Die NIS2-Umsetzung für Unternehmen ist seit dem Inkrafttreten des NIS-2-Umsetzungsgesetzes in Deutschland im Dezember 2025 keine abstrakte Regulierungsübung mehr. Bussgelder, Registrierungspflichten und Nachweisanforderungen stehen konkret im Raum. Die zentrale Frage, die viele Entscheidungsträger beschäftigt: Betrifft das mein Unternehmen überhaupt?

Die Antwort ist komplexer als ein einfaches Ja oder Nein. Die Richtlinie erfasst nicht nur direkt regulierte Sektoren, sondern reicht über Lieferketten auch in Bereiche hinein, die sich bisher nicht zuständig fühlten. Dieser Artikel führt Sie in sechs konkreten Schritten von der Betroffenheitsanalyse bis zur auditfähigen Dokumentation. Wenn Sie zuerst wissen möchten, was NIS2 speziell für Schweizer Unternehmen bedeutet, finden Sie das in meinem Beitrag NIS2 in der Schweiz: Was gilt ab 2025 und wer muss jetzt handeln?. Dieser Artikel hier ist der praktische Umsetzungsfahrplan.

NIS2-Umsetzung für Unternehmen: Betroffenheitsanalyse Schritt für Schritt

Welche Sektoren und Unternehmensgrössen NIS2 erfasst

NIS2 unterscheidet zwei Kategorien betroffener Einrichtungen. Wesentliche Einrichtungen umfassen besonders kritische Sektoren wie Energie, Gesundheitswesen, Verkehr, Banken und digitale Infrastruktur; sie unterliegen strengeren Aufsichts- und Sanktionsregeln. Wichtige Einrichtungen stammen aus erweiterten Sektoren wie Lebensmittelproduktion, Chemie, Post und Forschung.

Als Orientierungswerte für die Schwellen gilt gemäss NIS2-Anhang I und II: Wesentliche Einrichtungen überschreiten 250 Mitarbeitende oder 50 Mio. Euro Jahresumsatz sowie 43 Mio. Euro Bilanzsumme. Wichtige Einrichtungen beginnen ab 50 Mitarbeitenden oder 10 Mio. Euro Umsatz sowie 10 Mio. Euro Bilanzsumme. Bestimmte Einrichtungen wie qualifizierte Vertrauensdiensteanbieter oder DNS-Diensteanbieter fallen unabhängig von ihrer Grösse darunter. Klären Sie zuerst die Sektorenzugehörigkeit, bevor Sie Ressourcen investieren. Eine Einordnung für KRITIS-nahe Betriebe finden Sie unter NIS2 & KRITIS.

Schweizer Unternehmen und die indirekte NIS2-Pflicht

NIS2 gilt nicht automatisch für Schweizer Firmen aufgrund ihres Sitzes. Der entscheidende Hebel ist der Lieferkettenkanal: Wer als Schweizer IT-Dienstleister, Cloud-Anbieter oder Zulieferer EU-Kunden in betroffenen Sektoren bedient, bekommt NIS2-Anforderungen vertraglich weitergegeben. Das betrifft Managed-Service-Provider, Hosting-Anbieter und Softwareunternehmen besonders stark. Als inländische Anlaufstelle für sicherheitsrelevante Vorfälle steht das NCSC (Nationales Zentrum für Cybersicherheit) zur Verfügung; Schweizer Rechenzentren mit anerkannter Zertifizierung können zudem die Verhandlungsposition gegenüber EU-Kunden stärken.

Die praktische Empfehlung: Prüfen Sie bestehende EU-Kundenverträge und Ausschreibungsunterlagen auf Sicherheitsklauseln. Sind solche Klauseln bereits vorhanden, sind Sie faktisch an NIS2-Anforderungen gebunden, auch ohne direkten EU-Sitz.

Registrierungspflicht und aktuelle Fristen

In Deutschland ist das NIS-2-Umsetzungsgesetz seit dem 6. Dezember 2025 in Kraft. Das BSI-Portal für Registrierung und Vorfallmeldung wurde am 6. Januar 2026 freigeschaltet; die erstmalige Registrierungsfrist endete am 6. März 2026. Voraussetzung für die BSI-Registrierung ist ein MUK-Konto (Mein Unternehmenskonto) mit einem ELSTER-Organisationszertifikat.

Wer diese Frist verpasst hat, sollte die Registrierung unverzüglich nachholen. Vorfallmeldungen sind bis zur abgeschlossenen Registrierung über ein Online-Formular des BSI möglich. Neu betroffene Einrichtungen haben grundsätzlich drei Monate nach Eintritt der Betroffenheit Zeit zur Registrierung.

Schritt 1 und 2: Bestandsaufnahme und strukturierte Risikoanalyse

Asset-Inventar: Was gehört zum schutzbedürftigen Scope?

Der erste Schritt ist kein Massnahmenkatalog, sondern ein vollständiges Bild aller schutzbedürftigen Ressourcen. Erfassen Sie alle IT-Systeme, Dienste, Daten und Schnittstellen, die für kritische Geschäftsprozesse relevant sind. Unterscheiden Sie dabei primäre Assets wie Server, Netzwerke und Anwendungen von unterstützenden Assets wie externen Dienstleistern und Cloud-Diensten.

Ein dokumentiertes Asset-Inventar ist die Grundlage für jede Risikoanalyse und jeden Audit. Aufsichtsbehörden erwarten nicht nur, dass es existiert, sondern dass es laufend aktualisiert wird.

Gap-Analyse: Wo stehen Sie heute?

Mit dem Inventar in der Hand führen Sie einen Soll-Ist-Vergleich durch: Wo stehen Ihre aktuellen Sicherheitsmassnahmen im Verhältnis zu den Anforderungen der Richtlinie? Ordnen Sie offene Punkte nach Priorität und Risiko, nicht nach Umsetzungsaufwand.

Das Ergebnis der Gap-Analyse ist das zentrale Steuerungsdokument für die gesamte Umsetzungsphase. Es zeigt, wo der grösste Handlungsbedarf besteht, und bildet die Basis für den Aufbau eines belastbaren Informationssicherheitsmanagementsystems (ISMS).

Risikoregister aufbauen und pflegen

Aus der Gap-Analyse heraus entsteht das Risikoregister. Identifizieren Sie Risiken, bewerten Sie Eintrittswahrscheinlichkeit und Auswirkung und halten Sie Behandlungsmassnahmen schriftlich fest. Benennen Sie für jedes Risiko eine verantwortliche Person und definieren Sie Überprüfungsintervalle.

Das Risikoregister ist kein einmaliges Dokument, sondern ein lebendiges Instrument: Aufsichtsbehörden verlangen Belege, dass es aktiv genutzt und regelmässig fortgeschrieben wird.

Schritt 3 und 4: Technische Massnahmen und organisatorische Grundlagen

Technische Basiskontrollen, die Aufsichtsbehörden typischerweise prüfen

NIS2 verlangt konkrete technische Schutzmassnahmen. Zu den Basiskontrollen, die Aufsichtsbehörden gemäss BSI-Orientierungshilfe und etablierter Prüfpraxis regelmässig einfordern, gehören:

  • Multi-Faktor-Authentifizierung für alle kritischen Systeme und privilegierten Zugänge
  • Rollenbasierte Zugriffssteuerung nach dem Prinzip minimaler Rechte mit regelmässiger Überprüfung und Entzug nicht mehr benötigter Berechtigungen
  • Zentrales Logging und kontinuierliches Monitoring: lückenlos, manipulationssicher und mit definierten Aufbewahrungsfristen
  • Patch-Management mit festgelegten Behebungsfristen sowie getestete, verschlüsselte Sicherungskopien mit nachgewiesenem Wiederherstellungstest

Ob diese Kontrollen tatsächlich wirken, zeigt sich erst unter Angriffsbedingungen. Genau dafür ist ein Penetrationstest das passende Instrument: Er liefert den technischen Nachweis, den ein Selbstauskunftsbogen nicht erbringen kann.

ISMS als organisatorisches Fundament

Ein Informationssicherheitsmanagementsystem ist kein optionaler Zusatz, sondern die strukturelle Basis, in der Richtlinien, Rollen, Verantwortlichkeiten und Prozesse formal verankert werden. Ohne diese Dokumentation ist auditfähige Compliance nicht darstellbar. Eine bestehende ISO-27001-Zertifizierung stärkt die Position gegenüber Aufsichtsbehörden erheblich und kann den Nachweisaufwand in vielen Bereichen reduzieren; sie ersetzt jedoch nicht die Erfüllung spezifischer gesetzlicher Anforderungen, etwa jener aus §30 BSIG. Was eine Zertifizierung in der Schweiz realistisch kostet, habe ich unter ISO 27001 Kosten Schweiz aufgeschlüsselt.

Lieferkettensicherheit und Drittparteienrisiken

Verpflichten Sie Dienstleister und Zulieferer schriftlich auf Ihre Sicherheitsanforderungen und bewahren Sie Sorgfaltsprüfungsunterlagen auf. Externe Zugänge wie VPN-Verbindungen, Fernwartungszugänge und Schnittstellen sind separat zu inventarisieren und abzusichern. Bestehende Verträge mit kritischen Lieferanten sind auf Sicherheitsklauseln zu prüfen und bei Bedarf anzupassen.

Schritt 5: Meldepflichten kennen und Vorfallreaktionsprozesse einrichten

Das dreistufige Meldeverfahren unter NIS2

Meldepflichten sind das Herzstück der Anforderungen und gleichzeitig der Bereich, in dem Unternehmen am häufigsten unvorbereitet sind. Das Verfahren läuft in drei klar definierten Stufen ab:

  • Frühwarnung binnen 24 Stunden nach Kenntniserlangung: Vorfallsart, betroffene Systeme und erste Lagebeschreibung
  • Folgemeldung binnen 72 Stunden: aktualisierte Bewertung, bisherige Ursache und ergriffene Eindämmungsmassnahmen
  • Abschlussbericht binnen 30 Tagen: finale Ursachenanalyse, vollständiges Ausmass und Erkenntnisse für die Zukunft

Entscheidend: Die Fristen laufen ab interner Kenntniserlangung, nicht ab dem Zeitpunkt des eigentlichen Vorfalls. Wer intern verzögert dokumentiert, verliert wertvolle Zeit gegenüber der Behörde. In der Schweiz gilt für Meldungen nach revidiertem Datenschutzgesetz ein eigener Ablauf, den ich unter nDSG-Verletzung melden beschreibe.

Vorlagen und Ablaufplan für den Ernstfall

Wer im Ernstfall unter Zeitdruck erst anfängt, Prozesse zu entwickeln, wird die Fristen nicht einhalten. Erstellen Sie vorab ein Triage-Template mit klarem Entscheidungspfad: Ist das Ereignis meldepflichtig oder nicht? Ergänzen Sie Vorlagen für die 24-Stunden-Frühwarnung und die 72-Stunden-Folgemeldung mit festen Pflichtfeldern, die unter Druck sofort ausfüllbar sind. Der Ablaufplan legt zusätzlich fest: Wer erkennt den Vorfall, wer trifft die Meldungsentscheidung, wer übermittelt an die Behörde und wer übernimmt die interne sowie externe Kommunikation.

Krisenmanagement und Betriebskontinuität vorbereiten

Notfall- und Wiederanlaufpläne müssen schriftlich vorliegen und mindestens jährlich getestet werden; Testergebnisse sind zu protokollieren. Definieren Sie Ausweichkommunikationswege für den Fall, dass Hauptsysteme nicht verfügbar sind. Betriebskontinuitätspläne müssen den Weiterbetrieb kritischer Dienste auch im Angriffsfall sicherstellen, nicht nur die technische Wiederherstellung.

Schritt 6: Auditfähige Dokumentation aufbauen

Welche Unterlagen Aufsichtsbehörden konkret anfordern

NIS2-Prüfungen klären nicht nur, ob Massnahmen existieren, sondern ob deren Wirksamkeit belegt ist. Typischerweise angeforderte Unterlagen umfassen das Risikoregister mit Behandlungsplan und Nachverfolgung offener Punkte, die Informationssicherheitsleitlinie, den Vorfallreaktionsplan, den Notfallplan, die Lieferantenrichtlinie und das Zugriffskonzept. Dazu kommen Schulungsnachweise, Sensibilisierungsprotokolle und Teilnehmerlisten für alle Mitarbeitenden sowie Testprotokolle für Sicherungskopien, Wiederherstellungsvorgänge und Patch-Zyklen.

Rollenmatrix und Managementverantwortung dokumentieren

Eine Rollenmatrix weist jede Sicherheitsaufgabe einer verantwortlichen Person zu; Eskalationswege sind schriftlich festgehalten. Die Führungsebene muss Cybersicherheit aktiv steuern und nachweisbar freigeben: Managementüberprüfungen werden protokolliert, Beschlüsse und Abnahmevermerke aufbewahrt. Freigaben und Genehmigungsdokumente gelten als Belege für die Reife der Unternehmensführung im Sicherheitsbereich.

Interne Audits und kontinuierliche Verbesserung

Interne Audits sind mindestens jährlich durchzuführen; Ergebnisse, Massnahmen und Fristen werden dokumentiert. Definieren Sie Kennzahlen und Metriken, die zeigen, dass das Informationssicherheitsmanagementsystem nicht nur existiert, sondern tatsächlich wirkt. Zertifizierungen wie ISO 27001 oder externe Prüfberichte stärken die Position gegenüber Aufsichtsbehörden deutlich und können den Nachweis in vielen Bereichen erheblich vereinfachen. Wo die Grenze zwischen technischem Test und formalem Audit verläuft, erkläre ich unter Pentest oder Audit?.

Wann externe Unterstützung die NIS2-Umsetzung beschleunigt

Typische Engpässe bei der internen Umsetzung

Gap-Analyse, Aufbau eines Informationssicherheitsmanagementsystems, Richtlinienentwicklung und laufendes Monitoring binden erhebliche interne Kapazitäten, die in KMU und regulierten Organisationen häufig nicht vorhanden sind. Fehlende Fachkenntnis bei spezifischen Anforderungen wie Lieferkettensicherheit, Meldeprozessen oder Prüfdokumentation führt zu lückenhaften Umsetzungen, die im Prüffall auffallen. Wer die Registrierungsfristen bereits verpasst hat, steht zusätzlich unter Zeitdruck.

Was ich in diesem Kontext übernehme

Ich begleite Unternehmen, Schulen und öffentliche Verwaltungen im DACH-Raum beim Aufbau gesetzeskonformer IT-Sicherheit. Im NIS2-Kontext umfasst das: strukturierte Betroffenheitsanalyse, technischer Nachweis der Schutzmassnahmen durch Penetrationstests, Unterstützung beim Aufbau des Informationssicherheitsmanagementsystems sowie Vorbereitung auf Audits und Zertifizierungen.

Alle Penetrationstests laufen zum Festpreis zwischen CHF 2’200 und maximal CHF 3’600 — Beratung, Planung und Abschlussbericht sind vollständig enthalten. Die vollständige Preisübersicht finden Sie unter Penetrationstest-Konfigurator.

Kontaktieren Sie mich für eine erste Betroffenheitsanalyse — kostenlos und unverbindlich.

Häufig gestellte Fragen zur NIS2-Umsetzung

Gilt NIS2 auch für Schweizer Unternehmen?

Nicht direkt aufgrund des Firmensitzes. Schweizer Unternehmen werden aber über die Lieferkette erfasst: Wer EU-Kunden in regulierten Sektoren beliefert, bekommt die Anforderungen vertraglich weitergegeben. Prüfen Sie bestehende EU-Verträge auf Sicherheitsklauseln — sind diese vorhanden, gelten die Pflichten faktisch bereits.

Ab welcher Unternehmensgrösse greift NIS2?

Wichtige Einrichtungen beginnen ab 50 Mitarbeitenden oder 10 Mio. Euro Umsatz, wesentliche Einrichtungen ab 250 Mitarbeitenden oder 50 Mio. Euro Umsatz. Entscheidend ist aber zuerst die Sektorenzugehörigkeit nach Anhang I und II. Einzelne Einrichtungsarten wie DNS-Diensteanbieter fallen unabhängig von ihrer Grösse darunter.

Welche Meldefristen gelten bei einem Sicherheitsvorfall?

Drei Stufen: Frühwarnung binnen 24 Stunden, Folgemeldung binnen 72 Stunden und Abschlussbericht binnen 30 Tagen. Die Fristen laufen ab interner Kenntniserlangung, nicht ab dem Zeitpunkt des Vorfalls — verzögerte interne Dokumentation verkürzt damit die verfügbare Reaktionszeit.

Reicht eine ISO-27001-Zertifizierung für NIS2 aus?

Nein, aber sie hilft erheblich. ISO 27001 deckt grosse Teile der organisatorischen Anforderungen ab und reduziert den Nachweisaufwand gegenüber Aufsichtsbehörden. Spezifische gesetzliche Pflichten wie jene aus §30 BSIG, die Registrierung beim BSI und die Meldepflichten müssen jedoch zusätzlich erfüllt werden.

Was passiert, wenn die Registrierungsfrist verpasst wurde?

Die Registrierung sollte unverzüglich nachgeholt werden. Bis zum Abschluss der Registrierung sind Vorfallmeldungen über ein Online-Formular des BSI möglich. Neu betroffene Einrichtungen haben grundsätzlich drei Monate ab Eintritt der Betroffenheit Zeit für die Registrierung.

Wie weise ich die Wirksamkeit technischer Massnahmen nach?

Durch Testprotokolle und unabhängige Prüfungen. Aufsichtsbehörden fragen nicht nur, ob eine Massnahme existiert, sondern ob ihre Wirksamkeit belegt ist. Ein Penetrationstest liefert diesen technischen Nachweis, ergänzt um dokumentierte Wiederherstellungstests, Patch-Zyklen und interne Auditberichte.

Fazit: NIS2-Umsetzung für Unternehmen als dauerhafter Prozess

Die NIS2-Umsetzung für Unternehmen ist kein einmaliges Projekt, das irgendwann abgehakt wird. Sie ist ein laufender Prozess, der mit einer sauberen Betroffenheitsanalyse beginnt und über Inventar, Gap-Analyse, Risikobewertung, technische Massnahmen, Informationssicherheitsmanagementsystem und Meldeprozesse bis zur kontinuierlich gepflegten Dokumentation reicht.

Wer jetzt mit der Betroffenheitsanalyse startet, legt den Grundstein für ein auditfähiges Compliance-Setup. Die sechs Schritte in diesem Artikel bilden Ihren Fahrplan: konsequent umgesetzt, schützen Sie sich nicht nur vor Bussgeldern, sondern stärken die IT-Resilienz Ihres Unternehmens nachhaltig.