Warum Unternehmen jetzt handeln müssen und wie BDO Sie durch NIS-2 führt

Die Einführung der NIS-2-Richtlinie markiert einen Wendepunkt in der europäischen Cybersicherheitsregulierung. Mit ihren erweiterten Anforderungen an Sicherheitsmaßnahmen und Meldepflichten sollen kritische Infrastrukturen und wichtige Einrichtungen besser vor Cyber-Angriffen geschützt werden. Die Richtlinie stärkt somit die Resilienz von Unternehmen und Behörden, optimiert die Zusammenarbeit zwischen den Mitgliedstaaten und etabliert einheitliche Mindeststandards für Cyber-Sicherheitsmaßnahmen.

Das am 6. Dezember in Kraft getretene deutsche NIS-2-Umsetzungsgesetz verschärft nicht nur die Sicherheits- und Compliance-Anforderungen, sondern erweitert auch massiv den Kreis der verpflichteten Unternehmen. Anders als die bisherige KRITIS-Regulierung betrifft NIS-2 nun eine deutlich größere Unternehmenslandschaft – auch solche, die bislang nicht im Fokus der Aufsicht standen. Laut dem Bundesamt für Sicherheit in der Informationstechnik (BSI) sind künftig rund 29.000 Unternehmen in Deutschland von NIS-2 betroffen – mehr als eine Versechsfachung gegenüber der bisherigen KRITIS-Regulierung. 

Gleichzeitig mit dem deutlich erweiterten Kreis betroffener Unternehmen enthält das NIS-2-Umsetzungsgesetz eine weitere Herausforderung - es sieht keine Übergangsfristen vor. Betroffene Unternehmen müssen also schnellstmöglich handeln, denn die gesetzlichen Pflichten gelten unmittelbar mit Inkrafttreten des Gesetzes am 6. Dezember 2025. 

Damit entsteht für viele Organisationen eine zentrale Frage, die keinen zeitlichen Aufschub mehr duldet: Ist mein Unternehmen betroffen – und wenn ja, was bedeutet das für meine Organisation?

Die fundierte, zuverlässige Beantwortung dieser Frage gelingt nur in einem abgestuften, interdisziplinären Vorgehen. BDO begleitet Sie hierbei in einem mehrstufigen Prozess.

Zunächst ist zu prüfen, ob Ihr Unternehmen als „wesentliche“ oder „wichtige“ Einrichtung eingestuft wird und somit unter die Regelungen von NIS-2 fällt. Dies ergibt sich aus der Neufassung des BSIG und richtet sich u. a. nach:

  • Branche/Sektor gemäß Anlagen 1 und 2
  • Mitarbeiterzahl oder Jahresumsatz und -bilanzsumme
  • Ausnahmen können bestehen, wenn die in Anlage 1 oder 2 genannte Tätigkeit mit Blick auf die Gesamttätigkeit der Einrichtung „vernachlässigbar“ ist.

Bei Ermittlung der relevanten Mitarbeiterzahl sowie des Umsatzes bzw. der Gesamtbilanzsumme ist im Einzelfall nicht nur auf die einzelne juristische Person abzustellen. Es kommt auch die Betrachtung einer Unternehmensgruppe in Betracht.Stellungnahmen des BSI und die sich bildende Verwaltungspraxis zur Ermittlung der relevanten Größen bleiben abzuwarten.

Die Schwellenwerte (≥50 Mitarbeiterinnen und Mitarbeiter / ≥10 Mio. EUR Jahresumsatz und -bilanzsumme) führen dazu, dass auch viele Mittelständler erstmals unter regulatorische Aufsicht fallen. 

Eine solche Betroffenheitsanalyse, die zu einer fundierten Aussage führt, ob Ihr Unternehmen unter die Regelungen von NIS-2 fällt und somit von der deutschen Gesetzgebung betroffen ist, bietet unser rechtlicher Kooperationspartner, die BDO Legal Rechtsanwaltsgesellschaft mbH, an.

Sobald eine Betroffenheit feststeht, übernehmen unsere Expertinnen und Experten die operative Prüfung:

  • Welche Sicherheitsmaßnahmen und Prozesse bestehen bereits?
  • Welche Zertifizierungen sind vorhanden (z. B. ISO 27001, TISAX, DSGVO-Managementsystem)?
  • Welche Kontrollen sind durch andere Prüffelder bereits etabliert (ITGC, ISAE 3402, interne Revision)?
  • Wo bestehen Überschneidungen zwischen NIS-2-Pflichten und bestehendem Governance-Rahmen?
  • Das BSI empfiehlt Unternehmen dringend, frühzeitig eine formale Zuordnung vorzunehmen und Verantwortlichkeiten zu definieren – inklusive Benennung einer zuständigen Person für NIS-2 in der Unternehmensleitung

Hier verbindet sich juristische Expertise mit prüferischem Know-how.

Als unmittelbaren ersten Schritt rät das BSI Betroffenen zur Durchführung einer ersten Risikoanalyse, Identifikation kritischer Assets und Bewertung des aktuellen Sicherheitsniveaus.

Gerade Unternehmen, die bereits Datenschutz- oder Informationssicherheitsstandards erfüllen, verfügen oft über ein solides Fundament – das jedoch systematisch erweitert werden muss.

Auf Basis der Informationen aus der Betroffenheitsanalyse erfolgt die eigentliche Gap-Analyse. Ziel ist es, eine klare Übersicht darüber zu schaffen, wo das Unternehmen heute steht – und welche Maßnahmen erforderlich sind. Typische Prüffelder der GAP-Analyse:

  • Risikomanagement & Governance
  • Incident-Response und 24-h-Meldepflichten
  • Zugriffs- und Identitätsmanagement
  • Lieferkettenrisiken und Dienstleistersteuerung
  • Technische Sicherheitsmaßnahmen (Netzwerk, Protokollierung, Monitoring, Backup- und Wiederherstellungsprozesse)
  • Dokumentation und Nachweisführung

Das prüferische Vorgehen orientiert sich an:

  • ISA 315
  • IDW PS 330
  • IDW PH 9.860.1
  • ITGC-Frameworks

Das Ergebnis ist ein priorisierter, ressourceneffizienter Maßnahmenplan.

Der nächste Schritt ist die Umsetzung der festgestellten Anforderungen. Dabei helfen:

  • Aufbau oder Erweiterung eines Informationssicherheitsmanagementsystems (ISMS)
  • Implementierung technischer Kontrollen (Monitoring, Logging, Hardening)
  • Einführung eines Meldewesens NIS-2
  • Regelmäßige Schulungen und Awareness-Programme
  • Stärkung Lieferkettenmanagements
  • Regelmäßige Übung von Notfall- und Incident-Szenarien

Das BSI stellt Unternehmen hierfür Informationspakete (#nis2know), Checklisten und Leitfäden zur Verfügung, die sich für die Umsetzung hervorragend eignen.

Wesentlicher Erfolgsfaktor: Die Zusammenarbeit von Legal und IT-Assurance bleibt über den gesamten Prozess hinweg bestehen.

Warum dieser zweistufige Ansatz so wirkungsvoll ist:

NIS-2 berührt Unternehmen auf mehreren Ebenen – rechtlich, organisatorisch, technisch. Eine rein juristische oder rein technische Betrachtung reicht nicht aus. Ein kombinierter Ansatz hingegen, wie wir ihn in Zusammenarbeit mit unserem rechtlichen Kooperationspartner BDO Legal anbieten können, bietet dagegen eine umfassende Perspektive:

  • Klarheit über Pflichten und rechtliche Einstufung
  • Reduktion von Risiken und Haftung
  • Effiziente Integration in bestehende Governance- und Kontrollsysteme
  • Nachhaltige Sicherheit – statt einmaliger Mindestmaßnahmen

 

Fazit

NIS-2 ist weit mehr als ein IT-Sicherheitsthema. Es ist ein umfassendes Governance-Thema, das den Schulterschluss zwischen rechtlicher Einordnung und technischer Prüfung erfordert. Unternehmen, die jetzt handeln und den zweistufigen Ansatz – Betroffenheitsanalyse durch Juristen, Compliance-Prüfung durch IT-Assurance – nutzen, schaffen eine robuste Grundlage für Sicherheit, Resilienz und regulatorische Nachweisfähigkeit.

BDO bietet hierfür einen integrierten Ansatz, bei dem Wirtschaftsprüferinnen und Wirtschaftsprüfer gemeinsam mit Spezialistinnen und Spezialisten aus dem Bereich IT-Assurance-Spezialisten eng verzahnt zusammenarbeiten – auf Wunsch in Abstimmung mit unserem rechtlichen Kooperationspartner BDO Legal. So betreuen wir Kundinnen und Kunden, die NIS-2 wirksam, effizient und nachhaltig umsetzen wollen, umfassend aus einer Hand


Weitere Informationen rund um NIS-2 finden Sie auf unserer Übersichtsseite.

NIS-2 Themenseite

Dieser Artikel wurde verfasst von