Sieben Pflichten bei NIS2 für Unternehmen

Ein erfolgreicher Cyberangriff ist längst nicht mehr nur ein technisches Problem. Er kann Lieferketten unterbrechen, vertrauliche Daten offenlegen und die Geschäftsleitung unmittelbar in die Verantwortung nehmen. Die Sieben Pflichten bei NIS2 geben Unternehmen einen praxisnahen Rahmen, um Cybersicherheit als Führungs- und Organisationsaufgabe zu behandeln.

Rechtsstand: Oktober 2026

NIS2 ist eine europäische Richtlinie. Welche Unternehmen in Deutschland genau erfasst sind und welche Anforderungen im Einzelfall gelten, richtet sich nach den nationalen Umsetzungsregelungen sowie der konkreten Tätigkeit und Größe des Unternehmens. Besonders relevant ist das für Unternehmen aus kritischen oder wichtigen Sektoren, etwa Energie, Verkehr, Gesundheit, Digitalisierung, Produktion, Logistik, Abfallwirtschaft oder bestimmten digitalen Dienstleistungen. Auch mittelständische Unternehmen in der Region Stuttgart sollten deshalb frühzeitig prüfen, ob sie betroffen sind.

Wen NIS2 betrifft: Die Einordnung kommt vor der Maßnahmenliste

Der erste Fehler liegt häufig vor jeder technischen Frage: Unternehmen gehen davon aus, dass NIS2 nur große Konzerne oder klassische Betreiber kritischer Infrastruktur betrifft. Das kann zu kurz greifen. Entscheidend sind unter anderem Branche, Unternehmensgröße, angebotene Dienste und die Rolle in einer Lieferkette. Für bestimmte Einrichtungen können Sonderregeln gelten.

Die Einordnung sollte nachvollziehbar dokumentiert werden. Dazu gehören die Konzernstruktur, Beschäftigtenzahlen, Umsätze oder Bilanzwerte, die konkreten Dienstleistungen und mögliche sektorale Besonderheiten. Wer zu dem Ergebnis kommt, nicht erfasst zu sein, sollte auch diese Entscheidung begründen. Die Betroffenheitsprüfung ist kein Selbstzweck. Sie legt fest, welche Pflichten gelten, wer intern Verantwortung trägt und wie dringlich Maßnahmen umzusetzen sind.

Die sieben Pflichten bei NIS2 im Überblick

Die folgenden sieben Bereiche bündeln die Anforderungen so, dass Geschäftsleitung, IT und Compliance gemeinsam arbeiten können. Sie ersetzen keine Prüfung des Einzelfalls, helfen aber dabei, die richtigen Fragen in der richtigen Reihenfolge zu stellen.

1. Risiken systematisch erfassen und steuern

NIS2 verlangt risikobasierte Maßnahmen. Es genügt daher nicht, einzelne Sicherheitsprodukte einzukaufen oder jährlich einen allgemeinen IT-Check durchzuführen. Unternehmen müssen wissen, welche Systeme, Daten, Prozesse und Dienstleister für den Betrieb besonders kritisch sind und welche Bedrohungen diese treffen können.

Eine brauchbare Risikoanalyse betrachtet zum Beispiel Ausfälle von Produktionssystemen, Ransomware, kompromittierte Benutzerkonten, Datenabflüsse und Abhängigkeiten von Cloud- oder Managed-Service-Anbietern. Anschließend werden Risiken bewertet, priorisiert und mit konkreten Maßnahmen hinterlegt. Wichtig ist ein nachvollziehbarer Prozess: Risiken ändern sich, etwa durch neue Software, Unternehmenszukäufe oder geänderte Lieferketten.

2. Sicherheitsmaßnahmen technisch und organisatorisch umsetzen

Aus der Risikoanalyse müssen wirksame Schutzmaßnahmen folgen. NIS2 nennt dabei unter anderem Konzepte für die Sicherheit von Netz- und Informationssystemen, Zugriffskontrollen, Verschlüsselung, sichere Kommunikation und Mehrfaktor-Authentifizierung. Welche Maßnahme erforderlich ist, hängt vom jeweiligen Risiko ab.

In der Praxis sind klare Mindeststandards oft der wirksamste Anfang: zentrale Verwaltung von Benutzerkonten, zeitnahe Sicherheitsupdates, sichere Datensicherungen, Netzwerksegmentierung und ein geregelter Umgang mit Administratorrechten. Auch ein kleines Unternehmen muss nicht jede technisch denkbare Maßnahme sofort einführen. Es muss jedoch begründen können, warum das gewählte Sicherheitsniveau zu seinen Risiken passt.

3. Sicherheitsvorfälle erkennen, behandeln und melden

Ein Vorfall wird besonders teuer, wenn niemand erkennt, was geschieht, oder wenn Zuständigkeiten ungeklärt sind. Deshalb benötigen betroffene Unternehmen Verfahren zur Erkennung, Bewertung, Eindämmung und Aufarbeitung von Sicherheitsvorfällen. Dazu gehören technische Alarmierungen ebenso wie erreichbare Ansprechpartner und Entscheidungswege außerhalb der üblichen Bürozeiten.

Für erhebliche Sicherheitsvorfälle bestehen zudem gestufte Meldepflichten gegenüber der zuständigen Stelle. Die Fristen können sehr kurz sein. Unternehmen sollten deshalb nicht erst nach einem Angriff klären, wer die rechtliche Bewertung vornimmt, wer Meldungen freigibt und welche Informationen bereitstehen müssen. Ein Incident-Response-Plan sollte regelmäßig getestet werden. Ein Plan in einem Ordner, den im Ernstfall niemand kennt, hilft nicht weiter.

4. Notfallvorsorge und Betriebsfortführung organisieren

Cybersicherheit bedeutet nicht nur, Angriffe möglichst zu verhindern. Ein Unternehmen muss auch handlungsfähig bleiben, wenn zentrale Systeme ausfallen. NIS2 erfasst daher Aspekte der Betriebskontinuität, etwa Backup-Management, Wiederherstellung nach einem Notfall, Krisenmanagement und Kommunikationsabläufe.

Entscheidend ist die Wiederherstellbarkeit, nicht allein das Vorhandensein einer Datensicherung. Sind Sicherungen gegen Manipulation geschützt? Wurden sie tatsächlich zurückgespielt und getestet? Wie lange darf der Ausfall eines ERP-Systems, einer Produktionssteuerung oder eines Kundenportals dauern? Gerade produzierende Unternehmen im Raum Fellbach, Waiblingen und Stuttgart sollten die Abhängigkeit von IT und OT, also von Produktions- und Steuerungstechnik, gemeinsam betrachten.

5. Lieferketten und Dienstleister kontrollieren

Viele Sicherheitslücken entstehen nicht im eigenen Haus, sondern bei Dienstleistern. Cloud-Anbieter, IT-Wartung, Softwarehersteller, externe Entwickler und Hosting-Partner können Zugriff auf kritische Systeme oder Daten haben. NIS2 verlangt deshalb, Sicherheitsrisiken in der Lieferkette zu berücksichtigen.

Verträge sollten Aufgaben, Sicherheitsanforderungen, Meldewege und Mitwirkung im Vorfall klar regeln. Ebenso relevant sind Exit-Szenarien: Kann ein Anbieterwechsel erfolgen, wenn ein Dienstleister dauerhaft ausfällt oder Sicherheitsstandards nicht einhält? Eine umfassende Prüfung jedes kleinen Lieferanten wäre oft unverhältnismäßig. Kritische Dienstleister mit weitreichenden Zugriffsrechten oder hoher Betriebsrelevanz verdienen jedoch eine deutlich intensivere Kontrolle.

6. Schwachstellen und sichere IT-Lebenszyklen managen

Software und Systeme bleiben nicht dauerhaft sicher, nur weil sie bei der Einführung geprüft wurden. Sicherheitsupdates, bekannte Schwachstellen, Konfigurationsfehler und veraltete Anwendungen müssen fortlaufend behandelt werden. NIS2 nimmt deshalb auch die Sicherheit bei Beschaffung, Entwicklung, Betrieb und Wartung in den Blick.

Unternehmen brauchen mindestens einen Überblick über ihre relevanten Systeme und Verantwortlichen. Ohne diese Bestandsaufnahme bleibt unklar, welche Schwachstelle überhaupt betroffen ist. Ein geregeltes Patch-Management, dokumentierte Ausnahmen und Fristen für kritische Updates sind wichtiger als ein perfektes, aber nie genutztes Regelwerk. Bei selbst entwickelter Software kommen sichere Entwicklungsprozesse und geregelte Prüfungen vor dem Produktivbetrieb hinzu.

7. Geschäftsleitung einbinden und Beschäftigte qualifizieren

NIS2 macht Cybersicherheit ausdrücklich zur Leitungsaufgabe. Geschäftsleitungen müssen Risikomanagementmaßnahmen billigen, deren Umsetzung überwachen und sich angemessen fortbilden. Die Verantwortung lässt sich nicht vollständig an die IT-Abteilung oder einen externen Dienstleister delegieren.

Das bedeutet nicht, dass Geschäftsführungen jede technische Einstellung selbst verstehen müssen. Sie müssen aber fundierte Entscheidungen treffen können: Welche Risiken sind akzeptabel? Welche Ressourcen werden benötigt? Wie wird die Wirksamkeit kontrolliert? Regelmäßige Berichte mit verständlichen Kennzahlen schaffen dafür eine belastbare Grundlage. Schulungen für Beschäftigte sind ebenfalls unverzichtbar, denn Phishing, unsichere Passwörter oder falsch adressierte E-Mails lassen sich nicht allein technisch verhindern.

Wie Unternehmen jetzt sinnvoll vorgehen

Am Anfang steht eine strukturierte Bestandsaufnahme, keine hektische Anschaffung neuer Software. Zunächst sollte die Betroffenheit geklärt werden. Danach empfiehlt sich eine Gegenüberstellung: Welche NIS2-relevanten Anforderungen erfüllt das Unternehmen bereits, wo bestehen Lücken und welche Risiken haben Priorität? Dabei müssen Rechtsabteilung, Geschäftsleitung, IT, Datenschutz, Einkauf und Fachbereiche zusammenarbeiten.

Sinnvoll ist ein Maßnahmenplan mit Verantwortlichkeiten, Budget, Prioritäten und Kontrollterminen. Schnell wirksame Schritte wie Mehrfaktor-Authentifizierung, überprüfte Backups oder ein klarer Meldeprozess können unmittelbar Risiken senken. Komplexere Themen wie Lieferkettenmanagement, Netzwerkarchitektur oder die Modernisierung alter Anwendungen brauchen häufig mehr Zeit. Transparenz über offene Risiken ist dabei besser als eine formale Erklärung, alles sei bereits erledigt.

NIS2 verlangt weder eine Standardlösung noch eine reine Papier-Compliance. Gefragt ist ein Sicherheitsmanagement, das zur tatsächlichen Gefährdungslage und zum Geschäftsmodell passt, überprüft wird und im Krisenfall funktioniert.

Die Quteco Rechtsanwaltsgesellschaft unterstützt Unternehmen bei der rechtlichen Einordnung, der Prüfung von Organisations- und Vertragsstrukturen sowie der Vorbereitung belastbarer NIS2-Maßnahmen. Für eine individuelle Prüfung Ihrer Situation können Sie eine Mandatsanfrage stellen.