NIS2 Beratung für Unternehmen richtig vorbereiten

Rechtsstand: August 2026

Ein Cyberangriff ist für viele Unternehmen kein abstraktes IT-Risiko mehr. Er kann Produktion, Lieferketten, Kommunikation und Kundenbeziehungen unmittelbar beeinträchtigen. Mit NIS2 sind Cyberrisiken deshalb nicht allein Sache der IT-Abteilung. Geschäftsleitung und Management müssen sich mit Zuständigkeiten, Sicherheitsvorkehrungen und Meldewegen befassen. Eine frühzeitige NIS2 Beratung hilft dabei, die rechtlichen Anforderungen in eine umsetzbare Unternehmenspraxis zu übersetzen.

Für Unternehmen in Stuttgart, Fellbach, Waiblingen und der gesamten Region gilt dabei dasselbe wie bundesweit: Nicht jede Organisation fällt automatisch in den direkten Anwendungsbereich. Wer seine Betroffenheit vorschnell bejaht oder verneint, schafft jedoch unnötige Risiken. Entscheidend ist eine strukturierte Prüfung des konkreten Unternehmens, seiner Tätigkeiten, Größe und Rolle innerhalb von Lieferketten.

Was NIS2 für Unternehmen praktisch verändert

NIS2 ist eine europäische Richtlinie zur Cybersicherheit. Sie wurde in Deutschland durch ein nationales Umsetzungsgesetz in den Rechtsrahmen überführt. Ziel ist, das Sicherheitsniveau von Einrichtungen in besonders relevanten Wirtschafts- und Versorgungsbereichen zu erhöhen. Im Mittelpunkt stehen nicht einzelne IT-Produkte, sondern ein dauerhaftes Risikomanagement.

Betroffene Unternehmen müssen angemessene technische, operative und organisatorische Maßnahmen treffen. Diese sollen verhindern, dass Cybervorfälle eintreten, und sicherstellen, dass das Unternehmen bei einem Vorfall handlungsfähig bleibt. Dazu gehören etwa eine nachvollziehbare Sicherheitsorganisation, ein geregeltes Incident Management, Zugangsschutz, Datensicherungen, Notfallplanung und der Umgang mit Risiken in der Lieferkette.

Die Anforderungen sind bewusst risikobasiert. Ein mittelständischer Maschinenbauer benötigt daher nicht zwingend dieselben Prozesse wie ein großer Betreiber digitaler Infrastruktur. Die gewählten Maßnahmen müssen aber zur Gefährdungslage, zur Größe, zu den eingesetzten Systemen und zu den möglichen Folgen eines Ausfalls passen. Ein pauschales Maßnahmenpaket ist selten ausreichend.

Für wen ist eine NIS2 Beratung besonders relevant?

NIS2 erfasst vor allem Unternehmen aus bestimmten Sektoren. Dazu zählen unter anderem Energie, Verkehr, Gesundheitswesen, digitale Infrastruktur, IT- und Managed Services, öffentliche elektronische Kommunikation sowie Teile der Produktion, Lebensmittelwirtschaft, Abfallwirtschaft, Post- und Kurierdienste und Forschung. Ob ein Unternehmen in einem dieser Bereiche tätig ist, lässt sich allerdings nicht allein anhand der Branchenbezeichnung beantworten.

Zusätzlich spielen in vielen Fällen Größenmerkmale eine Rolle. Häufig ist zu prüfen, ob ein Unternehmen mindestens 50 Beschäftigte hat und bestimmte Umsatz- oder Bilanzschwellen erreicht. Für besonders wichtige Einrichtungen gelten teils höhere Schwellen. Daneben gibt es Konstellationen, in denen die Einordnung unabhängig von der Unternehmensgröße erfolgen kann. Auch gesellschaftsrechtliche Verflechtungen, Konzernstrukturen und ausgelagerte Leistungen können die Bewertung beeinflussen.

Besondere Aufmerksamkeit verdienen IT-Dienstleister. Wer etwa Managed Security Services, Rechenzentrumsleistungen, Cloud-nahe Dienste oder kritische Betriebsleistungen erbringt, sollte seine Rolle genau prüfen. Gleiches gilt für Zulieferer, die selbst nicht unmittelbar erfasst sind, aber Sicherheitsanforderungen ihrer NIS2-pflichtigen Kunden vertraglich erfüllen müssen.

Eine belastbare Betroffenheitsanalyse beantwortet daher mehr als die Frage „NIS2 ja oder nein?“. Sie klärt auch, welche Anforderungen konkret gelten, wer intern verantwortlich ist und welche Pflichten aus Kundenverträgen oder Lieferketten entstehen können.

Die Geschäftsleitung trägt Verantwortung

Eine zentrale Neuerung ist die ausdrückliche Einbindung der Leitungsorgane. Geschäftsführung, Vorstand oder sonst zuständige Leitungspersonen müssen die Maßnahmen zum Cybersicherheits-Risikomanagement billigen und deren Umsetzung überwachen. Sie sollen außerdem an geeigneten Schulungen teilnehmen, damit Risiken und Entscheidungswege auf Leitungsebene richtig eingeordnet werden können.

Damit verschiebt sich die Perspektive. Cybersicherheit darf nicht als rein technische Aufgabe behandelt werden, die vollständig an externe Dienstleister oder die interne IT delegiert wird. Die operative Umsetzung kann und soll spezialisiert erfolgen. Die Verantwortung für angemessene Steuerung, Ressourcen und Kontrolle bleibt jedoch auf Leitungsebene relevant.

In der Praxis braucht es klare Entscheidungen: Wer berichtet an die Geschäftsleitung? Welche Risiken werden in welchem Rhythmus bewertet? Wer darf bei einem Sicherheitsvorfall über die Abschaltung eines Systems, die externe Kommunikation oder die Einschaltung von Forensik-Dienstleistern entscheiden? Fehlen diese Regeln, entstehen im Ernstfall Verzögerungen - und gerade diese können Schäden vergrößern.

Sicherheitsmaßnahmen: Nicht nur Technik, sondern Organisation

NIS2 verlangt kein starres Zertifikat und keine bestimmte Software. Maßgeblich ist ein angemessenes Gesamtkonzept. Dieses Konzept sollte technische Schutzvorkehrungen mit dokumentierten Entscheidungs- und Betriebsabläufen verbinden.

Typische Bausteine sind eine aktuelle Risikoanalyse, Zuständigkeiten für Informationssicherheit, sichere Beschaffungs- und Entwicklungsprozesse, ein geregeltes Schwachstellenmanagement und Schutz vor unbefugten Zugriffen. Mehr-Faktor-Authentifizierung, Rechtekonzepte, Protokollierung und belastbare Datensicherungen sind häufig wichtige technische Grundlagen. Ebenso entscheidend sind Notfallpläne, Übungen und Schulungen für Beschäftigte.

Ein häufiger Fehler besteht darin, vorhandene Datenschutzdokumentationen oder allgemeine IT-Richtlinien ungeprüft als NIS2-Nachweis zu verwenden. Datenschutz und Cybersicherheit überschneiden sich, verfolgen aber nicht immer dieselben Zwecke. Ein Verzeichnis von Verarbeitungstätigkeiten ersetzt weder eine Cyberrisikoanalyse noch einen funktionierenden Notfallprozess.

Auch ein Informationssicherheitsmanagementsystem kann eine gute Grundlage sein, erfüllt die gesetzlichen Erwartungen aber nicht automatisch vollständig. Es kommt darauf an, ob der tatsächliche Geltungsbereich, die Verantwortlichkeiten und die vorhandenen Kontrollen zum Unternehmen passen. Dokumente, die im Alltag nicht gelebt werden, helfen bei einem Sicherheitsvorfall nur begrenzt.

Meldepflichten brauchen einen vorbereiteten Prozess

Schwerwiegende Sicherheitsvorfälle können Meldepflichten auslösen. Das Meldesystem ist mehrstufig angelegt. Je nach Fall sind eine frühe Warnung innerhalb von 24 Stunden, eine weitergehende Meldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats vorgesehen. Die genaue Bewertung hängt vom konkreten Vorfall und seiner Bedeutung für die betroffenen Dienste ab.

Diese Zeitfenster zeigen, warum ein Krisenhandbuch allein nicht genügt. Ein Unternehmen muss kurzfristig feststellen können, was passiert ist, welche Systeme und Leistungen betroffen sind, ob sich ein Vorfall ausbreitet und wer die Meldung vorbereitet sowie freigibt. Gleichzeitig müssen Tatsachen von bloßen Vermutungen getrennt werden. Eine voreilige oder unvollständige Kommunikation kann ebenso problematisch sein wie eine verspätete Meldung.

Sinnvoll ist ein Meldeprozess mit erreichbaren Ansprechpartnern aus IT, Recht, Datenschutz, Kommunikation und Geschäftsleitung. Für kleinere Unternehmen müssen das nicht fünf verschiedene Personen sein. Entscheidend ist, dass Vertretungen, Entscheidungsbefugnisse und Kontaktwege auch außerhalb der üblichen Arbeitszeiten feststehen.

So läuft eine sinnvolle NIS2 Beratung ab

Der Ausgangspunkt ist keine Checkliste aus dem Internet, sondern eine Bestandsaufnahme. Zunächst werden die Geschäftstätigkeit, die Unternehmensgröße, relevante Dienste, Standorte, Konzernbezüge und wesentliche Dienstleister betrachtet. Daraus ergibt sich die rechtliche Einordnung und ein realistischer Umfang des Projekts.

Danach folgt ein Abgleich zwischen den gesetzlichen Anforderungen und der vorhandenen Organisation. Häufig bestehen bereits einzelne Bausteine, etwa technische Schutzmaßnahmen, Zertifizierungen, Datenschutzprozesse oder Notfallkonzepte. Die Aufgabe besteht darin, Lücken zu erkennen und Prioritäten festzulegen. Nicht jede Maßnahme muss gleichzeitig umgesetzt werden, wohl aber sollten besonders kritische Risiken zügig behandelt werden.

Eine rechtliche NIS2 Beratung begleitet insbesondere die Betroffenheitsprüfung, die Ausgestaltung von Verantwortlichkeiten, die Überprüfung von Verträgen mit IT-Dienstleistern und die rechtssichere Dokumentation. Sie kann zudem helfen, Melde- und Krisenprozesse mit datenschutzrechtlichen, arbeitsrechtlichen und kommunikativen Anforderungen abzustimmen. Die technische Sicherheitsbewertung selbst erfordert regelmäßig die Zusammenarbeit mit qualifizierten IT-Sicherheitsverantwortlichen oder spezialisierten Dienstleistern.

Typische Fehler bei der Vorbereitung

Viele Unternehmen warten ab, weil unklar ist, ob sie direkt unter NIS2 fallen. Das kann nachvollziehbar sein, ist aber keine gute Dauerstrategie. Wer früh prüft, kann Maßnahmen planen, Budgets verteilen und Verträge rechtzeitig anpassen. Wer erst nach einem Vorfall beginnt, hat deutlich weniger Handlungsspielraum.

Ebenso riskant ist eine rein formale Umsetzung. Eine Richtlinie zur Informationssicherheit ist nur dann wertvoll, wenn Beschäftigte ihre Aufgaben kennen, Zugriffsrechte tatsächlich überprüft werden und ein Notfallteam den Ablauf geübt hat. Auch die Lieferkette wird oft unterschätzt: Ein Sicherheitskonzept bleibt lückenhaft, wenn zentrale externe IT-Leistungen ohne angemessene Sicherheits- und Mitwirkungspflichten bezogen werden.

NIS2 sollte deshalb nicht als einmaliges Compliance-Projekt behandelt werden. Unternehmensstrukturen, Bedrohungen und Dienstleister verändern sich. Prozesse müssen regelmäßig überprüft und bei Bedarf angepasst werden.

Wer die eigene Betroffenheit oder bestehende Sicherheitsorganisation einordnen möchte, kann eine individuelle rechtliche Prüfung veranlassen. Die Quteco Rechtsanwaltsgesellschaft unterstützt Unternehmen dabei, rechtliche Anforderungen verständlich zu strukturieren und mit der technischen Umsetzung sinnvoll zu verzahnen. Eine früh geklärte Verantwortlichkeit schafft im Ernstfall vor allem eines: die Fähigkeit, besonnen und handlungsfähig zu bleiben.