NIS2 in der Praxis: Ihre ersten 30 Tage als IT-Verantwortlicher

Montagmorgen. Ihr Geschäftsführer hat einen Artikel über NIS2 gelesen und leitet ihn mit einer Zeile weiter: "Können Sie das übernehmen?" Ihr Kalender war schon voll. Wo fangen Sie an?

Dieser Beitrag ist eine Arbeitsliste für die ersten dreißig Tage. Er geht vom niederländischen Cybersicherheitsgesetz (Cyberbeveiligingswet) aus, der niederländischen Umsetzung der NIS2-Richtlinie, das seit dem 15. August 2026 in Kraft ist (rijksoverheid.nl, 15. August 2026). Für die Seite der Geschäftsleitung gibt es einen eigenen Beitrag für die Geschäftsleitung.

Woche 1: Fallen Sie darunter, und als was?

Das niederländische Gesetz gilt für Organisationen in 18 Sektoren, und Sie bestimmen selbst, ob Sie darunter fallen. Schauen Sie auf Ihren Sektor und Ihre Größe. Als Faustregel gilt das Gesetz ab mittlerer Größe: 50 Mitarbeitende oder mehr, oder ein Jahresumsatz und eine Bilanzsumme über 10 Millionen Euro.

In Sektoren wie Energie, Verkehr, Gesundheit, Trinkwasser, digitale Infrastruktur und öffentliche Verwaltung ist eine große Organisation meist eine wesentliche Einrichtung und eine mittelgroße meist eine wichtige. In Sektoren wie Post, Abfallwirtschaft, Chemie, Lebensmittel und verarbeitendes Gewerbe ist eine mittelgroße oder große Organisation eine wichtige Einrichtung.

Halten Sie Ihre Entscheidung und die Begründung in einer Notiz von einer Seite fest. Fallen Sie darunter, registrieren Sie sich im Einrichtungsregister des NCSC.

Woche 2: die Gap-Analyse

Die Sorgfaltspflicht verlangt angemessene Maßnahmen für das Risikomanagement. Gehen Sie in jedem Fall diese Themen durch und notieren Sie pro Thema, was da ist, was fehlt und wer verantwortlich ist:

• Risikoanalyse und Sicherheitsrichtlinie
• Vorfallbehandlung
• Backups, Wiederherstellung und Krisenmanagement
• Sicherheit Ihrer Lieferanten
• Verschlüsselung und Zugriffsverwaltung, einschließlich MFA
• Schulung von Mitarbeitenden und Geschäftsleitung

Arbeiten Sie schon mit ISO 27001? Dann beginnen Sie kein neues Rahmenwerk. Legen Sie die NIS2-Themen daneben und schauen Sie, wo die Lücken sind.

Vergessen Sie Ihre Lieferanten nicht. Fragen Sie die wichtigsten, wo sie Ihre Daten aufbewahren, unter welches Recht sie fallen und wie sie Sie bei einem Vorfall informieren. Halten Sie diese Vereinbarungen im Vertrag fest.

Ein schneller Gewinn, der fast immer zählt: Schalten Sie MFA auf allen Administratorkonten und für die E-Mail ein. Das kostet einen Nachmittag und nimmt ein großes Risiko weg.

Woche 3: das Meldeverfahren

Die Meldepflicht ist der Teil, bei dem es in der Praxis schiefgeht, weil die Uhr im schlechtesten Moment zu laufen beginnt. Einen erheblichen Vorfall melden Sie in drei Schritten:

1. Innerhalb von 24 Stunden eine Frühwarnung.
2. Innerhalb von 72 Stunden eine Vorfallmeldung mit einer ersten Bewertung.
3. Innerhalb eines Monats ein Abschlussbericht mit Ursache und Maßnahmen.

Sie melden an Ihr CSIRT und Ihre zuständige Behörde, über das Meldeportal des NCSC. Wann ein Vorfall erheblich ist, steht pro Sektor in den ministeriellen Regelungen. Suchen Sie diese Schwellen jetzt heraus, nicht während des Vorfalls. Prüfen Sie auch, wer ein Konto für das Meldeportal hat, und ob diese Person morgen noch dort arbeitet.

Vereinbaren Sie danach, wer meldet, wer entscheidet und wer es mitten in der Nacht und am Wochenende übernimmt. Schreiben Sie die Telefonnummern auf Papier. Bei einem Ransomware-Angriff funktioniert Ihr Wiki vielleicht nicht.

Woche 4: festhalten und üben

Dokumentieren Sie, was Sie getan haben: die Scope-Notiz, die Gap-Analyse, den Plan und das Meldeverfahren. Eine Aufsichtsbehörde schaut darauf, was Sie zeigen können.

Machen Sie auch eine erste Fassung Ihres Plans: pro Lücke eine Maßnahme, eine verantwortliche Person und ein Datum. Halten Sie es klein. Zehn Zeilen, die Sie wirklich abschließen, sind mehr wert als hundert, die in einem Ordner verschwinden.

Schließen Sie den Monat mit einer Tischübung von einer Stunde ab. Nehmen Sie ein realistisches Szenario, zum Beispiel ein übernommenes Administratorkonto, und gehen Sie das Meldeverfahren durch. Sie finden fast immer etwas, das nicht stimmt. Genau das ist die Absicht.

Nach dreißig Tagen

Dann haben Sie einen Scope, eine Liste mit Lücken, einen Plan und ein geübtes Meldeverfahren. Der Plan selbst läuft Monate. Planen Sie jedes Quartal ein Fortschrittsgespräch mit der Geschäftsleitung, denn sie trägt die Endverantwortung.

Was Noveu technisch regelt, lesen Sie auf unserer Compliance-Seite.