NIS2 in der Praxis: Umsetzung im Mittelstand

Q: Wie lange dauert eine NIS2-Gap-Analyse?

Für einen typischen mittelständischen Betrieb mit 50 bis 250 Mitarbeitern dauert eine strukturierte NIS2-Gap-Analyse 3 bis 5 Beratungstage. Das Ergebnis ist ein priorisierter Maßnahmenkatalog mit P0- bis P3-Einstufung, der als Grundlage für die Umsetzungsplanung dient. Unternehmen mit vorhandener Dokumentation — etwa bestehende Richtlinien, ein Risikoregister oder eine ISO 27001-Zertifizierung — kommen oft mit 2 bis 3 Tagen aus, da große Teile der §30-Anforderungen bereits abgedeckt sind. Der Ablauf umfasst typischerweise vier Phasen: Dokumentensichtung und Vorbereitung, Interviews mit IT-Leitung und Geschäftsführung, Abgleich des Ist-Zustands mit den 135 BSI-Kontrollen (KdA v1.2) und Erstellung des priorisierten Maßnahmenplans. Die Gap-Analyse liefert nicht nur eine Bestandsaufnahme, sondern auch eine realistische Aufwandsschätzung für die Umsetzung — inklusive Zeitrahmen und Ressourcenbedarf pro Maßnahme.

Q: Müssen ISO 27001-zertifizierte Unternehmen NIS2-Maßnahmen erneut umsetzen?

Nicht vollständig, aber ergänzend. ISO 27001 deckt nach Branchenkonsens aus Mapping-Analysen rund 70 bis 80 Prozent der §30-BSIG-Anforderungen ab — insbesondere Risikomanagement, Zugangskontrollen, ISMS-Dokumentation und Maßnahmensteuerung. Nicht automatisch erfüllt sind drei NIS2-spezifische Pflichten: die BSI-Registrierung nach §33 mit ELSTER-Organisationszertifikat und MELDEX-Portal-Zugang, die dreistufige Meldepflicht nach §32 mit den gesetzlich fixierten Fristen von 24 Stunden, 72 Stunden und 30 Tagen sowie die persönliche Geschäftsleiterhaftung nach §38 BSIG, die über das allgemeine ISO-27001-Leadership-Commitment hinausgeht. Ein gezielter NIS2-Gap-Check auf Basis der bestehenden ISO-Dokumentation identifiziert in ein bis zwei Beratungstagen, welche konkreten Lücken zu schließen sind. ISO-27001-zertifizierte Unternehmen haben damit einen erheblichen Startvorteil — der Umsetzungsaufwand reduziert sich typischerweise um 60 bis 70 Prozent gegenüber Unternehmen ohne bestehendes ISMS.

Q: Was kostet ein NIS2-Audit?

Der Aufwand für ein NIS2-Audit variiert je nach Unternehmensgröße, Komplexität der IT-Landschaft und Ausgangszustand der Dokumentation. Bei kleinen bis mittleren Einrichtungen mit 50 bis 250 Mitarbeitern und vorhandener Dokumentation (Richtlinien, Risikoregister, Netzwerkdokumentation) sind 3 bis 5 Prüftage realistisch. Bei größeren oder weniger vorbereiteten Einrichtungen können 8 bis 15 Tage anfallen — insbesondere wenn ein ISMS erst aufgebaut werden muss. Das Audit umfasst vier Phasen: Dokumentensichtung und Planung, Interviews mit IT-Leitung und Geschäftsführung, technische Stichproben und Kontrolltests sowie die Erstellung eines Prüfberichts mit priorisierten Nachbesserungsempfehlungen. Der Abschlussbericht dient als Nachweisdokument gegenüber dem BSI nach §39 BSIG und kann für eine spätere ISO 27001-Zertifizierung als Vorarbeit genutzt werden. Die Vorbereitung beschleunigt den Prozess erheblich.

Auf einen Blick

Die NIS2-Umsetzung folgt vier Phasen: Betroffenheit und Scoping, Gap-Analyse, Maßnahmenplan und Dokumentation. Ausgangspunkt ist die präzise Scope-Definition — NIS2 gilt nur für die Netz- und Informationssysteme der wesentlichen Dienste, nicht das gesamte Unternehmen. Die Gap-Analyse vergleicht den Ist-Zustand mit §30 BSIG und identifiziert priorisierte Handlungsfelder. Der Maßnahmenplan folgt einer P0–P3-Priorisierung: P0-Sofortmaßnahmen (fehlende MFA, kein Backup) innerhalb von 4 Wochen, P1-Maßnahmen (Risikoanalyse, Incident-Response-Plan) bis Monat 3, P2-Maßnahmen (Lieferantenaudits, Netzwerksegmentierung) bis Monat 6, P3-Optimierungen (ISO 27001, NIS2-Audits) bis Monat 12. Unternehmen mit bestehendem ISMS nach ISO 27001 oder BSI IT-Grundschutz erfüllen bereits 70–80 % der NIS2-Anforderungen. Drei häufige Fehler: NIS2 als reines IT-Projekt behandeln, den Scope zu weit fassen und auf abschließende BSI-Merkblätter warten. Wer jetzt mit Gap-Analyse und P0-Maßnahmen beginnt, kann bis Mitte 2026 grundkonform sein.

Die NIS2-Umsetzung lässt sich in vier aufeinander aufbauende Phasen gliedern. Dieser strukturierte Ansatz hilft mittelständischen Unternehmen, die Anforderungen effizient und ohne unnötige Doppelarbeit zu erfüllen — und dabei Synergien mit bestehenden Zertifizierungen konsequent zu nutzen.

Phase 1: Betroffenheit und Scoping

Bevor eine einzige Maßnahme umgesetzt wird, müssen zwei Fragen geklärt sein:

Bin ich betroffen? Prüfung anhand der Sektoren und Schwellenwerte (≥ 50 Mitarbeiter oder ≥ 10 Mio. EUR Umsatz in einem NIS2-Sektor, §28 BSIG)
Welche Systeme fallen in den Scope? NIS2 gilt für die Netz- und Informationssysteme, die für die Erbringung der wesentlichen Dienste genutzt werden — nicht zwingend für das gesamte Unternehmen

Ein gut definierter Scope ist der wichtigste Hebel zur Aufwandsoptimierung. Wer zu weit fasst, produziert unnötigen Aufwand. Wer zu eng fasst, riskiert Lücken bei einer Behördenprüfung.

Noch unsicher bei der Betroffenheitsfrage? Unser Betroffenheitscheck führt Sie strukturiert durch die Prüfung.

Phase 2: Gap-Analyse

Die Gap-Analyse bildet den Kern der NIS2-Vorbereitung. Sie vergleicht die aktuellen Sicherheitsmaßnahmen mit den NIS2-Anforderungen nach §30 BSIG:

Bereich	Typische Lücken im Mittelstand
Risikoanalyse	Keine formale Risikoanalyse vorhanden oder nicht regelmäßig aktualisiert
Vorfallmeldung	Kein dokumentierter Incident-Response-Plan, keine definierte Meldekette zum BSI
Zugangskontrolle	MFA fehlt auf kritischen Systemen, Admin-Rechte zu weitreichend vergeben
Lieferkette	Keine Sicherheitsanforderungen in Lieferantenverträgen verankert
Backups	Keine getesteten Wiederherstellungsverfahren, 3-2-1-Regel nicht umgesetzt
Schulungen	Awareness-Trainings nicht dokumentiert, Geschäftsleitung nicht einbezogen
Dokumentation	Richtlinien veraltet, fehlen oder sind nicht behördenkonform

Das Ergebnis der Gap-Analyse ist eine priorisierte Liste von Handlungsfeldern — die Grundlage für den Maßnahmenplan.

Phase 3: Maßnahmenplan und Umsetzung

Nicht alle Maßnahmen sind gleich dringend. Bewährt hat sich eine P0–P3-Priorisierung:

P0 – Sofortmaßnahmen (Woche 1–4): Kritische Lücken mit hohem Schadenspotenzial — z. B. fehlende MFA auf Admin-Zugängen, kein getestetes Backup, offene kritische Schwachstellen
P1 – Kurzfristig (Monat 1–3): Wesentliche Maßnahmen für die Grundkonformität — Risikoanalyse, Incident-Response-Plan, BSI-Registrierung, grundlegende Richtlinien
P2 – Mittelfristig (Monat 3–6): Vertiefende Maßnahmen — Netzwerksegmentierung, Lieferantenaudits, strukturiertes Awareness-Programm
P3 – Langfristig (Monat 6–12): Optimierungen und Zertifizierungen — ISO 27001, NIS2-Audits, kontinuierliches Monitoring und Reporting

Synergien nutzen: Wer bereits ein ISMS nach ISO 27001 oder BSI IT-Grundschutz betreibt, deckt 70–80 % der NIS2-Anforderungen bereits ab. §17 KRITIS-DachG erlaubt zudem, NIS2-Nachweise für DachG-Anforderungen anzurechnen — mehr dazu im Artikel über das Dual-Regime.

Phase 4: Dokumentation und Nachweisführung

Konformität muss nachweisbar sein. Das BSI wird betroffene Unternehmen prüfen — und im Schadensfall ist eine lückenlose Dokumentation auch haftungsrechtlich entscheidend.

Mindestens erforderlich sind:

Risikoanalyse (aktuell, datiert, von der GL freigegeben)
Richtlinienwerk (Informationssicherheitsrichtlinie, Passwort-Policy, BYOD-Policy)
Incident-Response-Plan mit definierten Meldewegen und Eskalationsstufen zum BSI
Schulungsnachweise für die Geschäftsleitung und Mitarbeitende
BSI-Registrierung (Frist für besonders wichtige Einrichtungen abgelaufen — März 2026, sofern noch nicht erfolgt: umgehend nachholen)
Lieferantenverträge mit Sicherheitsklauseln (AVVs, SLAs, Sicherheitsanforderungen)

Dokumentationsbeispiel: Informationssicherheits-Leitlinie

Ein häufig fehlender Startpunkt ist eine kurze, aber verbindliche Informationssicherheits-Leitlinie (Information Security Policy). Sie muss maximal 2–3 Seiten umfassen und folgende Mindestinhalte abdecken:

Geltungsbereich: Welche Systeme, Standorte und Prozesse fallen unter das ISMS?
Schutzziele: Vertraulichkeit, Integrität und Verfügbarkeit (CIA) der wesentlichen Dienste
Verantwortlichkeiten: Geschäftsführung (Gesamtverantwortung), IT-Leitung (operative Umsetzung), alle Mitarbeitenden (Einhaltung der Richtlinien)
Risikomanagement: Verweis auf das Risikoanalyseverfahren und die Bewertungskriterien
Überprüfung: Jährliche Review durch die Geschäftsleitung mit Freigabe-Datum und Unterschrift

Das Dokument muss schriftlich vorliegen, von der Geschäftsleitung unterschrieben sein und für alle Mitarbeitenden zugänglich sein. Es ist Pflicht-Bestandteil bei BSI-Prüfungen und NIS2-Audits — und gleichzeitig ein Signal an Behörden und Kunden, dass Cybersicherheit im Unternehmen strategisch verankert ist.

Ein strukturiertes Compliance-Dokumenten-Management erleichtert die jährliche Überprüfung und Aktualisierung.

Aufwandsschätzung nach Unternehmensgröße

Der Umsetzungsaufwand hängt stark vom Ausgangszustand und der Unternehmensgröße ab. Die folgenden Richtwerte basieren auf Erfahrungswerten aus der Beratungspraxis:

Unternehmensgröße	Interner Aufwand	Beratungsbedarf	Laufzeit bis Grundkonformität
50–100 MA, kein ISMS	3–6 Personenmonate	10–20 Beratungstage	6–9 Monate
100–250 MA, teilweise ISMS	5–10 Personenmonate	15–30 Beratungstage	9–12 Monate
Ab 250 MA (BwE)	10–20 Personenmonate	20–50 Beratungstage	12–18 Monate

Unternehmen mit bestehendem ISO 27001-Zertifikat reduzieren den Initialaufwand in der Regel um 40–60 % — weil Risikoanalyse, Richtlinienwerk und Dokumentationsstruktur bereits vorhanden sind. Der verbleibende Aufwand betrifft vor allem NIS2-spezifische Elemente: BSI-Registrierung, MELDEX-Anbindung für Vorfallmeldungen und den formalen Nachweis nach §30 BSIG gegenüber dem BSI.

Drei Fehler, die Sie vermeiden sollten

In der Beratungspraxis begegnen uns immer wieder dieselben Stolperfallen:

NIS2 als reines IT-Projekt behandeln — Die Geschäftsführung muss aktiv eingebunden sein, nicht nur informiert werden. §38 BSIG schreibt persönliche Haftung und Schulungspflicht der GL ausdrücklich fest.
Den Scope zu weit fassen — Nicht jedes IT-System muss NIS2-konform sein, sondern nur die kritischen Dienste. Ein präziser Scope spart erheblichen Aufwand.
Auf "finale Auslegungen" warten — Die Pflichten gelten bereits. Wer auf abschließende BSI-Merkblätter wartet, verliert wertvolle Zeit und riskiert, die Fristen zu reißen.

Fazit: Schrittweise, aber zügig

Die NIS2-Umsetzung ist kein Sprint, sondern ein strukturierter Prozess. Wer jetzt mit Gap-Analyse und P0-Maßnahmen beginnt, kann bis Mitte 2026 die wesentlichen Anforderungen erfüllen — ohne überdimensionierte Investitionen und ohne Doppelarbeit.

Die Grundlagen zur NIS2-Betroffenheit und zu den Pflichten im Überblick finden Sie in unserem Einführungsartikel: NIS2-Grundlagen: Was Unternehmen jetzt wissen müssen

Häufige Fragen zur NIS2-Umsetzung, zum ISMS-Aufbau und zu Fristen beantwortet unser FAQ.

Unser Angebot: In einem kostenlosen Erstgespräch von 30–60 Minuten erstellen wir von NIS2 Service gemeinsam eine erste Einschätzung Ihres NIS2-Reifegrads und zeigen konkrete nächste Schritte. Jetzt Termin vereinbaren

Häufige Fragen zur NIS2-Umsetzung

Wie lange dauert eine NIS2-Gap-Analyse?

Für einen typischen mittelständischen Betrieb (50–250 MA) dauert eine strukturierte Gap-Analyse 3–5 Beratungstage. Das Ergebnis ist ein priorisierter Maßnahmenkatalog mit P0–P3-Einstufung. Entscheidend ist, dass die Analyse alle §30 BSIG-Bereiche abdeckt — nicht nur IT-Sicherheit, sondern auch Lieferkette, Schulungen und Dokumentation. Unternehmen, die bereits Vorarbeit geleistet haben (vorhandene Richtlinien, Risikoregister), kommen oft mit 2–3 Tagen aus.

Müssen ISO 27001-zertifizierte Unternehmen NIS2-Maßnahmen erneut umsetzen?

Nicht vollständig, aber ergänzend. ISO 27001 deckt die meisten §30 BSIG-Anforderungen ab — aber NIS2-spezifische Elemente fehlen: die BSI-Registrierung, die 24h/72h-Meldepflicht mit eingerichtetem MELDEX-Zugang und der formale Nachweis gegenüber dem BSI (Audit, Zertifizierung oder Eigenerklärung). Ein NIS2-Gap-Check identifiziert in 1–2 Tagen, welche Lücken zu schließen sind — der Aufwand ist bei bestehender ISO 27001-Zertifizierung überschaubar.

Was kostet ein NIS2-Audit?

Der Aufwand variiert je nach Scope und Ausgangszustand. Bei kleinen bis mittleren Einrichtungen mit vorhandener Dokumentation sind 3–5 Prüftage realistisch. Bei größeren oder weniger vorbereiteten Einrichtungen können 8–15 Tage anfallen. Das Audit umfasst Dokumentensichtung, Interviews mit IT und Geschäftsleitung, technische Stichproben sowie einen strukturierten Prüfbericht mit Nachbesserungsempfehlungen. Unternehmen mit ISO 27001 können bestehende Prüfnachweise für Teile des NIS2-Audits anrechnen lassen.

Stand: März 2026. Für eine individuelle rechtliche Einordnung empfehlen wir eine Beratung durch Fachexperten.