Vorfälle melden können

An einer Stelle werden die Behörden keinen Spaß verstehen: Vorfälle müssen umgehend binnen 24 h als Frühwarnung gemeldet werden. Nach 72 h muss es eine Incident – Sicherheitsvorfall-Meldung geben und nach 30-Tagen einen Abschlussreport. Sich dafür im Meldeportal zu registrieren, ist das kleinere Problem. Die Herausforderung ist, dafür Vorlagen und Freigabepfade abzustimmen und zu erstellen.

Was Sie jetzt aufsetzen sollten:

• Incident-Standard Operating Procedure – Standardarbeitsanweisung (SOP) (1-Pager je Stufe), Kontaktliste, BSI-Meldeweg.

• Tabletop‑Übung – szenariobasierte Übung am Tisch (Tabletop) (60–90 Min.), um Lücken zu finden, bevor es brennt.

4) Risikomanagement & Business Continuity (BCM) starten

Risikomanagement: Was bedeutet das?

Sie identifizieren und bewerten Risiken (Eintritt × Auswirkung), legen Behandlungen fest (vermeiden, vermindern, übertragen, akzeptieren) und bündeln alles im Risikoregister mit Ownern und Terminen. Aggregation zeigt Prioritäten. Monitoring prüft die Wirksamkeit. Berichte informieren Management und Fachbereiche.

BCM: Was bedeutet das?

Sie bestimmen kritische Prozesse und Abhängigkeiten, definieren Recovery Time Objective – maximal tolerierte Ausfallzeit (RTO)/Recovery Point Objective – maximal tolerierter Datenverlust (RPO), erstellen Business Continuity Plan – Notfall-/Weiterführungsplan (BCP) und IT‑Desaster‑Recovery – Wiederanlauf der IT nach Störung (IT‑DR) mit klaren Rollen und Kommunikationswegen. Tabletop-Übungen und Wiederherstellungstests decken Lücken auf. Erkenntnisse fließen ins Risikoregister zurück. Kontinuierliche Verbesserung hält das BCM wirksam.

5) Key Performance Indicator: Leistungskennzahl (KPI) etablieren

Ohne Zahlen gibt es keinen Fortschritt. Starten Sie schlank, aber verbindlich: Setzen Sie wenige, klare Kennzahlen und begründen Sie sie risikoorientiert. 

Definieren Sie beispielsweise durchschnittliche Wiederherstellungszeiten. Aber konkret. Etwa höchstens acht Stunden. Machen Sie dazu Übungen die zeigen, dass Rollen, Ablaufpläne und Werkzeuge im Ernstfall praktisch funktionieren. 

Legen Sie den Anteil fristgerecht installierter sicherheitsrelevanter Updates fest. Beispielsweise sollte er mindestens 95 Prozent betragen, um die die Angriffsfläche nachweisbar zu reduzieren. Legen Sie fest, die Zahl offener Hochrisiken innerhalb von 90 Tagen um mindestens die Hälfte ausgehend vom Stand im ersten Monat zu verringern. Ein weiterer KPI könnte sein, besonders kritische Lieferanten zu prüfen: Etwa binnen sechs Monaten mindestens 70 Prozent geprüfte Partner. Diese Zielwerte sind Einstiegspunkte und sollten je nach Kritikalität und Reifegrad vierteljährlich überprüft und angepasst werden.

6) Tools: Excel oder Software?

Sie werden bei der Abarbeitung der ersten fünf Schritte schnell bemerken, ob eine Excel-Liste auf SharePoint ausreicht oder ob Sie an organisatorische Grenzen stoßen. Ja, Excel schafft am Anfang Orientierung. Doch die Komplexität von NIS2, die persönliche Verantwortung der Geschäftsführung und die Vielzahl an Querschnittsaufgaben machen deutlich: Nur spezialisierte Softwarelösungen bieten die nötige Transparenz, Sicherheit und Skalierbarkeit, um NIS2 dauerhaft compliant umzusetzen. Professionelle Softwarelösungen bieten hier klare Vorteile:

• Zentrales Dashboard: Alle Aktivitäten und Compliance-Status auf einen Blick.

• Automatisierte Rollen- und Aufgabenverteilung: Verbindlichkeit durch Workflows, Erinnerungen und Eskalationen.

• Echtzeit-Transparenz: Führungskräfte sehen sofort, wo Risiken oder Verzögerungen bestehen.

• Revisionssichere Dokumentation: Alle Änderungen und Nachweise sind prüfbar und auditfähig.

• Nahtlose Integration: Verbindung von Risikomanagement, Incident Handling, Business Continuity und Reporting.

Was Sie übrigens nicht tun sollten

Vermeiden Sie Dokumente statt Übungen: Schreiben hilft, doch Üben hilft mehr. Denken Sie nicht nur aus IT-Sicht: NIS2 ist unternehmensweit, binden Sie die Fachbereiche früh ein. Unklare Verantwortungen bremsen, ohne Rollenmodell RASCI (Responsible, Accountable, Support, Consulted, Informed) bleibt vieles „nice to have“. Und unterschätzen Sie die Lieferkette nicht: Kritische Anbieter gehören in Ihr Register. Mit klar definierten Mindestkontrollen.