NIS2: Die 10 häufigsten Fehler bei der Umsetzung

Wichtige Erkenntnisse

• NIS2 ist kein einmaliges Compliance-Projekt, sondern ein kontinuierlicher Prozess des Cyber-Risikomanagements.
• Der größte Fehler besteht darin, mit Dokumentation zu beginnen, bevor Risiken und kritische Systeme identifiziert wurden.
• Cybersicherheit ist längst keine reine IT-Aufgabe mehr. Geschäftsleitung, HR, Einkauf, Rechtsabteilung und Fachbereiche tragen gleichermaßen Verantwortung.
• Technologien allein reichen nicht aus. Ohne regelmäßige Sicherheitsüberprüfungen lässt sich nicht feststellen, ob Schutzmaßnahmen tatsächlich wirksam sind.
• Besonderes Augenmerk sollte auf interne Systeme, Cloud-Umgebungen und die Lieferkette gelegt werden, da diese zu den häufigsten Angriffszielen gehören.
• Das Bestehen eines Audits ist nicht das eigentliche Ziel. Entscheidend ist der kontinuierliche Aufbau von Cyber-Resilienz.
• Die NIS2-Richtlinie befindet sich europaweit bereits in der Umsetzungsphase. Jetzt ist der richtige Zeitpunkt, um zu überprüfen, ob technische und organisatorische Sicherheitsmaßnahmen nicht nur dokumentiert sind, sondern auch in der Praxis funktionieren.

Auch heute beschäftigen viele Unternehmen im Zusammenhang mit NIS2 dieselben Fragen. Brauchen wir einen CISO? Müssen wir ISO 27001 einführen? Wie viele neue Richtlinien müssen erstellt werden? Müssen wir ein Audit bestehen? Diese Fragen sind berechtigt. Meistens sind sie jedoch nicht die richtigen Fragen für den Einstieg.

Die größte Veränderung durch NIS2 besteht nicht in zusätzlicher Dokumentation oder neuen regulatorischen Anforderungen. Vielmehr verändert die Richtlinie grundlegend, wie Unternehmen Cybersicherheit verstehen und steuern.

Mit anderen Worten: NIS2 ist kein Projekt. NIS2 ist ein Rahmenwerk für das Management von Cyberrisiken. Genau deshalb beobachten wir bei der Umsetzung immer wieder dieselben Fehler.

Nach dem Lesen dieses Artikels können Sie das NIS2 Executive Readiness Assessment kostenlos herunterladen. Dieses praktische Dokument hilft Ihnen dabei, die Bereitschaft Ihres Unternehmens für die Anforderungen der NIS2-Richtlinie zu bewerten.

Selbst ein erfolgreich bestandenes NIS2-Audit bedeutet noch nicht, dass ein Unternehmen einem realistischen Red-Team-Szenario standhalten würde. Ein Audit überprüft die Einhaltung regulatorischer Anforderungen, während Red Teaming die tatsächliche Widerstandsfähigkeit gegenüber realen Angriffen bewertet.

Das ist kein Problem der Regulierung. Es ist ein Problem falsch gesetzter Prioritäten.

In diesem Beitrag analysieren wir daher nicht einzelne Artikel der NIS2-Richtlinie. Stattdessen betrachten wir die häufigsten Fehler bei der Umsetzung und zeigen, wie Unternehmen ein Sicherheitsprogramm aufbauen können, das nicht nur regulatorische Anforderungen erfüllt, sondern auch die Widerstandsfähigkeit gegenüber realen Cyberbedrohungen erhöht.

Wo steht die Umsetzung von NIS2 heute?

Die NIS2-Richtlinie wird inzwischen in den Mitgliedstaaten der Europäischen Union durch nationale Gesetze umgesetzt. Unternehmen, die unter ihren Geltungsbereich fallen, sollten sich daher nicht mehr fragen, wann sie mit der Umsetzung beginnen sollen, sondern ob ihre Sicherheitsmaßnahmen tatsächlich wirksam sind.

Cyberresilienz entsteht nicht durch Dokumentation oder den Kauf neuer Technologien. Entscheidend ist, Risiken zu verstehen, Sicherheitsmaßnahmen kontinuierlich zu überprüfen und Schwachstellen zu beseitigen, bevor sie von Angreifern ausgenutzt werden können.

Empfohlene Reihenfolge der Umsetzungsschritte:

Obwohl dieser Ablauf logisch erscheint, gehen viele Unternehmen genau den umgekehrten Weg. Anstatt zunächst Risiken zu analysieren, beschäftigen sie sich zuerst mit Technologien, Dokumentation oder Audits.

Die folgenden Kapitel zeigen die zehn häufigsten Fehler und erläutern, wie sie vermieden werden können.

Fehler Nr. 1: Mit der Dokumentation beginnen

Viele Unternehmen reagieren auf NIS2 zunächst mit der Erstellung neuer Richtlinien, Prozesse und Sicherheitsdokumente. Informationssicherheitsrichtlinien, Incident-Response-Pläne oder Business-Continuity-Konzepte sind zweifellos wichtig. Problematisch wird es jedoch, wenn Dokumentation zum eigentlichen Ziel wird.

Stellen Sie sich zwei Unternehmen vor: Das erste verfügt über eine hervorragend dokumentierte Sicherheitsorganisation, hat jedoch weder die Wiederherstellung aus Backups noch die Reaktionsfähigkeit auf einen Sicherheitsvorfall jemals getestet. Das zweite Unternehmen besitzt deutlich weniger Dokumentation, führt dafür aber regelmäßig Penetrationstests durch, überprüft kritische Systemkonfigurationen und trainiert Incident-Response-Szenarien. Welches Unternehmen ist besser auf einen echten Cyberangriff vorbereitet?

Dokumentation unterstützt Sicherheitsprozesse, schützt ein Unternehmen jedoch nicht. Deshalb bewertet NIS2 nicht in erster Linie die Existenz von Dokumenten, sondern die Fähigkeit eines Unternehmens, Risiken wirksam zu steuern und nachzuweisen, dass Sicherheitsmaßnahmen tatsächlich funktionieren.

Fehler Nr. 2: Cybersicherheit als Aufgabe der IT betrachten

Cybersicherheit ist längst keine reine IT-Disziplin mehr. Moderne Angriffe nutzen Schwachstellen in Geschäftsprozessen, menschliche Fehler und Risiken innerhalb der Lieferkette ebenso aus wie technische Sicherheitslücken. Deshalb beschränkt sich NIS2 nicht auf die IT-Infrastruktur, sondern setzt die Beteiligung des gesamten Unternehmens voraus.

Die Geschäftsleitung trifft Investitionsentscheidungen und trägt Verantwortung für das Risikomanagement. Die Personalabteilung verantwortet Onboarding, Offboarding und Security Awareness, der Einkauf bewertet Dienstleister mit Zugriff auf kritische Systeme und die Rechtsabteilung kümmert sich um regulatorische Anforderungen sowie vertragliche Verpflichtungen. Fehlt einer dieser Bereiche, reichen technische Sicherheitsmaßnahmen allein nicht aus.

Die erfolgreiche Umsetzung von NIS2 ist daher kein IT-Projekt, sondern ein unternehmensweites Vorhaben.

Fehler Nr. 3: In Technologien investieren, bevor die Risiken bekannt sind

Sobald Unternehmen von den Anforderungen der NIS2-Richtlinie erfahren, investieren sie häufig als Erstes in neue Sicherheitslösungen. EDR, SIEM, PAM oder andere Security-Plattformen sollen die Cybersicherheit verbessern. Technologien sind zwar unverzichtbar, sollten aber niemals der Ausgangspunkt sein.

Zunächst muss ein Unternehmen seine eigene Umgebung verstehen. Welche Systeme sind geschäftskritisch? Welche Daten werden verarbeitet? Welche Dienste müssen auch im Falle eines Sicherheitsvorfalls verfügbar bleiben? Welche Auswirkungen hätte eine Kompromittierung dieser Systeme?

Ohne Antworten auf diese Fragen lassen sich Investitionen nicht sinnvoll priorisieren. Ein Unternehmen kann modernste Sicherheitslösungen einsetzen und dennoch genau die Schwachstelle übersehen, die das größte Risiko darstellt. Deshalb stellt NIS2 das Risikomanagement in den Mittelpunkt aller Sicherheitsmaßnahmen.

Fehler Nr. 4: Davon ausgehen, dass Sicherheitsmaßnahmen automatisch wirksam sind

Viele Unternehmen sind überzeugt, dass ihre Sicherheitsmaßnahmen funktionieren, weil sie seit Jahren Firewalls, Multi-Faktor-Authentifizierung, Netzwerksegmentierung oder Backups einsetzen. Das bedeutet jedoch nicht automatisch, dass diese Maßnahmen korrekt konfiguriert oder gegen aktuelle Bedrohungen wirksam sind.

Cybersicherheit lässt sich nicht anhand der Anzahl eingesetzter Technologien bewerten. Sicherheitsmaßnahmen müssen regelmäßig überprüft werden.

Penetrationstests zeigen, wie ein realer Angreifer in die Infrastruktur eindringen könnte. Security Assessments decken Fehlkonfigurationen auf, bevor sie ausgenutzt werden. Red-Team-Übungen überprüfen, wie gut ein Unternehmen komplexe Angriffe erkennt und darauf reagiert. Ebenso wichtig sind regelmäßige Tests der Backup-Wiederherstellung sowie der Incident-Response-Prozesse.

Das größte Risiko besteht nicht im Fehlen von Sicherheitslösungen. Das größte Risiko besteht darin, anzunehmen, dass alles funktioniert, obwohl es nie überprüft wurde. Unsere Erfahrungen aus dem Ethical Hacking Report 2025 bestätigen genau das. Mehr als 53 % der getesteten Projekte enthielten mindestens eine Schwachstelle mit hoher Kritikalität, 30 % sogar eine kritische Schwachstelle. Jedes getestete Projekt wies mindestens eine Schwachstelle mittlerer Kritikalität auf. Wenn Sie nicht sicher sind, ob Ihre Sicherheitsmaßnahmen in der Praxis tatsächlich funktionieren, unterstützen wir Sie gerne bei einer unabhängigen Überprüfung.

Fehler Nr. 5: Risiken in der Lieferkette unterschätzen

Cyberkriminelle greifen heute immer seltener ihr eigentliches Ziel direkt an. Stattdessen suchen sie nach dem schwächsten Glied in der Lieferkette. Das kann ein IT-Dienstleister, ein Softwareanbieter, eine Cloud-Plattform oder jeder andere Partner mit Zugriff auf interne Systeme sein.

Aus diesem Grund legt NIS2 deutlich mehr Wert auf die Sicherheit der Lieferkette als die bisherige Regulierung. Unternehmen sollten wissen, welche Dienstleister Zugriff auf kritische Systeme besitzen, welche Sicherheitsanforderungen für diese gelten und wie die damit verbundenen Risiken kontinuierlich bewertet werden.

Dabei geht es nicht darum, jeden Lieferanten zu auditieren. Entscheidend ist, diejenigen Partner zu identifizieren, deren Kompromittierung erhebliche Auswirkungen auf den Geschäftsbetrieb hätte, und für diese angemessene Sicherheitsmaßnahmen festzulegen.

Fehler Nr. 6: Sich ausschließlich auf externe Bedrohungen konzentrieren

Wenn von Cyberangriffen die Rede ist, denken viele zunächst an Angriffe über das Internet. In der Praxis beginnen erfolgreiche Angriffe jedoch häufig wesentlich einfacher. Angreifer stehlen Zugangsdaten, kompromittieren einen Arbeitsplatzrechner und bewegen sich anschließend innerhalb des internen Netzwerks.

Deshalb reicht es nicht aus, nur den Perimeter zu schützen. Unternehmen müssen auch ihre interne Infrastruktur kontinuierlich überwachen und absichern.

Ein besonders häufiges Ziel ist Active Directory. Gelangen Angreifer an privilegierte Konten, können sie oft große Teile der IT-Infrastruktur kontrollieren. Ursache sind dabei meist keine hochkomplexen Sicherheitslücken, sondern übermäßige Berechtigungen, veraltete Konfigurationen oder unzureichend verwaltete Identitäten.

Die regelmäßige Überprüfung von Identitäten, privilegierten Konten und Sicherheitskonfigurationen sollte daher fester Bestandteil jedes Cybersecurity-Programms sein.

Fehler Nr. 7: Die Verantwortung für Cloud-Sicherheit dem Cloud-Anbieter überlassen

Die Verlagerung von Systemen in die Cloud bietet mehr Flexibilität und eine höhere Verfügbarkeit von Diensten. Gleichzeitig entstehen jedoch neue Risiken. Viele Unternehmen gehen fälschlicherweise davon aus, dass für die Sicherheit der Cloud-Umgebung ausschließlich der Cloud-Anbieter verantwortlich ist.

Tatsächlich basiert Cloud-Sicherheit auf dem Prinzip der geteilten Verantwortung. Während der Anbieter die Cloud-Infrastruktur absichert, bleibt das Unternehmen selbst für die Konfiguration der Dienste, das Identitäts- und Zugriffsmanagement, den Schutz der Daten sowie die Umsetzung geeigneter Sicherheitsrichtlinien verantwortlich.

Fehlkonfigurationen von Cloud-Diensten gehören nach wie vor zu den häufigsten Ursachen für Datenlecks. Öffentlich zugängliche Speicherbereiche, zu weitreichende Berechtigungen oder fehlende Multi-Faktor-Authentifizierung sind in der Regel keine Fehler des Cloud-Anbieters, sondern die Folge einer unzureichenden Konfiguration.

Auch die Wahl eines renommierten Cloud-Anbieters garantiert keine sichere Cloud-Umgebung. Unsere eigenen Daten bestätigen das: Im Ethical Hacking Report 2025 enthielten 42 % der geprüften Cloud-Projekte mindestens eine kritische Schwachstelle. Gleichzeitig wiesen Cloud-Umgebungen die höchste durchschnittliche Anzahl identifizierter Schwachstellen pro Projekt auf.

Fehler Nr. 8: Cybersicherheit nur kurz vor einem Audit ernst nehmen

Viele Unternehmen widmen der Cybersicherheit erst wenige Monate vor einem Audit oder einer behördlichen Prüfung besondere Aufmerksamkeit. Dokumentationen werden aktualisiert, offensichtliche Schwachstellen beseitigt und nach einem erfolgreichen Audit rückt das Thema Sicherheit wieder in den Hintergrund.

Dieser Ansatz war schon in der Vergangenheit problematisch. Mit NIS2 ergibt er jedoch noch weniger Sinn.

Die Bedrohungslage verändert sich täglich. Neue Schwachstellen werden entdeckt, Infrastrukturen wachsen, Konfigurationen ändern sich und Unternehmen führen neue Anwendungen oder Cloud-Dienste ein. Der Sicherheitsstatus eines Unternehmens lässt sich deshalb nicht anhand eines einzigen Audits beurteilen.

Unternehmen mit einem hohen Sicherheitsniveau betrachten Cybersicherheit ähnlich wie Qualitäts- oder Risikomanagement. Sie überwachen ihre Umgebung kontinuierlich, überprüfen regelmäßig die Wirksamkeit ihrer Sicherheitsmaßnahmen, bewerten neue Risiken und beheben Schwachstellen, bevor diese ausgenutzt werden können.

Genau dieser kontinuierliche Verbesserungsprozess gehört zu den Grundprinzipien der NIS2-Richtlinie. Ziel ist es nicht, sich auf ein einzelnes Audit vorzubereiten, sondern dauerhaft die Cyber-Resilienz des Unternehmens zu stärken.

Fehler Nr. 9: Incident Response unterschätzen

Viele Unternehmen verfügen über einen Incident-Response-Plan. Deutlich weniger wissen jedoch, ob dieser im Ernstfall tatsächlich funktionieren würde.

Bei einem Sicherheitsvorfall reicht es nicht aus zu wissen, wen man anrufen muss. Das Incident-Response-Team muss seine Aufgaben kennen, das Management muss auch unter Zeitdruck fundierte Entscheidungen treffen können und das Unternehmen muss vorbereitet sein, mit Kunden, Geschäftspartnern, Behörden und der Öffentlichkeit zu kommunizieren.

Ein Ransomware-Angriff oder ein schwerwiegender Datenvorfall ereignet sich selten unter idealen Bedingungen. Zeitdruck, unvollständige Informationen und Entscheidungen mit direkten Auswirkungen auf den Geschäftsbetrieb gehören zum Alltag. Unternehmen, die ihre Prozesse nie getestet haben, stellen häufig erst während eines realen Vorfalls fest, dass Kontaktlisten veraltet sind, Verantwortlichkeiten unklar definiert wurden oder einzelne Maßnahmen in der Praxis nicht umsetzbar sind.

Die Fähigkeit, auf Sicherheitsvorfälle zu reagieren, lässt sich nicht allein anhand eines Dokuments bewerten. Sie erfordert regelmäßige Übungen, realistische Szenarien, die Einbindung des Managements und eine kontinuierliche Verbesserung. Ein guter Incident-Response-Prozess ist nicht derjenige, der auf dem Papier gut aussieht. Er ist derjenige, der funktioniert, wenn keine Zeit mehr zum Nachdenken bleibt.

Fehler Nr. 10: Compliance als Ziel betrachten

Audits und Compliance-Prüfungen sind wertvolle Instrumente. Sie helfen Unternehmen dabei, Schwachstellen zu identifizieren, Sicherheitsprozesse zu verbessern und nachzuweisen, dass geeignete Maßnahmen umgesetzt wurden.

Problematisch wird es jedoch, wenn das erfolgreiche Bestehen eines Audits zum eigentlichen Ziel wird.

Unternehmen richten ihre Aktivitäten dann häufig ausschließlich auf den Auditzeitpunkt aus. Dokumentationen werden aktualisiert, fehlende Maßnahmen ergänzt und offensichtliche Schwachstellen beseitigt. Nach Abschluss des Audits verliert das Thema Cybersicherheit jedoch oft wieder an Priorität.

Cyberkriminelle interessiert nicht, ob ein Unternehmen ein Audit bestanden hat. Sie interessieren sich für ungepatchte Systeme, falsch konfigurierte Cloud-Dienste, übermäßige Berechtigungen oder verwundbare Anwendungen.

NIS2 sollte daher nicht als einmalige Verpflichtung verstanden werden, die mit einem erfolgreichen Audit abgeschlossen ist. Vielmehr bildet die Richtlinie den Rahmen für ein kontinuierliches Management von Cyberrisiken. Ein Audit bestätigt den Sicherheitsstatus zu einem bestimmten Zeitpunkt, kann jedoch nicht garantieren, dass dieselbe Sicherheitslage auch Monate später noch besteht.

Das eigentliche Ziel besteht daher nicht darin, ein Audit zu bestehen. Ziel ist der Aufbau eines Sicherheitsprogramms, das Risiken kontinuierlich identifiziert, Sicherheitsmaßnahmen regelmäßig überprüft und die Cyberresilienz der Organisation nachhaltig stärkt.

Wie sieht ein Unternehmen aus, das auf NIS2 vorbereitet ist?

Es gibt keine universelle Technologie oder Sicherheitsarchitektur, die automatisch zur Einhaltung der NIS2-Anforderungen führt. Jedes Unternehmen verfügt über unterschiedliche Geschäftsprozesse, Risiken und einen individuellen Reifegrad im Bereich der Cybersicherheit. Dennoch weisen Unternehmen, die NIS2 erfolgreich umsetzen, einige gemeinsame Merkmale auf.

Wenn Sie sich eher in der linken Spalte wiederfinden, besteht kein Grund zur Sorge. Die meisten Unternehmen befinden sich irgendwo zwischen diesen beiden Extremen. Entscheidend ist, den aktuellen Reifegrad realistisch einzuschätzen und einen strukturierten Plan zur kontinuierlichen Verbesserung zu entwickeln.

NIS2 geht nicht um Technologie. Es geht um Cyberresilienz

Cyberresilienz entsteht nicht allein durch neue Technologien. Unternehmen können sich nicht länger auf einmalige Projekte, regelmäßige Audits oder die Annahme verlassen, dass einmal eingeführte Sicherheitsmaßnahmen dauerhaft wirksam bleiben. Cyberbedrohungen entwickeln sich täglich weiter – und mit ihnen muss sich auch die Fähigkeit eines Unternehmens weiterentwickeln, Risiken kontinuierlich zu erkennen, zu bewerten und zu steuern.

Penetrationstests, Sicherheitsbewertungen, Konfigurationsprüfungen, Schwachstellenmanagement und die Bewertung von Lieferantenrisiken sollten keine einmaligen Aktivitäten vor einem Audit sein. Sie sollten fester Bestandteil eines kontinuierlichen Cybersecurity-Programms werden.

Immer mehr Unternehmen orientieren sich deshalb am Ansatz des Continuous Threat Exposure Management (CTEM). Ziel ist es, reale Sicherheitsrisiken kontinuierlich zu identifizieren, zu validieren, zu priorisieren und zu beseitigen, bevor Angreifer sie ausnutzen können.

NIS2 ist kein Ziel. NIS2 ist ein Rahmen für den langfristigen Aufbau von Cyberresilienz.