Vom Fahrplan zur prüfbaren Umsetzung nach § 30 BSIG

NIS2 Umsetzung im Unternehmen: Maßnahmen einführen, steuern und nachweisen

Bei der NIS2 Umsetzung (Implementierung) im Unternehmen werden aus Gap-Analyse und Fahrplan wirksame Maßnahmen: Wir organisieren das Umsetzungsprojekt mit klaren Rollen und Phasen, führen die zehn Mindestmaßnahmen nach § 30 BSIG ein und dokumentieren sie so, dass sie einer Prüfung durch das BSI standhalten.

  • 01Umsetzungsprojekt mit Lenkungskreis, Rollen und Meilensteinen
  • 02Einführung der zehn Mindestmaßnahmen nach § 30 BSIG
  • 03Prüfbare Dokumentation als Nachweis gegenüber dem BSI
  • 04Regelmäßiger Fortschrittsbericht an die Geschäftsleitung
Leistungen ansehen
11+Jahre Erfahrung
120+Mitarbeitende
540+Projekte
ISO 27001zertifiziert

NIS2 Umsetzung: vom Plan zur Prüfbarkeit

Seit dem 6. Dezember 2025 gelten die Pflichten des BSIG in der Fassung des NIS2-Umsetzungsgesetzes ohne Übergangsfrist. Für Unternehmen heißt NIS2 Umsetzung: die zehn Mindestmaßnahmen nach § 30 BSIG einführen und dokumentieren, den Meldeprozess nach § 32 betriebsbereit machen, die Registrierung nach § 33 erledigen und die Geschäftsleitung in die Lage versetzen, die Umsetzung nach § 38 BSIG zu überwachen. Das gelingt als Projekt mit klarer Steuerung, nicht als Sammlung einzelner Maßnahmen.

Wir begleiten die NIS2 Umsetzung von der Freigabe des Fahrplans bis zur prüfbaren Dokumentation: Projektorganisation mit Lenkungskreis, Arbeitspakete je Maßnahme, Richtlinien und Verfahren, Einführung in IT und Fachbereichen, Schulungen und ein Nachweisordner, den Sie bei einer Anfrage des BSI vorlegen können. Den Phasen- und Meilensteinplan selbst erstellt unsere Leistung NIS2 Roadmap; ob NIS2 für Sie gilt, klärt die NIS2 Betroffenheitsprüfung.

2 Leistungsbausteine

Leistungsumfang

01

Umsetzungsprojekt steuern

Wir setzen das NIS2-Umsetzungsprojekt auf und führen es: Lenkungskreis, Projektleitung, Arbeitspakete je Maßnahme, Fortschrittsberichte und Eskalation bei Verzug.

  • Lenkungskreis mit Geschäftsleitung und klaren Entscheidungswegen
  • Phasenplanung mit Meilensteinen und Abhängigkeiten
  • Ressourcen- und Budgetplanung je Arbeitspaket
  • Fortschrittsberichte und Steuerung von Risiken im Projekt
02

Maßnahmen einführen und nachweisen

Wir führen die Maßnahmen nach § 30 BSIG mit Ihren Teams ein, erstellen Richtlinien und Verfahren, schulen Beschäftigte und Geschäftsleitung und bauen den Nachweisordner auf.

  • Richtlinien, Verfahren und Rollen für jede Mindestmaßnahme
  • Einbindung von Einkauf und Dienstleistern in die Lieferkettensicherheit
  • Schulungen für Beschäftigte und Geschäftsleitung nach § 38 Abs. 3 BSIG
  • Nachweisordner und Wirksamkeitsprüfung

5 Phasen

Unser Vorgehen in der Umsetzung

Wir setzen NIS2 in fünf Schritten um, vom Projektstart bis zur geprüften Wirksamkeit.

  1. Projekt aufsetzen

    Lenkungskreis, Rollen und Arbeitspakete

  2. Sofortmaßnahmen umsetzen

    Registrierung und Meldeweg

  3. Mindestmaßnahmen nach § 30 BSIG einführen

  4. Dokumentation und Nachweise aufbauen

  5. Wirksamkeit prüfen und an die Geschäftsleitung berichten

Sarah Richter

Ansprechpartner

Sarah Richter

Head of Informationssicherheit, Cyber Security

10+ Jahre Erfahrung, CISA, CISM, Lead Auditor, DORA, NIS2, BCM, Cyber- und Informationssicherheit

+49 69 913 113-01 info@advisori.de LinkedIn

Unsere Expertise

  • 01Umfassende Erfahrung in großangelegten Cybersicherheits-Transformationen
  • 02Bewährte Methodiken für komplexe Compliance-Implementierungen
  • 03Tiefgreifende Kenntnisse der NIS2-Richtlinie und nationaler Umsetzungen
  • 04Branchenspezifische Umsetzung und erprobte Vorgehensweisen

Umsetzen heißt auch belegen

§ 30 Abs. 1 BSIG verlangt, die Einhaltung der Maßnahmen zu dokumentieren, und die Geschäftsleitung muss die Umsetzung überwachen (§ 38 Abs. 1 BSIG). Planen Sie Dokumentation deshalb von Anfang an in jedes Arbeitspaket ein, nicht erst am Projektende.

Weiterführend

8 FRAGEN, KURZ BEANTWORTET

Häufig gestellte Fragen zu NIS2 Umsetzung

Was gehört zur NIS2 Umsetzung im Unternehmen?

Zur NIS2 Umsetzung gehören die Einführung und Dokumentation der zehn Mindestmaßnahmen nach § 30 BSIG, ein funktionierender Meldeprozess für erhebliche Sicherheitsvorfälle (§ 32), die Registrierung beim BSI (§ 33) sowie Überwachung und regelmäßige Schulung durch die Geschäftsleitung (§ 38 BSIG). Organisatorisch braucht es dafür ein Projekt mit Lenkungskreis, Verantwortlichen je Maßnahme und einem Nachweisordner.

Welche Schritte hat die NIS2 Umsetzung?

Bewährt ist die Reihenfolge: Betroffenheit prüfen, Gap-Analyse durchführen, Fahrplan mit Prioritäten erstellen, Projekt aufsetzen, Sofortmaßnahmen wie Registrierung und Meldeweg erledigen, die Mindestmaßnahmen nach § 30 BSIG einführen (etwa Risikoanalyse, Incident Response, Business Continuity, Lieferkettensicherheit, Multi-Faktor-Authentifizierung, Schulungen), alles dokumentieren und die Wirksamkeit regelmäßig prüfen. Das BSI beschreibt einen ähnlichen Ablauf in seiner #nis2know-Roadmap mit sechs Phasen.

NIS2 Umsetzung für KMU: Was ist anders?

Die Pflichten gelten für mittlere Unternehmen genauso: Es gibt keine allgemeine KMU-Ausnahme, und alle zehn Mindestmaßnahmen sind umzusetzen. Anders ist der Umfang: Maßnahmen müssen verhältnismäßig sein, wobei Risikoexposition, Größe, Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere von Vorfällen zählen (§ 30 Abs. 1 BSIG). Eine schlanke Dokumentation, die IT-Grundschutz-Basis-Absicherung als Einstieg und externe Dienstleister für einzelne Maßnahmen helfen; die Verantwortung bleibt aber im Unternehmen.

NIS2 intern umsetzen oder externe Beratung beauftragen?

Beides hat Vor- und Nachteile: Interne Umsetzung baut eigenes Wissen auf, braucht aber Fachkenntnis in Informationssicherheit und bindet Kapazität. Externe Unterstützung bringt NIS2-Fachwissen, erprobte Vorgehensweisen und eine unabhängige Sicht. Bewährt ist ein Mischmodell: externe Begleitung für Projektsteuerung, Gap-Analyse und anspruchsvolle Maßnahmen, internes Team für Einführung und Betrieb. Die Verantwortung bleibt bei der Geschäftsleitung (§ 38 BSIG).

Wie priorisiert man Maßnahmen in der NIS2 Umsetzung?

Nach drei Kriterien: 1) gesetzliche Dringlichkeit, etwa eine noch fehlende Registrierung oder ein fehlender Meldeweg, 2) Risikoreduktion, also welche Maßnahme das größte Risiko senkt, 3) Aufwand und Nutzen. Technische Sofortmaßnahmen wie Multi-Faktor-Authentifizierung, Patch-Management und geprüfte Backups können parallel zu organisatorischen Maßnahmen laufen. Wichtig: Priorisierung legt die Reihenfolge fest, nicht den Verzicht, denn alle zehn Maßnahmen sind Pflicht.

Wie verhält sich die NIS2 Umsetzung zu DORA?

Für Finanzunternehmen im Sinne von Art. 2 Abs. 2 DORA gelten die Kernpflichten des BSIG nicht, nämlich die §§ 30, 31, 32, 35, 36, 38 und 39 (§ 28 Abs. 6 BSIG); Risikomanagement, Vorfallmeldung und Drittparteienmanagement richten sich nach DORA. Eine integrierte Planung ist vor allem in gemischten Gruppen sinnvoll, in denen einzelne Gesellschaften unter DORA, andere unter das BSIG fallen.

Wie lange dauert die NIS2 Umsetzung?

Das hängt vom Ausgangsniveau ab: Wer bereits ein ISMS nach ISO/IEC 27001 oder IT-Grundschutz betreibt, muss vor allem NIS2-eigene Pflichten und Lücken schließen; ohne diese Grundlage ist der Aufbau deutlich umfangreicher. Weil die Pflichten seit dem 6. Dezember 2025 ohne Übergangsfrist gelten, sollten Registrierung, Meldeweg und die dringendsten Lücken zuerst geschlossen werden. Den Zeitplan für Ihr Unternehmen leiten wir aus der Gap-Analyse ab.

Was ist der Unterschied zwischen NIS2 Umsetzung und NIS2 Roadmap?

Die NIS2 Roadmap ist der Plan: Phasen, Meilensteine, Abhängigkeiten und Zeitplan. Die NIS2 Umsetzung ist die Ausführung: Projektsteuerung, Einführung der Maßnahmen, Schulungen und Dokumentation, bis die Anforderungen nachweisbar erfüllt sind. Viele Unternehmen beauftragen beides nacheinander.