NIS2 für Unternehmen: Von der Betroffenheit zur umsetzbaren Roadmap
Das deutsche NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft. Jetzt zählen belastbare Zuständigkeiten, dokumentiertes Risikomanagement und funktionierende Melde- und Reaktionswege.
Was sich seit Dezember 2025 geändert hat
Mit dem Inkrafttreten des deutschen Umsetzungsgesetzes gelten für die dort erfassten Einrichtungen Registrierungs- und Meldepflichten. Das BSI stellt dafür sein Portal bereit. Ob ein konkretes Unternehmen erfasst ist, hängt nicht allein von der Mitarbeiterzahl ab. Branche, Tätigkeit, Größenmerkmale und besondere Tatbestände müssen zusammen betrachtet werden.
SCREENUS kann die technische Ausgangslage erfassen und Maßnahmen umsetzen. Die verbindliche rechtliche Einordnung sollte bei Zweifeln mit fachkundiger Rechts- oder Compliance-Beratung und den offiziellen BSI-Informationen erfolgen.
Sechs Arbeitspakete, die aus Anforderungen Praxis machen
1. Kritische Dienste und Abhängigkeiten erfassen
Listen Sie nicht nur Geräte auf. Dokumentieren Sie, welche Geschäftsprozesse von Identitäten, E-Mail, Fachanwendungen, Servern, Cloud-Diensten, Netzverbindungen und Lieferanten abhängen. Nur so lässt sich die Wirkung eines Ausfalls bewerten.
2. Verantwortung der Leitung konkretisieren
Informationssicherheit ist eine Managementaufgabe. Benennen Sie Entscheidungswege, Budgets, regelmäßige Berichte und die Personen, die Risiken akzeptieren oder Maßnahmen priorisieren dürfen.
3. Technische Grundschutzmaßnahmen schließen
Mehrfaktor-Authentisierung, aktuelle Systeme, minimale Berechtigungen, Segmentierung, Schutz von E-Mail und Endgeräten sowie zentral auswertbare Protokolle bilden eine gemeinsame Schutzkette. Einzelprodukte ohne Betriebsprozess reichen nicht.
4. Backups und Wiederanlauf testen
Definieren Sie für kritische Dienste maximal vertretbare Datenverluste und Ausfallzeiten. Prüfen Sie, ob Sicherungskopien gegen Manipulation getrennt sind und ob Schlüssel, Lizenzen und Dokumentation für eine Wiederherstellung verfügbar bleiben.
5. Vorfälle erkennen und melden können
Legen Sie fest, wer Auffälligkeiten bewertet, wer intern eskaliert und welche Informationen für Meldungen benötigt werden. Ein offline verfügbarer Kontakt- und Entscheidungsplan ist im Ernstfall wertvoller als eine lange Richtlinie auf einem nicht erreichbaren Server.
6. Lieferkette und Nachweise einbeziehen
Erfassen Sie externe IT-Dienste, Wartungszugänge, Hosting, Cloud, Softwarelieferanten und deren Abhängigkeiten. Vereinbaren Sie Sicherheitsinformationen, Erreichbarkeit und Mitwirkung bei Vorfällen. Bewahren Sie Beschlüsse, Prüfungen, Tests und Verbesserungen nachvollziehbar auf.
Ein realistischer 90-Tage-Start
- Woche 1–3: Betroffenheitsprüfung, Verantwortliche und kritische Dienste klären.
- Woche 4–6: größte technische Risiken, privilegierte Zugänge und Backup-Fähigkeit prüfen.
- Woche 7–9: Melde- und Krisenkommunikation als kompakten Ablauf dokumentieren.
- Woche 10–12: Wiederherstellung und einen realistischen Vorfall in einer Tabletop-Übung testen.
Häufige Fragen
Gilt NIS2 automatisch für jedes mittelständische Unternehmen?
Nein. Branche, Tätigkeit, Größe und besondere Einordnungen spielen eine Rolle. Nutzen Sie die Betroffenheitsprüfung des BSI und lassen Sie die rechtliche Einordnung bei Bedarf fachkundig prüfen.
Kann SCREENUS die rechtliche NIS2-Betroffenheit feststellen?
Wir unterstützen bei der technischen Bestandsaufnahme, Risikobewertung und Umsetzung. Eine verbindliche rechtliche Einordnung übernehmen Rechts- oder Compliance-Fachleute beziehungsweise die zuständigen Stellen.
Womit sollte ein Unternehmen technisch beginnen?
Mit einem belastbaren Inventar kritischer Dienste, Verantwortlichkeiten, Zugängen, Backups, Lieferabhängigkeiten und bestehenden Meldewegen. Daraus lässt sich eine priorisierte Maßnahmenliste ableiten.
Von der Betroffenheit zum belastbaren Nachweis
NIS2-Arbeit wird handhabbar, wenn Verantwortung, Risiko, Maßnahmen und Nachweise in einer festen Reihenfolge aufgebaut werden.
- BetroffenheitUnternehmen und Rolle nachvollziehbar einordnen
- VerantwortungLeitung, Fachbereiche und Eskalation festlegen
- RisikenSysteme, Lieferketten und Auswirkungen bewerten
- MaßnahmenPriorisierte technische und organisatorische Arbeit
- NachweiseEntscheidungen, Tests und Verbesserungen dokumentieren
Was soll Ihre IT als Nächstes besser können?
Beschreiben Sie uns kurz Ihre Situation. Wir ordnen gemeinsam ein, was dringend ist, was sinnvoll ist und womit Sie beginnen sollten.
