NIS2 umsetzen in Schritten: der Maßnahmenplan mit Sofortpaket

Welche Pflichten es gibt, steht in der Übersicht der NIS2-Anforderungen; was die zehn Maßnahmenbereiche im Einzelnen verlangen, auf der Seite § 30 BSIG mit Checkliste.

Haben wir für die Umsetzung zwölf Monate Zeit?

Nein. Das BSIG ist mit dem NIS2-Umsetzungsgesetz am 06.12.2025 in Kraft getreten und sieht keine allgemeine Übergangsfrist vor; nach dem BSI müssen betroffene Unternehmen ihre Pflichten grundsätzlich unmittelbar erfüllen. Ein Maßnahmenplan ändert daran nichts. Er ist das Werkzeug, mit dem Sie bestehende Lücken geordnet schließen und gegenüber Geschäftsleitung und Aufsicht zeigen, dass Sie das tun.

Die NIS2-Richtlinie verpflichtet außerdem die Mitgliedstaaten sicherzustellen, dass eine Einrichtung, die feststellt, dass sie Maßnahmen nicht nachkommt, unverzüglich die erforderlichen Korrekturmaßnahmen ergreift (Art. 21 Abs. 4 RL (EU) 2022/2555). Im BSIG steht das nicht wörtlich; fachlich ist es der richtige Maßstab. Für den Plan heißt das: Was schnell geht und viel bewirkt, kommt sofort, auch wenn das Gesamtprojekt länger dauert.

Welche Sofortmaßnahmen kommen zuerst?

Ins Sofortpaket gehören Pflichten mit kurzer Frist, die Verantwortung der Leitung und technische Schutzmaßnahmen, die ohne lange Konzeptarbeit wirken. Die Auswahl ist unsere Empfehlung; das Gesetz schreibt keine Reihenfolge vor.

Wer vor der Registrierung einen erheblichen Sicherheitsvorfall erleidet, meldet laut BSI über ein Online-Formular im Melde- und Informationsportal. Die Meldekette sollte deshalb nicht auf die Registrierung warten.

In welcher Reihenfolge folgen die weiteren Schritte?

Nach dem Sofortpaket folgen drei Phasen. Die Reihenfolge ergibt sich aus Abhängigkeiten: Ohne Inventar keine Risikoanalyse, ohne Risikoanalyse keine begründete Auswahl der Maßnahmen. § 30 Abs. 1 Satz 2 bemisst die Verhältnismäßigkeit unter anderem an der Risikoexposition; die Risikoanalyse liefert dafür die Grundlage.

1. Grundlagen: Geltungsbereich festlegen (die ganze Einrichtung), Inventar der Systeme, Dienste und Dienstleister, Risikoanalyse mit Behandlungsplan.
2. Kernmaßnahmen: die zehn Bereiche nach § 30 Abs. 2, priorisiert nach dem Behandlungsplan.
3. Wirksamkeit und Nachweis: Kontrolltests, Kennzahlen, Bericht an die Geschäftsleitung, Plan fortschreiben.

Was hängt wovon ab?

Wer ist verantwortlich?

Gesetzlich verantwortlich ist die Geschäftsleitung (§ 38 Abs. 1). Die übrigen Rollen sind unsere Empfehlung für Unternehmen mit kleiner IT:

Ein IT-Dienstleister kann auch zur Meldung an das BSI ermächtigt werden. Die Verantwortung für den Vorfall und den Inhalt der Meldung bleibt laut BSI bei der Einrichtung.

Woran erkennen Sie, dass ein Arbeitspaket fertig ist?

Jedes Paket braucht ein prüfbares Abschlusskriterium und einen Nachweis. Ohne beides kann die Geschäftsleitung den Fortschritt nicht überwachen. Beispiele (unsere Empfehlung):

Beispielplan über 12 Monate (Verbesserungsplan, keine Frist)

Fiktives Beispiel, kein Kunde. Ein Lebensmittelhersteller mit 140 Beschäftigten und industrieller Produktion ist als wichtige Einrichtung eingestuft (Anlage 2). Die Registrierung ist erledigt, sonst liegt wenig Dokumentation vor; die IT betreuen zwei eigene Beschäftigte und ein Systemhaus.

Wichtig: Der folgende Plan ist ein Verbesserungsplan. Er beschreibt, in welcher Reihenfolge das Unternehmen bestehende Lücken schließt. Er setzt keine Fristen für die gesetzlichen Pflichten; diese gelten seit dem 06.12.2025.

Ein kleineres Unternehmen mit weniger Systemen kommt schneller voran, ein größeres mit vielen Standorten braucht länger. Dauer und Umfang hängen vom Ausgangsstand ab; der Plan ist deshalb eine Vorlage zum Anpassen.

Typische Lücken im Maßnahmenplan

Diese Seite ist eine allgemeine Information und keine Rechtsberatung. Welche Pflichten für Ihr Unternehmen gelten und wie dringend einzelne Lücken sind, ist im Einzelfall zu prüfen.