Seit dem 6. Dezember 2025 ist NIS2 in Deutschland geltendes Recht. Es gilt ab Verkündung, ohne gesonderte Übergangsfrist. Rund 29.500 Unternehmen fallen nach Schätzungen unter die neuen Pflichten, und die gesetzliche Frist, sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) zu registrieren, ist bereits am 6. März 2026 abgelaufen. Bis zum Frühsommer hatte sich nur etwa die Hälfte der betroffenen Organisationen gemeldet.
Die Frage ist also nicht mehr, ob NIS2 kommt. Sie ist da. Bei der NIS2-Umsetzung geht es jetzt darum, was Sie konkret tun müssen und welchen Teil davon Sie nicht selbst stemmen müssen.
Wir betreiben und betreuen die IT und die Websites mittelständischer Unternehmen. Deshalb interessiert uns an NIS2 weniger die juristische Debatte als eine praktische Frage: Welche der neuen Pflichten lassen sich technisch absichern und nachweisen, und wo endet das, was ein Dienstleister überhaupt übernehmen kann?
Seit Dezember 2025 ist NIS2 da
NIS2 ist die zweite EU-Richtlinie zur Netz- und Informationssicherheit. Deutschland hat sie mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in nationales Recht gegossen. Das Gesetz ändert vor allem das BSI-Gesetz (BSIG) und ist am 6. Dezember 2025 in Kraft getreten.
Betroffen sind deutlich mehr Unternehmen als unter der alten KRITIS-Regelung. Das Gesetz unterscheidet zwei Klassen: besonders wichtige und wichtige Einrichtungen. Ob Ihr Unternehmen dazugehört, entscheidet die Kombination aus Branche und Größe. Maßgeblich sind 18 Sektoren, von Energie, Transport und Gesundheit über Trinkwasser und digitale Infrastruktur bis zu Abfallwirtschaft, Chemie, Lebensmittelproduktion und verarbeitendem Gewerbe. Die Größenschwelle greift in der Regel ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz. Wer darunter liegt, ist meist nicht direkt verpflichtet, kann aber über die Lieferkette seiner Kunden trotzdem in die Anforderungen hineinwachsen. Dazu später mehr.
Die Selbsteinschätzung ist Pflicht: Kein Amt teilt Ihnen mit, dass Sie betroffen sind. Das BSI stellt dafür eine NIS2-Betroffenheitsprüfung bereit, mit der Sie in wenigen Schritten klären, ob Ihr Unternehmen unter das Gesetz fällt. Fällt es darunter, folgt die Registrierung über das BSI-Portal, für die Sie ein ELSTER-Organisationszertifikat brauchen. Die gesetzliche Registrierungsfrist ist bereits verstrichen; das BSI weist selbst darauf hin, dass betroffene, noch nicht registrierte Unternehmen sich umgehend melden sollen.
Ein Punkt zur Einordnung, weil die Debatte gern mit Höchststrafen arbeitet: Die Bußgelder reichen zwar bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Aber nicht alles muss am ersten Tag fertig sein. Registrierung und Meldepflicht gelten sofort, der Aufbau des Risikomanagements muss begonnen haben, und besonders wichtige Einrichtungen müssen die Wirksamkeit ihrer Maßnahmen erst innerhalb von drei Jahren nachweisen. Entscheidend ist, dass Sie sichtbar reagieren, statt abzuwarten.
Was die Umsetzung technisch verlangt
Das Herzstück der Pflichten steht in Paragraf 30 BSIG: die Risikomanagementmaßnahmen. Das Gesetz nennt zehn Bereiche, die betroffene Unternehmen nach dem Stand der Technik umsetzen, dokumentieren und regelmäßig überprüfen müssen. Wer die Liste liest, liest im Kern das Inhaltsverzeichnis eines Informationssicherheits-Managementsystems.
Am Anfang steht die Risikoanalyse mit Sicherheitskonzepten. Darauf folgen die Bewältigung von Sicherheitsvorfällen und die Aufrechterhaltung des Betriebs, also Backup-Management, Wiederherstellung nach einem Ausfall und Krisenmanagement. Dann die Sicherheit der Lieferkette, die Sicherheit in Beschaffung, Entwicklung und Wartung von Systemen einschließlich des Umgangs mit Schwachstellen, sowie die Bewertung, ob die getroffenen Maßnahmen überhaupt wirken. Ergänzt wird das durch Cyberhygiene und Schulungen, Kryptografie und Verschlüsselung, Personalsicherheit mit Zugriffskontrolle und einer Übersicht der eigenen Systeme sowie den Einsatz von Multi-Faktor-Authentifizierung. Das BSI stellt zu diesen Anforderungen eigene Infopakete und eine Roadmap bereit.
Neben den Maßnahmen selbst regelt das Gesetz zwei weitere Pflichten mit engen Fristen. Die Meldepflicht nach Paragraf 32 BSIG ist gestuft:
- Innerhalb von 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls: eine erste Frühwarnung an das BSI.
- Innerhalb von 72 Stunden: ein konkreter Vorfallsbericht mit erster Bewertung.
- Innerhalb eines Monats: ein Abschlussbericht.
Die 24-Stunden-Frist ist erfahrungsgemäß die Anforderung, an der Unternehmen am häufigsten scheitern, weil sie einen eingeübten Meldeprozess voraussetzt, den man nicht erst im Ernstfall erfindet.
Und hier beginnt die Grenze, um die es in diesem Beitrag geht. Ein Teil dieser Pflichten ist technischer und operativer Natur: Schwachstellen im Blick behalten, Systeme aktuell halten, Backups prüfen, Zugänge kontrollieren, Vorfälle überhaupt erst bemerken. Diesen Teil kann ein Dienstleister übernehmen. Ein anderer Teil ist Führungs- und Organisationsaufgabe: die Registrierung, die fristgerechte Meldung an das BSI, die interne Zuständigkeit, die Dokumentation gegenüber der Behörde. Dieser Teil lässt sich unterstützen, aber nicht auslagern.
Die Verantwortung bleibt bei Ihnen
NIS2 macht Cybersicherheit ausdrücklich zur Chefsache. Paragraf 38 BSIG verpflichtet die Geschäftsleitung persönlich: Sie muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und sich selbst regelmäßig schulen lassen. Die Leitung haftet für Verstöße, und diese Haftung ist nicht delegierbar. BSI-Präsidentin Claudia Plattner bringt es auf den Punkt: Geschäftsführungen betroffener Einrichtungen seien verpflichtet, die Maßnahmen umzusetzen, ihre Umsetzung zu überwachen und sich zu Fragen des Cyberrisikos schulen zu lassen.
Das ist der Grund, warum wir keine NIS2-Konformität verkaufen können. Niemand kann Ihnen die Verantwortung abnehmen, und wer das verspricht, betreibt Bauernfängerei. Was wir übernehmen können, ist die technische und operative Ebene darunter: die Arbeit, die dafür sorgt, dass die von der Geschäftsleitung verantworteten Maßnahmen tatsächlich greifen und dass ihre Wirksamkeit belegbar ist. Die Führung entscheidet und haftet. Wir liefern die Absicherung und den Nachweis.
„Wir machen niemanden über Nacht NIS2-konform, das wäre unseriös. Was wir übernehmen, ist die technische Ebene: Wir halten Schwachstellen klein, machen den Zustand der Systeme sichtbar und den Nachweis führbar. Die Verantwortung bleibt beim Unternehmen“, sagt Joerg Martin dazu.
Wie wir die technische Pflichten absichern
Für die Absicherung der technischen Anforderungen setzen wir eigene Werkzeuge ein, die genau die Arbeit erledigen, die Paragraf 30 im Kern verlangt: wissen, was man hat, sehen, wo es klemmt, und belegen, dass man handelt.
Schwachstellen und Konfiguration im Blick
Den Kern bildet bei uns ein aktives Prüfsystem, das wir über unseren KI-Agenten Conny Config automatisieren. Sie gleicht täglich bekannte Sicherheitslücken (CVEs) mit der bei uns und bei Ihnen eingesetzten Software ab, prüft die Konfiguration von Servern, Netzwerken und Datenbanken und schlägt an, wenn sich am Soll-Zustand etwas verschiebt: veraltete Softwarestände, schwache Verschlüsselung, offene Ports, fehlende Sicherheits-Header, ein Backup, das nicht mehr sauber durchläuft. Kritische Funde meldet sie sofort, den übrigen Zustand aktualisiert sie mindestens im Wochenrhythmus. Das deckt gleich mehrere der zehn Bereiche ab: den Umgang mit Schwachstellen, die Sicherheitskonzepte, die Prüfung der Backup-Fähigkeit und die Dokumentation.
Überblick über Ihre Systeme
Bevor man Systeme absichern kann, muss man wissen, welche es überhaupt gibt. NIS2 verlangt deshalb eine Übersicht der eigenen Werte, im Fachjargon Asset-Management. Wir führen für die von uns betreuten Umgebungen ein aktuelles Inventar der Hard- und Software, ihrer Versionen und Komponenten. Dieses Inventar ist die Grundlage jeder Schwachstellenprüfung: Nur was erfasst ist, lässt sich gegen bekannte Lücken abgleichen und im Ernstfall priorisieren.
Ihre Website ist Teil Ihrer Lieferkette
Wenn wir Ihre Website oder Ihren Onlineshop betreiben, sind wir aus Sicht von NIS2 Teil Ihrer Lieferkette. Und deren Sicherheit ist einer der zehn Pflichtbereiche. Die Verantwortung für die Lieferkette bleibt beim verpflichteten Unternehmen, auch wenn eine Leistung ausgelagert ist. Genau hier setzt unsere Arbeit an. Dieselben Prüfungen, die wir auf die interne Infrastruktur anwenden, laufen auch über die von uns betreuten Websites und Shops: aktuelle Plugin- und Systemstände, Transportverschlüsselung, Zugriffsschutz, sauber getrennte Zugänge. So wird der Teil Ihrer Lieferkette, den Sie an uns geben, zu einem, den Sie belegen können, statt zu einem blinden Fleck.
Sichtbarkeit statt Bauchgefühl
Sicherheit, die niemand sieht, lässt sich weder steuern noch nachweisen. Deshalb laufen die Ergebnisse unserer Prüfungen in einer zentralen, visuellen Zustandsansicht zusammen. Er zeigt für jeden überwachten Baustein einen Live-Status nach dem Ampelprinzip und macht damit auf einen Blick sichtbar, wo eine Warnung oder ein Fehler im System sitzt. Was rot pulsiert ist, sieht man sofort, statt es in Logdateien zu suchen. Für die Geschäftsleitung, die nach Paragraf 38 die Umsetzung überwachen muss, und wenige IT-Kenntnisse hat, ist das ein gravierender Unterschied. Je mehr Informationen das System sammelt, desto dichter wird dieses Bild.
Der Nachweis, der am Ende zählt
NIS2 verlangt, dass Maßnahmen und deren Wirksamkeit dokumentiert und prüfbar sind. Für diese Nachweisführung setzen wir unsere SafeGuard-Module ein. Sie befinden sich in der aktuellen Beta und wesentliche Teile sind bereits im Einsatz. Dieselbe Methodik, mit der wir heute Datenschutz-Pflichten strukturiert dokumentieren, etwa ein Verzeichnis der Verarbeitungstätigkeiten mit technischen und organisatorischen Maßnahmen, und mit der wir Vertrauens- und Sicherheitskriterien in einem Nachweis-Register bündeln, übertragen wir auf die technischen NIS2-Anforderungen: Maßnahme, Status, Zuständigkeit, Wiedervorlage. Aus laufender Prüfung wird so ein Protokoll, das im Fall einer Behördenprüfung Bestand hat.
Zusammengenommen decken diese Werkzeuge die technischen und operativen Anforderungen ab: Schwachstellen, Konfiguration, Backups, Asset-Übersicht, Lieferkette, Überwachung und Nachweis.
Unser Anspruch
Als Dienstleister, der die IT und die Websites bzw. Onlineshops anderer Unternehmen betreibt, bewegen wir uns im selben Geltungsbereich, über den wir hier schreiben. Wir betrachten das Thema also nicht aus der Distanz, sondern wenden dieselben Maßstäbe zuerst auf unsere eigene Infrastruktur an. Und da wir Teil der Lieferkette unserer Kunden sind, sehen dies als wichtigen Baustein einer vertrauensvollen Zusammenarbeit.
Dass Datenverarbeitung und Systeme im eigenen Haus bleiben, statt über fremde Server zu laufen, ist dabei eine bewusste Entscheidung: Kontrolle über die eigene Technik ist die Voraussetzung dafür, sie absichern und belegen zu können. Warum diese Datensouveränität zur Chefsache gehört, haben wir an anderer Stelle ausführlicher beschrieben. Unter NIS2 ist sie es ohnehin.
Fazit
NIS2 lässt sich nicht an einem Nachmittag erledigen, aber der Einstieg ist überschaubar.
Klären Sie zuerst Ihre Betroffenheit über die Betroffenheitsprüfung des BSI. Registrieren Sie sich, falls Sie betroffen sind, ohne weiter zu warten, denn die gesetzliche Frist läuft bereits. Setzen Sie einen Meldeprozess auf, bevor Sie ihn brauchen, damit die 24-Stunden-Frist im Ernstfall keine Überraschung ist. Und gleichen Sie Ihre Technik gegen die zehn Bereiche aus Paragraf 30 ab, um die größten Lücken zuerst zu schließen.
Für den letzten Schritt müssen Sie nicht bei null anfangen und das auch nicht allein tun. Die technische Absicherung, die laufende Kontrolle über Schwachstellen und Systeme und der Nachweis, dass Ihre Maßnahmen wirken, sind genau die Arbeit, die ein guter Dienstleister in der Regel ohnehin täglich leistet. Beziehen Sie diese Dienstleister mit ein. Die Entscheidung und die Verantwortung bleiben weiterhin bei Ihnen.
