# NIS2 technisch umsetzen - Veröffentlicht: 2026-09-26 - Aktualisiert: 2026-10-12 - Quelle: https://art-kon-tor-digital.de/it/cyber-security/nis2/ --- Team IT & KI · IT & Infrastruktur · Cyber Security # NIS2 technisch umsetzen Kurz gesagt NIS2 ist die EU-Richtlinie für Cybersicherheit, die in Deutschland seit Ende 2025 durch das NIS2-Umsetzungsgesetz gilt und deutlich mehr Unternehmen zu Sicherheitsmaßnahmen, Registrierung und Meldepflichten verpflichtet. Wir setzen die technischen und organisatorischen Maßnahmen für betroffene Unternehmen und deren Zulieferer in Thüringen um, Backup, MFA, Protokollierung, Notfallplan, Nachweise. Die rechtliche Einstufung übernimmt deine Rechtsberatung, nicht wir. [NIS2-Gespräch anfragen](#kontakt) [Bin ich betroffen? Zum Check](/it/cyber-security/nis2-check/) ![](https://art-kon-tor-digital.de/wp-content/uploads/2026/09/datacenter-1024x682.webp) ## Zum AnfassenWo die Kette bricht Sieben Phasen eines Angriffs. Schalte Maßnahmen an und sieh, an welcher Stelle der Angriff endet. Je früher, desto besser. 1. 2. 3. 4. 5. 6. 7. Eine Phishing-Mail, ein gestohlenes Passwort oder eine Lücke im Fernzugang: Der Angreifer ist drin. ## BetroffenheitWer von NIS2 betroffen ist NIS2 unterscheidet „besonders wichtige" und „wichtige" Einrichtungen. Ob ein Unternehmen dazugehört, hängt von zwei Dingen ab: dem Sektor und der Größe. Zu den Sektoren zählen unter anderem Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, IT-Dienstleister, Post, Abfall, Chemie, Lebensmittel, das verarbeitende Gewerbe (etwa Maschinenbau, Medizinprodukte, Elektronik und Optik) sowie Forschung. Bei der Größe liegt die Schwelle in der Regel bei 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz; für einige Bereiche gilt sie unabhängig von der Größe. Dazu kommt eine zweite Gruppe, die im Gesetz nicht steht, aber in der Praxis genauso betroffen ist: **Zulieferer**. Wer für ein NIS2-pflichtiges Unternehmen arbeitet, bekommt dessen Anforderungen an die Lieferkette weitergereicht, als Fragebogen, Vertragsklausel oder Audit. In Jena betrifft das viele Betriebe aus Optik, Photonik, Halbleiter und Medizintechnik, die selbst unter der Schwelle liegen. Ehrlich gesagt: Ob dein Unternehmen einstufungspflichtig ist, welche Kategorie gilt und welche Fristen laufen, ist eine rechtliche Frage. Wir geben dir eine erste Einordnung und sagen, wo es eindeutig ist. Die verbindliche Prüfung machen Rechtsanwälte oder die IHK, wir arbeiten gern mit ihnen zusammen, ersetzen sie aber nicht. Für eine erste Einordnung in zwei Minuten gibt es unseren [NIS2-Betroffenheitscheck](/it/cyber-security/nis2-check/): neun Fragen zu Sektor, Größe, Lieferkette und Stand deiner IT, Auswertung im Browser, ohne Datenübertragung. ## AnforderungenWas NIS2 verlangt, und was wir davon umsetzen Das Gesetz schreibt Maßnahmen vor, aber keine Produkte. Für ein KMU heißt das: Die meisten Punkte sind mit soliden IT-Grundlagen erfüllbar, wenn sie dokumentiert sind. ### Risikomanagement und Dokumentation Welche Systeme sind kritisch, welche Risiken bestehen, welche Maßnahmen gibt es dagegen? Wir erfassen deine Umgebung, bewerten die Risiken mit dir und schreiben es so auf, dass es einem Prüfer standhält. Das ist der Teil, den die meisten unterschätzen. ### Umgang mit Vorfällen und Meldung Ein Notfallplan mit Rollen, Kontakten und Reihenfolge, eine Protokollierung, die einen Vorfall überhaupt erkennbar macht, und ein Meldeweg zum BSI, der innerhalb der kurzen gesetzlichen Fristen funktioniert. Wir üben das einmal mit dir durch. ### Betriebskontinuität und Backup Backup nach 3-2-1 mit einer vom Netz getrennten Kopie, dokumentierte Wiederherstellungszeiten, Restore-Tests mit Protokoll. Dazu ein Plan, wie das Unternehmen arbeitet, wenn die IT einen Tag steht. ### Sicherheit der Lieferkette Welche Dienstleister haben Zugriff auf deine Systeme, und wie ist der abgesichert? Wir inventarisieren Fernzugänge, setzen MFA durch und helfen bei den Mindestanforderungen, die du an deine eigenen Lieferanten stellst. ### Zugriff, Verschlüsselung, MFA Mehrfaktor-Anmeldung, zentrale Benutzerverwaltung, Rechte nach Bedarf, verschlüsselte Datenträger und Verbindungen, Asset-Verzeichnis. Das sind die konkreten Punkte, die NIS2 explizit nennt. ### Cyberhygiene und Schulung Patch-Management mit Fristen, sichere Grundkonfiguration, regelmäßige kurze Schulungen für das Team, und für die Geschäftsführung, die nach NIS2 selbst in der Verantwortung steht und das Thema nachweislich kennen muss. ## AblaufVon der Lücke zum Nachweis 1. 1 bis 2 Wochen Gap-Analyse Wir vergleichen den Ist-Zustand deiner IT mit den NIS2-Anforderungen: Was ist erfüllt, was fehlt, was ist dokumentiert? Ergebnis ist eine Tabelle mit Lücken und Prioritäten. 2. 1 Woche Maßnahmenplan Reihenfolge, Aufwand, Verantwortliche. Sofortmaßnahmen zuerst (meist MFA, Backup-Trennung, Protokollierung), dann Dokumentation, dann Prozesse. 3. 2 bis 4 Monate Umsetzung Technik einrichten, Richtlinien schreiben, Notfallplan üben, Schulungen halten. Parallel entsteht die Dokumentation, die bei einer Prüfung vorgelegt wird. 4. laufend Betrieb und Nachweise Monitoring, Restore-Tests, jährliche Überprüfung, Aktualisierung der Dokumente. NIS2 verlangt keine einmalige Umsetzung, sondern einen Zustand, der gehalten wird. ## AbgrenzungWas wir nicht machen Wir sind IT-Dienstleister, keine Rechtsanwälte und keine Zertifizierungsstelle. Das heißt konkret: - Wir entscheiden nicht verbindlich, ob dein Unternehmen unter NIS2 fällt und in welche Kategorie. Wir geben eine Einschätzung und verweisen an die passende Stelle. - Wir vertreten dich nicht gegenüber Behörden und übernehmen keine Meldungen in deinem Namen, wir sorgen dafür, dass du sie technisch abgeben kannst. - Wir stellen keine ISO-27001-Zertifikate aus. Wenn du eine Zertifizierung anstrebst, bauen wir die technische Grundlage und arbeiten mit deinem Auditor zusammen. Was wir machen: die Maßnahmen, die im Gesetz stehen, so umsetzen, dass sie funktionieren und nachweisbar sind. Für viele KMU ist das Ergebnis am Ende dieselbe solide IT, die wir ohnehin empfehlen würden, nur diesmal mit Dokumentation. Wer nicht betroffen ist, verliert mit denselben Maßnahmen nichts: Sie senken das Risiko, egal ob ein Gesetz sie verlangt. ## Ehrlich gesagtWovon der Aufwand abhängt Wir nennen dir einen verbindlichen Rahmen, sobald wir diese Punkte kennen, nach der Gap-Analyse. - **Reifegrad der bestehenden IT**Wer MFA, getestetes Backup und Segmentierung schon hat, braucht vor allem Dokumentation. Wer bei null steht, hat mehr zu tun, aber auch mehr Nutzen. - **Betroffen oder Zulieferer**Ein direkt betroffenes Unternehmen braucht Registrierung, Meldewege und vollständige Nachweise. Ein Zulieferer muss meist einen Kundenfragebogen wahrheitsgemäß bestehen. - **Umfang und Standorte**Anzahl der Systeme, Standorte, Fernzugänge und Dienstleister bestimmt den Aufwand für Inventar, Protokollierung und Lieferkettenprüfung. - **Vorhandene Dokumentation**Gibt es schon Richtlinien, ein Asset-Verzeichnis, einen Notfallplan? Dann bauen wir darauf auf. Sonst entsteht es im Projekt. ## DownloadDie zehn Bereiche als Checkliste Artikel 21 der NIS2-Richtlinie nennt zehn Maßnahmenbereiche, von der Risikoanalyse bis zur Mehrfaktor-Authentifizierung. Unsere Checkliste stellt zu jedem Bereich drei bis vier Fragen, die bei einer Gap-Analyse zuerst kommen, und nennt in einer eigenen Spalte, welcher Nachweis bei einer Prüfung oder einem Kundenfragebogen typischerweise vorgelegt wird. Geh die Liste am besten zu zweit durch: jemand aus der Geschäftsführung und jemand, der die IT betreut. Was umgesetzt ist, aber nirgends dokumentiert, zählt als offen. Die Liste ist eine technische Orientierung, keine rechtliche Bewertung, eine erste Einordnung zur Betroffenheit gibt der [NIS2-Betroffenheitscheck](/it/cyber-security/nis2-check/), die verbindliche deine Rechtsberatung. [**NIS2: Die 10 Maßnahmenbereiche als Checkliste**Je Bereich drei bis vier konkrete Fragen mit Nachweis-Spalte, Kästchen zum Abhaken und Hinweisen zur Reihenfolge. PDF, 3 Seiten, Stand September 2026.*PDF herunterladen →*](https://art-kon-tor-digital.de/wp-content/uploads/2026/09/nis2-massnahmen-checkliste.pdf) ## FAQHäufige Fragen zu NIS2 Gilt NIS2 in Deutschland schon? Ja. Das deutsche Umsetzungsgesetz ist seit Dezember 2025 in Kraft, ohne allgemeine Übergangsfrist. Betroffene Unternehmen mussten sich innerhalb weniger Monate beim BSI registrieren. Wer das noch nicht getan hat, sollte es nachholen, und parallel mit den Maßnahmen beginnen, denn die Pflicht zur Umsetzung läuft unabhängig von der Registrierung. Wir haben die Registrierung beim BSI verpasst. Was jetzt? Nachholen, so bald wie möglich, und dokumentieren, dass ihr an den Maßnahmen arbeitet. Ob und welche Folgen die Verspätung hat, ist eine rechtliche Frage, dafür ist ein Anwalt der richtige Ansprechpartner. Technisch beginnen wir sofort mit der Gap-Analyse, damit ihr bei einer Rückfrage etwas vorlegen könnt. Wir haben 30 Mitarbeiter. Sind wir betroffen? Direkt meist nicht, da die Schwelle in der Regel bei 50 Beschäftigten oder 10 Millionen Euro Umsatz liegt, mit Ausnahmen in einigen Sektoren. Indirekt oft ja: als Zulieferer eines betroffenen Kunden, der Nachweise verlangt. Die verbindliche Einstufung klärt deine Rechtsberatung; die Maßnahmen lohnen sich so oder so. Was verlangt NIS2 von der Geschäftsführung? Die Leitung muss die Maßnahmen billigen, überwachen und sich selbst schulen lassen. Sie kann die Verantwortung nicht einfach an die IT delegieren. Praktisch bedeutet das: ein kurzes, regelmäßiges Briefing zum Stand der Sicherheit und eine dokumentierte Freigabe des Maßnahmenplans. Wir bereiten das so auf, dass es ohne Technikstudium verständlich ist. Welche Meldepflichten gibt es? Erhebliche Sicherheitsvorfälle müssen dem BSI in einem gestuften Verfahren gemeldet werden, eine Erstmeldung innerhalb von 24 Stunden, danach ausführlichere Meldungen. Damit das klappt, braucht es vorher eine Protokollierung, die Vorfälle erkennbar macht, und einen Notfallplan, in dem steht, wer meldet. Beides richten wir ein. Brauchen wir ISO 27001, um NIS2 zu erfüllen? Nein. NIS2 verlangt keine Zertifizierung, sondern angemessene Maßnahmen nach Stand der Technik. Eine ISO-27001-Zertifizierung ist ein Weg, das nachzuweisen, aber für viele KMU überdimensioniert. Wir orientieren uns an bewährten Grundlagen wie dem IT-Grundschutz des BSI, ohne den ganzen Formalismus mitzunehmen. Was kostet die NIS2-Umsetzung? Das hängt vom Stand deiner IT und davon ab, ob du direkt betroffen bist oder als Zulieferer Nachweise brauchst. Nach der Gap-Analyse nennen wir einen verbindlichen Rahmen. Ein Teil der Maßnahmen ist ohnehin Bestandteil einer soliden IT-Betreuung; der Mehraufwand liegt vor allem in Dokumentation und Prozessen. Macht ihr auch die NIS2-Beratung für Behörden oder große Unternehmen? Unser Schwerpunkt sind KMU und deren Zulieferer in Thüringen. Für große Organisationen mit eigener Compliance-Abteilung oder für rein rechtliche Beratung gibt es passendere Anbieter; wir sagen dir, wenn du bei uns falsch bist. ## Passt dazuVerwandte Leistungen [IT & KI**Cyber Security für KMU**Die Grundmaßnahmen, auf denen NIS2 aufbaut, auch für Unternehmen, die nicht betroffen sind.](/it/cyber-security/) [IT & KI**IT-Betreuung**Wer NIS2 dauerhaft erfüllen will, braucht jemanden, der die Maßnahmen im Alltag am Laufen hält.](/it/it-betreuung/) [IT & KI**Hosting & Managed Server**Server in Deutschland, mit Backup, Monitoring und Protokollierung, die zu den Nachweispflichten passen.](/it/hosting-managed-server/) ## NIS2 steht im Raum? Schick uns, in welcher Branche ihr arbeitet, wie groß das Unternehmen ist und ob ein Kunde Nachweise verlangt. Wir geben dir eine erste Einordnung und sagen, was technisch zu tun wäre. [NIS2-Gespräch anfragen](#kontakt)