BSI Durchsetzungsinitiative: Was NIS2-pflichtige Unternehmen jetzt tun sollten
Die Schonfrist ist vorbei: Mit einer Durchsetzungsinitiative will das BSI noch in diesem Quartal Unternehmen ansprechen, die ihre NIS2-Pflichten bislang ignorieren.
Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz. Kontrolliert wurde bisher kaum. Das ändert sich jetzt. Wie der Tagesspiegel Background berichtet, kündigt das Bundesamt für Sicherheit in der Informationstechnik (BSI) an: „Noch im vierten Quartal beginnen wir eine Durchsetzungsinitiative.“
Was das BSI mit der Durchsetzungsinitiative plant
Laut Tagesspiegel geht das BSI in zwei Stufen vor. Zunächst wendet sich die Behörde direkt an Unternehmen, bei denen offensichtlich ist, dass sie sich hätten registrieren müssen. Ein Bußgeld droht nicht sofort. Das Verfahren beginnt mit einer Anhörung, kann aber mit einem Bußgeld enden.
Ab dem ersten Quartal 2027 will das BSI einzelne Einrichtungen per Anordnung verpflichten, ihre IT-Sicherheit auditieren zu lassen und Nachweise vorzulegen. Den Anfang machen besonders wichtige Einrichtungen in Sektoren mit dem größten Handlungsbedarf. Die Audits sollen jeweils einen thematischen Schwerpunkt haben.
Fast ein Drittel der Unternehmen hat sich nicht gemeldet
Der Druck hat einen Grund. Zum 30. September 2026 meldete das BSI 20.373 NIS2-Registrierungen, Nebenniederlassungen eingeschlossen. Erwartet werden knapp 30.000 betroffene Einrichtungen. Monate nach Ablauf der Registrierungsfrist hat sich also fast ein Drittel noch nicht gemeldet.
Dabei sind die an die Unternehmen gestellten Anforderungen kein Goldstandard, sondern Mindestmaßnahmen: Risikomanagement, Patch-Management, Multifaktor-Authentifizierung, Meldeprozesse; also die Basis der IT Absicherung. Teile davon wie z.B. das Risikomanagement sollten sich bereits heute in jedem Unternehmen aus Eigeninteresse vorfinden.
Hinzu kommt der Druck aus der Lieferkette. Auch Unternehmen, die nicht direkt unter NIS2 fallen, müssen ihren Kunden zunehmend vergleichbare Sicherheitsnachweise liefern.
Was von NIS2 betroffene Unternehmen jetzt tun sollten
Wer die Durchsetzungsinitiative des BSI nicht abwarten will, sollte drei Schritte priorisieren:
1. Betroffenheit klären und dokumentieren:
Sektor, Tätigkeit und Unternehmensgröße prüfen. Auch ein Ergebnis „nicht betroffen“ sollte nachvollziehbar festgehalten werden.
2. Registrierung nachholen: Wer betroffen ist und sich noch nicht registriert hat, sollte das umgehend tun. Je früher, desto besser die Ausgangslage, falls das BSI anklopft.
3. Nachweisfähigkeit aufbauen: Die angekündigten Audits verlangen Belege. Eine Gap-Analyse gegen § 30 BSIG zeigt, wo Maßnahmen fehlen und welche Dokumentation noch aufgebaut werden muss.
...aber es gibt bei Ihnen schon Compliance? TISAX? DORA? IMS? ISO27001?
Dann wird aus mehreren Projekten ein ganzheitliches!
Was Unternehmen bei NIS2 ausbremst, ist selten die Technik oder die Budgets. Meist fehlt die Klarheit, welche Nachweise verlangt werden und wie viel Dokumentation dahintersteckt. In der Praxis sehen wir auch, dass NIS2 immer mit "IT" gleichgesetzt wird, dabei ist es ein Governace-Thema.
Hinzu kommt, dass NIS2, ISO 27001, DORA oder TISAX häufig in getrennten Projekten laufen, mit eigenen Verantwortlichen, eigenen Dokumenten, eigenen Audits und voneinander losgelösten Softwarelösungen.
Wir gehen den umgekehrten Weg und bauen ein integriertes Managementsystem (IMS). Gemeinsame Anforderungen wie Risikomanagement, Richtlinien, Zugriffsschutz und Notfallvorsorge werden einmal umgesetzt und einmal dokumentiert. Was eine Regelung zusätzlich verlangt, ergänzen wir gezielt, bei NIS2 etwa die Registrierung, die Meldewege und die Pflichten der Geschäftsleitung.
Gesteuert wird das IMS in einem GRC-System wie TopEase. Dokumentenlenkung, Maßnahmenverfolgung und Nachweise laufen dort an einer Stelle zusammen. Audits lassen sich normübergreifend planen, statt für jeden Standard dieselben Fragen neu zu beantworten. Das senkt den Aufwand im laufenden Betrieb deutlich, und wenn Auditor oder BSI nach Belegen fragen, liegen sie bereit.
ACONO Advisory unterstützt Unternehmen in Berlin, Brandenburg und bundesweit dabei, NIS2 integriert und nachweisbar umzusetzen. Mehr dazu auf unserer Seite zur NIS2 Beratung, oder vereinbaren Sie direkt ein unverbindliches Erstgespräch.
Gemeinsam starten.
Quellen:
https://background.tagesspiegel.de/digitalisierung-und-ki/briefing/bsi-kuendigt-durchsetzungsinitiative-an
https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-in-Zahlen/nis-2-in-zahlen.html
Artikelbild: KI generiert.