NIS2: 30.000 Unternehmen sind betroffen – und die meisten wissen es nicht

Seien wir ehrlich – viele Unternehmen haben NIS2 erst einmal als reines KRITIS-Thema abgetan. Jetzt merken sie, dass sie selbst auf der Liste stehen. Genau das ist der Punkt im Mittelstand. Rund 30.000 Unternehmen in Deutschland sind betroffen, und viele wissen es bis heute nicht.

Klartext: Das Risiko sind nicht nur Bußgelder. Es geht um Haftung der Geschäftsleitung, Druck aus der Lieferkette, Audit-Stress, und die Frage, ob Ihr Unternehmen im Ernstfall geordnet reagiert oder hektisch improvisiert. Wir klären jetzt, wer betroffen ist, was §30 BSIG verlangt, was §38 BSIG für die Geschäftsleitung ändert, und was Sie konkret tun sollten. Aber zuerst die einzige Frage, die wirklich zählt.

Wer tatsächlich betroffen ist, und warum so viele Unternehmen das falsch einschätzen

Die Frage, ob NIS2 für Sie relevant ist, beantworten Sie nicht über eine Checkliste aus dem Internet, sondern über drei Kriterien: Branche, Unternehmensgröße und Ihre besondere Rolle im Markt. Der Kerntest lautet 50 Beschäftigte oder mehr als 10 Millionen Euro Umsatz oder Bilanzsumme. Wenn das auf Sie zutrifft und Sie in einem regulierten Bereich arbeiten, dann besteht Handlungsbedarf.

Der Fehler liegt in der ersten Annahme – viele denken noch in alten KRITIS-Kategorien: Strom, Wasser, Krankenhaus, vielleicht Telekommunikation, und alles andere fällt angeblich nicht darunter. Genau dieses Denken ist zu kurz, denn NIS2 zieht den Kreis deutlich weiter. So rutschen auch Unternehmen in den Geltungsbereich, die sich selbst als normalen Mittelstand sehen.

Für diese Zielgruppe sind vor allem Branchen relevant, die oft unterschätzt werden. IT-Service-Management, also Managed Services, Betrieb, Administration, externe Betreuung. Digitale Infrastruktur wie Rechenzentrum, Hosting, Cloud-nahe Leistungen oder bestimmte Plattformdienste. Hinzu kommen Industrie und Fertigung, Lebensmittel, Entsorgung, Logistik, Gesundheit und finanznahe Umfelder. Da versteckt sich das Risiko, weil viele dieser Unternehmen sich nie als regulierte Einrichtung verstanden haben, operativ aber längst eine kritische Rolle spielen.

Jetzt wird es interessant, denn nicht jede betroffene Einrichtung wird gleich behandelt. Das Gesetz unterscheidet zwischen wichtigen und besonders wichtigen Einrichtungen. Das klingt nach juristischem Detail, ist es aber nicht, weil dahinter unterschiedliche Aufsichtstiefe und Sanktionsrisiko stecken. Besonders wichtige Einrichtungen müssen mit engerer, proaktiverer Aufsicht rechnen, während wichtige Einrichtungen eher anlassbezogen geprüft werden. Für Sie bedeutet das praktisch: Die gleiche Sicherheitslücke hat je nach Einstufung eine andere regulatorische Folge.

Was viele zusätzlich übersehen: Sie können formal außerhalb des direkten Geltungsbereichs liegen und trotzdem voll in den NIS2-Druck geraten – nicht über das Gesetz selbst, sondern über Ihre Kunden und Lieferanten. Wenn ein reguliertes Unternehmen seine Lieferkette absichern muss, fragt es nicht höflich, ob Sie gerade Lust auf Sicherheitsnachweise haben. Es fordert sie an, und zwar vertraglich, im Einkauf, im Audit oder vor Vertragsverlängerungen.

In der Praxis sehen wir das schon lange vor jeder Behördenprüfung. Kunden wollen Auskunft zu MFA, Berechtigungen, Incident-Prozessen, Backup, Wiederherstellung und Dienstleistersteuerung. Wenn Sie dann sagen, Sie seien selbst nicht direkt betroffen, hilft das nur begrenzt. Denn aus Sicht Ihres Kunden bleibt die Frage dieselbe: Erhöhen Sie sein Risiko oder senken Sie es?

Warum liest der Markt das so oft falsch? Erstens wegen des alten KRITIS-Denkens. Zweitens wegen zersplitterter Gruppenstrukturen – in vielen Unternehmensgruppen ist nicht sauber geklärt, welche Gesellschaft welche Leistung erbringt, wer Betreiber ist, wer nur unterstützt und wo die regulatorische Verantwortung sitzt. Drittens, seien wir ehrlich, weil Sicherheitsrecht gern als Problem von jemand anderem behandelt wird. Die IT denkt an Technik, die Geschäftsleitung an Prioritäten, der Einkauf an Verträge, und am Ende fühlt sich niemand für das Gesamtbild zuständig.

Was bedeutet das konkret für Sie? Wenn Ihre Kunden von Ihren Systemen abhängen, wenn Sie Remote-Zugriff haben, Cloud-Betrieb übernehmen, Managed Services liefern oder mit administrativen Rechten in fremden Umgebungen arbeiten, dann warten Sie nicht, bis jemand Ihre Betroffenheit endgültig ausbuchstabiert. Gehen Sie davon aus, dass die Prüfung kommt – vielleicht nicht zuerst von der Behörde, aber sicher vom Markt.

Und genau hier kippt die Diskussion. Sobald Sie akzeptieren, dass Sie direkt oder indirekt im Geltungsbereich liegen könnten, geht es nicht mehr um gekaufte Security-Produkte. NIS2 fragt etwas anderes – ob Sie Risiko beherrschbar organisiert haben.

Was das Gesetz tatsächlich verlangt: die 10 Maßnahmen nach §30 BSIG

Lassen Sie uns das kurz zerlegen. §30 BSIG ist keine Einkaufsliste für Produkte. Da steht nicht: kaufen Sie Tool A, schalten Sie System B frei, und dann sind Sie fertig. Gemeint ist etwas deutlich Unangenehmeres, aber auch deutlich Sinnvolleres: Sie müssen Cyberrisiken so steuern, dass das im Alltag funktioniert, dass Zuständigkeiten klar sind und dass Sie es belegen können. Und das nicht nur im Workshop oder in einer Richtlinie, sondern im laufenden Betrieb.

Der erste Block ist Governance und Risiko. Es geht um die Frage, ob Sie sauber erfassen, wo Ihre Schwachstellen liegen, welche Systeme kritisch sind und welche Folgen ein Ausfall hätte. Risikoanalyse heißt nicht, dass Sie einmal im Jahr eine Excel-Datei füllen und dann zur Tagesordnung übergehen. Es bedeutet, dass Sie ein Verfahren brauchen, mit dem Risiken erkannt, bewertet, priorisiert und in Maßnahmen übersetzt werden. Daraus entstehen Sicherheitskonzepte, und diese müssen regelmäßig überprüft werden. Sonst arbeiten Sie mit Annahmen aus einer IT-Landschaft, die es so längst nicht mehr gibt.

Im zweiten Block geht es um Resilienz und Vorfälle. Genau der Teil, der im Ernstfall darüber entscheidet, ob Sie einen schlechten Tag haben oder einen operativen Stillstand. Incident Handling bedeutet, dass klar sein muss, wer einen Vorfall erkennt, wer ihn bewertet, wer entscheidet und wer wen informiert. Business Continuity heißt zu wissen, welche Prozesse weiterlaufen müssen, selbst wenn zentrale Systeme gestört sind. Backup und Wiederherstellung gehören dazu, aber als Paar – ein Backup, das nie zurückgespielt wurde, ist kein Sicherheitsnachweis, sondern eine Hoffnung. Krisenmanagement gehört ebenfalls dazu, also klare Reaktionswege, Eskalationen und Übungen. Wenn unter Druck erst geklärt wird, wer sprechen darf, wer Systeme abschaltet und wer den Dienstleister anruft, dann ist es zu spät.

Dann kommt der operative Teil, und da wird es für viele Unternehmen schnell konkret. Sichere Beschaffung heißt, dass Sie neue Systeme, Dienste oder Software nicht nach Preis und Funktionsliste einkaufen, sondern mit Blick auf Risiko. Entwicklung und Wartung bedeutet, dass Änderungen kontrolliert laufen und Schwachstellen nicht monatelang offenbleiben, weil sich niemand zuständig fühlt. Vulnerability Management klingt technisch, ist aber am Ende eine Führungsfrage – wie schnell Sie bekannte Schwachstellen erkennen, priorisieren und nachweisen, dass sie bearbeitet wurden.

Dazu kommen Zugriffskontrolle und Asset-Transparenz. Also ganz schlicht: Sie müssen wissen, welche Systeme, Konten, Schnittstellen und Geräte überhaupt da sind und wer worauf zugreifen darf. Wenn Sie keinen belastbaren Überblick haben, sichern Sie im Zweifel nur den sichtbaren Teil, während der Rest im Schatten weiterläuft. MFA gehört hier hinein, genauso wie sichere Kommunikation und Verschlüsselung, und das ist keine Kosmetik. Wenn privilegierte Zugänge ohne zusätzliche Absicherung laufen oder sensible Kommunikation ungeschützt bleibt, dann ist die Lücke betriebsnah, nicht nur theoretisch.

Der vierte Block wird oft unterschätzt, weil er nicht nur Technik betrifft. Es geht um Menschen und Lieferanten. Cyberhygiene heißt, dass Grundregeln im Alltag eingehalten werden – Passworthandhabung, Umgang mit E-Mails, Rechtevergabe und Meldeverhalten bei Auffälligkeiten. Sensibilisierung der Mitarbeitenden ist kein Nebenprojekt für HR, sondern Teil der Sicherheitssteuerung. Denn ein sauberes Konzept scheitert schnell, wenn im Tagesgeschäft niemand weiß, worauf zu achten ist.

Und dann die Lieferkette. Für viele Mittelständler ist das der Teil, über den Anbieter ungern sprechen. Sobald externe Dienstleister, Subunternehmer, Cloud-Anbieter, Remote-Administratoren oder Backup-Betreiber in Ihre Systeme greifen oder für den Betrieb wichtig sind, müssen diese Abhängigkeiten in Ihr Risikomanagement einfließen. Das heißt nicht, dass jeder Lieferant gleich behandelt werden muss. Aber es heißt, dass kritische Dienstleister bewertet, vertraglich eingebunden und mit Nachweisen hinterlegt werden müssen. Wer Admin-Zugriff hat, gehört nicht in dieselbe Risikoklasse wie der Büromaterial-Lieferant.

Angemessen und verhältnismäßig bedeutet ganz einfach: Niemand erwartet von einem Mittelständler das Kontrollniveau eines Großkonzerns. Aber niemand akzeptiert mehr, dass zentrale Entscheidungen stillschweigend, ungeprüft und ohne Dokumentation laufen. Sie brauchen keine aufgeblasene Bürokratie, sondern eine tragfähige Infrastruktur aus Entscheidungen, Verantwortlichkeiten und Nachweisen. Wenn Sie ein Risiko bewusst akzeptieren, muss diese Entscheidung nachvollziehbar sein. Wenn Sie eine Maßnahme priorisieren, muss erkennbar sein, warum.

Klartext: Eine Maßnahme, die nur auf dem Papier existiert, hilft Ihnen wenig. Wenn in der Richtlinie steht, dass Wiederherstellung geregelt ist, aber niemand zeigen kann, wann das zuletzt getestet wurde, dann haben Sie ein Problem. Wenn MFA beschlossen wurde, aber für privilegierte Konten Ausnahmen still weiterlaufen, dann zählt nicht der Beschluss, sondern die Lücke. Wenn ein Lieferant vertraglich zur Sicherheit verpflichtet wurde, aber nie bewertet oder kontrolliert wurde, dann haben Sie keine Steuerung, sondern eine Formulierung.

Genau an dieser Stelle nehmen viele Unternehmen die falsche Abkürzung. Sie sammeln einzelne Sicherheitsbausteine ein und verwechseln das mit echtem Risikomanagement. Ein paar Tools, ein paar Richtlinien, ein paar gute Absichten – das wirkt zuerst ordentlich, aber im Nachweis fällt es auseinander.

Das Leitungsproblem: §38 BSIG, Haftung, Schulung und warum das nicht delegierbar ist

Kommen wir zu dem Teil, den viele Unternehmen gern kleinreden, bis es ungemütlich wird. §38 BSIG macht aus Cybersicherheit eine Leitungsaufgabe. Das heißt nicht, dass die Geschäftsleitung selbst Berechtigungskonzepte schreibt oder Backup-Jobs kontrolliert – operative Aufgaben können Sie delegieren. Was Sie nicht delegieren können, ist die letzte Verantwortung dafür, dass die Maßnahmen freigegeben, überwacht und mit Ressourcen unterlegt sind.

Genau da verändert sich die Lage in der Praxis. Die Geschäftsleitung muss Sicherheitsmaßnahmen billigen, ihre Umsetzung überwachen, Budgets und Zuständigkeiten absichern und außerdem selbst regelmäßig an Schulungen teilnehmen. Das ist kein formaler Schönheitsfehler im Gesetzestext, sondern der Versuch, das alte Muster zu beenden, bei dem Sicherheit irgendwo in der IT landet, während oben nur gefragt wird, ob es schon erledigt ist.

Für die Leitungsebene heißt das: Sie brauchen einen belastbaren Blick auf Cyberrisiken – nicht auf technische Details im Maschinenraum, sondern auf Auswirkungen auf Betrieb, Haftung, Lieferfähigkeit und Steuerbarkeit. Wenn ein kritischer Dienst ausfällt, ein Dienstleister kompromittiert wird oder Meldefristen anlaufen, dann ist das keine reine IT-Störung mehr, sondern Unternehmensführung unter Druck.

Da wird es riskant. Denn das persönliche Risiko besteht nicht nur aus Bußgeldern gegen die Einrichtung, sondern auch aus der internen Haftung, wenn Pflichten verletzt wurden und daraus Schäden entstehen. Nach einem Vorfall schaut niemand nur auf das Ergebnis. Geprüft wird der Governance-Pfad: Wer hat was freigegeben, wer wurde informiert, welche Risiken waren bekannt, welche Maßnahmen wurden beschlossen oder verschoben und warum. Wenn diese Spur nicht sauber ist, wird aus organisatorischer Nachlässigkeit schnell ein Leitungsproblem.

Der typische Fehler ist erstaunlich konstant. Man hört Sätze wie: Das macht unser IT-Leiter. Oder: Dafür haben wir doch einen Dienstleister. Das kann operativ sogar stimmen, aber es beantwortet die eigentliche Frage nicht. Die Geschäftsleitung muss die Risikolage verstanden haben, Berichte gesehen, Budgets freigegeben, offene Punkte nachverfolgt und dokumentiert haben, warum Maßnahmen priorisiert oder vertagt wurden. Wenn das fehlt, gibt es Delegation ohne Steuerung, und das trägt im Zweifel nicht weit.

Die Schulungspflicht wird dabei oft falsch verstanden. Es geht nicht um technische Tiefenübungen für Geschäftsführer, sondern um genug Verständnis, um Cyberrisiken, Geschäftsfolgen und Managemententscheidungen sauber beurteilen zu können. Sie müssen erkennen können, wann eine Vorlage zu dünn ist, wann ein Restrisiko nicht akzeptabel wirkt und wann ein Ausfall nicht nur ein IT-Thema, sondern ein Geschäftsrisiko ist.

Ein tragfähiges Governance-Muster sieht unspektakulär aus: regelmäßiges Reporting an die Geschäftsleitung, formale Freigaben für Maßnahmen, Prioritäten und Budgets, Sitzungsprotokolle mit nachvollziehbaren Risikoentscheidungen, Maßnahmenlisten mit Verantwortlichen und Fristen, und Regeln dafür, wann ein Thema aus der IT auf die Leitungsebene gehoben werden muss – nicht erst beim Schaden, sondern vorher.

Wenn das auf dem Papier noch überschaubar klingt, gut. Denn der Ärger beginnt selten bei der Zuständigkeit, sondern dort, wo Unternehmen glauben, ein Beschluss sei schon Umsetzung. Und genau beim nächsten Punkt laufen viele Projekte aus der Spur.

Die Fehler in der Praxis, und warum Dokumentation zum eigentlichen Streitpunkt wird

Seien wir ehrlich – die meisten Vorhaben scheitern nicht an der Grundsatzentscheidung oder der ersten Präsentation. Sie scheitern dort, wo aus Anforderungen belastbare Routine werden müsste. Und das fängt beim ersten Fehler an: der Annahme, dass eine ISO-27001-Zertifizierung das Thema praktisch erledigt. Das ist zu bequem gedacht. ISO 27001 kann viel abdecken, keine Frage. Aber sie nimmt Ihnen weder die BSI-Registrierung ab, noch ersetzt sie die gesetzlichen Meldepflichten oder die Aufgaben der Geschäftsleitung. Und sie schließt auch nicht automatisch alle Punkte in der Lieferkette.

Dann kommt der zweite Fehler, und der ist fast noch typischer: NIS2 wird wie ein einmaliges Compliance-Projekt behandelt – mit Starttermin, Maßnahmenpaket, Abschlussfolie und gedanklichem Haken dran. Genau so funktioniert es nicht. Was Sie stattdessen brauchen, sind Betriebsroutinen, die auch dann tragen, wenn Mitarbeitende wechseln, wenn ein Audit kurzfristig ansteht oder wenn ein Vorfall am Freitagabend aufläuft. Eine Richtlinie ist schnell geschrieben, aber eine belastbare Routine entsteht erst, wenn Zuständigkeiten, Fristen, Nachweise und Eskalationen im Alltag wirklich greifen.

Der dritte Fehler ist besonders unerquicklich, weil er auf den ersten Blick oft ganz ordentlich aussieht. Kontrollen sind da, aber die Nachweise fehlen. Backups laufen, aber niemand kann zeigen, wann die Wiederherstellung zuletzt unter realistischen Bedingungen getestet wurde. Lieferanten gelten als zuverlässig, aber niemand hat sie strukturiert bewertet. MFA ist eingeführt, aber nicht überall dort, wo privilegierte Zugriffe oder kritische Systeme betroffen sind. Klartext: Vorhandene Maßnahmen sind nur die halbe Miete – ohne Nachweis bleibt immer die Frage, ob die Maßnahme tatsächlich wirksam ist oder nur gut gemeint.

Ein weiterer Punkt wird regelmäßig unterschätzt: die Meldebereitschaft. Viele Unternehmen haben irgendwo ein Incident-Dokument liegen, aber keinen eingespielten Ablauf für den Ernstfall. Genau da wird es unangenehm. Bei einem schweren Vorfall läuft die Uhr sofort – Frühwarnung, Nachmeldung, Abschlussbericht, und zwar nicht dann, wenn intern endlich Ruhe eingekehrt ist, sondern während noch analysiert, eingedämmt und kommuniziert wird. Wenn Sie erst im Vorfall diskutieren, ob der Schwellenwert erreicht ist, wer den Kontakt zum BSI hält oder welche Informationen überhaupt belastbar sind, dann improvisieren Sie unter Zeitdruck. Das ist selten eine gute Idee.

Der fünfte Fehler betrifft die Lieferkette, und da wird es schnell operativ. Viele Unternehmen schauen auf ihre internen Systeme und vergessen dabei genau die Partner, die tief im Betrieb hängen. MSPs, Cloud-Anbieter, Remote-Administratoren, Backup-Betreiber, Identitätsdienste und Unterauftragnehmer mit privilegiertem Zugriff sind keine Randnotiz. Wenn dort Sicherheitslücken, unklare Verantwortlichkeiten oder schwache Meldewege bestehen, dann tragen Sie dieses Risiko mit – nicht theoretisch, sondern ganz praktisch über Abhängigkeiten im laufenden Betrieb.

Hier liegt auch der eigentliche Streitpunkt in Audits und Prüfungen. Es gibt kein einheitliches NIS2-Zertifikat, das man einmal an die Wand hängt und dann in Ruhe gelassen wird. Entscheidend ist, ob Sie aktuelle, strukturierte und belastbare Nachweise vorlegen können. Also nicht zehn veraltete Dokumente aus verschiedenen Abteilungen, sondern ein nachvollziehbares Bild: welche Risiken erkannt wurden, welche Maßnahmen gelten, wer sie freigegeben hat, wie die Wirksamkeit geprüft wurde und wo noch Lücken bestehen.

Betrachten Sie es wie ein Gebäude, das über Jahre von verschiedenen Gewerken umgebaut wurde. Jede Rechnung liegt ordentlich im Ordner – für Fenster, Elektrik, Trockenbau, Heizung, Dach. Nur auf die einfache Frage, ob die tragende Struktur noch sauber dokumentiert und geprüft ist, kann niemand antworten. Genau so sehen viele Sicherheitslandschaften aus: viel Aktivität, viele Einzelbelege, aber kein belastbares Gesamtbild.

Der vernünftige Schritt ist deshalb nicht, jetzt alles gleichzeitig anfassen zu wollen – das endet meist in Aktionismus. Sinnvoller ist, zuerst Ordnung hineinzubringen, die größten Risiken sichtbar zu machen und genau dort die Lücken zu schließen, die im Ernstfall oder in der Prüfung sofort aufreißen.

Was Unternehmen jetzt tun sollten: ein praktischer 90-Tage-Plan

Wenn Sie das Thema jetzt sauber aufsetzen wollen, dann beginnen Sie nicht mit einer Tool-Demo, sondern mit einer formalen Betroffenheitsprüfung – und zwar nicht oberflächlich. Schauen Sie auf Tochtergesellschaften, auf Gruppenrollen, auf tatsächlich erbrachte Leistungen und auf Anforderungen Ihrer Kunden. Gerade in Unternehmensgruppen liegt das Problem oft nicht in der Technik, sondern in der falschen Zuordnung: Wer erbringt welche Leistung, wer betreibt was, wer greift worauf zu, und wer steht am Ende im Vertrag oder in der regulatorischen Verantwortung?

Danach prüfen Sie Ihren Registrierungsstatus und alles rund um die Kontaktstelle zum BSI. Ist klar, ob eine Registrierung erforderlich ist, ob sie erfolgt ist und ob die Kontaktdaten belastbar gepflegt sind? Wenn dort Lücken bestehen, schließen Sie sie sofort. Eine Kontaktstelle, die nur auf dem Organigramm existiert, hilft Ihnen im Vorfall nicht – Sie brauchen erreichbare Personen, klare Zuständigkeiten und einen Ablauf, der auch dann funktioniert, wenn jemand im Urlaub ist oder das Unternehmen verlassen hat.

Im dritten Schritt machen Sie eine Gap-Analyse gegen die zehn Maßnahmen – nicht akademisch, sondern nüchtern. Wo stehen Sie bei Risikoanalyse, Incident Response, Backup und Wiederherstellung, Lieferantenprüfung, MFA und Dokumentation? Das ist der Pflichtteil, bei dem Sie meist schnell sehen, wo die operative Substanz fehlt. Oft gibt es einzelne Bausteine schon, aber was fehlt, ist die Verbindung dazwischen und der Nachweis, dass sie im Zusammenspiel tragen.

Als Nächstes holen Sie die Geschäftsleitung aktiv in den Prozess. Nicht mit einem Stapel Richtlinien, sondern mit einer kurzen Entscheidungsvorlage. Darin stehen die relevanten Risiken, die Pflichten, der Budgetbedarf, die vorgesehenen Verantwortlichen und ein Reporting-Takt. Mehr braucht es für den Einstieg oft nicht – aber diese Vorlage muss klar genug sein, damit Entscheidungen getroffen und später auch nachvollzogen werden können.

Parallel dazu definieren Sie Ihre Meldewege und Schwellenwerte, bevor der nächste Sicherheitsvorfall Sie in hektische Abstimmung zwingt. Wer bewertet einen Vorfall? Wann wird eskaliert? Wer spricht mit Behörden, wer mit Kunden, wer mit Dienstleistern? Und welche Informationen müssen in welcher Reihenfolge vorliegen? Wenn diese Fragen offen bleiben, verlieren Sie im Ernstfall Zeit genau dort, wo Zeit knapp ist.

Der sechste Schritt betrifft Ihre Lieferanten. Sortieren Sie sie nach Risiko: Wer hat Systemzugriff, Datenzugriff oder Admin-Rechte? Wer ist für Ihren Betrieb kritisch, auch wenn formal nur ein Teilservice geliefert wird? Erst dann ziehen Sie Verträge, Nachweisanforderungen und Eskalationswege nach. Nicht jeder Anbieter braucht dieselbe Tiefe, aber kritische Dienstleister brauchen klare Anforderungen und nachvollziehbare Regeln – sonst bleibt die Steuerung Wunschdenken.

Und dann bauen Sie eine auditfeste Nachweisstruktur auf: ein Ort, eine Logik, eine saubere Ablage. Nicht zehn verteilte Ordner über IT, Compliance, Recht und Einkauf, bei denen niemand sicher sagen kann, welche Version gerade gilt. Sie brauchen aktuelle Unterlagen, klare Verantwortlichkeiten und einen Stand, der auch unter Druck auskunftsfähig bleibt.

Wenn Sie diese sieben Schritte in den ersten 90 Tagen sauber angehen, dann wird aus diffusem NIS2-Druck ein steuerbares Programm – mit Verantwortlichen, mit Entscheidungen und mit Nachweisen, auf die man im Zweifel auch zeigen kann.

Schluss

Klartext: Bei NIS2 geht es nicht in erster Linie um Tools. Die Frage ist, ob Ihr Unternehmen Cyberrisiken strukturiert steuert und das im Zweifel auch belegen kann.

Prüfen Sie jetzt Ihren Geltungsbereich. Holen Sie die Geschäftsleitung an den Tisch, bevor der nächste Vertrag oder Vorfall Sie dazu zwingt. Und wenn Sie mehr praxisnahe Einordnung zu Security-, Cloud- und Infrastrukturentscheidungen wollen: Abonnieren Sie den Podcast und bleiben Sie dran.