NIS-2 ist in Kraft: Wie sieht die Umsetzung in der Praxis aus?

Seit Dezember 2025 ist das NIS2-Umsetzungsgesetz in Deutschland offiziell in Kraft und stellt rund 30.000 Unternehmen vor neue Herausforderungen in der IT-Sicherheit. Doch obwohl die NIS-2 Richtlinie klare Anforderungen formuliert, zeigt sich in der Praxis: Viele Unternehmen wissen noch nicht genau, ob sie betroffen sind und wie sie starten sollen.

Genau darüber sprechen wir in unserer aktuellen Podcast-Folge #20 von „Be safe, not sorry“.

Podcast: Einblicke, Expertenwissen und Praxisbeispiele

„Be safe, not sorry“ ist der Cybersecurity-Podcast von NCP.  Im Fokus stehen Cyberresilienz, digitale Souveränität und IT-Sicherheit in der Wirtschaft und im Public Sector – mit Gästen aus der Branche, interessanten Einblicken, Expertenwissen und praxisnahen Beispielen.

Alle Folgen finden Sie auf Spotify, Apple Podcast und Amazon Music.

Unsere Gäste in dieser Folge

Marian Blok, Referat W13 beim Bundesamt für Sicherheit in der Informationstechnik (BSI)
Er beschäftigt sich intensiv mit der Informations- und Aufklärungsarbeit rund um das NIS-2 Umsetzungsgesetz und bringt die Perspektive der Aufsichtsbehörde ein. Seine Expertise macht ihn zu einem besonders wertvollen Gesprächspartner, wenn es um die praktische Umsetzung und die Frage geht: „NIS-2 – wer ist betroffen und was bedeutet das konkret?“

Experten von NCP und Moderation:
Marcus Wailersbacher, Chief Sales & Marketing Officer bei NCP
Christian Albrecht, Account Manager bei NCP
Fabian Haun, Geschäftsführer der Public Affairs-Beratung elfnullelf

NIS-2 in der Praxis: Die wichtigsten Erkenntnisse

1. Große Unsicherheit in Unternehmen

Viele Organisationen stehen noch ganz am Anfang der NIS-2 Umsetzung in Deutschland. Die zentrale Frage lautet nicht mehr ob, sondern wie sie die Anforderungen erfüllen.

Die Unsicherheit in den Unternehmen beim Thema NIS-2 ist noch immer groß – sowohl darüber, ob sie betroffen sind, als auch darüber, wie die Umsetzung konkret erfolgen soll. „Für viele Unternehmen gibt es die Unsicherheit, wo sie denn jetzt anfangen sollen“, sagt Marian Blok. Das habe gute Gründe, denn die Betroffenheitsanalyse sei komplex. Je größer das Unternehmen, desto komplexer könne sie werden. „Nicht die Frage ob, sondern die Frage wie ist es, die uns die Kunden stellen“, sagt Marcus Wailersbacher.

2. Risikomanagement als Herzstück der NIS-2 Anforderungen

Ein zentraler Bestandteil der NIS-2 Anforderungen ist ein systematisches Risikomanagement:

• Risiken identifizieren
• bewerten  
• und gezielt minimieren

Eine strukturierte Risikoanalyse ist deshalb die Grundlage für alle anderen Maßnahmen. „Wenn man strukturiert arbeiten will, sollte man Informationssicherheit immer in einem Gesamtkonzept denken – typischerweise in einem ISMS“, empfiehlt Marian Blok.

3. Sichere Remote-Zugriffe werden zur Pflicht

Mobiles Arbeiten ist heute selbstverständlich. Darüber sind sich alle in der Podcast-Folge einig. Damit es nicht zum Sicherheitsrisiko wird, muss es richtig abgesichert werden. 

Christian Albrecht beschreibt, wie NCP seinen Kunden hilft NIS-2 Anforderungen zu erfüllen, indem die Software-Lösungen von NCP als Bausteine innerhalb eines umfassenden Sicherheitskonzepts funktionieren: „Die NCP‑Lösungen lassen sich als Baustein in ein ganzheitliches Sicherheitskonzept integrieren – etwa durch verschlüsselte Kommunikation oder granulare Zugriffskontrollen.“

Wesentliche Bausteine hierbei sind: 

• Verschlüsselte Kommunikation
• Granulare Zugriffskontrollen
• Multifaktor-Authentifizierung 

Diese Maßnahmen helfen Unternehmen, zentrale Anforderungen des NIS-2 Umsetzungs- und Cybersicherheitsstärkungsgesetzes zu erfüllen.

4. Neue Rolle des BSI: Partner und Aufsicht zugleich

Mit der NIS-2 Richtlinie wächst auch die Rolle des BSI:

• Aufsichtsbehörde mit erweiterten Befugnissen
• gleichzeitig Partner der Wirtschaft

Die Aufsicht solle dabei weiterhin pragmatisch gestaltet sein. Besonders wichtig ist laut Blok der kooperative Ansatz: Das BSI möchte Unternehmen dabei begleiten, ihre Cyber-Sicherheit zu verbessern, statt rein über Sanktionen zu arbeiten. Der Erfolg von NIS-2 wird daran gemessen werden, dass der durch Cyberangriffe verursachte Schaden in den kommenden Jahren zumindest stagniert oder im besten Fall zurück geht.

5 konkrete Tipps zur NIS-2 Umsetzung

1. Betroffenheit prüfen und Risikoanalyse starten

Nutzen Sie offizielle Tools, um zu prüfen, ob Ihr Unternehmen von NIS-2 betroffen ist  (Online-Tool des BSI) und registrieren Sie sich ggf. 

Erfassen Sie Ihre wichtigsten Assets, Prozesse und Risiken systematisch, um gezielt handeln zu können (siehe BSI-Tipps).

2. Bestehende Strukturen nutzen und erweitern

Viele Unternehmen haben bereits Sicherheitsmaßnahmen implementiert. Bestehende ISMS‑, IT‑Sicherheits- oder Compliance‑Strukturen lassen sich oft gut als Basis nutzen und müssen lediglich an die NIS-2 Anforderungen angepasst oder erweitert werden. Lösungen, wie die von NCP können dabei helfen.

3. Klare Regeln für Remote Work und externe Zugriffe definieren

Definieren Sie klare Vorgaben: 

• Zugriffe
• Geräte
• Berechtigungen

4. Technische Maßnahmen kombinieren

Verschlüsselte Kommunikation, granulare Zugriffskontrollen und Multifaktor‑Authentifizierung erhöhen die Sicherheit und helfen, zentrale NIS-2 Anforderungen zu erfüllen.

5. Dokumentation pragmatisch, aber konsequent umsetzen

Dokumentation ist kein Selbstzweck. Wer Standards wie ISO 27001 oder BSI‑Grundschutz nutzt, erzeugt notwendige Nachweise automatisch und reduziert manuellen Aufwand. 

Weiterführende Informationen zu NIS-2

Für einen tieferen Einstieg in die NIS-2 Umsetzung empfehlen wir unseren Blogbeitrag: NIS-2 in Deutschland in Kraft: Was Unternehmen jetzt beachten müssen und wie VPN-Lösungen unterstützen.

Fazit: Jetzt handeln statt abwarten

Die NIS-2 Richtlinie ist kein Zukunftsthema mehr, sondern Realität. Unternehmen sollten jetzt aktiv werden, um Risiken zu minimieren und regulatorische Anforderungen zu erfüllen.

Jetzt Podcast anhören

Hören Sie die komplette Folge von „Be safe, not sorry“ und erfahren Sie, wie Experten die NIS-2 Umsetzung einschätzen.

Die aktuelle Folge #20 finden Sie auf Spotify, Apple Podcast und Amazon Music.