Stand: 23. Juli 2026. NIS2 ist für Industrieunternehmen kein isoliertes Dokumentationsprojekt. Die Anforderungen verbinden Unternehmensleitung, Risikomanagement, technische und organisatorische Schutzmaßnahmen, Lieferketten, Meldewege und Nachweise. Eine GAP-Analyse kann dafür ein sinnvoller Einstieg sein. Sie wird jedoch erst dann steuerungsfähig, wenn Scope, Geschäftsrisiko, Verantwortlichkeiten und Entscheidungen zusammengeführt werden.
Dieser Beitrag bietet eine fachliche Orientierung. Er ersetzt weder die Prüfung des Einzelfalls noch eine rechtliche Beratung. Die fachliche Scope-Vorprüfung kann betroffene Gesellschaften, Tätigkeiten, Services und Abhängigkeiten strukturiert erfassen. Die abschließende rechtliche Betroffenheitsbewertung und die Entscheidung über daraus folgende Pflichten verbleiben beim Unternehmen und gegebenenfalls dessen qualifizierter Rechtsberatung.
Warum eine reine Checkliste nicht ausreicht
Eine NIS2-Checkliste zeigt, welche Themen betrachtet werden sollten. Sie beantwortet aber nicht automatisch, welche Gesellschaft tatsächlich erfasst ist, welche Services geschäftskritisch sind oder welches Risiko zuerst reduziert werden muss. Werden Anforderungen nur mit vorhanden, teilweise vorhanden oder nicht vorhanden bewertet, entsteht schnell eine lange Maßnahmenliste ohne belastbare Reihenfolge.
Für die Geschäftsleitung sind andere Fragen entscheidend: Welche Geschäftsleistung ist gefährdet? Welche technische oder organisatorische Schwäche vergrößert den möglichen Schaden? Welche Entscheidung wird benötigt? Wer trägt die Verantwortung? Welche Abhängigkeit verhindert eine schnelle Umsetzung? Eine gute Roadmap macht genau diese Zusammenhänge sichtbar.
Schritt eins: den Scope fachlich vorstrukturieren
Die NIS2-Richtlinie legt auf europäischer Ebene Sektoren und grundlegende Anforderungen fest. Die verbindliche Einordnung in Deutschland richtet sich nach dem anwendbaren nationalen Recht und den konkreten Umständen des Unternehmens. NIS2 und KRITIS sind dabei verwandte, aber nicht identische Regelungsbereiche.
Eine fachliche Scope-Vorprüfung sollte mindestens folgende Informationen strukturiert zusammenführen:
- Rechtsträger, Beteiligungsstruktur und betroffene Länder
- tatsächliche Haupt- und Nebentätigkeiten der einzelnen Gesellschaften
- angebotene Produkte, Dienste und kritische Geschäftsleistungen
- Unternehmensgröße und mögliche Sonderregelungen
- Standorte, Produktionsbereiche sowie zentrale und lokale IT-/OT-Services
- Abhängigkeiten von Konzernfunktionen, Cloud-Diensten, Betreibern und Lieferanten
- bereits bestehende regulatorische Einstufungen oder sektorspezifische Anforderungen
Diese Aufnahme liefert eine nachvollziehbare Arbeitsgrundlage. Sie ist keine verbindliche Rechtsauskunft. Grenzfälle, Ausnahmen und die abschließende Einstufung müssen durch das Unternehmen mit seiner Rechtsberatung geprüft und dokumentiert werden. Das BSI stellt hierfür eine NIS2-Betroffenheitsprüfung und weiterführende Informationen bereit.
Schritt zwei: Governance vor Technik klären
NIS2 ist nicht allein Aufgabe der IT. Die europäische Richtlinie adressiert ausdrücklich Verantwortung auf Leitungsebene und ein angemessenes Management von Cybersicherheitsrisiken. Der offizielle Wortlaut ist auf EUR-Lex zur Richtlinie (EU) 2022/2555 abrufbar.
Für die Umsetzung muss feststehen, wer Risiken bewertet, wer Budgets freigibt, wer Restrisiken akzeptieren darf und wie erhebliche Abweichungen eskaliert werden. Ebenso wichtig ist eine klare Zuordnung zwischen Gruppenfunktionen und lokalen Gesellschaften. Eine zentrale Richtlinie reicht nicht aus, wenn lokale Kontrollen, Ansprechpartner und Nachweise ungeklärt bleiben.
- verantwortliches Management und fachlicher Programm-Owner
- Rollen von IT, OT, Datenschutz, Compliance, Legal, Einkauf und BCM
- Freigabe- und Eskalationswege
- regelmäßiges Management-Reporting
- Dokumentation bewusster Risikoentscheidungen
Schritt drei: GAPs mit dem realen Risikobild verbinden
Eine fehlende Richtlinie und ein extern erreichbarer privilegierter Zugang sind nicht automatisch gleich zu priorisieren. Deshalb müssen regulatorische Anforderungen, technische Findings, organisatorische Schwächen und mögliche Geschäftsfolgen in einem gemeinsamen Risikobild betrachtet werden.
In der Industrie gehören dazu insbesondere Identitäten und privilegierte Konten, externe Angriffsflächen, Segmentierung, Produktionsabhängigkeiten, Fernwartung, Lieferantenzugänge, Schwachstellenmanagement, Backups, Wiederanlauf und Krisenkommunikation. Die Bewertung muss berücksichtigen, welche Änderungen den Betrieb oder die funktionale Sicherheit beeinflussen können und wo kompensierende Maßnahmen erforderlich sind.
Das Ergebnis ist keine Sammlung isolierter Einzelrisiken, sondern eine verständliche Sicht auf Exponierung, mögliche Auswirkungen, bestehende Kontrollen und notwendige Entscheidungen.
Schritt vier: Kontrollen und Nachweise gemeinsam einordnen
Eine tragfähige GAP-Analyse unterscheidet zwischen Vorgabe, tatsächlicher Kontrolle und Evidenz. Eine Richtlinie beschreibt den Sollzustand. Die Kontrolle zeigt, wie dieser Zustand organisatorisch oder technisch umgesetzt wird. Ein Nachweis dokumentiert, dass die Kontrolle im relevanten Zeitraum durchgeführt oder überwacht wurde.
Zu jedem wesentlichen GAP sollten deshalb mindestens Anforderung, Ist-Zustand, Risiko, vorhandene Kompensationsmaßnahme, Zielzustand, verantwortliche Stelle und geeigneter Nachweis dokumentiert werden. Wo noch keine Evidenz vorliegt, sollte dies transparent bleiben. Auditvorbereitung bedeutet nicht, Lücken zu verdecken, sondern sie nachvollziehbar einzuordnen und kontrolliert zu bearbeiten.
Schritt fünf: aus der Analyse eine entscheidbare Roadmap bauen
Eine Roadmap ist mehr als eine sortierte Maßnahmenliste. Sie verbindet den erwarteten Risikoabbau mit Ressourcen, Abhängigkeiten und Managemententscheidungen. Eine praktikable Struktur unterscheidet drei Ebenen:
- Sofort stabilisieren: akute Exponierungen, privilegierte Zugänge, kritische Fehlkonfigurationen oder fehlende Eskalationswege adressieren.
- Strukturell verbessern: Zielarchitektur, Rollen, Prozesse, Lieferantensteuerung und wiederkehrende Kontrollabläufe aufbauen.
- Nachweisbar verankern: Verantwortlichkeiten, Reviews, Tests, Berichte und Evidenzen in den Regelbetrieb überführen.
Jede Maßnahme braucht einen eindeutigen Owner, einen Zielzustand, realistische Voraussetzungen und einen dokumentierten Entscheidungsbedarf. Termine ohne Ressourcen und Abhängigkeiten erzeugen nur scheinbare Planbarkeit.
Registrierung und Meldewege als eigener Arbeitsstrom
Registrierungs- und Meldepflichten sollten nicht am Ende des Security-Programms geprüft werden. Sie benötigen einen eigenen Arbeitsstrom mit bestätigter Betroffenheitsbewertung, verantwortlichen Ansprechpartnern, Vertretungen, erreichbaren Meldewegen und abgestimmten Incident-Prozessen. Aktuelle Hinweise stellt das BSI auf der Seite NIS2-Pflichten sowie in den allgemeinen NIS2-FAQ bereit.
Da sich Verfahrenshinweise und rechtliche Rahmenbedingungen ändern können, sollten Unternehmen vor Registrierung, Meldung oder verbindlicher Einstufung stets die aktuellen offiziellen Informationen und ihre rechtliche Bewertung heranziehen.
Management-Reporting: Entscheidungen statt Detailflut
Ein managementfähiges NIS2-Reporting zeigt nicht jede technische Einzelmaßnahme. Es verdichtet wesentliche Geschäftsrisiken, Fortschritt, Blockaden, Ressourcenbedarf, überfällige Entscheidungen und akzeptierte Restrisiken. Dahinter muss eine belastbare Detailstruktur liegen, damit Aussagen bei Rückfragen nachvollzogen werden können.
So wird NIS2 nicht zur parallelen Compliance-Welt. Anforderungen, Risiken, Maßnahmen und Nachweise bleiben Bestandteil der regulären Unternehmenssteuerung.
Welche Fragen die Geschäftsleitung beantworten sollte
- Ist der fachliche und rechtliche Scope je Gesellschaft nachvollziehbar dokumentiert?
- Welche kritischen Services und IT-/OT-Abhängigkeiten bestimmen das Risikobild?
- Welche Risiken benötigen kurzfristig eine Geschäftsentscheidung?
- Sind Owner, Budget, Zielzustand und Abhängigkeiten für priorisierte Maßnahmen geklärt?
- Funktionieren Registrierung, Erreichbarkeit und Meldewege auch außerhalb der Regelarbeitszeit?
- Können wesentliche Kontrollen mit geeigneten Nachweisen belegt werden?
Von Readiness zur dauerhaft steuerbaren Organisation
Eine gute NIS2-Roadmap endet nicht mit der ersten GAP-Analyse. Sie schafft einen wiederholbaren Prozess für Risikoentscheidungen, Maßnahmensteuerung, Kontrollüberwachung und Management-Reporting. Genau dadurch entsteht eine Struktur, die auch bei neuen Bedrohungen, organisatorischen Veränderungen und externen Prüfungen nutzbar bleibt.
Mehr zur fachlichen Unterstützung finden Sie unter NIS2- und KRITIS-Beratung. Für eine erste Einordnung von Gesellschaften, Services, Risiken und aktuellem Handlungsdruck können Sie eine Projektanfrage stellen.
Leistungsabgrenzung: IT Consulting Totzauer unterstützt fachlich bei Scope-Vorprüfung, GAP-Analyse, Risikobild, Roadmap, Auditvorbereitung und Begleitung externer Prüfungen. Nicht angeboten werden Rechtsberatung, verbindliche Betroffenheitsfeststellungen, unabhängige Audits, Konformitätsbewertungen oder Zertifizierungsentscheidungen.