Zwei Jahre lang wurde über NIS2 fast ausschließlich in Fristen gesprochen. Diese Phase ist vorbei.
Die Frage lautet nicht mehr: Schaffen wir die Frist. Sie lautet: Wer macht das ab jetzt, jedes Jahr, dauerhaft.
Die Betroffenheit ergibt sich aus der Zugehörigkeit zu einem Sektor und dem Überschreiten einer Größenschwelle. Beides steht im novellierten BSI-Gesetz (BSIG i. d. F. des NIS2-Umsetzungsgesetzes, BGBl. 2025 I Nr. 301).
Digitale Infrastruktur ist weiter gefasst als der Name vermuten lässt: neben IXPs, DNS-, Cloud- und Rechenzentrumsdiensten auch Managed Services Provider und Managed Security Services Provider.
Das verarbeitende Gewerbe wird am häufigsten übersehen: Medizinprodukte, Datenverarbeitungsgeräte, elektrische Ausrüstungen, Maschinenbau, Kraftwagen und -teile, sonstiger Fahrzeugbau. Der klassische Maschinenbauer und der Automobilzulieferer stehen damit im Gesetz.
Unabhängig von der Größe gelten u. a. Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter als besonders wichtige Einrichtungen (§ 28 Abs. 1 BSIG). Für Telekommunikationsanbieter gelten eigene, niedrigere Schwellen. Die Größenbestimmung folgt der Empfehlung 2003/361/EG (§ 28 Abs. 4 BSIG).
Quelle: § 28 Absatz 1 und 2 BSIG
Betroffene Einrichtungen registrieren sich spätestens drei Monate, nachdem sie als betroffen gelten. Änderungen sind unverzüglich nachzumelden, spätestens binnen zwei Wochen ab Kenntnis.
Angemessene technische und organisatorische Maßnahmen. Der Katalog nennt mindestens zehn Bereiche — von Risikoanalyse bis Multi-Faktor-Authentifizierung.
Erhebliche Sicherheitsvorfälle werden in einer dreistufigen Kette gemeldet: 24 Stunden, 72 Stunden, ein Monat.
Umsetzen, überwachen, regelmäßig schulen. Bei Pflichtverletzung Haftung gegenüber der eigenen Einrichtung nach gesellschaftsrechtlichen Bestimmungen.
Betreiber kritischer Anlagen setzen zusätzlich Systeme zur Angriffserkennung ein, die kontinuierlich und automatisch Parameter erfassen und auswerten (§ 31 Abs. 2 BSIG).
Unverzüglich, spätestens 24 Stunden nach Kenntnis: Verdacht auf rechtswidrige Handlung, mögliche grenzüberschreitende Auswirkungen.
Bestätigung oder Aktualisierung, Bewertung von Schweregrad und Auswirkungen, Kompromittierungsindikatoren.
Beschreibung, Ursache, Abhilfemaßnahmen, grenzüberschreitende Auswirkungen.
Zwischenmeldungen kann das Bundesamt jederzeit anfordern. Ist der Vorfall nach einem Monat nicht abgeschlossen, tritt eine Fortschrittsmeldung an die Stelle der Abschlussmeldung.
Geschäftsleitungen setzen die Risikomanagementmaßnahmen um und überwachen ihre Umsetzung. Bei Pflichtverletzung haften sie gegenüber ihrer Einrichtung nach den gesellschaftsrechtlichen Bestimmungen. Zusätzlich sind sie zur regelmäßigen Teilnahme an Schulungen verpflichtet.
Turnusmäßige Nachweise treffen im Regelfall Betreiber kritischer Anlagen — erstmals frühestens drei Jahre nach der Bestimmung, danach alle drei Jahre. Besonders wichtige und wichtige Einrichtungen unterliegen keiner turnusmäßigen Nachweispflicht; das BSI kann jedoch Audits, Prüfungen und die Vorlage von Nachweisen anordnen (§ 61 BSIG).
Registrierung, Risikoanalyse und Maßnahmenkatalog sind Einführungsarbeit — endlich, abhakbar. Was danach kommt, kann man nicht abschließen. Der Grund steht im Gesetz selbst: „Wirksamkeit bewerten“ (§ 30 Abs. 2 Nr. 6), „regelmäßig schulen“ (§ 38), „binnen zwei Wochen nachmelden“ (§ 33). Drei Wörter, drei Dauerpflichten.
Wirksamkeitsbewertung, Lieferantenbewertung, Schulungsnachweise, Notfallübungen, Richtlinienpflege — dieselben Aufgaben fordern ISO 27001, TISAX und in Teilen der Datenschutz. Unterschiedlich sind nur Bezeichnung, Format und Adressat. Daraus folgen zwei Wege.
Nicht die Einführung. Nicht das Projekt. Den laufenden Betrieb.
Technologie übernimmt das Wiederkehrende. Menschen übernehmen das Urteil. Entscheidungen und Verantwortung bleiben bei Ihnen — die Pflichten aus § 38 BSIG sind ohnehin nicht delegierbar. Die Arbeit bleibt nicht bei Ihnen.
Die Registrierung ist erledigt oder wird nachgeholt, die Maßnahmen sind eingeführt — und dann läuft es weiter. Das Gesetz nennt das nicht Betrieb, sondern Wirksamkeit, Regelmäßigkeit und unverzügliche Nachmeldung. Gemeint ist dasselbe. Die Frage ist deshalb nicht, wie schnell Sie NIS2 erledigen. Sie ist erledigbar. Die Frage ist, wer den Betrieb danach trägt — ohne dass Sie dafür eine Governance-Organisation aufbauen.
Ein Erstgespräch von 30 Minuten, ohne Vorbereitung Ihrerseits.