NIS2 ist nicht erledigt, wenn die Lücken identifiziert sind.
Das überarbeitete BSI-Gesetz (BSIG) gilt seit dem 6. Dezember 2025.
Ein Assessment kann zeigen, was fehlt.
Die Geschäftsleitung muss trotzdem entscheiden, was zuerst zählt, wer die Umsetzung verantwortet und wie sie erkennt, dass die erforderlichen Maßnahmen tatsächlich umgesetzt werden.
Ich unterstütze Organisationen dabei, die Verantwortung der Geschäftsleitung und die Zuständigkeiten für NIS2 klar zu regeln, Maßnahmen zu priorisieren und ihre Umsetzung und Überwachung belastbar nachzuweisen.
Unabhängige Beratung · Für die Geschäftsleitung · Vom Geschäft aus gedacht
Das Assessment ist abgeschlossen. Jetzt beginnt der schwierige Teil.
Es gibt Feststellungen zu Informationssicherheit, Lieferanten, der Bewältigung von Sicherheitsvorfällen, Betriebsfortführung und Zugriffsrechten.
Einige erfordern Investitionen.
Andere brauchen eine klare neue Zuständigkeit.
Manche betreffen mehrere Bereiche gleichzeitig.
Die Geschäftsleitung stellt eine berechtigte Frage:
Was müssen wir zuerst tun?
Wer ist für die Umsetzung verantwortlich?
Woher wissen wir, dass es tatsächlich umgesetzt wurde?
Genau darin liegt der Unterschied zwischen dem Erkennen einer NIS2-Lücke und der wirksamen Steuerung ihrer Behebung.
NIS2 ist nicht nur eine IT-Umsetzungsaufgabe.
Für besonders wichtige und wichtige Einrichtungen nach dem BSIG hat die Geschäftsleitung ausdrückliche Pflichten.
§38 verpflichtet Geschäftsleitungen, die nach §30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. Außerdem müssen Geschäftsleitungen regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen und deren Auswirkungen auf die von der Einrichtung erbrachten Dienste beurteilen zu können.
Damit verändert sich die Frage für die Geschäftsleitung.
Es reicht nicht mehr zu fragen:
„Hat die IT NIS2 umgesetzt?“
Die Geschäftsleitung braucht ausreichend Transparenz darüber:
- welche wesentlichen Risiken bestehen,
- welche Maßnahmen umgesetzt werden,
- wer sie verantwortet,
- wo Fortschritt blockiert ist,
- und wann eine Entscheidung zurück in die Geschäftsleitung muss.
Die technische Umsetzung ist wichtig.
Ebenso wichtig ist eine Governance, mit der die Umsetzung gesteuert und überwacht wird.
Am Anfang steht, was im Unternehmen weiter funktionieren muss.
§30 verpflichtet besonders wichtige und wichtige Einrichtungen zu geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Maßnahmen.
Dazu gehören unter anderem Risikoanalyse und Sicherheit in der Informationstechnik, die Bewältigung von Sicherheitsvorfällen, die Aufrechterhaltung des Betriebs und Krisenmanagement, Sicherheit der Lieferkette, die Bewertung der Wirksamkeit von Risikomanagementmaßnahmen, Schulungen, Zugriffskontrolle und Authentifizierung. Die Einhaltung der Verpflichtung nach §30 Absatz 1 Satz 1 ist durch die Einrichtungen zu dokumentieren.
Aber eine Liste gesetzlicher Anforderungen beantwortet noch nicht, welche Schwachstelle für dieses Unternehmen am wichtigsten ist.
Ich beginne mit Fragen wie:
Welche Geschäftsprozesse dürfen nur kurz oder gar nicht ausfallen?
Welche Lieferanten könnten diese Geschäftsprozesse zum Stillstand bringen?
Wo konzentriert sich das Risiko?
Welche Schwachstellen bergen das größte Geschäftsrisiko?
Bei welchen Entscheidungen muss die Geschäftsleitung eingebunden werden?
Danach geben die regulatorischen Anforderungen diesen Antworten Struktur.
Der Rahmen sollte die Entscheidung unterstützen. Er sollte niemals die Entscheidung ersetzen.
Von NIS2-Feststellungen zu klar gesteuerter Umsetzung.
Anwendungsbereich & Einordnung
Feststellen, ob die Organisation nach dem aktuellen BSIG in den Anwendungsbereich fällt und was sich aus dieser Einordnung ergibt. §28 unterscheidet besonders wichtige Einrichtungen und wichtige Einrichtungen. Die Einordnung hängt unter anderem von Sektor, Einrichtungsart, Größe und gesetzlichen Ausnahmen ab und sollte nicht auf eine pauschale Mitarbeiterzahl reduziert werden.
Governance der Geschäftsleitung
Die Umsetzung regulatorischer Pflichten so strukturieren, dass die Geschäftsleitung sie tatsächlich überwachen kann. Dazu gehört Klarheit darüber, welche Informationen sie braucht, wo Verantwortlichkeiten liegen, was eskaliert werden muss und wie die Umsetzung überwacht wird.
Priorisierte Umsetzung
Eine lange Liste von Feststellungen ist noch keine Strategie. Ich unterscheide, was dringend ist und was lediglich noch offen ist, ordne die Maßnahmen nach ihren Auswirkungen auf das Geschäft ein und entwickle eine Reihenfolge, die sich realistisch umsetzen lässt.
Verantwortung & Zuständigkeiten
Eine Maßnahme ohne klaren Verantwortlichen bleibt schnell ein offener Punkt. Bei wesentlichen Maßnahmen muss klar sein, wer das Geschäftsrisiko verantwortet, wer für die Umsetzung zuständig ist, wer die erforderliche Entscheidung treffen kann und welcher Nachweis zeigt, dass die Maßnahme umgesetzt wurde.
Nachweise & Überwachung
Die NIS2-Umsetzung sollte in der Praxis sichtbar sein, nicht nur in Richtlinien. Ich unterstütze dabei, Managementinformationen, regelmäßige Governance-Steuerung und Nachweise so aufzubauen, dass wichtige Maßnahmen nachvollziehbar umgesetzt und überwacht werden.
Typische Mandate
- NIS2 Governance Readiness Review: Strukturierte Einschätzung von Verantwortung, Zuständigkeiten, Umsetzungssteuerung und Nachweisfähigkeit.
- NIS2-Workshop für die Geschäftsleitung: Klärung der Rolle der Geschäftsleitung, der benötigten Managementinformationen sowie der Überwachungs- und Eskalationswege.
- Priorisierte NIS2-Umsetzungsroadmap: Maßnahmenfolge mit Prioritäten, Verantwortlichkeiten, Entscheidungsbedarf und erforderlichen Nachweisen.
BAFA-Förderung für KMU: Förderberechtigte Unternehmen können einen Zuschuss zu einer individuellen Unternehmensberatung erhalten. Workshops und Krisensimulationen sind davon ausgenommen.
Eine Liste von Feststellungen schafft noch keine Prioritäten.
Eine NIS2-Überprüfung zeigt Handlungsbedarf in den Bereichen Lieferanten, Technologie, Prozesse und Governance.
Einige Maßnahmen erfordern Investitionen.
Andere binden dieselben personellen Kapazitäten.
Manche lassen sich schnell bearbeiten.
Andere verlangen von der Geschäftsleitung eine bewusste Abwägung.
Budget und Umsetzungskapazität reichen nicht für alles gleichzeitig.
Jetzt geht es nicht mehr um das Assessment, sondern um die Priorisierung.
Die Geschäftsleitung muss verstehen, welche Risiken das Unternehmen wesentlich beeinträchtigen könnten, welche Maßnahmen die wesentlichen Risiken am stärksten reduzieren und welche Entscheidungen nicht warten können.
Hier wird aus einer Compliance-Aufgabe eine Managemententscheidung.
Bei einigen NIS2-Pflichten laufen konkrete Fristen.
Registrierung ist kein Thema für später.
Nach §33 müssen besonders wichtige und wichtige Einrichtungen grundsätzlich spätestens drei Monate, nachdem sie erstmals oder erneut als solche gelten, die erforderlichen Angaben an das Bundesamt für Sicherheit in der Informationstechnik (BSI) übermitteln. Für Einrichtungen, die bereits seit Inkrafttreten des Gesetzes unter diese Registrierungspflicht fallen, ist diese erste gesetzliche Dreimonatsfrist inzwischen abgelaufen. Neu hinzukommende Einrichtungen haben weiterhin die gesetzliche Dreimonatsfrist ab dem Zeitpunkt, zu dem sie erstmals oder erneut als solche gelten.
Das BSI stellt für NIS2-Registrierung und Meldungen das BSI-Portal bereit.
Für erhebliche Sicherheitsvorfälle legt §32 einen gestuften Meldeprozess fest:
- unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung: frühe Erstmeldung,
- unverzüglich, spätestens innerhalb von 72 Stunden nach Kenntniserlangung: Meldung über den Sicherheitsvorfall,
- grundsätzlich spätestens einen Monat nach Übermittlung der 72-Stunden-Meldung: Abschlussmeldung.
Dauert der Sicherheitsvorfall zu diesem Zeitpunkt noch an, sieht §32 zunächst eine Fortschrittsmeldung und die Abschlussmeldung nach abschließender Bearbeitung vor.
Diese Fristen machen eine Governance-Frage besonders wichtig:
Wer erkennt, wann die Frist zu laufen beginnt?
Meldebereitschaft gehört deshalb in die operativen Abläufe und Verantwortlichkeiten, nicht in ein Dokument, das erst nach Beginn eines Vorfalls gesucht wird.
Ziel ist nicht, aus NIS2 noch ein Programm zu machen, das niemand verantwortet.
Ich beginne mit dem, was bereits vorhanden ist.
- Bestehende Sicherheitskontrollen.
- Bestehendes Risikomanagement.
- Bestehende Prozesse für Sicherheitsvorfälle.
- Bestehende Lieferanten-Governance.
- Bestehende Berichterstattung an die Geschäftsleitung.
Dann klären wir, was gestärkt werden kann, was tatsächlich fehlt und wo klare Entscheidungen oder eindeutig geregelte Zuständigkeiten fehlen.
Je nach Situation kann daraus entstehen:
- ein NIS2 Readiness Assessment,
- eine priorisierte Umsetzungs-Roadmap,
- ein Management-Briefing,
- eine Verantwortungsstruktur,
- eine regelmäßige Governance-Steuerung,
- ein Entscheidungs- und Eskalationsmodell,
- eine Nachweismatrix,
- oder eine Executive Tabletop Exercise.
Das Ergebnis folgt der Entscheidung. Nicht umgekehrt.
Three Highly Actionable Steps to Strengthen Your Leadership Team’s Cyber Crisis Readiness
Auf ISACA lesen →Die Geschäftsleitung kann die Lage überblicken, ohne selbst zum Security-Team zu werden.
Die Organisation weiß, ob sie in den Anwendungsbereich fällt.
Für wesentliche Lücken sind Verantwortliche benannt.
Maßnahmen werden nach Geschäftsrisiko priorisiert, nicht nach der Reihenfolge einer Checkliste.
Die Geschäftsleitung erhält Informationen, mit denen sie tatsächlich arbeiten kann.
Die Verantwortlichkeiten für Meldungen sind geklärt, bevor ein Sicherheitsvorfall eintritt.
Wichtige Lieferanten und Abhängigkeiten sind sichtbar.
Fortschritt lässt sich nachweisen.
Und wenn die Geschäftsleitung fragt:
„Setzen wir tatsächlich um, was wir beschlossen haben?“
lässt sich die Antwort belegen.
Governance muss auch im Geschäftsalltag funktionieren.
Meine Arbeit konzentriert sich auf die Schnittstelle zwischen technischen Anforderungen und Entscheidungen der Geschäftsleitung.
Ich bringe mehr als 20 Jahre Erfahrung in Technologie, Security und Führung mit. Mehr als zehn Jahre lang unterstützte ich den operativen Betrieb der Defense Commissary Agency (DeCA), einer Einrichtung des U.S. Department of Defense.
Ich bin CISM, ISACA-Autor und zweifacher Cyber Leadership Institute Capstone Winner und habe sowohl das Capstone Project des Cyber Leadership Program als auch das des Cyber Strategy & Transformation Program gewonnen.
Mehr über André →Wenn die Lücken bekannt sind, aber die nächste Entscheidung noch aussteht, beginnen wir genau dort.
Vielleicht haben Sie bereits:
- ein Assessment,
- ein Risikoregister,
- einen Auditbericht,
- oder ein internes NIS2-Programm.
Wenn die verbleibende Aufgabe darin besteht zu entscheiden, was zuerst zählt, wer es verantwortet und wie die Geschäftsleitung den Fortschritt überwachen sollte, ist das ein sinnvoller Ausgangspunkt.
Keine generische Compliance-Präsentation. Sondern ein praktisches Gespräch über Entscheidungen, Zuständigkeiten und Nachweise hinter Ihrer NIS2-Umsetzung.