NIS2 in der Praxis: Registrierung, 24-Stunden-Meldung und Lieferkettenrealität

NIS2 hatte einen ungewöhnlichen Verlauf. Die Umsetzungsfrist war der 17. Oktober 2024, und die meisten Mitgliedstaaten haben sie verpasst. Zwei Jahre später ist das Bild immer noch uneinheitlich, was bei vielen Unternehmen den Eindruck hinterlassen hat, es sei nicht viel passiert.

Dieser Eindruck ist inzwischen falsch. Nationale Gesetze sind in Kraft, Registrierungsportale sind offen, und Aufsichtsbehörden stellen Fragen. Deutschland öffnete sein Registrierungsportal am 6. Januar 2026 mit einer gesetzlichen Frist zum 6. März. Die Niederlande setzten ihr Cyberbeveiligingswet am 15. August 2026 in Kraft. Andere folgten im Jahresverlauf.

Wer auf Klarheit gewartet hat: Sie ist da, und die Antwort lautet, dass Sie wahrscheinlich spät dran sind statt früh.

Wer erfasst ist

NIS2 hat die Richtlinie zur Netz- und Informationssicherheit von 2016 abgelöst und den Kreis erheblich erweitert. Der Anwendungsbereich richtet sich nach Sektor und Größe.

Wesentliche Einrichtungen umfassen Sektoren mit hoher Kritikalität: Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung und Weltraum.

Wichtige Einrichtungen umfassen weitere kritische Sektoren: Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, Herstellung bestimmter Produkte einschließlich Medizinprodukten, Computern, Elektronik, Maschinen und Fahrzeugen, digitale Anbieter wie Online-Marktplätze, Suchmaschinen und soziale Plattformen sowie Forschungseinrichtungen.

Die Größenschwelle liegt in der Regel bei mittleren Unternehmen und darüber, also 50 oder mehr Beschäftigte oder ein Jahresumsatz über 10 Millionen Euro. Manche Einrichtungstypen sind unabhängig von der Größe erfasst, darunter bestimmte DNS-Anbieter, TLD-Registries, Vertrauensdiensteanbieter und Anbieter öffentlicher elektronischer Kommunikation.

Die deutsche Aufsichtsbehörde schätzte allein in Deutschland rund 29.500 erfasste Einrichtungen. Zur gesetzlichen Frist im März 2026 hatten sich etwa 11.500 registriert, bis Ende Mai rund 18.500. Lesen Sie das als Warnung, nicht als Beruhigung. Langsame Registrierung bei anderen begründet keine Ausnahme für Sie.

Zwei Dinge überraschen Unternehmen. Erstens enthält die Sektorenliste ganz gewöhnliche Hersteller, nicht nur Infrastrukturbetreiber. Wer Maschinen, Elektronik oder Medizinprodukte in nennenswertem Umfang herstellt, sollte genau hinsehen. Zweitens werden selbst außerhalb des Anwendungsbereichs Ihre erfassten Kunden ihre Lieferkettenpflichten vertraglich an Sie weitergeben. Nicht erfasst zu sein heißt nicht, nicht betroffen zu sein.

Registrierung ist eine eigene Pflicht

Die meisten Mitgliedstaaten verlangen von erfassten Einrichtungen eine Registrierung bei der nationalen Behörde, und genau hier passieren die ersten Versäumnisse.

Registrierung bedeutet typischerweise, die Einrichtung zu identifizieren, ihre Sektorzuordnung, ihre Dienste, ihre Kontaktpunkte für Sicherheitsfragen und die Mitgliedstaaten, in denen sie tätig ist. Die Fristen unterscheiden sich je Land, und der Prozess ist oft aufwendiger als ein Webformular.

Gehen Sie nicht davon aus, ausgenommen zu sein, weil die Behörde sich nicht gemeldet hat. NIS2 arbeitet mit Selbstidentifikation. Es ist Ihre Aufgabe, den Anwendungsbereich zu bestimmen und sich zu registrieren, nicht die Aufgabe der Behörde, Sie zu finden.

Der Meldezeitplan

Die Meldung von Sicherheitsvorfällen ist der operativ anspruchsvollste Teil der Richtlinie, und die Fristen sind eng.

• Innerhalb von 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls: eine Frühwarnung mit der Angabe, ob der Vorfall vermutlich auf rechtswidrige oder böswillige Handlungen zurückgeht und ob er grenzüberschreitende Auswirkungen haben könnte.
• Innerhalb von 72 Stunden: eine Meldung des Vorfalls, die die Frühwarnung um eine erste Bewertung, Schweregrad, Auswirkungen und Kompromittierungsindikatoren ergänzt.
• Auf Anfrage: Zwischenberichte zum Stand.
• Innerhalb eines Monats: ein Abschlussbericht mit ausführlicher Beschreibung, Art der Bedrohung oder Ursache, ergriffenen Abhilfemaßnahmen und etwaigen grenzüberschreitenden Auswirkungen.

Ein erheblicher Sicherheitsvorfall ist einer, der schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann, oder der andere durch erhebliche materielle oder immaterielle Schäden betroffen hat oder betreffen kann.

Die 24-Stunden-Frühwarnung ist der harte Teil. Vierundzwanzig Stunden reichen nicht zur Untersuchung. Es ist eine Vorwarnung, und die Richtlinie erwartet sie als solche. Teams, die erst melden wollen, wenn sie den Vorfall verstanden haben, verfehlen das Fenster jedes Mal.

Wer außerdem personenbezogene Daten verarbeitet, führt möglicherweise parallel eine DSGVO-Meldung binnen 72 Stunden an eine andere Behörde mit anderem Anwendungsbereich und anderer Schwelle. Diese Prozesse müssen gemeinsam entworfen werden, was wir in unserem DSGVO-Leitfaden behandeln.

Die zehn Maßnahmen

Artikel 21 verlangt Risikomanagementmaßnahmen in mindestens zehn Bereichen. In Klartext:

1. Risikoanalyse und Konzepte für die Sicherheit von Informationssystemen. Dokumentiert, aktuell und tatsächlich von den Menschen genutzt, die Systeme betreiben.
2. Bewältigung von Sicherheitsvorfällen. Erkennung, Reaktion, Wiederherstellung und der oben beschriebene Meldeworkflow.
3. Betriebskontinuität und Krisenmanagement. Backup-Management, Notfallwiederherstellung und ein getesteter Restore statt eines eingeplanten Backup-Jobs.
4. Sicherheit der Lieferkette. Weiter unten gesondert behandelt, weil dort der meiste Aufwand liegt.
5. Sicherheit bei Erwerb, Entwicklung und Wartung. Sichere Entwicklungspraktiken, Umgang mit Schwachstellen und Offenlegung.
6. Bewertung der Wirksamkeit. Wie Sie wissen, dass Ihre Kontrollen funktionieren. Tests, Audits, Kennzahlen.
7. Cyberhygiene und Schulung. Grundpraktiken und Sensibilisierung, auch für die Leitung.
8. Konzepte für Kryptografie und Verschlüsselung. Wo Verschlüsselung eingesetzt wird und wie Schlüssel verwaltet werden.
9. Personalsicherheit, Zugriffskontrolle und Anlagenverwaltung. Eintritte, Wechsel, Austritte, minimale Rechte und ein aktuelles Anlagenverzeichnis.
10. Multi-Faktor-Authentifizierung und gesicherte Kommunikation. MFA oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie Notfallkommunikationssysteme.

Nichts davon ist exotisch. Die Lücke liegt in den meisten Organisationen nicht im Wissen, was zu tun ist, sondern in den Nachweisen. Die NIS2-Aufsicht ist dokumentationslastig, und eine undokumentierte Kontrolle ist faktisch keine.

Die Lieferkette ist die eigentliche Arbeit

Die folgenreichste Änderung in NIS2 ist die Betonung des Lieferkettenrisikos. Erfasste Einrichtungen müssen die Sicherheitspraktiken ihrer direkten Lieferanten und Dienstleister berücksichtigen, einschließlich der Qualität ihrer Produkte und ihrer sicheren Entwicklungspraktiken.

Praktisch kaskadiert das. Ein erfasstes Krankenhaus gibt Anforderungen an seine Softwareanbieter weiter. Diese geben Anforderungen an ihre Hosting-Anbieter und Komponentenlieferanten weiter. Unternehmen weit außerhalb des formalen Anwendungsbereichs beantworten am Ende aus NIS2 abgeleitete Sicherheitsfragebögen, weil ihr Kunde erfasst ist.

Wer Software oder Dienstleistungen in einen der gelisteten Sektoren verkauft, sollte erwarten:

• Sicherheitsfragebögen als Standardbestandteil der Beschaffung, vor dem Vertrag statt danach.
• Vertragliche Sicherheitsanforderungen einschließlich Meldefristen für Vorfälle, die in die 24-Stunden-Pflicht Ihres Kunden münden.
• Nachweisanfragen: Zusammenfassungen von Penetrationstests, SOC-2- oder ISO-27001-Status, Dokumentation des Schwachstellenmanagements, SBOMs.
• Prüfrechte.

Die effiziente Antwort ist, das Nachweispaket einmal zu bauen. Was Kunden fragen, ist über Fragebögen hinweg weitgehend gleich, und die Artefakte überschneiden sich stark mit den Pflichten aus dem Cyber Resilience Act. Bauen Sie eine SBOM-Pipeline, einen dokumentierten Prozess zum Umgang mit Schwachstellen und ein Incident-Runbook, und Sie haben den Großteil von beidem beantwortet.

Haftung der Leitung

NIS2 macht Leitungsorgane dafür verantwortlich, Cybersicherheitsmaßnahmen zu billigen und ihre Umsetzung zu überwachen, und Mitgliedstaaten können sie persönlich haften lassen. Die Leitung muss außerdem Schulungen absolvieren.

Deshalb bewegen sich NIS2-Gespräche in Unternehmen schneller als die meisten Compliance-Themen. Persönliche Haftung ändert, wie schnell ein Vorstand ein Budget freigibt.

Sanktionen

Für wesentliche Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent. Behörden können außerdem verbindliche Anweisungen erteilen, die Veröffentlichung der Nichteinhaltung anordnen und in schweren Fällen Zertifizierungen aussetzen oder Personen vorübergehend die Ausübung von Leitungsfunktionen untersagen.

Womit anfangen, wenn Sie noch nicht begonnen haben

Eine praktikable Reihenfolge für eine Organisation, die nahe bei null startet:

Anwendungsbereich sauber bestimmen. Sektor, Größe und die Mitgliedstaaten, in denen Sie niedergelassen sind. Holen Sie das schriftlich von Ihren Juristen, denn alles Weitere folgt daraus.

Registrieren. Prüfen Sie Frist und Verfahren Ihrer nationalen Behörde. Ist die Frist verstrichen, registrieren Sie sich trotzdem.

Das Anlagenverzeichnis bauen. Risiko lässt sich nicht für Systeme managen, die nicht gelistet sind. Das ist das Artefakt mit dem größten Hebel und das am häufigsten fehlende.

Das Incident-Runbook schreiben und üben. Fokus auf den 24-Stunden-Pfad. Wer ruft aus, wer bewertet grenzüberschreitende Auswirkungen, wer reicht ein, und was passiert um drei Uhr morgens an einem Feiertag.

Die Lieferantenprüfung machen. Kritische Lieferanten listen, bewerten und Sicherheitsklauseln bei Verlängerung in die Verträge bringen.

Die offensichtlichen Lücken schließen. MFA überall, getestete Backups, Patch-Management, Zugriffsüberprüfungen, Protokollierung. Unspektakulär, und genau das schaut ein Audit zuerst an.

Laufend dokumentieren. Kein Richtlinienordner, der hinterher geschrieben wird. Entscheidungen festgehalten, wenn sie getroffen werden, mit Datum und Verantwortlichen.

Eine ehrliche Anmerkung zum Aufwand

Für eine Organisation mit funktionierendem Sicherheitsprogramm ist NIS2 überwiegend eine Dokumentations- und Meldeübung. Für eine Organisation ohne ein solches ist es ein echter Aufbau, gemessen in Quartalen statt Wochen.

Der Fehler ist, es als Compliance-Projekt der Rechtsabteilung zu behandeln. Die Pflichten sind operativ. Sie leben bei den Menschen, die Systeme betreiben, und die Artefakte bleiben nur aktuell, wenn sie Teil der Arbeitsweise des Teams sind statt etwas, das für ein Audit produziert wird.

Hilfe bekommen

Wir bauen und betreiben Softwaresysteme für Unternehmen in ganz Europa, einschließlich Überwachung, Protokollierung, Backups und der Lieferkettentransparenz, die NIS2 erwartet. Nützlich sind wir auf der technischen Seite: die Kontrollen real machen und die Nachweise zum Nebenprodukt der normalen Arbeit statt zu einem eigenen Kraftakt.

Schreiben Sie an office@c9group.dev. Unser Leitfaden zur EU-Digital-Compliance 2026 zeigt, wie NIS2 zu allem anderen passt, das dieses Jahr landet, und die Seite zur Wartung von Bestandssystemen beschreibt die Arbeit, die meist zuerst kommt.

Wir sind keine Kanzlei und erteilen keine Rechtsauskünfte. Besonders die Bestimmung des Anwendungsbereichs gehört zu Ihren Juristen.