NIS2-Compliance pragmatisch umgesetzt
Das NIS2-Umsetzungsgesetz gilt in Deutschland seit dem 6. Dezember 2025 ohne Übergangsfrist. NMS bringt Unternehmen von der Betroffenheitsprüfung bis zum auditfesten Dauerbetrieb.
ISO 27001 · Microsoft Solution Partner
Seit Dezember 2025 ist NIS2 in Deutschland ohne Übergangsfrist geltendes Recht. Der strukturierte Weg zur Compliance reicht von der ehrlichen Betroffenheitsprüfung bis zum auditfesten Dauerbetrieb. Dies gilt auch für alle, die spät dran sind.
Was hinter NIS2 steckt
NIS2 ist die Antwort der EU auf eine schlichte Beobachtung: Cyberangriffe treffen längst nicht mehr nur Kraftwerke und Großbanken. Die Richtlinie weitet den Kreis der verpflichteten Unternehmen deutlich aus und hebt den Maßstab dessen, was als angemessene Schutzmaßnahme gilt.
In Deutschland setzt das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) die EU-Vorgaben in nationales Recht um. Es ist am 6. Dezember 2025 ohne Übergangsfrist in Kraft getreten. Die dreimonatige Registrierungsfrist beim BSI ist am 6. März 2026 verstrichen. Die Registrierungspflicht selbst bleibt bestehen.
Inkrafttreten EU: 16. Januar 2023. Ab diesem Datum war die Richtlinie für alle Mitgliedstaaten bindend.
In Kraft in Deutschland: 6. Dezember 2025, unmittelbar geltend.
Registrierungspflicht: Frist 6. März 2026 verstrichen; Nachregistrierung beim BSI bleibt Pflicht.
Größerer Kreis: Rund 29.500 Unternehmen in Deutschland fallen unter die Regelung. Das entspricht einem Vielfachen gegenüber NIS1.
Betroffen? Wahrscheinlich ja
Das NIS2UmsuCG unterscheidet zwischen besonders wichtigen und wichtigen Einrichtungen. Ausschlaggebend sind Sektor und Unternehmensgröße.
Besonders wichtige Einrichtungen
Schwellenwert: ab 250 Mitarbeitenden oder mehr als 50 Mio. € Jahresumsatz und mehr als 43 Mio. € Bilanzsumme. Sektoren unter anderem: Energie, Verkehr, Bankwesen und Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser und Abwasser, digitale Infrastruktur (DNS, TLD, Rechenzentren, Cloud), IKT-Dienstleister im B2B, öffentliche Verwaltung, Weltraum.
Wichtige Einrichtungen
Schwellenwert: ab 50 Mitarbeitenden oder mehr als 10 Mio. € Jahresumsatz oder Bilanzsumme. Sektoren unter anderem: Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittelproduktion und -vertrieb, verarbeitendes Gewerbe (Medizinprodukte, Elektronik, Maschinenbau, Fahrzeugbau), digitale Anbieter, Forschung.
Auch unterhalb der Schwellen: die Lieferkette
Wer besonders wichtige oder wichtige Einrichtungen beliefert, wird vertraglich nachziehen müssen. NIS2 verlangt ausdrücklich Sicherheitsanforderungen entlang der gesamten Lieferkette. Kritische Anbieter, Subunternehmer und ICT-Dienstleister stehen damit faktisch mit in der Pflicht.
Zehn Mindestmaßnahmen, kein Pick-and-Choose
Artikel 21 der Richtlinie schreibt den Maßnahmenkatalog vor. Jede Position ist eigenständig nachzuweisen:
Risikoanalyse und Sicherheitskonzepte umfassen die systematische Bewertung der Risiken für Netz- und Informationssysteme.
Bewältigung von Sicherheitsvorfällen umfasst Incident Response. Diese ist definiert, geübt und dokumentiert, inklusive Meldeketten.
Betriebskontinuität und Krisenmanagement umfasst Backup, Recovery, BCM und Krisenstab. Diese werden getestet statt nur dokumentiert.
Sicherheit der Lieferkette erfordert die Bewertung und Steuerung der Risiken bei Lieferanten und ICT-Drittparteien.
Beschaffung, Entwicklung, Wartung schließt Sicherheit im Einkauf und in der Eigenentwicklung ein. Auch das Schwachstellen-Management gehört dazu.
Wirksamkeitsmessung stützt sich auf KPIs, interne Audits und Reviews. Diese belegen, dass Maßnahmen wirken.
Cyberhygiene und Schulungen beinhalten Grundpraktiken plus regelmäßige Awareness- und Pflichtschulungen.
Kryptografie und Verschlüsselung setzen Konzepte für ruhende und fließende Daten voraus.
Personal, Zugriff, Asset-Management umfasst Personalsicherheit, Least-Privilege-Zugriff und ein vollständiges Asset-Inventar.
MFA und gesicherte Kommunikation beinhaltet Multi-Faktor-Authentifizierung sowie gesicherte Sprach-, Video- und Textkommunikation.
Der Katalog gilt unabhängig von der Einstufung. Unterschiede gibt es bei Aufsichtsregime, Bußgeldrahmen und Prüftiefe. Die inhaltliche Pflicht bleibt davon unberührt.
Meldepflichten und Konsequenzen
Für meldepflichtige Vorfälle gilt eine gestufte Kette: Frühwarnung innerhalb von 24 Stunden, erste Bewertung nach 72 Stunden, Abschlussbericht nach einem Monat.
Der Bußgeldrahmen liegt für besonders wichtige Einrichtungen bei bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes. Für wichtige Einrichtungen liegt er bei bis zu 7 Mio. € oder 1,4 %. Dabei ist jeweils der höhere Betrag maßgeblich. Hinzu kommen Anordnungen und Audits der Aufsicht, die mögliche Untersagung von Leitungsfunktionen sowie die persönliche Haftung der Geschäftsleitung für die Risikomanagement-Pflichten.
Drei Pakete, aufeinander aufbauend
- Paket 1 umfasst Assessment und Gap-Analyse: Betroffenheitsanalyse (Sektor, Schwellenwert, Lieferkette), Reifegrad-Check entlang der zehn Pflichtmaßnahmen, Gap-Liste mit Aufwand und Priorität, Management-Präsentation. Typische Dauer: 3 bis 5 Wochen.
- Paket 2 umfasst Umsetzung und Hardening: Identity-Hardening mit MFA, Conditional Access und PIM, EDR/XDR und Logging, Backup- und Recovery-Tests, Richtlinien und Schulungen, Vorfalls-Playbooks. Mit Microsoft 365 und Azure als bevorzugter Plattform. Typische Dauer: 3 bis 9 Monate.
- Paket 3 umfasst Dauerbetrieb und Monitoring: Security Operations, Patch- und Schwachstellen-Management, quartalsweise Reifegrad-Reviews, Awareness-Programm und Begleitung externer Audits. Dieses Paket ist ein Managed Service mit monatlicher Pauschale.
Fünf Phasen, jede mit einem Artefakt
Standortbestimmung umfasst Workshops mit IT, Geschäftsleitung und Fachbereichen. Artefakt: Ist-Aufnahme und Betroffenheits-Bericht.
Gap-Analyse und Roadmap umfassen den Abgleich mit den Pflichtmaßnahmen und ergänzenden Standards wie ISO 27001 und BSI IT-Grundschutz. Artefakt: Maßnahmenplan mit Aufwänden.
Umsetzung beinhaltet technische und organisatorische Maßnahmen. Dazu zählen Hardening, Richtlinienarbeit, Vertragsanpassungen und Schulungen. Artefakt: Nachweise und geschulte Belegschaft.
Verifikation erfolgt durch ein internes Audit, Tabletop-Übungen und Wiederherstellungstests. Artefakt: Auditbericht und Nachweisakte.
Dauerbetrieb umfasst Monitoring, Vorfallsbearbeitung sowie regelmäßige Reviews. Artefakt: laufende Reports und Audit-Readiness.
- Schritt 1 von 5StandortbestimmungArtefakt: Ist-Aufnahme und Betroffenheits-Bericht
- Schritt 2 von 5Gap-Analyse und RoadmapArtefakt: Maßnahmenplan mit Aufwänden
- Schritt 3 von 5UmsetzungArtefakt: Nachweise und geschulte Belegschaft
- Schritt 4 von 5VerifikationArtefakt: Auditbericht und Nachweisakte
- Schritt 5 von 5DauerbetriebArtefakt: laufende Reports und Audit-Readiness
Kein Projekt ohne Nachweis: jede Phase endet mit einem Ergebnis, das man vorlegen kann.
Warum NMS
New Media Service ist ein IT-Systemhaus in Singen. Wir betreiben, härten und dokumentieren Microsoft-Infrastrukturen. NMS ist selbst nach ISO 27001 zertifiziert und Microsoft Solution Partner. Microsoft 365 und Azure sind unsere Heimatplattformen. Wir kennen die Systeme aus der Praxis und nicht nur aus Newslettern. Das Vorgehen orientiert sich an etablierten Informationssicherheits-Standards. Das Service-Management folgt ITIL. Die Projektsteuerung nutzt nachvollziehbare Stage Gates.
Rechtlicher Hinweis: NMS erbringt technische und organisatorische IT-Beratung, keine Rechtsberatung im Sinne des Rechtsdienstleistungsgesetzes. Die hier genannten Fristen, Schwellenwerte und Bußgeldrahmen geben den Informationsstand zum genannten Datum wieder und ersetzen keine rechtliche Einzelfallprüfung. Verbindliche Auskünfte erteilen die zuständigen Behörden (insbesondere das BSI) sowie spezialisierte Rechtsberatung. Stand: Juli 2026
Mein Unternehmen liegt unter den Schwellenwerten. Bin ich raus?
Direkt vermutlich ja, mittelbar oft nein. Wer als Lieferant für besonders wichtige oder wichtige Einrichtungen tätig ist, wird vertraglich in die Pflicht genommen. Dazu gibt es Branchen, bei denen die Größenkriterien nicht greifen (etwa Vertrauensdienste, DNS, TLD-Registries). Eine Einzelfallprüfung ist die einzige verlässliche Antwort.
Wir haben bereits ein ISO-27001-Zertifikat. Reicht das für NIS2?
Eine sehr gute Grundlage, aber kein Freifahrtschein. ISO 27001 deckt einen großen Teil ab; NIS2 ergänzt konkrete Meldepflichten, Lieferketten-Anforderungen, Schulungsverpflichtungen und die persönliche Haftung der Geschäftsleitung. Wir gleichen ab und schließen die Lücken gezielt, ohne das ISMS neu aufzurollen.
Wie lange dauert eine NIS2-Umsetzung realistisch?
Das Assessment dauert typischerweise 3 bis 5 Wochen. Die Umsetzung liegt je nach Reifegrad zwischen drei und neun Monaten. Wer bereits gut aufgestellt ist, schließt schneller ab; wer von vorn beginnt, braucht länger. Nach der Gap-Analyse steht ein belastbarer Zeitplan.
Die Registrierungsfrist am 6. März 2026 ist verstrichen. Was jetzt?
Kein Grund zur Panik, aber auch keiner zum Abwarten. Die Registrierung beim BSI bleibt Pflicht: Eine verspätete Anmeldung ist besser als keine und senkt das Risiko spürbar. Parallel zählt der Nachweis, dass die Risikomanagement-Maßnahmen greifen: Nachregistrierung sauber aufsetzen, Lücken schließen, Dokumentation aufbauen.
Brauchen wir für NIS2 einen eigenen CISO?
Nicht zwingend, aber die Rolle muss besetzt sein, durch eigenes Personal oder als CISO-as-a-Service. NMS übernimmt diese Funktion auf Wunsch mit klaren Eskalations- und Berichtsstrukturen.
Was kostet eine NIS2-Umsetzung?
Das Assessment ist als Festpreis kalkulierbar, abhängig von Standorten, Mitarbeiterzahl und Komplexität. Die Umsetzung wird auf Basis der Roadmap angeboten, der Dauerbetrieb läuft mit monatlicher Pauschale. Ein erstes belastbares Angebot folgt nach einem 30-minütigen Erstgespräch.
Lösungen in einer neuen Dimension.
Ein Gespräch genügt, um herauszufinden, wo IT, Microsoft Cloud und KI den Arbeitsalltag wirklich entlasten können.
Ihr Ansprechpartner: Jan Emmerich, Geschäftsführer