NIS2 umsetzen im Mittelstand: Ein Plan für die ersten 90 Tage

NIS2 gilt, und viele Unternehmen stehen vor derselben Frage: Womit anfangen? Dieser Fahrplan ordnet die ersten 90 Tage so, dass zuerst die Pflichten mit dem größten Risiko stehen und danach die Maßnahmen in sinnvoller Reihenfolge folgen.

Das Wichtigste in Kürze

Zuerst klären, ob und wie Sie betroffen sind. Die Registrierung beim BSI ist spätestens drei Monate nach Eintritt der Betroffenheit fällig.
Meldefähig werden hat Vorrang: Die Fristen von 24 Stunden, 72 Stunden und einem Monat laufen auch dann, wenn das restliche Projekt noch nicht steht.
NIS2 ist Chefsache: Die Geschäftsleitung muss die Maßnahmen umsetzen, überwachen und regelmäßig an Schulungen teilnehmen.
Eine Gap-Analyse gegen die zehn Mindestmaßnahmen aus § 30 BSIG liefert die Reihenfolge für alles Weitere.

Warum die Reihenfolge entscheidet

Das NIS2-Umsetzungsgesetz gilt in Deutschland seit dem 6. Dezember 2025. Es hat das BSI-Gesetz (BSIG) neu gefasst und den Kreis der betroffenen Unternehmen deutlich erweitert. Eine Übergangsfrist für die Pflichten selbst gibt es nicht. Wer in den Anwendungsbereich fällt, muss sie erfüllen.

In Projekten scheitert der Start selten am fehlenden Willen. Er scheitert daran, dass alles gleichzeitig dringend aussieht: Richtlinien, Lieferanten, Backups, Schulungen, Meldeprozesse. Wer dann mit dem umfangreichsten Dokument beginnt, hat nach drei Monaten eine schöne Richtlinie und ist trotzdem nicht meldefähig.

Der folgende Plan setzt deshalb eine andere Reihenfolge: erst die Pflichten mit festen Fristen, dann die Bestandsaufnahme, dann die Maßnahmen nach Wirkung. Die 90 Tage sind keine gesetzliche Frist, sondern unser Vorschlag für einen Zeitraum, in dem ein mittelständisches Unternehmen handlungsfähig werden kann. Das vollständige Managementsystem dauert in der Regel länger.

Die ersten 90 Tage im Überblick

Tag 1–30: Klären und meldefähig werden

Betroffenheit prüfen, beim BSI registrieren, Verantwortung benennen, Meldeweg festlegen.

Tag 31–60: Bestand aufnehmen

Gap-Analyse gegen § 30 BSIG, Risiken bewerten, kritische Dienste und Lieferanten erfassen.

Tag 61–90: Maßnahmen wirksam machen

Maßnahmenplan beschließen, schnelle Wirkung umsetzen, Wirksamkeit prüfen und dokumentieren.

Tag 1 bis 30: Klären und meldefähig werden

Betroffenheit belastbar prüfen

Entscheidend sind der Sektor und die Größe. Als Faustregel gelten 50 Beschäftigte oder 10 Millionen Euro Jahresumsatz zusammen mit einer Tätigkeit in einem der erfassten Sektoren. Bei einigen Einrichtungen kommt es auf die Größe gar nicht an. Prüfen Sie außerdem, welche Geschäftstätigkeit tatsächlich den Ausschlag gibt, und halten Sie die Begründung schriftlich fest. Auch ein „nicht betroffen“ sollte nachvollziehbar dokumentiert sein.

Eine erste Orientierung gibt unser NIS2-Readiness-Check. Er ersetzt keine Rechtsberatung, zeigt aber schnell, ob sich die vertiefte Prüfung lohnt.

Beim BSI registrieren

Besonders wichtige und wichtige Einrichtungen registrieren sich über das BSI-Portal, und zwar spätestens drei Monate, nachdem sie erstmals als solche Einrichtung gelten. Ohne Registrierung fehlt auch der reguläre Meldekanal. Erledigen Sie das deshalb früh und legen Sie fest, wer das Konto betreut und wer vertritt.

Verantwortung auf Leitungsebene festlegen

Nach § 38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Außerdem muss sie regelmäßig an Schulungen teilnehmen. Das lässt sich nicht einfach an die IT-Leitung weiterreichen. Benennen Sie eine operativ verantwortliche Person, geben Sie ihr Budget und einen festen Berichtstermin, und planen Sie die erste Schulung der Geschäftsleitung in diesem Abschnitt ein.

Den Meldeweg trocken durchspielen

Dies ist der Punkt, der im Ernstfall am meisten zählt. § 32 BSIG staffelt die Meldung an das BSI bei einem erheblichen Sicherheitsvorfall in drei Stufen:

Spätestens nach 24 Stunden: die frühe Erstmeldung, ab Kenntnis des Vorfalls.
Spätestens nach 72 Stunden: die Meldung mit einer ersten Bewertung des Vorfalls.
Spätestens nach einem Monat: die Abschlussmeldung. Läuft der Vorfall dann noch, kommt zunächst eine Fortschrittsmeldung.

Legen Sie fest, wer einen Vorfall als „erheblich“ einstuft, wer meldet und wer vertritt, auch nachts und am Wochenende. Sind personenbezogene Daten betroffen, läuft parallel die Frist von 72 Stunden gegenüber der Datenschutzaufsicht nach Artikel 33 DSGVO. Beides gehört auf eine Seite, ausgedruckt und nicht nur im Netz abgelegt, das im Ernstfall ausfällt.

Tag 31 bis 60: Den Bestand ehrlich aufnehmen

Gap-Analyse gegen die zehn Mindestmaßnahmen

§ 30 BSIG verlangt geeignete, verhältnismäßige und wirksame Maßnahmen und nennt dafür zehn Mindestbereiche. Sie sind das natürliche Raster für die Bestandsaufnahme:

Konzepte zur Risikoanalyse und zur Sicherheit der Informationssysteme
Bewältigung von Sicherheitsvorfällen
Aufrechterhaltung des Betriebs: Backup, Wiederherstellung, Krisenmanagement
Sicherheit der Lieferkette
Sicherheit bei Erwerb, Entwicklung und Wartung, einschließlich Umgang mit Schwachstellen
Bewertung der Wirksamkeit der Maßnahmen
Cyberhygiene und Schulungen
Kryptografie und Verschlüsselung
Personalsicherheit, Zugriffskontrolle und Anlagenverwaltung
Mehr-Faktor-Authentifizierung und gesicherte Kommunikation

Bewerten Sie jeden Bereich nicht nach „vorhanden“, sondern nach „vorhanden, wirksam, belegt“. Eine Backup-Richtlinie ohne getestete Wiederherstellung ist in dieser Betrachtung eine Lücke. Ein Security Assessment kann diese Aufnahme von außen absichern.

Kritische Dienste und Lieferanten erfassen

Fragen Sie nicht zuerst nach Systemen, sondern nach Abläufen: Was darf wie lange ausfallen, und wovon hängt es ab? Daraus ergibt sich die Liste der kritischen Systeme und Dienstleister. Prüfen Sie für jeden kritischen Lieferanten, welchen Zugang er hat, was der Vertrag zur Sicherheit sagt und was passiert, wenn er ausfällt.

Risiken bewerten statt sammeln

Am Ende dieses Abschnitts steht eine kurze, priorisierte Risikoliste für die Geschäftsleitung, keine Tabelle mit 400 Zeilen. Wer die Struktur gleich an ISO 27001 ausrichtet, muss sie später nicht neu aufbauen. Pflicht ist die Zertifizierung für NIS2 allerdings nicht.

Tag 61 bis 90: Maßnahmen wirksam machen

Erst die Maßnahmen mit der größten Wirkung

Bestimmte Maßnahmen schließen in den meisten Umgebungen besonders viele Angriffswege und kosten vergleichsweise wenig. Prüfen Sie sie zuerst:

Mehr-Faktor-Anmeldung für alle Konten mit Zugang von außen und für alle Administratoren, ohne vergessene Ausnahmen
Getrennte, vom Produktivnetz entkoppelte Sicherungen mit einem belegten Rücksicherungstest
Getrennte Administratorkonten, die nicht für E-Mail und Internet genutzt werden
Abschalten oder Absichern von Fernzugängen, die niemand mehr braucht
Eine feste Frist zum Einspielen von Sicherheitsupdates auf Systemen, die aus dem Internet erreichbar sind

Wirksamkeit prüfen, nicht nur behaupten

Die Bewertung der Wirksamkeit gehört ausdrücklich zu den Mindestbereichen. Ein Penetrationstest ist dafür ein anerkannter Weg, weil er zeigt, was ein Angreifer tatsächlich erreichen würde. Der Retest belegt anschließend, dass die Lücken geschlossen sind. Auch eine Übung des Vorfallablaufs zählt: Sie zeigt, ob der Meldeweg aus Tag 30 außerhalb der Bürozeit funktioniert.

Dokumentieren und an die Leitung berichten

Die Maßnahmen müssen dokumentiert sein. Halten Sie am Tag 90 fest, was erledigt ist, was bis wann folgt und wer verantwortlich ist, und lassen Sie die Geschäftsleitung den Plan beschließen. Wie ein solcher Bericht prüffest wird, steht in unserem Beitrag zu den häufigsten Fehlern im IT-Sicherheitsbericht.

Die vier häufigsten Stolperfallen

Nur die Muttergesellschaft betrachten: Die Einstufung muss für die tatsächliche Struktur geklärt werden. Prüfen Sie Tochtergesellschaften und einzelne Geschäftsbereiche ausdrücklich.
Die Lieferkette unterschätzen: Auch wer nicht selbst unter NIS2 fällt, bekommt die Anforderungen oft von Kunden vertraglich weitergereicht.
Papier mit Wirkung verwechseln: Eine Richtlinie schützt nicht. Entscheidend ist, was im Betrieb tatsächlich läuft und sich belegen lässt.
Finanzunternehmen übersehen DORA: Für Finanzunternehmen gelten vorrangig die Regeln von DORA. Die Abgrenzung sollten sie früh klären, die BSI-Registrierung bleibt davon nach Angaben des BSI unberührt.

Häufige Fragen

Wie lange dauert die NIS2-Umsetzung?

Das hängt vom Ausgangszustand ab. Handlungsfähig und meldefähig kann ein mittelständisches Unternehmen in rund 90 Tagen werden. Das vollständige, im Betrieb verankerte Risikomanagement braucht meist länger. Die 90 Tage sind unser Planungsvorschlag und keine gesetzliche Frist.

Müssen wir für NIS2 nach ISO 27001 zertifiziert sein?

Nein. Das BSIG schreibt keine Zertifizierung vor. ISO 27001 ist aber ein gutes Gerüst, weil sich viele Anforderungen überschneiden, und das Zertifikat kann gegenüber Kunden als Nachweis dienen.

Haftet die Geschäftsführung persönlich?

Das BSIG verpflichtet die Geschäftsleitung, die Maßnahmen umzusetzen und zu überwachen, und verweist für die Haftung bei Pflichtverletzungen auf die Regeln des Gesellschaftsrechts. Wie das im Einzelfall aussieht, ist eine Rechtsfrage und sollte anwaltlich geklärt werden.

Was gilt, wenn wir nur Zulieferer eines betroffenen Unternehmens sind?

Dann gilt das Gesetz nicht unmittelbar, doch Ihre Kunden müssen die Sicherheit ihrer Lieferkette berücksichtigen und reichen Anforderungen oft vertraglich weiter. Ein belastbarer Nachweis wird damit schnell zum Vertriebsthema.

Kontakt

Nica Systems GmbH, Reisholzer Bahnstraße 41, 40599 Düsseldorf
Telefon: 0211 17520840
E-Mail: Kontaktformular
Erreichbarkeit: Mo–Fr 09:00–17:00 Uhr, Incident Response rund um die Uhr

Bitte aktivieren Sie JavaScript für die vollständige, interaktive Website.