NIS-2-Richtlinie: Rund 30.000 Organisationen müssen Prozesse nachweisbar steuern
Veröffentlicht am: 12.10.2026 um 17:09 Uhr | Redaktion boerse-global.de
Aktuelle Fachbeiträge und Leitfäden stellen die praktische Umsetzung der europäischen NIS-2-Richtlinie in den Mittelpunkt und weisen auf erhebliche Risiken durch mangelnde Prozessgovernance sowie unzureichende Dokumentation hin.
Unternehmen stehen vor der Herausforderung, regulatorische Vorgaben nicht nur technisch, sondern auch organisatorisch nachweisbar zu erfüllen. Die Richtlinie verlangt klare Sicherheitsabläufe, bei denen Entscheidungswege, Verantwortlichkeiten und Prozesse transparent nachvollzogen werden können.
Gewachsene IT-Strukturen erschweren Nachweispflichten
In vielen Betrieben treffen die neuen Anforderungen auf gewachsene Arbeitsweisen. Wie Branchenanalysen aufzeigen, dominieren in der Praxis häufig Flickenteppiche aus E-Mail-Verkehr, SharePoint-Ablagen, Ticketsystemen, Tabellenkalkulationen und isolierten Einzeldokumenten. Kritisches Prozesswissen liegt dabei vielfach ausschließlich in den Köpfen einzelner Mitarbeiter.
Die NIS-2-relevanten Pflichten gehen jedoch weit über den klassischen Bereich der reinen IT-Sicherheit hinaus. Nachweisbare Prozesse werden unter anderem für das Berechtigungsmanagement, das Offboarding externer Dienstleister, Gerätewechsel, technische Änderungen, Schulungsnachweise, das Melden von Sicherheitsvorfällen sowie den physischen Zutritt zu sensiblen Bereichen verlangt.
Als organisatorischer Lösungsansatz werden digitale Workflows ohne aufwendige Eigenprogrammierung diskutiert. Solche Systeme ermöglichen feste Rollen, Pflichtfelder, Validierungsregeln, strukturierte Freigaben und eine automatisierte Dokumentation inklusive Status, Zeitstempel und namentlicher Zuweisung.
Wer die komplexen Dokumentationspflichten moderner Sicherheitsrichtlinien effizient bewältigen möchte, profitiert von strukturierten Vorlagen für die IT-Governance. Dieses kostenlose E-Book liefert praxisnahe Informationen zu aktuellen Bedrohungen und zeigt, wie Sie gesetzliche Anforderungen ohne hohe Investitionen erfüllen. IT-Sicherheit stärken und gesetzliche Vorgaben erfüllen
Persönliche Verantwortung der Geschäftsleitung und Meldefristen
Auf nationaler Ebene verpflichtet das Regelwerk nach Paragraf 38 des Gesetzes über das Bundesamt für Sicherheit in der Informationstechnik (BSIG) die Geschäftsleitung unmittelbar. Die Unternehmensführung trägt die persönliche Verantwortung für das Risikomanagement und muss dessen Umsetzung überwachen, womit direkte Haftungsrisiken einhergehen.
Nach Schätzungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) betrifft die Verpflichtung zu einem systematischen Risikomanagement rund 29.500 Einrichtungen. Insgesamt wird von etwa 30.000 betroffenen Organisationen ausgegangen, während es zuvor circa 4.500 waren.
Bei Verstößen drohen spürbare Sanktionen: Für besonders wichtige Einrichtungen sieht der Bußgeldrahmen Strafen von bis zu 10 Millionen Euro oder bis zu 2 Prozent des weltweiten Jahresumsatzes vor. Bei wichtigen Einrichtungen liegen die Obergrenzen bei bis zu 7 Millionen Euro oder bis zu 1,4 Prozent. Alternativ werden in Fachberichten Bußgelder von bis zu 20 Millionen Euro oder bis zu 2 Prozent des weltweiten Jahresumsatzes angeführt.
Bei Verstößen drohen spürbare Sanktionen: Für besonders wichtige Einrichtungen sieht der Bußgeldrahmen Strafen von bis zu 10 Millionen Euro oder bis zu 2 Prozent des weltweiten Jahresumsatzes vor. Bei wichtigen Einrichtungen liegen die Obergrenzen bei bis zu 7 Millionen Euro oder bis zu 1,4 Prozent. Alternativ werden in Fachberichten Bußgelder von bis zu 20 Millionen Euro oder bis zu 2 Prozent des weltweiten Jahresumsatzes angeführt.
Zudem greifen strenge Vorgaben bei IT-Vorfällen. Erhebliche Sicherheitsvorfälle müssen nach Paragraf 32 BSIG in einem mehrstufigen Verfahren gemeldet werden: Eine erste Meldung an das BSI hat binnen 24 Stunden zu erfolgen, gefolgt von einer detaillierteren Meldung innerhalb von 72 Stunden und einem abschließenden Bericht nach spätestens einem Monat.
Angesichts drohender Bußgelder und neuer Cyberrisiken durch KI müssen Verantwortliche ihre rechtlichen Pflichten genau kennen. Dieser kostenlose Report klärt auf, welche Maßnahmen Unternehmer jetzt ergreifen sollten, um ihre IT-Infrastruktur proaktiv abzusichern. Gratis-Report zu neuen Cyberrisiken und Rechtsplichten anfordern
Sicherheitsanforderungen erfassen auch die Lieferkette
Ein zentraler Bestandteil der Vorgaben betrifft die Sicherheit in der Lieferkette gemäß Paragraf 30 Absatz 2 Nummer 4 BSIG und Artikel 21 der europäischen Richtlinie. Unternehmen müssen vertragliche Mindeststandards für Zulieferer definieren und deren Einhaltung kontrollieren.
Dazu zählen Vorgaben zu Multi-Faktor-Authentifizierung, Patch-Pflichten, Incident-Meldungen sowie Prüfrechte. Bei Vor-Ort-Prüfungen entstehen für Hochrisiko-Lieferanten erhebliche Auditkosten, die sich laut Branchenberichten pro Anbieter auf 10.000 bis 50.000 Euro belaufen können.
Wie dringlich ein ganzheitlicher Schutz ist, verdeutlichen auch Erhebungen des Digitalverbands Bitkom: In der Studie Wirtschaftsschutz 2025 gaben 87 Prozent der befragten deutschen Unternehmen an, von Datendiebstahl, Spionage oder Sabotage betroffen gewesen zu sein.
Der Gesamtschaden belief sich laut Bitkom auf 289,2 Milliarden Euro. Für betroffene Unternehmen wird die lückenlose Dokumentation aller Sicherheits- und Notfallprozesse damit nicht nur zu einer regulatorischen Pflicht, sondern zum operativen Schutzfaktor.
