NIS2 wird überschaubar, wenn aus jeder offenen Anforderung eine Entscheidung wird: Was müssen wir schützen, was funktioniert bereits und wer schließt die verbleibende Lücke? Dieser Leitfaden verbindet die NIS2-Roadmap mit einer praktischen Checkliste. Ihr könnt damit euren Maßnahmenplan aufbauen und erkennen, welche Arbeiten parallel laufen müssen.

Geltungsbereich: Der rechtliche Bezug ist Deutschland. Stand: 29. Oktober 2026. Für Österreich gelten das NISG 2026 und eigene Behördenwege. Ein Projektplan verlängert keine gesetzliche Frist.

Wo ihr anfangen solltet

Eure Ausgangslage	Nächster sinnvoller Schritt	Ergebnis
Betroffenheit unklar	Tätigkeit, Einrichtung und Größenmerkmale prüfen	Begründete Einstufung mit offenen Fragen
Betroffenheit bestätigt, Registrierung offen	Behördenzugang und erforderliche Angaben klären	Registrierung und verantwortliche Kontaktperson
ISMS vorhanden	Bestehende Maßnahmen auf NIS2-Anforderungen prüfen	Ergänzungsliste statt zweitem Managementsystem
Maßnahmen vorhanden, Nachweise verstreut	Wirksamkeit prüfen und Belege zuordnen	Nachvollziehbarer Umsetzungsstand

Der NIS2-Rechner unterstützt eine erste Einordnung. Bei Grenzfällen gehören Unternehmensverbindungen und besondere Einrichtungskategorien in die fachliche Prüfung. Eine Mitarbeiterzahl allein entscheidet die Betroffenheit nicht.

1. Geltungsbereich und Verantwortung klären

Beschreibt zuerst die betroffene Einrichtung und ihre Dienste. Welche Geschäftsprozesse hängen von welchen Informationen, Anwendungen, Standorten und Dienstleistern ab? Eine Liste von Servern reicht nicht: Ihr braucht auch den Zusammenhang zwischen technischem Ausfall und betrieblicher Auswirkung.

Haltet die Einstufung, ihre Grundlage, den Prüftermin und offene Annahmen fest. Die Schwellenwert-Datenbank hilft, Größenmerkmale und branchenspezifische Kriterien auseinanderzuhalten.

Benennt anschließend eine operative Koordination und Verantwortliche für IT, Fachbereiche, Einkauf sowie Vorfallbearbeitung. Die Geschäftsleitung braucht Entscheidungen über Risiken, Ressourcen und Prioritäten. Ihre Umsetzungs-, Überwachungs- und Schulungspflichten ergeben sich in Deutschland aus § 38 BSIG. Externe Unterstützung ersetzt diese Verantwortung nicht.

Ergebnis dieses Schritts: Ein nachvollziehbarer Scope, eine begründete Einstufung und Personen, die Entscheidungen treffen dürfen.

2. Registrierung und Meldebereitschaft parallel bearbeiten

Wartet mit Registrierung und Vorfallorganisation nicht, bis das gesamte Maßnahmenprogramm fertig ist. Prüft eure konkrete Registrierungsfrist und bereitet den Behördenzugang vor. Die Anleitung zur BSI-Registrierung beschreibt den Ablauf und die benötigten Angaben.

Für erhebliche Sicherheitsvorfälle sieht § 32 BSIG eine frühe Erstmeldung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, sowie eine weitere Meldung spätestens innerhalb von 72 Stunden vor. Der Abschlussbericht ist grundsätzlich spätestens einen Monat nach der zweiten Meldung fällig; bei andauernden Vorfällen gelten besondere Folgeschritte.

Legt fest, wer einen Vorfall bewertet, den Zeitpunkt der Kenntniserlangung dokumentiert, die Geschäftsleitung einbezieht und Meldungen vorbereitet. Benennt eine Vertretung. Übt den Ablauf intern an einem fiktiven Vorfall; sendet keine unangekündigten Testvorfälle an eine echte Meldestelle.

Die Meldepflichten im Detail und die Incident-Report-Vorlage helfen bei der Vorbereitung. Eine Vorfalldokumentation ersetzt keine erforderliche Behördenmeldung.

3. Vorhandene Sicherheit prüfen, bevor ihr neue Arbeit verteilt

Sammelt vorhandene Risikoanalysen, Richtlinien, Wiederherstellungstests, Lieferantenbewertungen und Schulungsnachweise. Prüft für jedes Dokument: Für welche Systeme und welchen Zeitraum gilt es? Wurde der beschriebene Prozess tatsächlich durchgeführt? Gibt es offene Abweichungen?

Ein Backup-Konzept belegt eine Planung. Erst ein nachvollziehbarer Wiederherstellungstest zeigt, ob die geprüften Daten und Systeme unter den getesteten Bedingungen wieder nutzbar waren. Diese Unterscheidung verhindert, dass eine gut gefüllte Dokumentenablage mit wirksamer Sicherheit verwechselt wird.

Die NIS2-Anforderungen geben die fachlichen Prüffelder vor. Ein bestehendes ISO-27001-ISMS ist eine wertvolle Grundlage. Wie ihr seine Arbeit gezielt weiterverwendet, zeigt das NIS2–ISO-27001-Mapping. Ein Zertifikat ersetzt die Prüfung der gesetzlichen Pflichten nicht.

4. Lücken nach Risiko und Abhängigkeiten schließen

Priorisiert anhand der Auswirkungen auf eure Dienste, der geltenden Pflichten und der konkreten Schwachstellen. Für jede Maßnahme braucht ihr einen Verantwortlichen, einen Termin, Ressourcen und ein überprüfbares Abnahmekriterium.

Fiktives Beispiel: Ein Dienstleister sichert seine Kundendaten täglich. Der letzte Wiederherstellungstest ist veraltet. „Backup vorhanden“ wird deshalb nicht als abgeschlossen bewertet. Die verantwortliche Person erhält den Auftrag, eine repräsentative Wiederherstellung zu testen, das Ergebnis zu dokumentieren und Abweichungen zu beheben. Die Geschäftsverantwortlichen beurteilen, ob die erreichte Wiederanlaufzeit zum benötigten Dienst passt.

Maßnahme	Abnahmefrage	Geeigneter Beleg
Wiederherstellung testen	Lässt sich der benötigte Dienst innerhalb der intern festgelegten Ziele wiederherstellen?	Testprotokoll mit Umfang, Ergebnis und Abweichungen
Kritischen Dienstleister prüfen	Sind Abhängigkeiten, Sicherheitsanforderungen und offene Risiken bewertet?	Bewertung mit Vertragsbezug und Entscheidung
Vorfallprozess üben	Erreichen Informationen und Entscheidungen die richtigen Personen rechtzeitig?	Übungsprotokoll mit Verbesserungsaufgaben
Richtlinie einführen	Ist die freigegebene Fassung für die relevanten Personen verfügbar und vermittelt?	Version, Freigabe und geeignete Schulungs- oder Kenntnisnahmenachweise

Technische Maßnahmen können parallel laufen: etwa die Absicherung privilegierter Zugänge, die Behebung kritischer Schwachstellen oder eine verbesserte Wiederherstellbarkeit. Ihre konkrete Ausgestaltung folgt eurer Risikobewertung. Pauschale Passwortlängen, Aufbewahrungszeiten oder feste Produktlisten sind kein allgemeiner NIS2-Nachweis.

Die Lieferkettensicherheit gehört von Anfang an dazu. Beginnt bei Anbietern, deren Ausfall oder Sicherheitsvorfall eure Dienste besonders beeinträchtigen würde. Prüft bei Zertifikaten und Prüfberichten immer den tatsächlichen Geltungsbereich.

5. Wirksamkeit und Änderungen in den Betrieb übernehmen

Eine erledigte Aufgabe ist noch kein dauerhaft wirksamer Schutz. Legt fest, wer Ergebnisse prüft und welche Änderung eine erneute Bewertung auslöst: ein neuer Dienstleister, eine andere Anwendung, eine Schwachstelle oder ein Vorfall.

Führt Risiken, offene Abweichungen und benötigte Entscheidungen in regelmäßigen Management-Reviews zusammen. Kennzahlen sollten zeigen, ob Schutzmaßnahmen funktionieren – nicht nur, wie viele Aufgaben geschlossen wurden. Prüft beispielsweise fehlgeschlagene Wiederherstellungen, überfällige kritische Maßnahmen und ungeklärte Abhängigkeiten jeweils mit ihrem betrieblichen Kontext.

NIS2-Checkliste: Ist eure Umsetzung belastbar?

Nutzt die Fragen für eure nächste Bestandsaufnahme. „Offen“ ist ein Arbeitsauftrag; „erfüllt“ braucht eine nachvollziehbare Grundlage.

Prüffrage	Was ihr festhalten solltet
Ist unsere Betroffenheit begründet?	Einrichtung, Tätigkeit, Größenmerkmale, Sonderfälle und Prüfdatum
Sind Verantwortliche und Vertretungen benannt?	Entscheidungsbefugnisse, operative Rollen und Eskalation
Sind Registrierung und Kontaktdaten geklärt?	Nachweis, zuständige Person und Pflegeprozess
Kennen wir kritische Dienste und Abhängigkeiten?	Geschäftsprozesse, Informationswerte, Assets und Dienstleister
Sind Risiken bewertet und Maßnahmen priorisiert?	Bewertung, Behandlungsentscheidung und offene Arbeit
Funktionieren Erkennung und Vorfallbearbeitung?	Rollen, Kommunikationswege, Fristbewertung und Übungsergebnis
Ist Wiederherstellung praktisch geprüft?	Testumfang, Ergebnisse, Abweichungen und Folgemaßnahmen
Werden kritische Lieferanten bewertet?	Anforderungen, Belege, Vertragsbezug und Restrisiken
Erreichen Richtlinien und Schulungen die richtigen Personen?	Zielgruppe, freigegebene Inhalte und geeignete Nachweise
Werden Wirksamkeit und Änderungen nachverfolgt?	Review-Anlässe, Prüfergebnisse und Entscheidungen der Leitung

Wie lange dauert die NIS2-Umsetzung?

Ein belastbarer Termin entsteht aus eurem Ausgangszustand. Ein vorhandenes ISMS kann Arbeit ersparen; veraltete Nachweise, zusätzliche Standorte oder nicht getestete Notfallprozesse können trotzdem erheblichen Aufwand auslösen.

Plant deshalb nach überprüfbaren Ergebnissen statt nach einem pauschalen 3–6–12-Monats-Versprechen. Als erste Arbeitsfolge könnt ihr Einstufung und Verantwortlichkeiten klären, dringende Pflichten parallel bearbeiten, den Bestand prüfen und daraus ein priorisiertes Maßnahmenprogramm ableiten. Gesetzliche Fristen bleiben unabhängig von diesem Projektplan bestehen.

Für das Budget trennt ihr interne Arbeitszeit, externe Unterstützung, technische Umsetzung, Software und laufende Pflege. Eine Softwarelizenz ersetzt weder die technische Absicherung noch die Entscheidungen eurer Verantwortlichen. Weitere Einordnung bietet die Seite zu NIS2-Kosten.

Von der Checkliste zur laufenden Umsetzung mit Kopexa

In Kopexa hängen Nachweise an den Maßnahmen. Die Maßnahmen werden den passenden Controls zugeordnet. So könnt ihr dieselbe umgesetzte Arbeit für mehrere Anforderungen verwenden und sehen, welche Nachweise oder Entscheidungen noch fehlen.

Das hilft euch, aus der Bestandsaufnahme einen gemeinsamen Arbeitsstand zu machen: Verantwortliche bearbeiten ihre Maßnahmen, Prüfer beurteilen das Ergebnis und die Geschäftsleitung erkennt offenen Entscheidungsbedarf. Die Wirksamkeitsprüfung bleibt eine fachliche Aufgabe.

Mit der ISMS-Software von Kopexa führt ihr Maßnahmen, Verantwortliche und Nachweise zusammen. Vorhandene Maßnahmen lassen sich den passenden Controls mehrerer Frameworks zuordnen. So konzentriert ihr euch auf fehlende Umsetzung statt auf die Pflege paralleler Listen.

NIS2 umsetzen: Roadmap und Checkliste für euren Maßnahmenplan