Wir bleiben dran – hier ist das Update und was sich wirklich ändert.
Keine Panik vor NIS-2! Unser IT-Sicherheitsexperte Thomas Lundström empfiehlt Gelassenheit – und zeigt, wie Sie Ihr Unternehmen pragmatisch, rechtssicher und resilient für die kommenden Anforderungen aufstellen.
Was ist der aktuelle Stand zu NIS-2?
Thomas Lundström: Die NIS-2-Richtlinie ist die überarbeitete EU-Vorgabe zur Stärkung der Cybersicherheit in Wirtschaft und Verwaltung. Deutschland arbeitet derzeit an der nationalen Umsetzung – das entsprechende Gesetz („NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz“) befindet sich seit September 2025 in parlamentarischer Beratung.
Damit wird der Geltungsbereich erheblich erweitert: Statt bislang rund 4.500 werden künftig über 30.000 Unternehmen in Deutschland unter die neuen Regeln fallen. Zudem sollen auch Teile der Bundesverwaltung einheitliche Informationssicherheitsstandards erhalten.
Die Richtlinie legt für Unternehmen in kritischen Sektoren und Organisationen von öffentlichem Interesse verbindliche Mindestanforderungen an die IT-Sicherheit sowie Meldepflichten für Sicherheitsvorfälle fest. Ziel ist es, die Widerstandsfähigkeit gegenüber Cyberangriffen europaweit deutlich zu erhöhen.
Ist NIS-2 nicht ein bürokratischer Riesenaufwand oder notwendige IT-Sicherheitsstrategie?
Thomas Lundström: Was die neuen Melde- und Dokumentationspflichten betrifft, stehen die konkreten nationalen Ausgestaltungsschritte noch bevor. Aber grundsätzlich gilt: Die meisten NIS-2-Vorgaben sind gute IT-Praxis, die ohnehin Teil jeder modernen Sicherheitsstrategie sein sollte.
Unternehmen, die bereits nach ISO 27001 oder einem vergleichbaren Standard arbeiten, sind im Vorteil – sie erfüllen viele der NIS-2-Prozesse bereits und können jetzt gezielt nachbessern, statt alles neu zu erfinden.
Welche technischen Maßnahmen zur NIS-2-Compliance sind besonders wichtig?
Thomas Lundström: Zuerst sollten Unternehmen ihre IT-Risiken systematisch erfassen und Mechanismen zur Erkennung von Sicherheitsvorfällen etablieren – etwa durch ein Security Information and Event Management-System (SIEM). Diese Systeme helfen, verdächtige Aktivitäten zu erkennen und darauf zu reagieren.
Danach braucht es klar definierte Reaktions- und Wiederherstellungsprozesse. Ein getesteter Notfall- und Wiederanlaufplan ist entscheidend – inklusive Offline-Backups und klarer Kommunikationswege. Wichtig: Diese Pläne müssen auch dann zugänglich sein, wenn zentrale Systeme wie SharePoint ausfallen.
Schließlich fordert NIS-2 auch ein stärkeres Augenmerk auf die Lieferkette. Unternehmen müssen sicherstellen, dass auch ihre Dienstleister und Zulieferer angemessene IT-Sicherheitsmaßnahmen nachweisen können. Das BSI empfiehlt hier, Software- und Hardware-Komponenten transparent zu dokumentieren – beispielsweise über eine sogenannte „Bill of Materials“.
Hast du praktische Einstiegstipps für Unternehmen?
Thomas Lundström: Der Schlüssel ist frühzeitiges Handeln. Ich empfehle Unternehmen mit einer Gap-Analyse zu starten und ihre Sicherheitsarchitektur auf NIS-2-Reife zu prüfen.
- Ein erster Schritt ist die Verankerung der Informationssicherheit als Managementaufgabe. Wer bereits über ein ISMS verfügt oder sich an ISO 27001 orientiert, kann darauf aufbauen.
- Technisch sollten Sie Multi-Faktor-Authentifizierung, aktuelle Kryptographie-Richtlinien und Zero-Trust-Konzepte umsetzen.
- Ganz wichtig: Sensibilisieren Sie Ihre Mitarbeitenden regelmäßig für Cyberrisiken – Awareness bleibt die erste Verteidigungslinie. Und haben Sie auch eine eventuelle Schatten-IT im Kopf – mithilfe von KI in Fachabteilungen unbemerkt und schnell eingeführt.
Fazit: NIS-2 als Chance für Resilienz und Auditfähigkeit
NIS-2 ist keine Bedrohung, sondern eine Chance, die eigene Organisation widerstandsfähig und auditfähig zu machen. Wer früh handelt, spart später Aufwand und Bußgelder – und erhöht gleichzeitig Vertrauen bei Kunden und Partnern.
Unsere Angebote für Ihre NIS-2-Umsetzung:
Initiale NIS-2 Beratung (2 Tage)
Erhalten Sie eine fundierte Bestandsaufnahme und Handlungsempfehlung, wie Sie technische, organisatorische und rechtliche Anforderungen erfüllen.
Workshop: NIS-2 Umsetzung für Unternehmen (1 Tag)
Praxis-Schulung für IT-Verantwortliche: Organisation auditfähig, rechtssicher und resilient gestalten.
NIS-2-Pflichtschulung für Geschäftsführung (3 Stunden)
Verstehen Sie Ihre Pflichten und Haftungsrisiken nach der NIS-2-Richtlinie – kompakt, verständlich und gesetzeskonform.