NIS-2-Umsetzung: Was müssen Unternehmen in den ersten 90 Tagen wirklich tun

Das NIS-2-Umsetzungsgesetz, in Deutschland als Änderung des BSIG seit März 2026 in Kraft, verpflichtet rund 29.500 Unternehmen zu einem signifikant verschärften Regime für Cybersicherheit, Meldewesen und Geschäftsführungshaftung. Die Frist für die Registrierung beim BSI lief im Frühjahr 2026 ab, viele Unternehmen sind operativ noch nicht audit-fest. Bußgelder reichen bei wesentlichen Einrichtungen bis 10 Mio. Euro oder 2 Prozent des Konzernumsatzes nach § 64 BSIG.

Dieser Artikel ist keine NIS-2-Grundlagenerklärung, sondern eine operative 90-Tage-Reihenfolge. Wer die Betroffenheit bestätigt hat und jetzt handeln muss, findet hier die Reihenfolge der Schritte, die Stolperfallen und die Schnittstelle zwischen interner Funktion und der CIVAC-Plattform. CIVAC ist eine Compliance-Plattform und Officer-as-a-Service mit operativem 24/72-Stunden-Meldepfad.

Die Betroffenheitsprüfung nach § 28 BSIG ist der Ausgangspunkt. Unternehmen aus 18 Sektoren mit mindestens 50 Beschäftigten oder mehr als 10 Mio. Euro Jahresumsatz fallen unter die NIS-2-Pflicht, unterteilt in wesentliche und wichtige Einrichtungen je nach Sektor und Größe.

Die Prüfung erfolgt schriftlich und wird im Audit verlangt. Das Ergebnis dokumentiert die Einstufung, die Berechnungsgrundlage für Mitarbeitende und Umsatz, die zugeordneten Sektor-Anhang-Einträge und die Schlussfolgerung mit Zeitstempel und Freigabe der Geschäftsführung.

Häufige Fehler in dieser Phase: das Übersehen von Tochtergesellschaften, die separat eingestuft werden müssen; das Verwechseln der KRITIS-Schwellen mit den NIS-2-Schwellen; und die Annahme, dass Konzern-Mütter automatisch für Tochterunternehmen registrieren können. Jedes betroffene Unternehmen registriert selbst.

Die Registrierung beim BSI erfolgt über das BSI-Meldeportal mit den nach § 33 BSIG geforderten Angaben: Unternehmensname, Rechtsform, Standorte, Branche, Kontaktstelle für Cybersicherheit und benannte Person für Meldungen. Die Registrierung ist Voraussetzung für jeden weiteren Schritt.

Für die rollenspezifische Vertiefung siehe unsere Seite zum Informationssicherheitsbeauftragten, der im Mittelstand die operative Schlüsselrolle einnimmt.

Das BSIG schreibt keinen ISB zwingend vor, aber die § 30-Pflichten zu Risikomanagement, Asset Management, Vorfallserkennung, Business Continuity und Lieferketten-Sicherheit benötigen eine zugeordnete Funktion. In der Praxis ist der ISB die Person, die die NIS-2-Pflichten operativ trägt.

Die Bestellung erfolgt durch schriftliche Bestellurkunde mit Berichtslinie an die Geschäftsführung. Die Bestellurkunde nennt den ISB, die Vertretung, den Mandatsumfang, die Ressourcen und die Berichtswege. Bestellurkunde, unterschrieben, abgelegt, belegbar.

Die Geschäftsführungshaftung nach § 38 BSIG macht die Berichtslinie zur Pflicht, nicht zur Option. Die Geschäftsleitung muss die NIS-2-Pflichten persönlich überwachen, an Schulungen teilnehmen und kann nicht delegieren. Der ISB ist die Schnittstelle, die diese persönliche Haftung mit operativer Tiefe füllt.

Die Wahl zwischen internem und externem ISB folgt der Bandbreiten- und Unabhängigkeitsfrage. CIVAC liefert beide Modelle. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Die externe Bestellung erfolgt innerhalb von zwei Werktagen nach Mandatsunterzeichnung.

Die Mitteilung an das BSI als benannte Kontaktstelle erfolgt im Bestellungs-Workflow. Audit-fest, dokumentiert, § 38-fest.

§ 30 BSIG fordert geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen. Der Maßnahmenkatalog ist offen formuliert, das BSI hat aber eine Konkretisierung mit zehn Maßnahmenfeldern veröffentlicht, die als Mindestbaseline gelten.

Die zehn Felder umfassen Risikoanalyse, Vorfallsbewältigung, Business Continuity, Lieferketten-Sicherheit, Sicherheit in der Beschaffung von Netz- und Informationssystemen, Wirksamkeitsbewertung, grundlegende Cyberhygiene und Schulung, Kryptografie, Personalsicherheit und Zugriffskontrolle, sowie Multi-Faktor-Authentifizierung und sichere Kommunikation.

Die Risikoanalyse ist der Ausgangspunkt. Sie identifiziert die schutzbedürftigen Assets, die plausiblen Bedrohungen und die bestehenden Kontrollen. Das Ergebnis ist eine priorisierte Liste von Restrisiken mit Maßnahmenvorschlägen und Geschäftsleitungs-Akzeptanz für die nicht behandelten.

Der Maßnahmenplan überführt die Risikoanalyse in einen umsetzbaren Backlog mit Verantwortlichen, Fristen und Fortschrittsmessung. Die 490 Audit-Vorlagen von CIVAC enthalten die ISO/IEC 27001:2022-Mapping-Tabelle, mit der jede NIS-2-Maßnahme auf eines der 93 Controls und auf die entsprechende Norm-Anforderung verknüpft wird.

Wer ISO 27001 zertifiziert ist oder es anstrebt, hat 80 Prozent der NIS-2-Maßnahmen bereits abgedeckt. Mehr dazu in unserem Briefing zur ISO-27001:2022-Umstellung.

Der NIS-2-Meldepfad ist die anspruchsvollste operative Anforderung. § 32 BSIG verlangt eine Frühwarnung innerhalb von 24 Stunden ab Kenntnis eines erheblichen Sicherheitsvorfalls und eine Folgemeldung mit Sachstand und Bewertung innerhalb von 72 Stunden, gefolgt von einem Abschlussbericht nach einem Monat.

Die Definition des erheblichen Vorfalls hat zwei Beine: erhebliche Betriebsstörung oder finanzielle Verluste, und Beeinträchtigung anderer natürlicher oder juristischer Personen durch materielle oder immaterielle Schäden. Die Schwelle ist niedriger als unter dem alten KRITIS-Regime.

Der Meldepfad braucht drei Komponenten. Erstens eine Detektionskapazität, die einen relevanten Vorfall überhaupt erkennt. Zweitens eine Bewertungs- und Eskalations-Kette, die innerhalb von Stunden zu einer Melde-Entscheidung führt. Drittens ein Übermittlungs-Workflow ans BSI, mit Inhalts-Vorlage, Vier-Augen-Freigabe und Sendebeleg.

CIVAC liefert den Meldepfad als verbundenen Workflow im Workspace. Der 24-Stunden-Slot, die 72-Stunden-Folge und der Monatsabschluss sind als Vorgänge angelegt, mit automatischer Fristüberwachung, vorbereiteter Meldung und Vier-Augen-Freigabe vor BSI-Versand. Frist läuft ab Kenntnis.

Die operative Probe ist ein Tabletop-Exercise mit einem simulierten Vorfall. Wer den 24-Stunden-Slot im trockenen Lauf nicht hält, wird ihn im Ernstfall auch nicht halten. Der Pruefer ruft an, der Nachweis liegt bereit.

§ 38 BSIG verpflichtet die Geschäftsleitung zur Teilnahme an Cybersecurity-Schulungen. Die Pflicht ist nicht delegierbar, und die Teilnahme ist im Audit zu belegen. Das BSI hat keine spezifische Curriculum vorgeschrieben, die Praxis orientiert sich an einem 4- bis 8-stündigen Format mit Vorfalls-Szenarien.

Die Schulung der breiteren Belegschaft folgt der Risikoanalyse. Wer auf produktionsnahen Systemen arbeitet, wer mit personenbezogenen Daten in großem Umfang umgeht, wer Schlüssel oder Zugänge zu kritischen Systemen verwaltet, braucht spezifische Trainings, nicht das allgemeine Phishing-Modul.

Das Tabletop-Exercise ist die operative Qualitätskontrolle. Ein realistisches Szenario, ein zeitlich begrenzter Lauf, eine externe Beobachtung und ein nachvollziehbares Protokoll. Die Erkenntnisse fließen in die Anpassung der Maßnahmen und in die Verfeinerung des Meldepfades.

Am Ende der 90 Tage liegen vor: registrierte Einrichtung beim BSI, bestellter ISB mit Bestellurkunde, dokumentierte Risikoanalyse, Maßnahmenplan mit Backlog und Verantwortlichen, operativer Meldepfad mit getesteter Übermittlung, geschulte Geschäftsleitung und priorisierte Mitarbeiterschulung.

Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. Die 90 Tage sind kein Abschluss, sondern die Eintrittskarte in den Dauerbetrieb mit kontinuierlicher Wirksamkeitsmessung.

Die Lieferketten-Sicherheit ist das am häufigsten unterschätzte Maßnahmenfeld. § 30 Abs. 2 Nr. 4 BSIG verlangt Maßnahmen zur Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen jeder Einrichtung und ihren unmittelbaren Anbietern oder Dienstleistern.

Die operative Übersetzung: Jeder kritische IT-Lieferant braucht eine dokumentierte Sicherheitsbewertung. Dazu zählen Cloud-Anbieter, SaaS-Provider, Managed Service Provider, Authentifizierungs-Dienstleister und Logging-Backends. Die Bewertung beinhaltet Zertifizierungsstatus, Subprozessor-Kette, Datenresidenz, Vorfallsmeldepflicht im Vertrag und Audit-Rechte.

Bestehende Verträge müssen nicht alle sofort neu verhandelt werden. Der pragmatische Weg ist ein Bestandsaudit der zehn bis fünfzehn kritischsten Verträge, die Identifikation von Lücken in den Sicherheitsklauseln und ein Add-on bei Vertragsverlängerung. Die CIVAC-Vorlage für den Lieferanten-Audit deckt die NIS-2-Anforderungen ab.

Cross-Cutting ist die Frage, ob der Lieferant selbst NIS-2-pflichtig ist. Lieferanten, die unter NIS-2 fallen, haben ein eigenes Meldewesen. Lieferanten außerhalb des Anwendungsbereichs müssen die Meldepflicht an Sie vertraglich abbilden, damit Sie Ihre 24/72-Stunden-Frist halten können.

Der Bauleiter-Mandant unter den CIVAC-Klienten zeigt die Praxis: ein Bauunternehmen hatte 47 IT-Lieferanten, davon 11 mit kritischem Zugriff. Die Risikobewertung dauerte vier Wochen, die Vertragsanpassungen weitere acht.

Die Sanktionsstruktur unter NIS-2 hat sich gegenüber dem alten BSIG deutlich verschärft. Bei wesentlichen Einrichtungen reichen die Bußgelder nach § 64 BSIG bis 10 Mio. Euro oder 2 Prozent des weltweiten Konzernumsatzes, je nachdem welcher Betrag höher ist. Bei wichtigen Einrichtungen bis 7 Mio. Euro oder 1,4 Prozent.

Die persönliche Haftung der Geschäftsleitung nach § 38 BSIG geht weiter. Geschäftsleitende Personen haften für die Genehmigung der Maßnahmen und die Überwachung ihrer Umsetzung. Die Haftung erstreckt sich auf den eigenen Haushalt, nicht nur auf das Unternehmen.

Der versicherungsrechtliche Reflex ist die D&O-Police. Die meisten D&O-Versicherungen decken NIS-2-Bußgelder nicht ab, weil sie als verwaltungsrechtliche Sanktion ausgeschlossen sind. Der Schaden aus Pflichtverletzung im Innenverhältnis bleibt versicherbar, aber nur, wenn die Pflichten dokumentiert nachverfolgt wurden.

Das Bundesverwaltungsgericht hat in Auslegungshinweisen klargestellt, dass das BSI eine abgestufte Sanktionspraxis verfolgt. Erste Maßnahme ist die Aufforderung zur Mängelbeseitigung, dann das Zwangsgeld, dann die Geldbuße. Wer dokumentiert nachweist, dass die Umsetzung läuft, vermeidet die Eskalation.

Audit-fest, dokumentiert, § 38-fest, das ist die Haltung, die dem Aufsichtsbehörden-Mitarbeiter im Audit gegenübertritt. Der Pruefer ruft an, der Nachweis liegt bereit.

Die 90-Tage-Phase legt das Fundament, nicht den Dachstuhl. Der Dauerbetrieb folgt einem jährlichen Zyklus aus Risikoanalyse-Aktualisierung, Maßnahmen-Wirksamkeitsbewertung, Tabletop-Exercise, Geschäftsleitungs-Bericht und Schulungs-Runde.

Die Wirksamkeitsmessung nach § 30 Abs. 2 Nr. 6 BSIG ist die häufig unterschätzte Pflicht. Maßnahmen müssen nicht nur ergriffen, sondern auch in ihrer Wirksamkeit bewertet werden. Das bedeutet messbare Indikatoren, Sollwert-Definition und periodische Auswertung.

Typische Indikatoren sind Mean Time to Detect, Patch-Latenz für kritische Sicherheitsupdates, Erfolgsquote von Phishing-Simulationen, Quote der zeitgerechten Backup-Wiederherstellungs-Tests und Schulungs-Teilnahmequote. Sie werden im Quartal an die Geschäftsleitung berichtet.

Die ISO/IEC 27001:2022-Zertifizierung ist nicht NIS-2-Pflicht, aber sie ist der wirtschaftlich konsistente Pfad. Die 93 Controls aus Anhang A decken die § 30-Maßnahmen weitgehend ab, und der Auditor-Bericht ist ein etablierter Nachweis gegenüber Aufsichtsbehörden, Kunden und Versicherern.

CIVAC führt den ISMS-Aufbau und die NIS-2-Maßnahmen in einer Plattform. Wer beide Regimes konsolidiert, halbiert den Pflegeaufwand und gewinnt die ISO-Zertifizierung als kostenneutralen Nebeneffekt.

Die NIS-2-Umsetzung ist kein Beratungsprojekt, sondern ein operativer Aufbau. Wer in den ersten 90 Tagen die richtige Reihenfolge wählt, hat einen audit-festen Stand. Wer die Reihenfolge umkehrt und mit der Schulung beginnt, bevor der ISB bestellt ist, erzeugt Lücken, die später teuer werden.

CIVAC arbeitet als Compliance-Plattform und Officer-as-a-Service mit zwei gleichwertigen Liefermodellen für NIS-2. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Modelle liefern denselben Meldepfad, dieselben 490 Audit-Vorlagen und dieselbe EU-Datenresidenz.

Der typische Start ist ein Betroffenheits-Workshop in der ersten Woche, gefolgt von der Bestellurkunde für den ISB innerhalb von zwei Werktagen. Der Workspace wird parallel eingerichtet, und die 90-Tage-Roadmap startet mit einem konkreten Backlog.

Für Mittelständler aus den NIS-2-Sektoren ist die Schnittstelle zur ISO/IEC 27001:2022 entscheidend. CIVAC führt beide Regimes in einer Plattform, mit Mapping-Tabelle, gemeinsamer Maßnahmenliste und konsolidierten Audit-Vorlagen.

Aus dem Lesen einen Auftrag machen. Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de, um den Betroffenheits-Workshop zu vereinbaren.