NIS2 umsetzen: Wie viel Aufwand, wie lange, und wer muss ran?
Wer NIS2 umsetzen will, fragt zuerst nach Aufwand und Dauer. Die ehrliche Antwort lautet: Es hängt von Ihrem Ausgangspunkt ab. Ein Unternehmen mit gelebtem ISMS schließt die Lücken in wenigen Monaten, ein Unternehmen ohne strukturierte Informationssicherheit braucht ein Programm über ein bis anderthalb Jahre. Diese Seite gibt Ihnen die Zeiträume, Phasen und internen Aufgaben, mit denen Sie planen können.
- 2–4 Wochen Betroffenheits- und Gap-Analyse
- 3–6 Monate Umsetzung mit bestehendem ISMS
- 6–18 Monate Umsetzung ohne strukturierte Informationssicherheit
- 10 Maßnahmenbereiche aus § 30 BSIG, die abzudecken sind
Was den Aufwand bestimmt
Vier Faktoren erklären den Großteil der Unterschiede zwischen Unternehmen. Der Reifegrad wiegt am schwersten.
- Faktor 1
Reifegrad der Informationssicherheit
Gibt es ein ISMS, Richtlinien, einen Verantwortlichen, gelebte Prozesse? Wer ISO 27001, BSI IT-Grundschutz oder TISAX umgesetzt hat, deckt die zehn Bereiche aus § 30 BSIG weitgehend ab. Wer bei null startet, baut Strukturen auf, nicht nur Maßnahmen.
- Faktor 2
Größe und Komplexität
Anzahl der Standorte, Systeme, Fachbereiche, Tochtergesellschaften und Dienstleister. Nicht die Mitarbeiterzahl allein treibt den Aufwand, sondern die Zahl der Stellen, an denen Maßnahmen umgesetzt und nachgewiesen werden müssen.
- Faktor 3
Kategorie und Sektor
Besonders wichtige Einrichtungen unterliegen strengerer Aufsicht und höheren Bußgeldrahmen als wichtige. Betreiber kritischer Anlagen erbringen zusätzlich regelmäßige Nachweise. Das erhöht den Anspruch an Dokumentation und Prüfbarkeit.
- Faktor 4
Dienstleister und Lieferkette
Wer IT-Betrieb, Rechenzentrum oder Anwendungen ausgelagert hat, muss Anforderungen vertraglich durchsetzen und Nachweise einsammeln. Das ist weniger eigene Technikarbeit, aber mehr Abstimmung und Vertragsarbeit.
Dauer je Ausgangslage
Drei typische Ausgangslagen und die Zeiträume, mit denen wir in der Planung rechnen. Die Spannen sind Erfahrungswerte, keine Zusagen; sie verschieben sich mit internen Kapazitäten.
| Ausgangslage | Gap-Analyse | Umsetzung | Schwerpunkt der Arbeit |
|---|---|---|---|
| ISMS nach ISO 27001 zertifiziert oder gleichwertig gelebt | 2 Wochen | 3–6 Monate | Delta zu den gesetzlichen Zusatzpflichten: Registrierung, Meldeprozess mit 24-Stunden-Frist, Beschluss und Schulung der Geschäftsleitung, Lieferkette |
| Teilweise strukturiert: Richtlinien und Verantwortliche vorhanden, kein durchgängiges ISMS | 3 Wochen | 6–12 Monate | Lücken in Risikoanalyse, Wirksamkeitsprüfung und Nachweisführung schließen; technische Maßnahmen wie MFA und Backup-Tests flächendeckend machen |
| Keine strukturierte Informationssicherheit | 4 Wochen | 12–18 Monate | Aufbau von Organisation, Richtlinien und Prozessen parallel zu den technischen Quick Wins; Priorisierung nach Risiko, damit die wichtigsten Lücken zuerst geschlossen sind |
Unabhängig vom Reifegrad sofort: Registrierung nach § 33 BSIG, Meldeverantwortliche mit Vertretung, ein Beschluss der Geschäftsleitung über den Maßnahmenplan. Diese drei Punkte lassen sich in den ersten Wochen erledigen und sind das, was BSI und Kunden zuerst prüfen.
Die fünf Phasen der Umsetzung
Unabhängig von der Gesamtdauer folgt die Umsetzung derselben Reihenfolge. Die Länge der einzelnen Phasen skaliert mit dem Reifegrad.
-
Betroffenheit und Registrierung
Sektor, Größe, Kategorie schriftlich einordnen, Kontaktstelle festlegen, Registrierung im BSI-Portal vornehmen oder nachholen. Meldeverantwortliche benennen, damit die Meldefähigkeit vom ersten Tag an besteht.
-
Gap-Analyse gegen § 30 BSIG
Interviews mit IT, Fachbereichen und Geschäftsleitung, Sichtung vorhandener Dokumente, technische Stichproben. Ergebnis: Reifegrad je Maßnahmenbereich, Liste der Lücken mit Risikobewertung, Vorschlag für den Maßnahmenplan.
- Risikoanalyse und Sicherheitskonzepte für Informationssysteme
- Bewältigung von Sicherheitsvorfällen
- Aufrechterhaltung des Betriebs: Backup, Wiederherstellung, Krisenmanagement
- Sicherheit der Lieferkette
- Sicherheit bei Erwerb, Entwicklung und Wartung, inklusive Schwachstellenmanagement
-
Beschluss und Quick Wins
Die Geschäftsleitung beschließt den Maßnahmenplan mit Budget, Verantwortlichen und Terminen. Parallel starten die Maßnahmen mit dem größten Hebel: Multi-Faktor-Authentifizierung, Backup-Wiederherstellungstest, Meldeprozess mit Übung, Bereinigung privilegierter Zugänge.
-
Umsetzungsprogramm
Abarbeitung der Lücken in allen zehn Bereichen, Richtlinien und Prozesse einführen, Lieferanten bewerten und Verträge anpassen, Schulungen durchführen. Quartalsweise Statusbericht an die Geschäftsleitung.
- Bewertung der Wirksamkeit der Maßnahmen
- Cyberhygiene und Schulungen
- Kryptografie und Verschlüsselung
- Personalsicherheit, Zugriffskontrolle und Anlagenmanagement
- Multi-Faktor-Authentifizierung und gesicherte Kommunikation
-
Verstetigung und Nachweise
Wirksamkeit prüfen, Risikoanalyse jährlich aktualisieren, Übungen wiederholen, Evidenz-Ordner pflegen. Ab hier ist NIS2 kein Projekt mehr, sondern Teil des Regelbetriebs, auf Wunsch als Vorbereitung auf eine ISO-27001-Zertifizierung.
Was Ihr Unternehmen selbst leisten muss
Kein Berater kann Ihnen die Umsetzung abnehmen, denn Entscheidungen, Systemzugänge und Prozesswissen liegen bei Ihnen. Diese Rollen brauchen Sie, und so viel Zeit ist realistisch einzuplanen.
| Rolle | Aufgabe | Zeitbedarf (Erfahrungswert) |
|---|---|---|
| Geschäftsleitung | Maßnahmenplan billigen, Umsetzung überwachen, Schulung absolvieren, Entscheidungen bei Zielkonflikten treffen | Ein halber Tag für Kick-off und Beschluss, danach wenige Stunden pro Quartal für Bericht und Entscheidungen, einmal jährlich Schulung |
| Informationssicherheitsbeauftragter / Projektleitung | Gap-Analyse begleiten, Maßnahmenplan steuern, Richtlinien erarbeiten, Nachweise sammeln, Bericht an die Geschäftsleitung | In Analyse und Startphase ein erheblicher Anteil einer Vollzeitstelle, im Regelbetrieb eine dauerhafte Teilaufgabe |
| IT-Leitung und Administration | Technische Stichproben, Umsetzung von MFA, Backup, Patch-Management, Protokollierung, Härtung; Zusammenarbeit mit Dienstleistern | Punktuell hoch bei Quick Wins, danach in den regulären Betrieb integriert |
| Fachbereiche | Kritische Prozesse und Systeme benennen, Wiederanlaufanforderungen definieren, an Übungen teilnehmen | Interviews von ein bis zwei Stunden in der Analyse, Teilnahme an Workshops und einer Übung pro Jahr |
| Einkauf und Recht | Lieferanten bewerten, Vertragsklauseln zu Informationspflichten, Nachweisen und Subunternehmern einführen | Abhängig von der Zahl kritischer Dienstleister, meist konzentriert in der Programmphase |
| Personal und Kommunikation | Schulungen für Mitarbeitende organisieren, Kommunikationsvorlagen für Vorfälle bereithalten | Einführung in der Programmphase, danach jährliche Wiederholung |
Woran Umsetzungen sich verzögern
Die Technik ist selten das Problem. Diese fünf Ursachen sehen wir am häufigsten, und alle lassen sich zu Beginn vermeiden.
-
Kein Beschluss, kein Budget
Ohne formalen Beschluss der Geschäftsleitung bleibt NIS2 ein IT-Nebenprojekt ohne Priorität. Der Beschluss ist zugleich die Billigung nach § 38 BSIG und der Startschuss für Ressourcen.
-
Unklarer Geltungsbereich
Welche Gesellschaften, Standorte und Systeme sind erfasst? Wer das erst in der Umsetzung klärt, plant doppelt. Der Geltungsbereich gehört in die Betroffenheitsanalyse.
-
Dienstleister ohne Vertrag
Anforderungen an externe IT-Dienstleister lassen sich nur durchsetzen, wenn Verträge sie hergeben. Vertragsanpassungen dauern Monate, also früh beginnen.
-
Perfektion vor Wirksamkeit
Ein Richtlinienwerk von 200 Seiten, das niemand liest, ist kein Fortschritt. Angemessen und gelebt schlägt vollständig und theoretisch, auch vor dem BSI.
-
Nachweise nachträglich
Wer Protokolle, Testberichte und Beschlüsse erst vor einer Prüfung zusammensucht, verliert Wochen. Jedes Arbeitsergebnis sollte vom ersten Tag an im Evidenz-Ordner abgelegt werden.
-
Eine Person weiß alles
Hängt das Programm an einer Person, steht es bei Urlaub oder Wechsel. Vertretung für Projektleitung und Meldeverantwortliche von Anfang an benennen.
Welche Bußgelder bei Verzögerung im Raum stehen, lesen Sie im Beitrag 10 Mio. € Bußgeld oder 2 % Umsatz auf jamorie.eu.
Zu Aufwand und Dauer
Können wir NIS2 in drei Monaten umsetzen?
Registrierung, Meldeprozess, Verantwortlichkeiten und die ersten technischen Quick Wins ja. Ein vollständiges, nachweisbares Risikomanagement in allen zehn Bereichen aus § 30 BSIG nicht, es sei denn, ein ISMS nach ISO 27001 ist bereits etabliert. Realistisch ist, in drei Monaten die Pflichten zu erfüllen, die sofort greifen, und den Rest in einem beschlossenen Plan abzuarbeiten.
Was kostet uns die Umsetzung an interner Zeit?
Der größte Posten ist die Projektleitung, meist beim Informationssicherheitsbeauftragten: In der Gap-Analyse und in den ersten Monaten ist das ein erheblicher Anteil einer Vollzeitstelle, danach eine dauerhafte Teilaufgabe. IT und Fachbereiche werden punktuell in Interviews, Workshops und bei der Umsetzung einzelner Maßnahmen gebraucht. Die Geschäftsleitung benötigt wenige Stunden pro Quartal für Beschluss, Bericht und Schulung.
Verkürzt ein externer Berater die Dauer?
Er verkürzt die Analysephase deutlich und verhindert Umwege, weil Vorlagen, Bewertungsraster und Erfahrung aus vergleichbaren Unternehmen vorliegen. Die Umsetzung im Unternehmen selbst, etwa die Einführung von MFA in allen Systemen oder die Bereinigung von Berechtigungen, hängt von Ihren internen Kapazitäten ab und lässt sich nur begrenzt beschleunigen.
Wir haben ISO 27001. Wie viel bleibt für NIS2 übrig?
Meist ein Delta-Projekt von drei bis sechs Monaten: Registrierung, Abgleich des Geltungsbereichs mit den vom BSIG erfassten Diensten, Meldeprozess mit den 24-Stunden-Fristen, Schulung und Beschlusslage der Geschäftsleitung und einige Ergänzungen in Lieferkette und Kryptografie. Die Nachweisstruktur haben Sie bereits.
Was, wenn das BSI vor Abschluss der Umsetzung Nachweise verlangt?
Dann legen Sie vor, was Sie haben: die Gap-Analyse, den beschlossenen Maßnahmenplan mit Terminen, den Umsetzungsstand und die bereits erbrachten Nachweise. Ein dokumentiertes, laufendes Programm ist etwas anderes als Untätigkeit. Genau deshalb sollte der Plan von der Geschäftsleitung beschlossen und der Fortschritt regelmäßig protokolliert sein.
Vertiefung zur NIS2-Umsetzung
-
Betroffen als Zulieferer?
Wie NIS2 über § 30 BSIG die Lieferkette erreicht und wie Sie Fragebögen und Vertragsklauseln effizient beantworten.
-
Registrierung beim BSI
Was nach § 33 BSIG erfasst wird, welche Frist gilt und wie Sie nachregistrieren, wenn die Bestandsfrist verstrichen ist.
-
NIS2-Beratung im Überblick
Betroffenheit, Pflichten, Vorgehen in vier Schritten und die häufigsten Fragen auf der Startseite.
Marcel Rieger
Eine realistische Schätzung für Ihr Unternehmen
Im kostenlosen Erstgespräch ordnen wir Ihren Reifegrad ein und nennen Ihnen den Zeitrahmen, die Phasen und den internen Aufwand, mit dem Sie bei Ihrer Ausgangslage rechnen sollten.
- Einordnung Ihres Reifegrads
- Zeitplan mit Phasen für Ihre Ausgangslage
- Interne Rollen und ihr Zeitbedarf
Danke, wir rufen Sie an.
Sie hören innerhalb eines Werktags von uns, meist deutlich schneller. Wenn Sie lieber gleich einen festen Termin wählen möchten, geht das direkt im Kalender auf jamorie.eu.
Termin selbst wählen