NIS2-Umsetzung, Schritt für Schritt.

Die NIS2-Richtlinie musste bis zum 17. Oktober 2024 in nationales Recht umgesetzt werden. Deutschland hat das nationale Umsetzungsgesetz NIS2UmsuCG in 2025 verabschiedet. Für betroffene Unternehmen gilt die Registrierungspflicht beim BSI innerhalb von drei Monaten nach Inkrafttreten. Sicherheitsmaßnahmen (Art. 21) müssen unmittelbar nach Registrierung umgesetzt werden – eine weitere Übergangsfrist gibt es nicht.

NIS2 gilt für mittlere und große Unternehmen (ab 50 Mitarbeitenden oder EUR 10 Mio. Umsatz) in 18 Sektoren. Besonders wichtige Einrichtungen (§ 28 BSIG-neu) umfassen Energie, Transport, Banken, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, digitale Infrastruktur, öffentliche Verwaltung. Wichtige Einrichtungen decken u.a. Post, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe und digitale Anbieter ab. Größenunabhängig gelten DNS-Provider, TLD-Registries und qualifizierte Vertrauensdienste.

(1) Betroffenheitsanalyse – fallen wir unter NIS2? (2) Scope-Definition – welche Systeme und Prozesse sind kritisch? (3) BSI-Registrierung über das NIS2-Portal. (4) Gap-Analyse gegen die zehn Maßnahmen aus Art. 21. (5) Risikomanagement aufsetzen. (6) Technische Maßnahmen (MFA, Backups, Segmentierung, Monitoring). (7) Meldeprozess für Sicherheitsvorfälle definieren (24h/72h/30d). (8) Richtlinien dokumentieren und vom Management freigeben. (9) Schulung für Leitungsorgane. (10) Kontinuierliche Überwachung und jährliche Überprüfung. Der Gesamtaufwand liegt typischerweise bei 200 bis 400 Personentagen – reduzierbar um 70-85 % mit einer NIS2-Software.

Bei signifikanten Sicherheitsvorfällen gelten mehrstufige Meldefristen: Frühwarnung innerhalb von 24 Stunden nach Kenntnisnahme, Vorfallsmeldung innerhalb von 72 Stunden mit einer ersten Bewertung der Schwere und Auswirkungen, Zwischenbericht auf Anforderung der zuständigen Behörde, Abschlussbericht innerhalb eines Monats mit Ursache, Auswirkungen und Maßnahmen. Meldeempfänger ist in Deutschland das BSI. Grenzüberschreitende Vorfälle sind zusätzlich an die betroffenen CSIRTs zu melden.

Besonders wichtige Einrichtungen riskieren Bußgelder bis zu EUR 10 Mio. oder 2 % des weltweiten Jahresumsatzes – je nachdem, was höher ist. Wichtige Einrichtungen riskieren bis zu EUR 7 Mio. oder 1,4 % des Jahresumsatzes. Zusätzlich sieht § 30 BSIG die persönliche Verantwortung des Managements vor: Geschäftsführer und Vorstände können bei nachweislich fahrlässigen Versäumnissen persönlich haftbar gemacht werden. Die Pflicht zur Genehmigung von Cybersicherheitsmaßnahmen und zur Schulung kann nicht delegiert werden.

Eine NIS2-Software bildet die zehn Maßnahmen aus Art. 21 als Control-Katalog ab, sammelt kontinuierlich Nachweise aus Ihren Systemen (AWS, Azure, Microsoft 365, Jira, Okta etc.), managt das Risikoregister, automatisiert den Meldeprozess und erzeugt audit-fertige Berichte. Ohne Softwareunterstützung ist NIS2 in einem mittelständischen Unternehmen nicht dauerhaft aufrechtzuerhalten – der manuelle Aufwand übersteigt die Kapazitäten kleiner IT-Sicherheits-Teams. Matproof reduziert den NIS2-Aufwand um bis zu 85 %.

Das NIS2UmsuCG (NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz) ist das deutsche Umsetzungsgesetz zur NIS2-Richtlinie. Es ändert das BSI-Gesetz und fügt nationale Spezifika hinzu: Registrierungspflicht beim BSI, klar definierte Meldewege über das BSI-Portal, Konkretisierung der Managementhaftung in § 30 BSIG, Vorgaben zur Lieferkettenabsicherung und nationale Konkretisierung der technischen Mindestanforderungen. Während NIS2 der EU-Rahmen ist, ist NIS2UmsuCG die verbindliche Grundlage für deutsche Unternehmen.