NIS2: Geltungsbereich, Pflichten und Umsetzung

Was ändert die NIS2-Direktive ge­gen­über NIS?

Die NIS2-Direktive erweitert den Kreis betroffener Unternehmen, stärkt die Verantwortung des Managements und verlangt nachweisbare technische sowie organisatorische Kontrollen. Entscheidend sind Risikoanalyse, Lieferantenaufsicht, Backup, Incident Response, Zugriffsschutz und dokumentierte Umsetzung. In Polen trat die KSC-Novelle zur Umsetzung von NIS2 am 3. April 2026 in Kraft (Gesetzblatt2026,Pos.252). Laut Digitalministerium endete für damals erfasste Einrichtungen die Eintragungsfrist am 3. Oktober 2026; Anpassung und S46-Pflichten sind bis 3. April 2027 umzusetzen. Status, Ausnahmen und Erfassungsdatum sind individuell zu beurteilen. Abgleich mit der amtlichen Quelle am 14. November 2026.

Was ändert NIS2 in der Praxis?

NIS konzentrierte sich hauptsächlich auf Betreiber wesentlicher Dienste und ausgewählte Anbieter digitaler Dienste. NIS2 erweitert dieses Modell auf wesentliche und wichtige Einrichtungen, deckt mehr Branchen ab und verlangt, dass Cybersicherheit als Geschäftsrisiko und nicht als Dokumentationsprojekt verwaltet wird.

Die wichtigsten Unterschiede zwischen NIS und NIS2

NIS2 führt zu einer strengeren Managementverantwortung, einer umfassenderen Überwachung der Lieferkette, spezifischeren Anforderungen an das Risikomanagement und einem Rahmen für die Meldung von Vorfällen. Für Unternehmen bedeutet dies die Notwendigkeit, Verantwortliche zuzuweisen, eine Roadmap zu erstellen und Nachweise aufzubewahren, die einem Kunden, Prüfer oder einer Aufsichtsbehörde vorgelegt werden können. Nach NIS2 erfolgt eine Frühwarnung zu einem erheblichen Sicherheitsvorfall unverzüglich und spätestens innerhalb von 24 Stunden nach Kenntniserlangung. Weitere Meldestufen und der zuständige Meldekanal sind nach den für die Organisation geltenden Regeln festzulegen. Die 24-Stunden-Frist betrifft die Frühwarnung, nicht den Abschluss des Meldeverfahrens. Das Organisationsverfahren muss weitere Meldungen und den Abschlussbericht nach geltendem Recht und Vorfallsart festlegen.

• Prüfen Sie die Einstufung als wesentliche oder wichtige Einrichtung nach anwendbarem Recht; bewerten Sie daneben vertragliche Anforderungen an Lieferanten solcher Einrichtungen.
• Beschreiben Sie Dienste, die den Geschäftsbetrieb von Kunden, die Produktion, den Vertrieb oder die Datenverarbeitung beeinflussen.
• Benennen Sie Verantwortliche für Risiken, Vorfälle, Backup, IKT-Anbieter und privilegierte Zugriffe.
• Erstellen Sie Nachweise für technische Kontrollen, nicht nur für Sicherheitsrichtlinien.
• Legen Sie das Verfahren zur Meldung von Vorfällen und zur Eskalation an die Leitung fest.

Wer unterliegt der NIS2-Richtlinie?

Direkte Pflichten gelten für Einrichtungen, die die NIS2-Kriterien und das einschlägige nationale Umsetzungsgesetz erfüllen. Zu prüfen sind Sektor, Größe, Leistungsart und Ausnahmen von Größenschwellen. Die Belieferung regulierter Kunden macht einen Anbieter nicht automatisch zu einer wesentlichen oder wichtigen Einrichtung, kann aber vertragliche Sicherheits- und Nachweispflichten auslösen. Beide Bereiche sind getrennt zu bewerten.

Was soll der Vorstand genehmigen?

NIS2 verlagert Cybersicherheit von einer technischen Checkliste auf die Ebene des Risikomanagements. Daher sollte der Vorstand eine kurze Entscheidungsgrundlage erhalten: Regulierungsumfang, kritische Dienste, größte Lücken, Kosten der Risikominderung und Nachweise, die fortlaufend gepflegt werden.

• Umfang: dokumentierte rechtliche Einstufung des Unternehmens und gesonderte Vertragsanforderungen aus der Betreuung regulierter Kunden.
• Prioritäten: Risiken, die Vertrieb, Produktion, Logistik, digitale Dienste oder Kundenservice beeinträchtigen.
• Nachweis: Welche Backup-Tests, Zugriffsüberprüfungen, Überwachungsberichte und Entscheidungen der Verantwortlichen werden aufrechterhalten.
• Verantwortung: Wer übernimmt Risiken, führt Korrekturmaßnahmen durch und meldet den Status dem Management.
• Plan: gesetzliche und risikobasierte Fristen, Maßnahmenverantwortliche und beispielhafte Fortschrittsprüfungen nach 30, 60 und 90 Tagen.

Die häufigsten Fehler in NIS2-Projekten

Das größte Risiko besteht darin, NIS2 als einmalige Dokumentation zu behandeln. Regulierung erfordert ein kontinuierliches Management: Entscheidungen, Tests, Rechenschaftspflicht, Nachweise und Verbesserung der Kontrollen nach Änderungen in der IT-Umgebung. Ein weiteres besteht darin, die gesamte Verantwortung bei der IT zu belassen, obwohl Risiken Vertrieb, Produktion, Logistik, Kundendaten und Servicekontinuität betreffen. Hinzu kommen fehlende Nachweise: Das Unternehmen erklärt, Backup, Monitoring oder ein Incident-Verfahren zu haben, kann aber keine Tests, Berichte, Entscheidungen oder Verantwortlichen nachweisen.

• Der Umfang ist ungeklärt und Anforderungen aus der Lieferkette werden übersehen.
• Richtlinien bestehen ohne Backup-Tests, Zugriffsprüfungen, Monitoringberichte oder Entscheidungsnachweise.
• IKT-Anbieter greifen auf kritische Systeme zu, werden jedoch weder bewertet noch überwacht.
• Das Incident-Verfahren wurde nicht geübt und die Verantwortung für Meldungen ist unklar.
• Die Leitung erhält keine Entscheidungsunterlage zu Auswirkungen, Kosten und Prioritäten.

Wie Virtline Anforderungen in konkrete Maßnahmen überführt

Wir verbinden Audit, Umsetzung und Betrieb der IT-Umgebung in einem Arbeitsablauf: Einordnung, Lückenübersicht, Prioritäten, technische Konfigurationen, Verfahren, Abnahmenachweise und regelmäßige Berichterstattung. Anschließend ordnen wir die NIS2-Pflichten den vorhandenen Kontrollen und Nachweisen zu, benennen Lücken ohne Verantwortliche und priorisieren Maßnahmen zu Vorfällen, Kontinuität, Lieferanten, Zugriffen und Managementaufsicht. Zuerst prüfen wir die Einordnung der Organisation sowie die wesentlichen oder wichtigen Dienste und ihre unterstützenden Systeme.

Verwandte Artikel

Das NIS2-Thema ist neben der praktischen Compliance-Prüfung, der digitalen Resilienz von DORA und den IT-Kontrollen nach KSB 315 eine Lektüre wert, da alle diese Bereiche Nachweise, Verantwortliche und klare Entscheidungen erfordern.

Wie lässt sich feststellen, ob das Unternehmen unter NIS2 fällt?

Für die Einordnung nach NIS2 müssen Sektor, Unternehmensgröße, Art der Leistungen, Abhängigkeiten von regulierten Kunden und die Rolle als IKT-Anbieter geprüft werden. Auch ein Unternehmen, das nicht unmittelbar als wesentliche oder wichtige Einrichtung eingestuft ist, kann Anforderungen von Kunden, Partnern oder Finanzinstituten erhalten. Deshalb sollte die Bewertung neben den Sektorlisten auch die Lieferkette, kritische Prozesse und Verträge erfassen.

• Sektor, Beschäftigtenzahl, Umsatz und Verbindungen zu kritischen Diensten prüfen.
• Bewerten, ob das Unternehmen Leistungen für wesentliche oder wichtige Einrichtungen erbringt.
• Systeme, Daten, IKT-Anbieter und Prozesse erfassen, deren Ausfall den Betrieb stoppen würde.
• Anforderungen von Kunden, Versicherern, Prüfern und Aufsichtsbehörden an die Cyberresilienz auflisten.
• Eine Leitungsentscheidung zu Auditumfang, Prioritäten und Risikoverantwortlichen herbeiführen.

Welche Pflichten müssen in konkrete Maßnahmen übersetzt werden?

Die zentralen NIS2-Pflichten betreffen Risikomanagement, Behandlung von Sicherheitsvorfällen, Geschäftskontinuität, Backup, Lieferantensicherheit, Zugriffskontrolle, Kryptografie, Schulungen und Berichterstattung. Eine Sicherheitsrichtlinie ohne Nachweise reicht nicht aus. Das Unternehmen sollte zeigen können, dass Kontrollen tatsächlich greifen: MFA ist aktiviert, Backups wurden getestet, Vorfälle folgen einem definierten Verfahren und Anbieter werden überwacht.

Wie läuft die Vorbereitung auf NIS2 ab?

Die rechtliche Einordnung und die Karte kritischer Dienste bestimmen den Umfang, die Lückenanalyse setzt Prioritäten. Dringende Gefahren werden parallel begrenzt, ohne auf den Abschluss aller Unterlagen zu warten. Erforderliche MFA, Backup, Monitoring, Incident Response und Recovery-Nachweise richten sich nach Risiko und geltenden gesetzlichen Fristen. Die folgenden 30/60/90-Tage-Prüfungen sind ein Organisationsbeispiel, keine Karenzzeit und kein Versprechen vollständiger Compliance nach 90 Tagen.

• Phase 1: regulatorischer Umfang, kritische Dienste, Prozessverantwortliche und IKT-Anbieter.
• Phase 2: Prüfung von MFA, Backup, Schwachstellen, Monitoring, Incident-Verfahren und Geschäftskontinuität.
• Phase 3: Prioritäten, Kosten der Risikoreduktion, Entscheidungsverantwortliche und 30/60/90-Plan.
• Phase 4: Umsetzung der Kontrollen, Tests, Dokumentation, Berichte und Unterlagen für die Leitung.
• Phase 5: Betrieb, Überprüfungen, Aktualisierung der Risiken und Nachweise nach Änderungen.

Wie bleibt NIS2-Compliance nach der ersten Umsetzung wirksam?

NIS2 verlangt einen Prozess, der nach dem ersten Audit weiterläuft. Änderungen an Systemen, Anbietern, Infrastruktur, Anwendungen oder Betriebsmodellen müssen eine erneute Prüfung von Risiken und Nachweisen auslösen. Das Unternehmen sollte privilegierte Konten, MFA, Backups, Monitoringberichte, Schwachstellen, Vorfälle, IKT-Anbieter und Wiederherstellungstests regelmäßig überprüfen. Die Leitung benötigt außerdem einen kompakten Entscheidungsbericht darüber, welche Risiken gesunken oder gestiegen sind, welche Budget benötigen und welche bewusst akzeptiert wurden. Ohne diesen Rhythmus veraltet die Compliance zusammen mit den Dokumenten.

• Vierteljährliche Prüfung von Risiken, Verantwortlichen, IKT-Anbietern und kritischen Diensten.
• Regelmäßige Wiederherstellungstests, Incident-Übungen und Prüfung des Meldewegs.
• Aktualisierung des Nachweisregisters nach Änderungen an Microsoft 365, Netzwerken, Systemen, Anwendungen und Anbietern.
• Bericht an die Leitung mit Prioritäten, Entscheidungen, Ausnahmen und Maßnahmenplan für die nächste Periode.
• Dokumentation an den tatsächlichen Konfigurationen ausrichten und nicht an einem veralteten Systemstand.

Welche Nachweise gehören in die regelmäßige Überprüfung?

Nach der ersten Umsetzung benötigt das Unternehmen ein festes Nachweispaket. Es belegt nicht nur das Vorhandensein von Richtlinien, sondern auch die Durchführung von Kontrollen, Entscheidungen der Risikoverantwortlichen und Reaktionen auf Änderungen. Für die Leitung sollte es kompakt, für Prüfer ausreichend detailliert und nach jedem wesentlichen Vorfall, Test oder Projekt aktualisiert sein.

NIS2-Umfang mit Virtline prüfen

Ein Anruf ist sinnvoll, wenn unklar ist, ob NIS2 gilt, wenn ein Kunde Nachweise zur Cyberresilienz verlangt oder wenn Lücken bei MFA, Backup, Monitoring, Incident-Verfahren oder Lieferantenaufsicht bestehen. Ein kurzes Gespräch unter +48 12 200 27 10 klärt, ob eine Prüfung des Geltungsbereichs, Risikoworkshop, Umsetzung von Kontrollen oder die Strukturierung von Nachweisen für die Leitung der richtige erste Schritt ist.

• Sie haben Kunden aus regulierten Branchen und müssen das Sicherheitsniveau bestätigen.
• Sie wissen nicht, ob das Unternehmen die Kriterien einer wesentlichen oder wichtigen Einrichtung erfüllt.
• Es gibt keine Backup-Tests, Vorfallverfahren oder Berichte an das Management.
• IKT-Anbieter haben Zugang zu kritischen Systemen, es gibt jedoch keine formelle Aufsicht.
• Sie benötigen einen priorisierten Umsetzungsplan mit Kosten, Zuständigkeiten und belastbaren Abschlussnachweisen.

Quellen und weiterführende Informationen