NIS2 ist keine weitere Aufgabe für die IT-Abteilung, sondern ein Stresstest für Governance, Prozesse und Verantwortlichkeiten. Unternehmen müssen Cyberrisiken organisationsweit steuern, Vorfälle fristgerecht melden, Lieferketten absichern und die Geschäftsleitung aktiv einbinden. Wer die Vorgaben nur als Compliance-Pflicht behandelt, verpasst die Chance, aus Regulierung messbare Resilienz zu entwickeln.

Management Summary

NIS2 ist Führungsaufgabe: Die Geschäftsleitung muss Risikomanagementmaßnahmen umsetzen, überwachen und regelmäßig einschlägige Schulungen absolvieren [3].
Organisation schlägt Insellösung: Gefordert sind dokumentierte technische und organisatorische Maßnahmen – von Risikoanalyse und Incident Response bis zu Business Continuity, Zugriffsschutz und Sensibilisierung [1].
Meldewege müssen funktionieren: Erhebliche Sicherheitsvorfälle lösen gestufte Meldungen aus: eine frühe Erstmeldung binnen 24 Stunden, eine Meldung binnen 72 Stunden und grundsätzlich eine Abschlussmeldung spätestens nach einem Monat [2].
Lieferketten gehören in das Risikomanagement: Sicherheitsanforderungen an unmittelbare Anbieter und Dienstleister müssen bewertet, vertraglich verankert und kontrolliert werden [1].
Transparenz wird zum Resilienzfaktor: Klare Verantwortlichkeiten, belastbare Nachweise und bereichsübergreifende Prozesse erleichtern Aufsicht, Krisenreaktion und kontinuierliche Verbesserung.

NIS2 als organisationsweite Führungsaufgabe

Illustration Absmeier foto ki designer

NIS2 verbindet Governance, Risikomanagement, IT-Sicherheit, Lieferketten und Krisenorganisation zu einem gemeinsamen Steuerungsmodell.

Warum Unternehmen Strukturen und Prozesse auf den Prüfstand stellen müssen
Von Gert Poglin, Head of Sales Governance-, Risk- & Compliance bei GBTEC.

Schon ein Blick auf die digitale Bedrohungslage europäischer Unternehmen und Organisationen zeigt, weshalb die Network and Information Security-2-Richtlinie (NIS-2) der Europäischen Union notwendig ist. Allein 2024 registrierte das Bundesamt für Sicherheit in der Informationstechnik (BSI) täglich rund 309.000 neue Malware-Varianten – 26 Prozent mehr als im Vorjahr. Ransomware, Angriffe auf Lieferketten und Ausfälle kritischer Dienste gehören inzwischen zum Alltag^1.NIS2 legt verpflichtende Cybersecurity-Mindeststandards fest für:

Betreiber kritischer Infrastrukturen (KRITIS)
Besonders wichtige Einrichtungen wie Telekommunikationsanbieter oder Teile der Verwaltung
Wichtige Einrichtungen, vor allem mittlere Unternehmen (grundsätzlich ab 50 Beschäftigten oder 10 Mio. Euro Umsatz) aus bestimmten Sektoren wie Energie, Verkehr, Gesundheit

Mit NIS2 wurde die Zahl der Unternehmen, die in die Pflicht genommen werden, erheblich erweitert. Während die ursprüngliche NIS-Richtlinie nur einen kleinen Kreis an Betreibern kritischer Infrastrukturen erfasste, unterliegen laut einer Schätzung des BSI rund 29.500 Unternehmen unmittelbar den Verpflichtungen aus NIS-2². Eine Zahl, die auf älteren Statistiken beruht und inzwischen zwar angezweifelt wird – aber angesichts der bisher letzten offiziellen Registrierungszahlen des BSI in Höhe von 20.141 zum 30. September ist sie dennoch ein deutlicher Hinweis darauf, dass es eine nicht unerhebliche Registrierungslücke gibt^5.

Die Pflichten gelten, die Umsetzung stockt

Obwohl das deutsche Umsetzungsgesetz bereits im Dezember 2025 in Kraft getreten ist, haben laut einer Studie des IT-Dienstleisters Plusserver vom Juli 2026 bislang lediglich 34 Prozent der betroffenen Unternehmen die NIS-2-Anforderungen vollständig erfüllt³. Zugleich stand die gesonderte Registrierung beim BSI bei zahlreichen Unternehmen noch aus, weshalb hierfür eine Nachfrist bis zum 31. Juli 2026 eingeräumt wurde. Da auch diese inzwischen verstrichen ist, können unterlassene oder verspätete Registrierungen mit einer Geldbuße von bis zu 500.000 Euro geahndet werden⁴. Viele Unternehmen wissen noch nicht einmal, ob sie die Regulierung überhaupt umsetzen müssen, so der Verdacht des BSI.

NIS2 geht weit über die IT hinaus

Zahlreiche Unternehmen behandeln NIS2 aber noch immer als klassisches IT-Sicherheitsprojekt. Sie modernisieren Firewalls, überarbeiten Sicherheitsrichtlinien oder lassen ihre technischen Schutzmaßnahmen extern bewerten. All das ist notwendig – reicht aber nicht. Bei Weitem nicht.

Laut der Bitkom-Studie »Wirtschaftsschutz 2025« verfügen zwar 59 Prozent der Unternehmen über ein Notfallmanagement, aber 39 Prozent haben keinen strukturierten Plan für den Fall von Datendiebstahl, Sabotage oder Spionage. Zudem führt nur etwa die Hälfte der Unternehmen regelmäßige IT-Sicherheitsschulungen durch⁶.

Die Zahlen verdeutlichen, weshalb die Umsetzung von NIS2 als reines IT-Projekt zu kurz greift. Gefordert sind nicht nur technische Schutzmaßnahmen, sondern auch ein systematischer Umgang mit Risiken, Sicherheitsvorfällen und Abhängigkeiten in der Lieferkette. Ebenso wichtig sind umfangreiche und wirksame Vorkehrungen für Not- und Krisenfälle sowie die Sensibilisierung der Beschäftigten⁷. NIS2 betrifft damit die gesamte Organisation.

Lieferketten unter NIS2 sicher steuern

Ob Unternehmen die NIS-2-Vorgaben in der Praxis wirksam erfüllen können, hängt auch davon ab, wie sie Sicherheitsanforderungen intern steuern und gegenüber externen Partnern und Dienstleistern durchsetzen. »Besonders wichtige« und »wichtige« Einrichtungen müssen berücksichtigen, wie ihre unmittelbaren Lieferanten und Dienstleister mit Cybersicherheitsrisiken umgehen und welche Schwachstellen etwa bei der Entwicklung und Bereitstellung von Produkten oder Diensten bestehen. Unter Umständen können sie deshalb nicht mehr mit jedem Anbieter zusammenarbeiten, ohne Pflichtverstöße zu riskieren⁸.

Das BSI empfiehlt zudem, Zulieferer vertraglich zur Einhaltung von Sicherheitsmaßnahmen zu verpflichten und entsprechende Nachweise einzufordern. Audits können Aufschluss darüber geben, ob die Vereinbarungen auch eingehalten werden, und gemeinsame Krisenübungen helfen gegebenenfalls dabei, die getroffenen Vorkehrungen und das Zusammenspiel der Beteiligten zu erproben. Dies erfordert eine enge Abstimmung mit den jeweiligen Dienstleistern.

Das Beispiel zeigt, dass NIS2 nicht an den Grenzen des eigenen Unternehmens endet. Werden Vertragspartner eingebunden, sind eindeutige und verbindliche Vorgaben für die Zusammenarbeit erforderlich.

Von Compliance zu Resilienz: Was erfolgreiche Unternehmen anders machen

Unternehmen mit einem hohen Reifegrad betrachten NIS2 nicht als einmaliges Compliance-Projekt, sondern als Anlass, ihre Governance- und Risikostrukturen dauerhaft weiterzuentwickeln. Ziel ist nicht, einzelne regulatorische Anforderungen möglichst effizient abzuhaken, sondern Cyberrisiken kontinuierlich zu steuern und Entscheidungen nachvollziehbar zu treffen.

Dafür braucht es drei Voraussetzungen: klare Verantwortlichkeiten, standardisierte Prozesse und ein gemeinsames Risikoverständnis über Abteilungsgrenzen hinweg. Erst wenn Risikomanagement, Informationssicherheit, Compliance und die für interne Kontrollen, Lieferantenbeziehungen und Sicherheitsvorfälle zuständigen Funktionen ihre Informationen zusammenführen, entsteht die erforderliche Transparenz.

Genau an dieser Stelle gewinnen digitale Governance-, Risk- und Compliance-Plattformen an Bedeutung. Sie ersetzen nicht die fachliche Verantwortung der Unternehmen, schaffen jedoch eine gemeinsame Informationsgrundlage und erleichtern die bereichsübergreifende Steuerung komplexer regulatorischer Anforderungen. Risiken, Maßnahmen, Vorfälle, Fristen und Nachweise lassen sich zentral verwalten, Workflows automatisieren und Verantwortlichkeiten eindeutig zuweisen. Moderne Plattformen unterstützen darüber hinaus mit branchenspezifischen Vorlagen und Funktionen zur automatisierten Analyse und Aufbereitung von Daten dabei, Prozesse schneller zu etablieren und an neue regulatorische Anforderungen anzupassen. Das ist besonders hilfreich, wenn finanzielle Mittel, Fachwissen und personelle Ressourcen begrenzt sind.

Entscheidend ist dabei weniger die eingesetzte Technologie als ihre Fähigkeit, unterschiedliche Fachbereiche miteinander zu verbinden. Entsprechend sollte auch die technische Unterstützung organisationsweit gedacht werden.

Aussitzen wird teuer

Bußgelder sind nur ein Teil der möglichen Konsequenzen einer mangelhaften NIS-2-Umsetzung. Je nach Verstoß drohen Geldbußen von bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes⁹. Hinzu kommen mögliche aufsichtsrechtliche Maßnahmen. Verletzt die Unternehmensleitung schuldhaft ihre Pflichten zur Umsetzung und Überwachung der Risikomanagementmaßnahmen, kann sie zudem persönlich gegenüber dem Unternehmen haften¹⁰.

Noch schwerer wiegen häufig die wirtschaftlichen Folgen mangelnder Resilienz: Unklare Abläufe, fehlende Transparenz und ein unzureichendes Risikomanagement erschweren es, Cybervorfälle frühzeitig zu erkennen und angemessen darauf zu reagieren. Dadurch kann wertvolle Zeit verloren gehen, wenn betroffene Systeme isoliert, Notfallmaßnahmen eingeleitet oder interne und externe Stellen informiert werden müssen. Ausfälle können sich verlängern, Folgekosten summieren und im Ernstfall den Geschäftsbetrieb erheblich beeinträchtigen.

Unternehmen, die NIS2 als Organisationsprojekt umsetzen, erfüllen daher nicht nur regulatorische Pflichten. Sie schaffen transparente Prozesse, verbessern ihre Reaktionsfähigkeit und stärken ihre Widerstandsfähigkeit gegenüber Cyberrisiken. Langfristig kann daraus auch ein Wettbewerbsvorteil entstehen. Denn angesichts der weltweiten Bedrohungslage stellt sich längst nicht mehr allein die Frage, »ob« ein Unternehmen mit einem Cybervorfall konfrontiert wird, sondern »wann« – und wie gut es darauf vorbereitet ist.

¹ https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2024/241112_Lagebericht_2024.html
² https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-Infopakete/NIS-2-Risikomanagementmassnahmen/NIS-2-Risikomanagementmassnahmen.html
³ https://www.boerse-express.com/news/articles/nis2-umsetzung-nur-34-erfuellt-bsi-setzt-frist-bis-31-juli-926204
⁴ https://www.gesetze-im-internet.de/bsig_2025/__65.html
⁵ https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-in-Zahlen/nis-2-in-zahlen.html
⁶ https://www.bitkom.org/sites/main/files/2025-12/bitkom-studienbericht-wirtschaftsschutz-2025_2.pdf
⁷ https://www.gesetze-im-internet.de/bsig_2025/__30.html
⁸ https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-Infopakete/NIS-2-Lieferkette/NIS-2-Lieferkette_node.html
⁹ https://www.gesetze-im-internet.de/bsig_2025/__65.html
¹⁰https://www.gesetze-im-internet.de/bsig_2025/__38.html

Tipps für die Umsetzung

Betroffenheit belastbar klären. Beginnen Sie nicht mit Einzelmaßnahmen, bevor feststeht, ob und in welcher Kategorie das Unternehmen unter NIS2 fällt. Erfassen Sie Rechtsform, Tätigkeiten, Sektorzugehörigkeit, Mitarbeiterzahl, Umsatz, Bilanzsumme und verbundene Unternehmen. Dokumentieren Sie außerdem, wer die Bewertung vorgenommen hat, welche Daten zugrunde lagen und wann eine erneute Prüfung erfolgt. Beziehen Sie Recht, Compliance, Informationssicherheit und die betroffenen Fachbereiche ein, weil die tatsächliche Leistungserbringung häufig wichtiger ist als die offizielle Branchenbezeichnung.
Praxisbeispiel: Ein mittelständischer Maschinenbauer betreibt zusätzlich eine digitale Fernwartungsplattform. Die erste Prüfung nur nach dem Kerngeschäft ergibt keine eindeutige Betroffenheit. Erst die gemeinsame Analyse von Produktmanagement, IT und Recht zeigt, dass einzelne digitale Dienste gesondert betrachtet werden müssen. Das Unternehmen hält Kriterien, Datenquellen und Entscheidung in einem Prüfvermerk fest und terminiert eine neue Bewertung nach Akquisitionen oder wesentlichen Geschäftsmodelländerungen.
Verantwortung auf Leitungsebene verankern. Übersetzen Sie die gesetzlichen Pflichten in ein klares Governance-Modell. Benennen Sie für jedes Handlungsfeld einen fachlich Verantwortlichen, einen Entscheider und eine Vertretung. Legen Sie fest, in welchem Rhythmus die Geschäftsleitung über Risiken, Vorfälle, Maßnahmenstatus und Abweichungen informiert wird. Schulungen sollten nicht nur Rechtsgrundlagen behandeln, sondern auch Entscheidungs- und Eskalationssituationen durchspielen. Ein Beschluss der Geschäftsleitung sollte Rollen, Berichtslinien, Kontrollintervalle und akzeptierte Restrisiken nachvollziehbar festhalten [3].
Praxisbeispiel: Ein Gesundheitsdienstleister richtet ein quartalsweises Cyberrisiko-Board ein. Der CIO berichtet über technische Risiken, der Einkauf über kritische Anbieter, der BCM-Verantwortliche über Wiederanlaufproben und Compliance über offene Nachweise. Risiken oberhalb eines definierten Schwellenwerts dürfen nur durch die Geschäftsleitung befristet akzeptiert werden.
Risikomanagement integrieren. Bauen Sie keine isolierte NIS2-Dokumentation neben bestehenden Managementsystemen auf. Ordnen Sie die Anforderungen vorhandenen Prozessen und Kontrollen aus ISMS, BCM, Datenschutz, Compliance, internem Kontrollsystem und Qualitätsmanagement zu. Verwenden Sie möglichst ein gemeinsames Risikomodell, einheitliche Bewertungsskalen und abgestimmte Begriffe für Systeme, Dienste, Verantwortliche und Maßnahmen. Lücken werden in einem priorisierten Maßnahmenplan mit Termin, Budget, Abhängigkeiten und Wirksamkeitskriterium geführt.
Praxisbeispiel: Ein Logistikunternehmen führt bislang getrennte Register für Datenschutzrisiken, IT-Risiken und Betriebsunterbrechungen. Es verknüpft die Einträge über gemeinsame Geschäftsservices. Dadurch wird sichtbar, dass der Ausfall des Transportleitsystems zugleich Verfügbarkeits-, Datenschutz- und Lieferkettenfolgen hat. Statt drei paralleler Maßnahmenpakete entsteht ein abgestimmter Wiederanlauf- und Kommunikationsplan.
Meldeprozess proben. Definieren Sie vor einem Sicherheitsvorfall, wer einen meldepflichtigen Sachverhalt bewertet, wer die Meldung freigibt und welche Informationen innerhalb der gestuften Fristen verfügbar sein müssen. Halten Sie Erreichbarkeiten, Stellvertretungen, Vorlagen und sichere Kommunikationskanäle aktuell. Übungen sollten außerhalb der Bürozeiten stattfinden und auch unvollständige oder widersprüchliche Informationen simulieren. Nach jeder Übung werden Zeitbedarf, Informationslücken und Entscheidungshemmnisse ausgewertet und Maßnahmen nachverfolgt [2].
Praxisbeispiel: Ein Energieversorger simuliert an einem Samstag einen Ransomware-Befall. Das SOC erkennt den Vorfall, doch die erste Lagebewertung verzögert sich, weil der Ansprechpartner eines externen Betriebsdienstleisters nicht erreichbar ist. Als Konsequenz ergänzt das Unternehmen vertragliche 24/7-Kontakte, eine Freigabevertretung und eine vorbereitete Erstmeldevorlage mit Pflichtfeldern.
Lieferanten priorisieren. Bewerten Sie Lieferanten nicht allein nach Einkaufsvolumen, sondern nach ihrer Bedeutung für kritische Dienste, ihrem Zugriff auf Systeme und Daten, ihrer Austauschbarkeit und möglichen Konzentrationsrisiken. Gruppieren Sie Anbieter in Risikoklassen und leiten Sie daraus abgestufte Anforderungen ab: Selbstauskunft für geringere Risiken, Nachweise und Vertragsklauseln für mittlere Risiken sowie Audits, Notfalltests und Exit-Pläne für besonders kritische Abhängigkeiten. Regeln Sie Meldewege, Unterauftragnehmer, Schwachstellenbehandlung, Wiederanlaufziele und Unterstützungsleistungen im Vorfall [1].
Praxisbeispiel: Ein Produktionsunternehmen stuft den Cloud-Anbieter seines Wartungsportals als kritisch ein, obwohl das Vertragsvolumen gering ist. Ohne den Dienst können Techniker Maschinenfehler nicht diagnostizieren. Der Einkauf vereinbart deshalb feste Vorfallfristen, regelmäßige Wiederherstellungstests, Transparenz über Unterauftragnehmer und ein Exportverfahren für Konfigurations- und Protokolldaten.
Nachweise mitdenken. Dokumentieren Sie nicht nur Richtlinien, sondern auch deren Anwendung und Wirksamkeit. Zu einem belastbaren Nachweis gehören Entscheidung, Verantwortlicher, Freigabe, Umsetzungsstand, Prüfergebnis, erkannte Abweichung und Folgemaßnahme. Verknüpfen Sie Risiken, Kontrollen, Vorfälle und Belege so, dass die Argumentationskette ohne zeitaufwendige Suche nachvollziehbar ist. Definieren Sie Aufbewahrungs-, Aktualisierungs- und Zugriffsregeln; vermeiden Sie unkontrollierte Kopien in persönlichen Ablagen [1].
Praxisbeispiel: Ein Dienstleister legt für die Multi-Faktor-Authentifizierung nicht nur eine Richtlinie ab. Er hinterlegt zusätzlich den Geltungsbereich, die technische Konfiguration, genehmigte Ausnahmen, das Ergebnis einer quartalsweisen Stichprobe und Tickets zur Behebung festgestellter Lücken. Bei einer internen Prüfung lässt sich dadurch unmittelbar zeigen, welche Kontrolle wann und mit welchem Ergebnis durchgeführt wurde.
Resilienz messen. Nutzen Sie wenige, entscheidungsrelevante Kennzahlen statt einer umfangreichen Sammlung technischer Daten. Geeignet sind etwa Zeit bis Erkennung und Eindämmung eines Vorfalls, getestete Wiederanlaufzeit gegenüber dem Zielwert, Anteil fristgerecht geschlossener kritischer Schwachstellen, Schulungsquote, Zahl überfälliger Maßnahmen, Abdeckung kritischer Lieferantenprüfungen und Ergebnisse von Krisenübungen. Legen Sie Schwellenwerte, Datenverantwortliche und Eskalationen fest. Ergänzen Sie rückblickende Kennzahlen durch Frühindikatoren, die wachsende Risiken sichtbar machen.
Praxisbeispiel: Ein Handelsunternehmen berichtet monatlich fünf Kennzahlen an die Geschäftsleitung. Als die Quote überfälliger kritischer Patches zwei Monate in Folge den Schwellenwert überschreitet, wird nicht nur die IT erinnert. Die Leitung genehmigt zusätzliche Wartungsfenster, priorisiert veraltete Systeme und verlangt einen Plan für Anwendungen, die wegen betrieblicher Abhängigkeiten nicht kurzfristig aktualisiert werden können.

FAQ zu NIS2

Welche Unternehmen sind von NIS2 betroffen?
Maßgeblich sind insbesondere Einrichtungsart, Sektor und Größe. Das deutsche BSIG unterscheidet wichtige und besonders wichtige Einrichtungen; bestimmte Einrichtungen können unabhängig von üblichen Größenschwellen erfasst sein. Unternehmen sollten ihre Einordnung anhand der gesetzlichen Kriterien und der BSI-Hilfen dokumentieren [4].
Reicht eine Zertifizierung nach ISO 27001 aus?
Nein. Ein bestehendes ISMS kann eine tragfähige Grundlage sein, ersetzt aber nicht automatisch die Prüfung sämtlicher gesetzlichen Pflichten, etwa Registrierung, Meldungen, Leitungsverantwortung und spezifische Nachweise [1] [4].
Welche Maßnahmen verlangt das Risikomanagement?
§ 30 BSIG nennt unter anderem Risikoanalyse, Incident Management, Business Continuity, Lieferkettensicherheit, sichere Beschaffung und Entwicklung, Wirksamkeitskontrollen, Schulungen, Kryptografie, Personalsicherheit, Zugriffskontrolle und Multi-Faktor-Authentifizierung [1].
Welche Fristen gelten bei einem erheblichen Sicherheitsvorfall?
Vorgesehen sind eine frühe Erstmeldung unverzüglich, spätestens innerhalb von 24 Stunden, eine Meldung spätestens innerhalb von 72 Stunden und grundsätzlich eine Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung. Bei fortdauernden Vorfällen tritt zunächst eine Fortschrittsmeldung an ihre Stelle [2].
Welche Rolle hat die Geschäftsleitung?
Sie muss die Risikomanagementmaßnahmen umsetzen und überwachen. Außerdem muss sie regelmäßig an Schulungen teilnehmen; bei schuldhafter Pflichtverletzung kann eine Haftung gegenüber der eigenen Einrichtung entstehen [3].
Was bedeutet NIS2 für Lieferanten und Dienstleister?
Betroffene Einrichtungen müssen sicherheitsbezogene Aspekte ihrer Beziehungen zu unmittelbaren Anbietern und Dienstleistern in das Risikomanagement einbeziehen. Praktisch umfasst das eine risikobasierte Auswahl, vertragliche Anforderungen, Nachweise sowie angemessene Kontrollen [1].
Wann muss sich ein betroffenes Unternehmen registrieren?
Nach den BSI-Informationen müssen sich wichtige und besonders wichtige Einrichtungen grundsätzlich spätestens drei Monate nach erstmaliger oder erneuter Betroffenheit registrieren. Änderungen der Angaben sind unverzüglich, spätestens nach zwei Wochen, zu übermitteln [4].
Wie lässt sich die Umsetzung sinnvoll starten?
Ein strukturierter Start besteht aus Betroffenheitsanalyse, Gap-Analyse gegen § 30 BSIG, Verantwortlichkeitsmatrix, priorisiertem Maßnahmenplan und einem getesteten Meldeprozess. Bestehende ISMS-, BCM- und Lieferantenprozesse sollten dabei weiterverwendet und verzahnt werden [1] [2].
Welche Sanktionen drohen?
§ 65 BSIG erfasst unter anderem Verstöße gegen Risikomanagement-, Dokumentations-, Melde- und Registrierungspflichten. Die konkrete Bußgeldhöhe hängt vom Tatbestand und der Einordnung der Einrichtung ab [5].
Woran erkennt man eine belastbare NIS2-Umsetzung?
Nicht an einer einzelnen Richtlinie, sondern an gelebten und überprüfbaren Abläufen: Verantwortliche kennen ihre Rollen, Risiken und Abhängigkeiten sind aktuell, Vorfälle werden geübt, Maßnahmen auf Wirksamkeit geprüft und Nachweise sind verfügbar. Das entspricht dem gesetzlichen Fokus auf geeignete, verhältnismäßige, wirksame und dokumentierte Maßnahmen [1].

Quellen zur zusätzlichen Recherche

[1] https://www.gesetze-im-internet.de/bsig_2025/__30.html
[2] https://www.gesetze-im-internet.de/bsig_2025/__32.html
[3] https://www.gesetze-im-internet.de/bsig_2025/__38.html
[4] https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-Pflichten/nis-2-pflichten_node.html
[5] https://www.gesetze-im-internet.de/bsig_2025/__65.html

Management Summary, Tipps, FAQ und Bilder wurden mit Hilfe von KI erstellt

953 Artikel zu „NIS2“

Infrastruktur | IT-Security | Kommentar | Logistik | News | Services | Tipps

Wenn Kühlketten kollabieren: Was NIS2 und CRA aus dem Angriff in Frankreich lehren

16. Oktober 2026

Ein Cyberangriff auf vernetzte Kühlsysteme in französischen Supermärkten zeigt, wie schnell ein scheinbar technisches Detail den Filialbetrieb, Warenbestände und Lieferketten trifft. Der Vorfall macht deutlich: NIS2 und der Cyber Resilience Act sind keine abstrakten Compliance-Projekte, sondern Leitplanken für belastbare Prozesse, sichere Produkte und klar verteilte Verantwortung. Management Summary Cyberrisiken werden zu Betriebsrisiken: Manipulierte IoT- und…