Warum es sich für Sie lohnt, NIS-2 zu erfüllen

Am 6. Dezember 2025 ist in Deutschland das NIS-2-Umsetzungsgesetz in Kraft getreten. Seitdem beaufsichtigt das BSI rund 29.500 Einrichtungen statt bisher etwa 4.500, und die Pflichten gelten ab diesem Tag. Viele Unternehmen haben inzwischen geprüft, ob sie dazugehören. Wer die Frage mit Nein beantwortet hat, ist damit aber nicht aus dem Schneider: Die Anforderungen kommen über Kunden, Versicherer und Ausschreibungen trotzdem auf den Tisch. Außerdem sind sie ein ziemlich guter Maßstab für die eigene IT-Sicherheit.

Was NIS-2 von betroffenen Unternehmen verlangt

Das Gesetz unterscheidet besonders wichtige und wichtige Einrichtungen, abhängig von Sektor und Unternehmensgröße. Die Spanne reicht von Energie, Gesundheit und Finanzwesen über die Verwaltung bis zu Herstellung, Logistik und digitalen Diensten. Für betroffene Unternehmen gelten im Kern drei Pflichten:

• Registrierung: Betroffene Unternehmen müssen sich selbst beim BSI registrieren. Das BSI-Portal ist dafür seit Januar 2026 freigeschaltet.
• Risikomanagement: zehn Mindestmaßnahmen, von Risikoanalyse und Zugriffskontrolle über Kryptografie und Multi-Faktor-Authentifizierung bis zu Backups, Notfallplänen und der Sicherheit der Lieferkette.
• Meldepflicht: Erhebliche Sicherheitsvorfälle sind gestaffelt zu melden, mit einer Frühwarnung binnen 24 Stunden, einer Meldung binnen 72 Stunden und einem Abschlussbericht nach einem Monat.

Die Verantwortung liegt ausdrücklich bei der Geschäftsleitung. Sie muss die Maßnahmen billigen, ihre Umsetzung überwachen und sich schulen lassen, und sie haftet für Versäumnisse. Besonders wichtigen Einrichtungen drohen bei Verstößen Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes.

Warum sich NIS-2 auch ohne Pflicht lohnt

Auf den ersten Blick ist das Aufwand, den man sich sparen kann, solange das eigene Unternehmen nicht unter das Gesetz fällt. Drei Gründe sprechen dagegen.

Ihre Kunden fragen danach. Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette im Blick behalten. Diese Anforderungen geben sie an Zulieferer und Dienstleister weiter, per Fragebogen, Vertragsklausel oder Audit. Wer die Maßnahmen schon umgesetzt hat, beantwortet solche Anfragen schnell und mit Belegen.

Die Maßnahmen sind eine brauchbare Checkliste. NIS-2 deckt die sicherheitsrelevanten Bereiche eines Unternehmens weitgehend vollständig ab. Wer sich daran orientiert, beantwortet Fragen, die sich ohnehin jedes Unternehmen stellen sollte:

• Wo bestehen gerade Schwachstellen in Ihrer IT?
• Wie schützen Sie Identitäten und Zugänge vor Missbrauch?
• Wie behalten Sie alle Zugriffe auf Ihr Netzwerk im Blick?
• Wie sensibilisieren Sie Ihre Mitarbeitenden für Phishing?
• Was passiert, wenn Sie trotzdem angegriffen werden?

Sie senken Risiko und Folgekosten. Jede umgesetzte Maßnahme macht einen erfolgreichen Angriff unwahrscheinlicher und begrenzt den Schaden, wenn es doch passiert. Und wer später unter das Gesetz fällt, etwa weil das Unternehmen wächst, fängt nicht bei null an.

Welcher Sicherheitsansatz dazu passt

Ein einzelnes Produkt, das NIS-2 erfüllt, gibt es nicht. Die Anforderungen greifen ineinander: Zugriffskontrolle, Verschlüsselung, Erkennung und Wiederherstellung müssen zusammenspielen. Bewährt hat sich deshalb ein zusammenhängender Ansatz wie SASE, der Netzwerk und Sicherheit gemeinsam betrachtet, statt nur das schwächste Glied auszutauschen. Warum NIS-2 dabei auf Zero Trust hinausläuft, beschreibt unser Beitrag Zero Trust wird zum Standard.

So gehen Sie vor

1. Betroffenheit prüfen: Sektor und Unternehmensgröße entscheiden, ob und in welcher Stufe Ihr Unternehmen unter das Gesetz fällt.
2. Lücken erfassen: Gleichen Sie Ihren Stand mit den Mindestmaßnahmen ab und priorisieren Sie nach Risiko.
3. Nachweise aufbauen: Dokumentieren Sie Maßnahmen, Zuständigkeiten und Meldewege, damit Sie Kunden, Prüfern und im Ernstfall dem BSI Auskunft geben können.

Wie wir die Anforderungen technisch umsetzen und als Managed Service betreiben, zeigt unsere Seite zu NIS2-Compliance. Wenn Sie Ihren eigenen Stand einordnen möchten, sprechen Sie mit uns.