Seit Dezember 2025 ist NIS2 in Deutschland Gesetz. Unsere praxisnahe NIS2-Checkliste zeigt Ihnen Schritt für Schritt, wie Sie Ihre Organisation NIS2-compliant machen – kompakt, verständlich und umsetzbar. So erkennen Sie auf einen Blick, welche Punkte Sie bereits erfüllen und wo noch Handlungsbedarf besteht.
Mit der NIS2-Richtlinie will die EU die digitale Sicherheit innerhalb Europas stärken. Sie ist die überarbeitete Version der ursprünglichen NIS-Richtlinie von 2016 und soll Unternehmen besser gegen Cyberbedrohungen wappnen – vor allem solche, die für das Funktionieren unserer Gesellschaft besonders wichtig sind.
Das Ziel von NIS2 ist, die Cybersicherheit und Resilienz sogenannter „kritischer Infrastrukturen“ erhöhen – etwa in Bereichen wie Energie, Gesundheit, Transport, Verwaltung oder digitale Dienste. Aber auch viele mittelständische Unternehmen in Deutschland fallen unter die neuen Anforderungen, selbst wenn sie sich bislang nicht als „kritisch“ eingestuft haben.
Was bedeutet das konkret? Wer unter NIS2 fällt, muss künftig höhere Sicherheitsstandards erfüllen – von technischen Schutzmaßnahmen bis hin zu klaren Verantwortlichkeiten im Management. Die Richtlinie schafft damit einen einheitlichen Rahmen für Cybersicherheit in der EU mit deutlich verschärften Pflichten und Sanktionen bei Verstößen.
NIS2 bringt klare Anforderungen an die Cybersicherheit, die Unternehmen jetzt umsetzen müssen – von der Registrierung über Risikomanagement bis hin zu Meldepflichten bei Sicherheitsvorfällen. Besonders wichtig: Die Geschäftsleitung trägt die Verantwortung für die Umsetzung. Und alle Maßnahmen müssen nachweisbar dokumentiert sein. Unsere NIS2-Checkliste hilft Ihnen dabei, alle wichtigen Anforderungen des Gesetzes zur Umsetzung von NIS2 umzusetzen, bevor die Frist verstreicht.
Was müssen Sie konkret tun, um die Anforderungen der NIS2-Richtlinie zu erfüllen? Diese 10 Punkte in unserer Checkliste helfen Ihnen, den Überblick zu behalten – und Ihre Compliance Schritt für Schritt abzusichern.
NIS2 verlangt ein aktives, dokumentiertes Risikomanagement – und zwar nicht nur einmal, sondern fortlaufend. Unternehmen müssen ihre Systeme, Prozesse und Dienstleister regelmäßig auf Sicherheitsrisiken prüfen und bewerten.
Das Ziel: Schwachstellen erkennen, bevor sie zur echten Gefahr werden. Dazu gehört nicht nur die Risikoanalyse selbst, sondern auch die Umsetzung wirksamer technischer und organisatorischer Schutzmaßnahmen – zum Beispiel Firewalls, Zugangskontrollen, Notfallpläne oder Mitarbeiterschulungen.
Ein konkretes Beispiel: Phishing-Angriffe. Ihre Risikomanagementrichtlinie muss klar festhalten, wie wahrscheinlich solche Angriffe sind, welche Schutzmaßnahmen greifen – z. B. Zwei-Faktor-Authentifizierung oder Awareness-Trainings – und wie im Ernstfall reagiert wird. Auch Budget und Zuständigkeiten sollten definiert sein.
NIS2 schreibt außerdem regelmäßige Wirksamkeitsprüfungen, unabhängige Audits und einen klaren Fahrplan zur kontinuierlichen Verbesserung vor. Nutzen Sie unsere NIS2-Checkliste, um compliant zu bleiben und Ihre Geschäftschancen zu sichern.
Reicht Ihnen unsere NIS2-Checkliste noch nicht? In unserem On-Demand-Webinar zeigen wir Ihnen, wie Sie Ihr Unternehmen optimal auf NIS2 vorbereiten.
Cyberangriffe, Systemfehler oder menschliches Versagen – all das kann Sicherheitslücken aufreißen. Deshalb fordert NIS2 ein aktives Vulnerability- und Incidentmanagement. Im Fokus stehen zwei Dinge: präventives Handeln und schnelle Reaktion.
Konkret heißt das: Schwachstellen wie ungepatchte Software müssen erkannt, bewertet und zeitnah behoben werden – idealerweise durch automatisiertes Patch-Management. Gleichzeitig braucht es klare Prozesse zur Erkennung und Meldung von Sicherheitsvorfällen, definierte Verantwortlichkeiten und technische Tools wie Monitoring-Systeme oder SIEM-Lösungen.
Genauso wichtig wie die die richtigen Tools sind durchdachte Kommunikationswege. Wer meldet was, wann, an wen? Ein strukturierter Meldeprozess sorgt dafür, dass Vorfälle intern wie extern – etwa an Aufsichtsbehörden – korrekt kommuniziert werden. Nur wer vorbereitet ist, kann im Ernstfall schnell und professionell reagieren.
Ein Sicherheitsvorfall ist selten nur ein IT-Problem, oft steht plötzlich der gesamte Betrieb still. Deshalb verlangt NIS2 von Unternehmen belastbare Strategien zur Betriebskontinuität und schnellen Wiederherstellung kritischer Dienste.
Das bedeutet: Es braucht Notfall- und Wiederanlaufpläne, die klare Abläufe und Zuständigkeiten definieren – technisch, organisatorisch und kommunikativ. Backups müssen regelmäßig automatisiert erstellt, verschlüsselt gespeichert und in einer isolierten Umgebung gesichert werden. Ebenso wichtig sind Redundanzen, damit kritische Systeme auch im Störfall verfügbar bleiben.
Ein starkes BCM sorgt dafür, dass Sie im Ernstfall nicht improvisieren müssen und alle Beteiligten ihre Rollen kennen. Dazu gehören nicht nur die IT, sondern auch PR-Abteilungen, Recht und andere relevante Bereiche. Legen Sie Ihre Kommunikationsmechanismen für den Ernstfall fest und testen Sie Ihre Abläufe und Strukturen, damit Sie auch im Krisenfall handlungsfähig bleiben.
Cyberrisiken machen nicht vor der eigenen IT halt – und sie kommen oft über Dritte. NIS2 verlangt deshalb, dass Sicherheitsanforderungen auch entlang der Lieferkette greifen. Das heißt, dass Risiken bei Dienstleistern und Zulieferern identifiziert, bewertet und kontrolliert werden müssen.
Grundlage ist eine Lieferkettensicherheitsrichtlinie, die klare Vorgaben zur IT-Sicherheit, Vertragsgestaltung und Risikobewertung enthält. Diese wird regelmäßig aktualisiert, ebenso wie ein vollständiges Lieferantenverzeichnis, in dem alle externen Partner nach ihrer Kritikalität eingestuft sind.
Besonders bei kritischen Dienstleistern gilt: Schutzmaßnahmen müssen dokumentiert, umgesetzt und laufend überprüft werden. Nur so bleibt Ihre Lieferkette stabil und Ihre NIS2-Compliance belastbar.
NIS2 verpflichtet Unternehmen dazu, Sicherheitsmaßnahmen strukturiert zu planen, umzusetzen und regelmäßig zu überprüfen. Ein Informationssicherheitsmanagementsystem (ISMS) – etwa nach ISO 27001 – ist zwar nicht verpflichtend, bietet aber einen etablierten Rahmen, um genau das systematisch umzusetzen: Risiken erkennen, Verantwortlichkeiten klären, Maßnahmen dokumentieren und kontinuierlich verbessern.
Doch Sicherheit endet nicht beim Systembetrieb – sie beginnt schon bei der Beschaffung. Egal ob Software, Hardware oder IT-Dienstleistungen: Bereits im Einkauf müssen klare Sicherheitsanforderungen definiert, dokumentiert und bei Lieferanten geprüft werden. Das betrifft insbesondere IKT-Produkte und -Dienste wie Cloud-Anbieter, Netzwerke oder Anwendungen.
Zum sicheren Betrieb gehört außerdem:
Wer Informationssicherheit entlang des gesamten Lebenszyklus von der Beschaffung bis zum Betrieb mitdenkt, schafft nicht nur Transparenz, sondern reduziert ganz konkret das Risiko von Sicherheitsvorfällen.
Sicherheitsmaßnahmen sind nur dann etwas wert, wenn sie auch funktionieren. NIS2 verlangt deshalb: prüfen, hinterfragen, nachbessern – regelmäßig und dokumentiert.
Für Sie bedeutet das, dass sie Audits, Sicherheitstests und Schwachstellenanalysen planen und durchführen müssen. Zusätzlich müssen diese Maßnahmen im Nachhinein ausgewertet werden. Dabei zählt nicht nur, einen Haken zu setzen, sondern wirklich zu verstehen, welche Sicherheitsmaßnahmen funktionieren und welche nicht.
Die Erkenntnisse fließen in einen kontinuierlichen Verbesserungsprozess. Maßnahmen werden angepasst, Prozesse geschärft und neue Risiken adressiert. So entsteht ein Sicherheitsniveau, das nicht stehen bleibt – sondern mit Ihrem Unternehmen mitwächst.
Technik allein reicht nicht – NIS2 macht das Sicherheitsbewusstsein der Mitarbeitenden zur Pflicht. Denn viele Angriffe starten nicht mit einem Hack, sondern mit einem Klick.
Unternehmen müssen deshalb regelmäßige Awareness-Trainings durchführen – verpflichtend und dokumentiert. Ziel ist es, alle Beschäftigten für Risiken wie Phishing, Social Engineering oder unsichere Passwörter zu sensibilisieren.
Entscheidend ist: Schulungen dürfen keine einmalige Pflichtübung sein. Sie müssen Teil der Unternehmenskultur werden – praxisnah, aktuell und zielgruppengerecht.
Vertrauliche Informationen brauchen mehr als gute Absichten, sie brauchen wirksame Verschlüsselung. NIS2 verlangt deshalb, dass Unternehmen den Einsatz von Kryptographie strategisch steuern müssen, um Vertraulichkeit, Authentizität und Integrität von Daten sicherzustellen.
Kernstück ist eine dokumentierte Kryptographierichtlinie, die regelt, wann, wie und womit verschlüsselt wird – und wie Schlüssel sicher verwaltet werden. Gemeint ist:
Genauso wichtig ist ein sauber definiertes Schlüsselmanagement – von der Erzeugung über die Verteilung bis zur sicheren Löschung. Veraltete oder unsichere Verfahren? Ein Risiko. Deshalb muss auch die Richtlinie regelmäßig überprüft und an aktuelle Standards angepasst werden.
Wer darf was? Das ist eine zentrale Sicherheitsfrage. Die neue NIS2-Richtlinie schreibt deshalb vor, Zugänge zu Systemen, Anwendungen und Daten gezielt zu steuern, regelmäßig zu prüfen und klar zu dokumentieren.
Dafür braucht es eine Zugangssteuerungsrichtlinie, die regelt, wer Zugriff erhält, nach welchem Berechtigungskonzept und mit welchen Sicherheitsmechanismen – vom VPN-Zugang bis zum Cloud-Admin-Konto. Dabei gilt das Minimalprinzip: Jede Person bekommt nur die Rechte, die sie wirklich braucht.
Privilegierte und administrative Zugänge – etwa zu Firewalls, Servern oder Datenbanken – müssen besonders geschützt werden mit dedizierten, personalisierten Konten, strikter Protokollierung und regelmäßiger Überprüfung. Auch inaktive oder veraltete Konten sind ein Risiko – sie müssen identifiziert und deaktiviert werden.
Ein weiterer Schlüsselpunkt ist starke Authentifizierung. Multi-Faktor-Authentifizierung (MFA), biometrische Verfahren oder Hardware-Token sorgen dafür, dass nur autorisierte Personen Zugang erhalten – und Angreifer draußen bleiben.
Zugriffsrechte allein reichen nicht. Entscheidend ist auch, wer wirklich hinter dem Zugriff steckt. Wenn Sie NIS2-compliant werden möchten, müssen Sie daher digitale Identitäten zuverlässig schützen.
Kernbaustein ist eine dokumentierte Authentifizierungsrichtlinie, die klare Standards für alle Zugänge festlegt – von VPN über Server bis zur Cloud. Besonders für kritische Systeme gilt, dass Multi-Faktor-Authentifizierung (MFA) ein Muss ist. Sie kombiniert Passwort, Besitz (z. B. Smartphone) und biometrische Merkmale – und macht es Angreifern deutlich schwerer.
Auch weitere Verfahren wie One-Time-Passwords (OTP), Hardware-Token, biometrische Authentifizierung oder Public-Key-Infrastructure (PKI) kommen je nach Schutzbedarf zum Einsatz. Authentifizierungsdaten müssen verschlüsselt gespeichert, regelmäßig aktualisiert und alle Anmeldevorgänge protokolliert und überwacht werden.
Die NIS2-Richtlinie wurde bereits Ende 2022 auf EU-Ebene verabschiedet. Seitdem läuft der Countdown: Bis spätestens 17. Oktober 2024 sollten alle Mitgliedstaaten die Vorgaben in nationales Recht überführen.
Einige EU-Länder wie Italien, Belgien und Dänemark haben die Gesetzgebung bis Ende 2024 verabschiedet. Das deutsche NIS2-Umsetzungsgesetz (NIS2UmsuCG) trat am 6. Dezember 2025 in Kraft.
Die NIS2-Richtlinie betrifft deutlich mehr Unternehmen als ihr Vorgänger NIS auch viele, die bisher nicht unter Sicherheitsregulierung fielen. Entscheidend für die Umsetzung der NIS2-Compliance sind Branche, Unternehmensgröße und Ihre Rolle in der Lieferkette.
Grundsätzlich unterscheidet NIS2 zwei Kategorien:
Die Schwellenwerte:
Diese Organisationen spielen eine zentrale Rolle für Wirtschaft, öffentliche Sicherheit und kritische Versorgungsleistungen:
Nicht als kritisch eingestuft, aber mit hoher Verantwortung für Informationssicherheit und Versorgungsketten:
Auch Unternehmen, die nicht selbst als kritisch eingestuft sind, können betroffen sein, wenn sie Dienstleistungen oder Produkte für wichtige oder besonders wichtige Einrichtungen erbringen.
Wer also in einer Lieferkette oder Partnerschaft mit einem NIS2-pflichtigen Unternehmen steht, sollte ebenfalls prüfen, welche Sicherheitsanforderungen gelten. Denn viele Verträge enthalten entsprechende Vorgaben und machen Compliance faktisch zur Voraussetzung für die Zusammenarbeit.
Rund 30.000 Unternehmen in Deutschland werden direkt oder indirekt von NIS2 betroffen sein. Ob kritisch oder nicht – wenn Sie sensible Daten verarbeiten, digitale Dienste bereitstellen oder mit kritischen Einrichtungen kooperieren, sollten Sie Ihre Einstufung jetzt prüfen.
Noch unsicher? Mit dem kostenlosen NIS2-Checker von DataGuard erfahren Sie in wenigen Minuten, ob Sie betroffen sind – und was Sie jetzt tun sollten.
Die Richtlinie bringt spürbare Konsequenzen mit sich. Wer sich nicht daran hält, riskiert mehr als nur einen Vermerk im Auditbericht.
Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes sind möglich – je nachdem, welcher Betrag höher ist. Doch es geht um mehr als nur Geld: Reputationsverlust, Vertrauensbruch und rechtliche Haftung stehen genauso im Raum.
Besonders kritisch: Unternehmen, die nicht compliant sind, verlieren ihren Platz in der Lieferkette. Viele NIS2-pflichtige Organisationen fordern schon heute Sicherheitsnachweise von ihren Dienstleistern. Wer diese nicht liefern kann, wird bei der nächsten Ausschreibung oft nicht mehr berücksichtigt.
Manuelle Compliance kostet Zeit – und Nerven. Mit der richtigen Plattform behalten Sie den Überblick, automatisieren Ihre Prozesse und sind audit-ready, ohne Excel-Chaos.
Was Sie davon haben:
Setzen Sie auf smarte Unterstützung und integrieren Sie frühzeitig die richtigen Tools, um Prozesse effizienter zu gestalten, Abläufe zu vereinfachen und Ihre Maßnahmen in Echtzeit zu überwachen.
Ob direkt betroffen oder Teil einer Lieferkette, jetzt ist der richtige Zeitpunkt, um aktiv zu werden. NIS2 bringt neue Pflichten, aber auch die Chance, Ihre Informationssicherheit strategisch aufzustellen.
Das Wichtigste auf einen Blick:
Mit der DataGuard Plattform setzen Sie NIS2-Compliance mithilfe eines ISMS effizient, strukturiert und nachvollziehbar um, ohne Insellösungen oder manuelle Aufwände.
Ob Risikoanalyse, Maßnahmenmanagement oder Auditvorbereitung, alles an einem Ort, jederzeit im Blick.
Starten Sie jetzt mit:
Starten Sie Ihre NIS2-Umsetzung mit einem klar strukturierten Prozess, der Komplexität reduziert, Sicherheit schafft und Sie dauerhaft compliant hält. Unsere Plattform unterstützt Sie dabei – Schritt für Schritt, automatisiert und nachvollziehbar.
Eine NIS2 Checkliste hilft Ihnen, die Anforderungen der EU-Richtlinie strukturiert zu prüfen. Sie zeigt auf einen Blick, welche organisatorischen und technischen Maßnahmen Sie umsetzen müssen. So erkennen Sie Lücken frühzeitig und vermeiden Bußgelder oder Haftungsrisiken für die Geschäftsführung.
TISAX® ist eine eingetragene Marke der ENX Association. DataGuard steht in keiner geschäftlichen Verbindung zu ENX. Wir bieten lediglich Software-as-a-Service und Unterstützung zur Vorbereitung auf das Assessment nach TISAX® an. Die ENX Association übernimmt keine Verantwortung für die auf der DataGuard-Website dargestellten Inhalte.
Alle Angaben dienen lediglich der Information und beruhen auf internen Schätzungen. Diese Informationen sind kein Indikator für KPIs und werden ohne ausdrückliche oder stillschweigende Zusicherungen oder Garantien in Bezug auf Genauigkeit und Zuverlässigkeit gegeben.
{
"@context": "https://schema.org",
"@graph": [
{
"@type": "Organization",
"@id": "www.dataguard.de#organization",
"name": "DataGuard",
"legalName": "DataCo GmbH",
"description": "DataGuard ist der führende europäische Anbieter von Security- und Compliance-Software und wird von über 4.000 Organisationen in mehr als 50 Ländern weltweit geschätzt. Wir helfen Ihnen, Sicherheits- und Compliance-Risiken zu identifizieren und zu managen, Compliance-Anforderungen zu erfüllen und Zertifizierungen schneller zu erreichen. Dabei kombinieren wir maßgeschneiderte Expertenberatung mit KI-gestützter Automatisierung. Unsere speziell entwickelte All-in-One-Plattform basiert auf mehr als 1,5 Millionen Stunden Erfahrung eines Teams zertifizierter Security- und Compliance-Experten.",
"foundingDate": "2018",
"taxID": "DE315880213",
"logo": "https://7759810.fs1.hubspotusercontent-na1.net/hubfs/7759810/DataGuardLogo.svg",
"url": "www.dataguard.de",
"email": "info@dataguard.de",
"telephone": "+49 89 452459 900",
"address": {
"@type": "PostalAddress",
"streetAddress": "Sandstrasse 33",
"addressLocality": "München",
"addressRegion": "Bayern",
"postalCode": "80335",
"addressCountry": "Deutschland"
},
"sameAs": [
"https://www.linkedin.com/company/dataguard1/",
"https://www.youtube.com/channel/UCEQzPZ6sCBCj9cAoBvaLL6w",
"https://x.com/i/flow/login?redirect_after_login=%2FDataGuard_dg"
]
}
]
}✅ Organization schema markup for "DataGuard" has been injected into the document head.