Woran NIS2-Umsetzungen im Mittelstand scheitern

Fast ein Jahr NIS2-Umsetzungsgesetz

Seit dem 06.12.2025 ist das NIS2-Umsetzungsgesetz in Kraft. Davor hat unsere Branche mindestens drei Jahre lang auf die Richtlinie und das erwartete Gesetz geschaut, Beratende wie Marketingabteilungen haben sich wöchentlich die (AI-)Finger wund geschrieben, um zu spekulieren, zu warnen, zu beruhigen, zu schlangenölen.

Und wir sind in der Zeit (fast) kein Stück sicherer geworden.

Wie viel davon wirklich neu ist

Was NIS2 fordert, steht in § 30 Abs. 2 BSIG: zehn Punkte, die die Maßnahmen „zumindest“ umfassen müssen, von „Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik“ bis „Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation [...]“. Dazu kommen Meldepflichten mit festen Fristen (24 Stunden, 72 Stunden, ein Monat; § 32), die Registrierung beim BSI (§ 33) und Pflichten der Geschäftsleitung (§ 38).

Für Unternehmen, die Informationssicherheit („ein ISMS“) bereits aktiv „leben“, sind davon grob geschätzt wirklich nur 20 % neu. Für die anderen: sehr viel mehr.

Die Rechnung

Nimmt man die zehn Punkte in § 30 Abs. 2 auseinander, kommt man auf gut 20 Themen. Allein in Nummer 3 stecken z. B. Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement.

Mit knappem Personaltableau schafft Ihr realistisch nicht mehr als 10-12 Aktivitäten im Jahr, die das Risiko relevant senken. Ohne „gelebtes ISMS“ heißt das: eineinhalb bis zwei Jahre, bis jedes Thema einmal dran war.^**

Woran es scheitert: an der Steuerung

Checklisten abarbeiten scheint leicht. Aber dutzende Security-Anforderungen gleichzeitig in einem Unternehmen oder einer Gruppe von Organisationen orchestrieren, mit Linie, Projekten, Menschen, die alle in verschiedene Richtungen ziehen? Ganz anderer Schnack.

Wie baue ich eine Struktur, die 20 Themen parallel steuert, ohne dass mir der Laden auseinanderfliegt?

In kleinen Unternehmen ist häufig die Geschäftsführung direkt an der NIS2-Umsetzung beteiligt, hat aber noch kein Gefühl dafür, was der richtige Mix aus „Paperwork“ (reine Compliance) und „Doing“ (prozessuale und/oder technische Umsetzung) ist. Das merkt man zum Beispiel daran, dass die Lücke zwischen Papier und Realität sehr groß bleibt.

Der häufigste Fehler in der Beratung

Beratende behandeln die NIS2-Umsetzung wie ein ISMS-Projekt und binden die Geschäftsführung nur punktuell, pro forma ein.

Das Gesetz sieht die Geschäftsleitung in der Pflicht: Sie muss die Maßnahmen nach § 30 „umsetzen und ihre Umsetzung überwachen“ und „regelmäßig an Schulungen teilnehmen“ (§ 38). Holt Ihr die Geschäftsführung nur zur Unterschrift, fehlt am Tisch genau die Person, die über den Mix aus Paperwork und Doing entscheidet (und laut Gesetz auch umsetzen muss).

Was hilft

1. Standortbestimmung. Es darf kein teures Beratungsprojekt kosten, zu wissen, wo Ihr steht. Und zwar wirklich steht. Reine Fragebögen/Checklisten sind in der Regel Augenwischerei.
2. Handlungsanweisungen. Jemand muss Euch sagen, was genau die 10-12 Aktivitäten sind, die Ihr mit Eurem knappen Personaltableau in den nächsten 12 Monaten realistisch schaffen könnt, um das Risiko relevant zu senken.
3. An-die-Hand-Nehmen. Und trotzdem schafft Ihr es nicht alleine. Ihr braucht Räume für Diskussion, Rückfrage, Nachdenken über Alternativen.

Und die Geschäftsführung sitzt von Tag 1 mit am Tisch, sie entscheidet ja über den Mix. Sonst liegt am Ende wieder der halbfertige Ordner in der Ecke (des Bildschirms).

Die drei Schritte gehen mit Beratung oder in einer Kohorte, in der mehrere Organisationen dieselben Themen gleichzeitig umsetzen (was eine Security-Kohorte ist).

Wo Ihr wirklich steht, klären wir gern mit Euch. Get it over wNIS!