NIS-2-Umsetzung 2026: BSI-Prüfungen rücken näher – Was Unternehmen jetzt tun müssen

Ein verbreitetes Missverständnis: Wer ISO 27001 zertifiziert ist, sei automatisch auch NIS-2-konform. Das stimmt nicht. Die beiden Frameworks überschneiden sich, NIS-2 geht aber in mehreren Dimensionen deutlich weiter.

Eine bestehende ISO-27001-Zertifizierung ist also ein wertvoller Ausgangspunkt. Sie deckt jedoch typischerweise nur 40 bis 60 Prozent der NIS-2-Anforderungen ab. Die übrigen Bereiche, vor allem Business Continuity, Geltungsbereichserweiterung und Lieferketten-Sicherheit, müssen ergänzt werden.

Stark regulierte Branchen wie Banken, Versicherungen oder bisherige KRITIS-Unternehmen sind in der Regel gut aufgestellt. Im Gegensatz dazu gibt es vor allem bei klassischen Mittelständlern erheblichen Nachholbedarf. Maschinenbauer, Chemie- und IT-Dienstleister sowie viele weitere Branchen, die bisher weder unter KRITIS noch unter andere branchenspezifische Regulierung fielen, haben in puncto Risikomanagement und Business Continuity Management oft nur Stückwerk vorzuweisen – es finden sich zwar dokumentierte Notfallpläne, jedoch ist fraglich, ob diese im Ernstfall funktionieren.

„Wir sehen die größte Diskrepanz zwischen Anforderung und tatsächlicher Umsetzung beim Thema Resilienz. Es reicht nicht zu wissen, wie man auf einen Cyberangriff reagiert. Entscheidend ist die Frage: Wie können wir weiterarbeiten, wenn etwas passiert – und passieren wird es. Genau hier haben viele Unternehmen wenig bis gar nichts vorzuweisen.“ – David Mayer, Manager Security Consulting, Orange Cyberdefense

Das zweite große Defizit liegt im Risikomanagement, dessen Reifegrad oft ausbaufähig ist, weil der betrachtete Scope in der Vergangenheit bewusst klein gehalten wurde. NIS-2 verlangt jedoch eine ganzheitliche Sicht: vom IT-System über die Wertschöpfungsprozesse bis zur OT-Umgebung in Produktion und Logistik.

Auf Basis der bisherigen Erfahrungen aus KRITIS-Audits und der angekündigten BSI-Prüfrichtlinien werden voraussichtlich folgende Artefakte im Mittelpunkt der NIS-2-Prüfungen stehen:

• Dokumentierter Geltungsbereich mit Begründung der Scope-Festlegung

• Aktuelle Business-Impact-Analyse mit RTO- und RPO-Werten für kritische Prozesse

• Nachweisbare Risikoanalyse mit dokumentierter Methodik und Bewertungsmaßstab

• Übersicht der technischen und organisatorischen Maßnahmen (TOM)

• Durchgängige Dokumentation, inklusive Nachweis über regelmäßige Tests und Übungen

• Belege für Schulung und Sensibilisierung der Geschäftsleitung und Mitarbeitenden

• Funktionierender Meldeprozess für Sicherheitsvorfälle (24h / 72h / 1 Monat)

Wie lange Unternehmen brauchen, um NIS-2-konform zu werden, hängt stark von der Ausgangslage ab. Entlang der Erfahrungswerte von Orange Cyberdefense reicht das Spektrum von wenigen Monaten bis zu mehrjährigen Programmen:

• Unternehmen mit etabliertem ISMS und vorhandenem BCM: typischerweise 3 bis 6 Monate für die Lückenschließung.
• Unternehmen mit ISO 27001, aber engem Scope:6 bis 12 Monate.
• Unternehmen ohne strukturiertes Sicherheitsmanagement:12 bis 24 Monate als realistisches Programm.

„Wer erst im nächsten Quartal anfängt und im darauffolgenden den Brief vom BSI öffnen muss, hat ein Problem. Wer aber zeigen kann, dass ein abgenommener Projektplan, ein Budget und konkrete Maßnahmen vorhanden sind, verbessert seine Ausgangsposition in einer Prüfung erheblich. Wichtig ist, zu jedem Zeitpunkt sichtbar und strukturiert vorzugehen.“ – David Mayer, Manager Security Consulting, Orange Cyberdefense

NIS-2 ist keine ferne Drohung mehr, sondern wird ab 2026 systematisch geprüft. Wer jetzt mit einem klar definierten Geltungsbereich, einer Business-Impact-Analyse, einer dokumentierten Risikoanalyse und einem belastbaren Business Continuity Management startet, schafft die Grundlage für eine erfolgreiche Prüfung und für nachhaltige Cyber-Resilienz im Unternehmen.

Entscheidend ist nicht die Geschwindigkeit, sondern die Sichtbarkeit des Vorgehens: Ein abgenommener Projektplan, ein zugewiesenes Budget und konkrete Maßnahmen verbessern die Ausgangsposition in einer Prüfung erheblich – selbst dann, wenn das Programm noch nicht vollständig abgeschlossen ist.