2 Min. Lesezeit

NIS2 umsetzen: Der Praxisleitfaden für Geschäftsführer und IT-Verantwortliche

Picture of Volker Bentz Volker Bentz : 23.07.2026 13:54:20

IT Strategie NIS2
NIS2 umsetzen: Der Praxisleitfaden für Geschäftsführer und IT-Verantwortliche

NIS2 ist seit dem 06.12.2025 in Kraft. Die Frage für die meisten Unternehmen lautet längst nicht mehr, ob sie betroffen sind, sondern wie sie die Anforderungen konkret umsetzen, ohne monatelang im Compliance-Papierkram zu versinken. Dieser Leitfaden zeigt Ihnen die praktischen Schritte zur NIS2-Umsetzung und erklärt, warum viele Unternehmen dabei an ihre Grenzen stoßen.

 

Das Wichtigste in Kürze

1

NIS2-Umsetzung folgt einem klaren Ablauf: Betroffenheit klären, Gap-Analyse, Maßnahmenplan, laufender Betrieb.

2

Die größte Hürde ist selten das Wissen, sondern die fehlende Kapazität, das Vorhaben neben dem Tagesgeschäft konsequent durchzuziehen.

3

Ein externer Informationssicherheitsbeauftragter übernimmt genau diese Rolle, ohne dass Sie eine eigene Stelle aufbauen müssen.

 

Warum eine NIS2-Umsetzung jetzt keinen Aufschub mehr duldet

Was NIS2 grundsätzlich bedeutet, wer betroffen ist und welche Pflichten im Detail gelten, haben wir in unserem vollständigen NIS2-Leitfaden ausführlich erklärt. Kurz zusammengefasst: Geschäftsführer haften seit Inkrafttreten persönlich, wenn Sicherheitsmaßnahmen fehlen oder unzureichend dokumentiert sind. Wer die Umsetzung aufschiebt, vergrößert dieses Risiko mit jedem Monat.

Die eigentliche Herausforderung liegt aber selten im Verstehen der Richtlinie. Sie liegt in der Übersetzung der abstrakten Anforderungen in ein konkretes, funktionierendes Sicherheitsmanagement im eigenen Unternehmen. Genau hier setzt dieser Leitfaden an.

 

Die 4 Phasen der NIS2-Umsetzung

Eine erfolgreiche NIS2-Umsetzung folgt keinem Zufallsprinzip, sondern einem wiederholbaren Ablauf. Die folgenden vier Phasen bilden das Grundgerüst, unabhängig davon, ob Sie intern oder mit externer Unterstützung umsetzen.

1
Betroffenheitsanalyse

Zuerst muss geklärt werden, ob und in welchem Umfang Ihr Unternehmen unter NIS2 fällt. Dazu zählen Mitarbeiterzahl, Umsatz und Branchenzugehörigkeit. Ein NIS2-Check liefert hierzu innerhalb weniger Minuten eine erste, unverbindliche Einschätzung.

2
Gap-Analyse: Wo stehen Sie heute?

Anschließend wird der Ist-Zustand Ihrer Informationssicherheit dem NIS2-Sollzustand gegenübergestellt. Welche technischen und organisatorischen Maßnahmen existieren bereits, welche fehlen komplett? Diese Lücken bilden die Grundlage für den weiteren Fahrplan.

3
Maßnahmenplan und Umsetzung

Aus der Gap-Analyse entsteht ein priorisierter Maßnahmenplan: technische Schutzmaßnahmen, Prozesse für die Meldepflicht bei Vorfällen, Schulungen für Mitarbeitende und Geschäftsführung sowie die Absicherung der Lieferkette. Ein Vorgehensmodell wie ISO 27001 oder VdS 10000 gibt hierfür einen erprobten Rahmen vor.

4
Laufender Betrieb und Dokumentation

NIS2-Umsetzung ist kein einmaliges Projekt, sondern ein dauerhafter Betrieb. Maßnahmen müssen regelmäßig überprüft, Risikoanalysen aktualisiert und alle Nachweise so dokumentiert werden, dass sie im Ernstfall die Beweislast erfüllen. Genau dieser Dauerbetrieb wird für viele Unternehmen zur eigentlichen Belastung.

 

Warum viele Unternehmen das nicht allein stemmen

Die vier Phasen klingen überschaubar, in der Praxis scheitern viele Unternehmen aber nicht am Verständnis, sondern an der Kapazität. Eine interne IT-Abteilung, die ohnehin im Tagesgeschäft ausgelastet ist, kann selten zusätzlich ein vollständiges Informationssicherheits-Managementsystem aufbauen und dauerhaft pflegen.

⚠️ Der typische Denkfehler bei der NIS2-Umsetzung

Viele Unternehmen behandeln NIS2 als einmaliges Projekt, das nach der ersten Umsetzung „fertig" ist. Tatsächlich verlangt die Richtlinie einen fortlaufenden Prozess: Risiken ändern sich, neue Bedrohungen entstehen, und Dokumentation muss kontinuierlich aktuell gehalten werden. Ohne dauerhafte Zuständigkeit verwaist dieser Prozess schnell wieder.

Genau diese dauerhafte Zuständigkeit ist die Rolle eines Informationssicherheitsbeauftragten, kurz ISB. Seine Aufgabe ist es, die NIS2-Umsetzung nicht nur einmalig anzustoßen, sondern sie als laufenden Prozess zu verantworten: Risikoanalysen aktuell halten, Maßnahmen nachschärfen, Berichte an die Geschäftsführung liefern und im Vorfallfall die richtigen Schritte koordinieren.

 

Wie ein externer ISB die NIS2-Umsetzung übernimmt

Nicht jedes Unternehmen kann oder will eine eigene Vollzeitstelle für Informationssicherheit schaffen, gerade im Mittelstand ist das selten wirtschaftlich sinnvoll. Ein externer ISB übernimmt genau diese Funktion, ohne dass Sie eine interne Fachkraft aufbauen, einarbeiten und dauerhaft binden müssen.

Er koordiniert die vier oben beschriebenen Phasen, sorgt für eine NIS2-konforme Dokumentation und steht als kontinuierlicher Ansprechpartner für Geschäftsführung und IT zur Verfügung. Damit wird aus einer einmaligen Compliance-Übung ein belastbares, dauerhaft funktionierendes System.

Wie unser ISB-Service konkret aufgebaut ist, welche Leistungen er umfasst und für welche Unternehmen er sich eignet, erfahren Sie auf unserer Seite zum externen Informationssicherheitsbeauftragten.

💡 Tipp

Starten Sie mit einem unverbindlichen NIS2-Check, um in wenigen Minuten eine erste Einschätzung Ihrer Betroffenheit zu erhalten, bevor Sie in die tiefere Gap-Analyse einsteigen.

 

Fazit: NIS2 umsetzen heißt Struktur schaffen, nicht Aktionismus

NIS2-Umsetzung gelingt nicht durch hektische Einzelmaßnahmen, sondern durch einen strukturierten Prozess aus Betroffenheitsanalyse, Gap-Analyse, priorisiertem Maßnahmenplan und dauerhaftem Betrieb. Wer diesen Prozess intern nicht leisten kann, findet mit einem externen ISB eine Lösung, die genau diese Kontinuität sicherstellt, ohne eine eigene Stelle aufzubauen.

Unverbindliches Gespräch zur NIS2-Umsetzung vereinbaren