NIS2 umsetzen: vom Gesetz zum Plan in 90 Tagen

Was regelt das NIS2-Umsetzungs­gesetz?

Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (kurz NIS2UmsuCG) bringt die EU-Richtlinie (EU) 2022/2555 in deutsches Recht. Es ist ein sogenanntes Artikelgesetz: Sein wichtigster Teil ist ein neu gefasstes BSI-Gesetz (BSIG), daneben ändert es weitere Gesetze. Verkündet wurde es im Bundesgesetzblatt (BGBl. 2025 I Nr. 301), in Kraft ist es seit dem 6. Dezember 2025.

Ob dein Unternehmen betroffen ist, klärst du auf unserer Seite NIS2: Bist du betroffen? mit dem Check. Diese Seite setzt einen Schritt später an: Du bist betroffen, und jetzt?

Die Pflichten in einem Satz: registrieren, Risiken managen, Vorfälle melden, Verantwortung an der Spitze. Was die EU-Richtlinie selbst regelt, Artikel für Artikel, steht unter NIS2-Richtlinie.

Was ist die NIS2-Umsetzungs­verordnung?

Wer nach „NIS2-Umsetzungsverordnung“ sucht, meint meist die Durchführungsverordnung (EU) 2024/2690 der EU-Kommission vom 17. Oktober 2024. Sie gilt direkt, ohne deutsches Gesetz dazwischen, aber nur für bestimmte digitale Anbieter: DNS-Dienste, Registrierungsstellen für Top-Level-Domains, Cloud-Anbieter, Rechenzentren, Content-Delivery-Netze, Managed Service Provider und Managed Security Service Provider, Online-Marktplätze, Suchmaschinen, soziale Netzwerke und Vertrauensdienste.

Für diese Anbieter macht die Verordnung die Maßnahmen aus der Richtlinie sehr konkret, mit technischen und methodischen Anforderungen je Maßnahme, und legt fest, wann ein Vorfall als erheblich gilt. Betreibst du zum Beispiel als IT-Dienstleister die Systeme deiner Kundschaft, solltest du sie genau lesen.

Für alle anderen gilt: Maßstab ist § 30 BSIG mit seinen zehn Mindestmaßnahmen. Die Verordnung ist trotzdem eine gute Vorlage, wie „Stand der Technik“ konkret aussehen kann.

Lieferkette: Wenn deine Kundschaft Nachweise will

Viele Unternehmen spüren NIS2 zuerst nicht durch das BSI, sondern durch einen Fragebogen. Betroffene Einrichtungen müssen nach § 30 Abs. 2 Nr. 4 BSIG die Sicherheit ihrer Lieferkette berücksichtigen, also fragen sie bei Lieferanten und Dienstleistern nach: Gibt es Backups, MFA, einen Meldeweg, eine verantwortliche Person?

Für dich als Lieferant heißt das: Auch wenn du selbst nicht unter NIS2 fällst, entscheidet die Antwort über Aufträge. Die gute Nachricht: Mit den Bausteinen aus dem 90-Tage-Plan beantwortest du die meisten Fragebögen deutlich schneller. Leg dir dafür eine kurze Sicherheitsbeschreibung an, die du immer wieder verwendest, und halte sie aktuell.

Umgekehrt gilt: Wenn du betroffen bist, schick deinen eigenen Dienstleistern keine 200 Fragen. Zehn gezielte Fragen zu den Punkten, die für deinen Betrieb kritisch sind, bringen mehr als ein Formular, das keiner ehrlich ausfüllt.

Fünf Stolper­steine, die wir oft sehen

• Papier ohne Praxis: Richtlinien, die niemand kennt, und ein Notfallhandbuch, das nie geprobt wurde. Lieber eine Seite, die alle kennen, als fünfzig, die keiner liest.
• Backups ohne Rückspiel-Test: Ein Backup ist erst dann eins, wenn die Wiederherstellung einmal geklappt hat.
• Zugänge ohne Ende: Konten ehemaliger Beschäftigter und Dienstleister, die noch aktiv sind. Ein Ein- und Austrittsprozess spart hier viel Ärger.
• Meldeweg nur im Kopf: Wer meldet am Samstagabend, wenn die IT-Leitung im Urlaub ist? Vertretungen gehören auf die Liste.
• Alles gleichzeitig: Wer mit allen zehn Maßnahmen auf einmal startet, wird mit keiner fertig. Priorisieren nach Risiko und Frist.

Wer macht was bei der NIS2-Umsetzung?

• Geschäftsleitung: ist nach § 38 BSIG verpflichtet, die Maßnahmen umzusetzen, die Umsetzung zu überwachen und regelmäßig an Schulungen teilzunehmen. Die Arbeit kann sie verteilen, die Verantwortung nicht.
• Umsetzungsverantwortliche: eine Person, oft aus IT oder Organisation, die den Plan führt.
• IT und Dienstleister: setzen technische Maßnahmen um und liefern Nachweise.
• Rechtsberatung: klärt Auslegung und Sonderfälle, etwa die genaue Kategorie.
• Alle Beschäftigten: kennen die Basisregeln und wissen, wem sie einen Verdacht melden.

Was wir übernehmen, und was nicht

Wir begleiten den 90-Tage-Plan, bauen Inventar, Maßnahmenplan und Meldeprozess mit dir auf, härten Websites und Server, richten Backups mit Wiederherstellungstest ein und schulen Team und Geschäftsleitung. Jede Schulung dokumentieren wir mit einem Teilnahmezertifikat von mediabrandcast. Wer die Wirksamkeit der Maßnahmen mit einem Penetrationstest prüfen lassen will, findet Scope-Vorlage und Vertrags-Checkliste unter Penetrationstest beauftragen.

Was wir bewusst nicht machen: Rund-um-die-Uhr-Überwachung im Sicherheitsleitstand, Penetrationstests und Zertifizierungsprüfungen. Dafür empfehlen wir spezialisierte Anbieter, und wir sagen dir offen, wann du einen brauchst.