Warum scheitert NIS2-Compliance, wenn sie nur der IT-Abteilung übertragen wird?

NIS2 scheitert als reines IT-Projekt aus einem strukturellen Grund: §38 BSIG weist die Verantwortung für Risikomanagement-Maßnahmen der Geschäftsleitung persönlich zu — diese Pflicht ist nicht delegierbar, auch nicht an den CISO oder IT-Leiter. NIS2 fordert nach §30 BSIG ausdrücklich organisatorische und technische Maßnahmen — in dieser Reihenfolge. Organisatorische Maßnahmen liegen außerhalb des Zuständigkeitsbereichs der IT: Das Lieferantenmanagement nach §30 Abs. 2 Nr. 4 erfordert Einkauf und Vertragsrecht. Die 3-stufigen Meldeprozesse nach §32 brauchen Koordination zwischen HR, Rechtsabteilung, Kommunikation und IT — die 24-Stunden-Frühwarnung an das BSI muss ohne Eskalationsweg aus der IT organisiert werden. Das Business Continuity Management nach §30 Abs. 2 Nr. 2 betrifft alle Geschäftsprozesse. Die GL-Schulungspflicht nach §38 Abs. 3 richtet sich an die Geschäftsleitung selbst. Hinzu kommt: 25 % der 29.500 betroffenen Unternehmen haben noch nicht begonnen — viele davon deshalb, weil sie NIS2 irrtümlich als IT-Budget-Frage verstehen. Die 135 BSI-Kontrollen (KdA v1.2) verteilen sich auf neun Bereiche, die alle Unternehmensfunktionen betreffen. Fehlende Governance bedeutet fehlende Dokumentation — und fehlende Dokumentation bedeutet Audit-Versagen nach §39.

Welche drei Säulen braucht eine NIS2-Compliance-Strategie?

Eine tragfähige NIS2-Compliance-Strategie besteht aus drei gleichwertigen Säulen, wobei Governance zuerst kommt. Säule 1 — Governance: GL-Haftung nach §38 BSIG mit persönlicher Billigung und Überwachung der Risikomanagement-Maßnahmen. ISMS nach ISO 27001 als strukturelles Fundament mit Rollen, Verantwortlichkeiten und Eskalationspfaden. Risikomanagement und Schutzbedarfsfeststellung. Regelmäßige Wirksamkeitsmessung als Nachweisgrundlage für §39-Audits. Ohne Governance bleiben Technik und Organisation wirkungslos. Säule 2 — Technik: SIEM/SOC/MDR für Angriffserkennung (SzA) nach BSI-77 bis BSI-97. EDR und Zero-Trust-Architektur für Endpunkt- und Netzwerksicherheit. Identity und Access Management (IAM) mit MFA nach §30 Abs. 2 Nr. 10. Vulnerability Management, Backup-Konzepte und Netzwerksegmentierung. Säule 3 — Organisation: GL-Schulungspflicht nach §38 Abs. 3 (mindestens 4 Stunden pro Jahr). Business Continuity Management nach §30 Abs. 2 Nr. 2. Lieferantenmanagement nach §30 Abs. 2 Nr. 4 mit vertraglicher Weitergabe von Sicherheitsanforderungen. Dreistufige Meldeprozesse nach §32: 24-Stunden-Frühwarnung, 72-Stunden-Aktualisierung, 1-Monat-Abschlussbericht. Vollständige Dokumentation aller Maßnahmen als §39-Nachweis. Alle drei Säulen sind gleichzeitig erforderlich — fehlende Dokumentation in Säule 3 macht technisch perfekte Maßnahmen aus Säule 2 für Audits wertlos.

Wie hilft ISO 27001 bei der NIS2-Umsetzung?

ISO 27001 hilft bei der NIS2-Umsetzung, indem es 70–80 % der Anforderungen aus §30 BSIG abdeckt. Das Mapping basiert auf den BSI-Kontrollen (KdA v1.2): ISO 27001:2022 Annex A ist auf alle 135 Kontrollen referenziert. Konkret übernimmt ISO 27001: Risikomanagement und Asset Management, Zugangskontrolle (§30 Abs. 2 Nr. 10), Kryptographie (§30 Abs. 2 Nr. 8), physische Sicherheit (§30 Abs. 2 Nr. 7), Lieferantenmanagement (§30 Abs. 2 Nr. 4), Incident Management (§30 Abs. 2 Nr. 3) und Business Continuity (§30 Abs. 2 Nr. 2). Was ISO 27001 nicht abdeckt: Die BSI-Registrierung nach §33 mit ELSTER-Organisationszertifikat und MELDEX-Portal-Zugang. Die dreistufige Meldepflicht nach §32 mit den gesetzlich fixierten Fristen. Die GL-Haftung nach §38 — ISO 27001 fordert Leadership Commitment, aber keine persönliche, unabdingbare Haftung. Die explizite SIEM/SOC-Pflicht (SzA) nach BSI-77 bis BSI-97. Für Unternehmen mit bestehendem ISMS: Eine gezielte Gap-Analyse identifiziert in 1–2 Beratungstagen die verbleibenden NIS2-Lücken und reduziert den Gesamtaufwand um 60–70 %. Für Unternehmen ohne ISMS: ISO 27001 als Fundament aufzubauen ist der effizienteste Weg zur NIS2-Compliance — strukturierter als ein direkter NIS2-Ansatz, nachhaltiger und auditierter.

Warum NIS2 als reines IT-Projekt scheitern wird

Auf einen Blick

NIS2 ist kein IT-Projekt — es ist ein Organisationsprojekt mit IT-Komponenten. Das NIS2UmsuCG fordert ausdrücklich organisatorische und technische Maßnahmen, in dieser Reihenfolge. Von 29.500 betroffenen Unternehmen in Deutschland haben 25 % noch nicht begonnen. Die drei Säulen einer tragfähigen Compliance-Strategie sind Governance (GL-Haftung §38, ISMS, Risikomanagement), Technik (SIEM/SOC, EDR, MFA) und Organisation (Schulungen, BCM, Lieferantenmanagement, 3-stufige Meldeprozesse). Ein ISMS nach ISO 27001 deckt bereits 70–80 % der NIS2-Anforderungen ab — wer es als Fundament nutzt, spart erheblichen Umsetzungsaufwand.

NIS2 als reines IT-Projekt zu behandeln ist der häufigste und kostspieligste Fehler, den betroffene Unternehmen machen. Das NIS2UmsuCG fordert sowohl organisatorische als auch technische Maßnahmen — und die Reihenfolge ist kein Zufall. Ohne funktionierende Governance sind technische Lösungen wirkungslos; ohne klare Prozesse bleibt jedes SIEM ein teures Reporting-Tool ohne Konsequenzen.

Der häufigste Fehler: Delegation an die IT-Abteilung

Unternehmen delegieren NIS2 an die IT und erwarten, dass neue Tools und Technologien das Problem lösen. Doch §38 BSIG macht unmissverständlich klar: Die Geschäftsleitung selbst muss Risikomanagement-Maßnahmen persönlich billigen und deren Umsetzung überwachen. Diese Pflicht ist nicht delegierbar — auch nicht an den CISO. Was sich sehr wohl auslagern lässt, ist die operative Rolle darunter: ein externer Informationssicherheitsbeauftragter übernimmt die laufende Steuerung, ohne der Geschäftsleitung ihre Verantwortung abzunehmen.

Was schiefgeht, wenn NIS2 nur als IT-Projekt behandelt wird

IT-Abteilungen können Governance-Anforderungen strukturell nicht allein erfüllen
Klare Rollen, Verantwortlichkeiten und Eskalationspfade fehlen
Meldeprozesse nach §32 (24h/72h/1 Monat) erfordern Koordination zwischen HR, Recht und IT — kein reines IT-Thema
Dokumentation und Nachvollziehbarkeit für §39-Audits werden systematisch unterschätzt
Technische Lösungen bleiben ohne strategische Einbettung wirkungslos

Die BSI-Kontrollen aus dem KdA v1.2 verteilen sich auf neun Bereiche — von ISMS und Strategie bis hin zu Personal und Schulung. 135 Kontrollen, die alle Unternehmensfunktionen betreffen. Kein IT-Budget der Welt ersetzt fehlende Governance-Strukturen.

Die drei Säulen der NIS2-Compliance

1. Governance

Governance ist das Fundament — ohne sie sind Technik und Organisation wirkungslos. Konkret umfasst das:

GL-Haftung nach §38: Persönliche Billigung und Überwachung der Risikomanagement-Maßnahmen durch die Geschäftsleitung
ISMS als strukturelles Fundament: Rollen, Prozesse, Risikobewertung und Wirksamkeitsmessung nach ISO 27001
Risikomanagement und Schutzbedarfsfeststellung: Systematische Bewertung aller Unternehmenswerte
Regelmäßige Wirksamkeitsmessung: Nachweise für §39-Audits, nicht nur einmalige Dokumentation

2. Technik

Die technische Schicht baut auf funktionierender Governance auf. Kernelemente gemäß §30 BSIG:

SIEM/SOC/MDR für Angriffserkennung (SzA) — explizite BSI-Anforderung in KdA-Bereich BSI-77 bis BSI-97
EDR und Zero-Trust-Architektur für Endpunkt- und Netzwerksicherheit
Identity & Access Management (IAM) mit MFA nach §30 Abs. 2 Nr. 10
Vulnerability Management, Backup-Konzepte und Netzwerksegmentierung

3. Organisation

Die dritte Säule verbindet Governance und Technik im täglichen Betrieb:

Schulungen und Awareness: GL-Schulungspflicht nach §38 Abs. 3 (mindestens 4 Stunden/Jahr empfohlen)
Business Continuity Management (BCM): Notfallpläne und Krisenkommunikation
Lieferantenmanagement nach §30 Abs. 2 Nr. 4: Sicherheitsanforderungen vertraglich an die Lieferkette weitergeben
Dreistufige Meldeprozesse: 24h-Frühwarnung, 72h-Aktualisierung, 1-Monat-Abschlussbericht an das BSI

ISMS: Das strukturelle Fundament

Ein Information Security Management System nach ISO 27001 gibt Antworten auf die vier Kernfragen jeder NIS2-Compliance:

Wer ist wofür verantwortlich?
Wie werden Risiken bewertet und behandelt?
Was passiert bei einem Sicherheitsvorfall?
Wie wird die Wirksamkeit gemessen und dokumentiert?

ISO 27001 deckt bereits 70–80 % der NIS2-Anforderungen ab — insbesondere Risikomanagement, Asset Management, Zugangskontrolle, Kryptographie, Lieferantenmanagement, Incident Management und BCM. Wer ein funktionierendes ISMS betreibt, muss nur noch die NIS2-spezifischen Erweiterungen ergänzen: BSI-Registrierung nach §33, 3-stufige Meldepflicht und GL-Schulungspflicht. Den genauen Aufbau eines ISMS als NIS2-Fundament erklärt unser Artikel ISMS: Das Fundament Ihrer NIS2-Compliance.

Markt-Zahlen: Wo stehen deutsche Unternehmen?

29.500 Unternehmen in Deutschland sind von NIS2 betroffen — gegenüber 4.500 unter dem alten §8a BSIG
25 % der Unternehmen haben noch nicht begonnen oder stehen ganz am Anfang
135 BSI-Kontrollen (KdA v1.2) bilden den konkreten Prüfkatalog für §39-Audits
70–80 % der NIS2-Anforderungen werden durch ISO 27001 abgedeckt

Diese Zahlen machen deutlich: Wer jetzt strukturiert beginnt, hat noch einen konkreten Wettbewerbsvorteil — sowohl bei der Compliance als auch bei der Positionierung gegenüber NIS2-pflichtigen Auftraggebern, die Lieferantensicherheit vertraglich einfordern.

Der richtige Ansatz: Fünf Schritte zur integrierten Compliance

Betroffenheit prüfen — sauber analysieren statt raten; Konzernklausel nicht vergessen
ISMS als Fundament aufbauen — Rollen, Prozesse, Governance zuerst
Technische Maßnahmen strategisch einbetten — nicht isoliert als IT-Tickets, sondern in den Governance-Rahmen integriert
Dokumentation von Anfang an — jede Maßnahme nachvollziehbar dokumentieren für §39-Nachweise
Kontinuierlich verbessern — NIS2 ist kein einmaliges Projekt, sondern ein laufender Prozess mit regelmäßigen Wirksamkeitsmessungen

Der effizienteste Einstieg ist eine strukturierte Gap-Analyse in 5 Schritten, die den aktuellen Stand gegen die 135 BSI-Kontrollen abgleicht und einen priorisierten Maßnahmenkatalog nach P0–P3 liefert.

Fazit: NIS2 ist Chefsache — nicht IT-Sache

NIS2-Compliance ist ein Organisationsprojekt mit IT-Komponenten — nicht umgekehrt. Der Schlüssel liegt in einem integrierten Ansatz, der Governance, Technik und Organisation gleichermaßen berücksichtigt und unter GL-Verantwortung koordiniert. Wer jetzt mit einer strukturierten ISMS-Implementierung beginnt, schafft das Fundament für alle weiteren Compliance-Maßnahmen — und reduziert den Gesamtaufwand erheblich gegenüber einem nachträglichen Flickenteppich technischer Einzelmaßnahmen.

Stand: März 2026. Für eine individuelle Einordnung empfehlen wir eine Beratung durch Fachexperten.