Viele Unternehmen starten bei NIS2 reflexartig mit Firewalls, Backups und Checklisten. Das ist nicht falsch – aber oft der falsche Startpunkt. Denn NIS2 beginnt nicht bei Technik, sondern bei Verantwortung, Risikosteuerung und der Fähigkeit, Entscheidungen und Maßnahmen nachvollziehbar zu belegen. Genau das macht die Richtlinie aktuell so relevant: ENISA beschreibt NIS2 als deutliche Verschärfung und Harmonisierung der Sicherheits- und Meldeanforderungen in der EU, während das BSI betroffene Unternehmen in Deutschland bereits in die operative Umsetzung, Registrierung und Projektplanung führt.

Besonders deutlich wird das bei der Rolle der Geschäftsleitung. Das BSI stellt ausdrücklich klar, dass Cybersicherheit unter NIS2 integraler Bestandteil von Geschäft und Risikomanagement sein muss – und dass für Geschäftsleitungen eine Schulungspflicht vorgesehen ist. Damit ist NIS2 eben kein isoliertes IT-Projekt mehr, sondern eine Führungsaufgabe mit Governance-, Organisations- und Nachweispflichten.

Im Mittelstand ist die Versuchung groß, Regulierung als „Thema für Konzerne“ abzutun. Genau hier liegt ein großer Denkfehler. Das BSI spricht von „wichtigen“ und „besonders wichtigen“ Einrichtungen und macht zugleich deutlich, dass die Geschäftsführung betroffener Unternehmen die Umsetzung von Risikomanagementmaßnahmen gewährleisten, deren Umsetzung überwachen und sich zu Cyberrisiken schulen lassen muss. Das ist keine Fußnote – das ist eine klare Verlagerung von Verantwortung in die Führungsebene.

Das Entscheidende daran: NIS2 verschiebt die Perspektive von „IT schützen“ hin zu „Geschäftsfähigkeit absichern“. Es geht nicht nur darum, Angriffe technisch abzuwehren. Es geht darum, Risiken systematisch zu bewerten, Vorfälle strukturiert zu melden, Abhängigkeiten in der Lieferkette zu steuern und all das so aufzusetzen, dass Verantwortung, Wirksamkeit und Entscheidungen nachvollziehbar sind.

NIS2 ist kein Sprint mit Liste zum Abhaken. Das BSI denkt Umsetzung bewusst als kontinuierlichen Verbesserungsprozess mit regelmäßiger Überprüfung und Aktualisierung. ENISA unterstützt genau das mit Mappings und praktischen Implementierungshilfen. Wer NIS2 nur als Stichtagsprojekt versteht, wird spätestens bei Änderungen, Audits oder Vorfällen wieder von vorn anfangen müssen.

Wenn Sie aus diesem Beitrag nur eines mitnehmen, dann bitte das: Nicht alles gleichzeitig – aber die richtigen ersten Dinge.

Mein Rat ist deshalb bewusst pragmatisch: Starten Sie nicht mit (wildem) Aktionismus, sondern mit Klarheit. Kläre Betroffenheit. Ziehen Sie Verantwortung sauber auf. Bauen Sie Risikoanalyse, Meldewege und Lieferantensteuerung so auf, dass sie im Alltag funktionieren – und im Ernstfall tragen. Genau dort beginnt echte Cyber-Resilienz. Und genau dort entscheidet sich, ob NIS2 nur Aufwand produziert – oder das Unternehmen tatsächlich robuster macht.

Wenn Sie wissen wollen, ob Ihr Unternehmen beim Thema NIS2 gerade auf solidem Fundament steht oder nur ein gutes Gefühl hat, dann beginnen 'Sie mit einem ehrlichen Quick Check: Betroffenheit, Verantwortung, Risikoanalyse, Meldeprozess, Lieferkette, Nachweise. Wer diese sechs Punkte sauber sortiert, ist der operativen Realität von NIS2 schon deutlich näher als viele, die nur über Maßnahmen sprechen.