NIS2 Guide: Wie führen 8 Kapitel zur Compliance?

Verfasst von der NIS2Compass Redaktion | Stand: Juli 2026

Der NIS2 Guide von NIS2Compass führt Unternehmen in 8 aufeinander aufbauenden Kapiteln von der Betroffenheitsprüfung und Registrierung bis zu Schulung und Awareness durch die NIS2-Compliance, orientiert an den Mindestmaßnahmen aus § 30 BSIG. Statt isolierter Checklisten liefert jedes Kapitel passende Vorlagen. Der Vor-Check zeigt in wenigen Minuten, wo Sie aktuell stehen.

Warum reichen lose Checklisten für die NIS2-Umsetzung nicht aus?

Lose NIS2-Checklisten scheitern häufig daran, dass Abhängigkeiten zwischen Maßnahmen fehlen und Nachweise erst kurz vor einer Prüfung gesucht werden. Laut BSI hatten sich bis zum 2. April 2026 erst 15.477 von rund 29.500 betroffenen Unternehmen registriert, obwohl die gesetzliche Frist bereits am 6. März 2026 abgelaufen war. NIS2Compass begegnet dieser Fragmentierung mit einem festen Kapitel-Pfad.

Das Problem liegt selten am fehlenden Willen, sondern an der fehlenden Reihenfolge. Eine Risikoanalyse muss vor der Maßnahmenauswahl stehen, sonst fehlt die fachliche Grundlage für Prioritäten. Nachweise verteilen sich dann auf Excel-Listen, E-Mails und lokale Ordner, ohne dass jemand den Überblick behält.

Hinzu kommt: Das NIS2UmsuCG ist seit dem 6. Dezember 2025 in Kraft, ohne Übergangsfristen. Alle Pflichten gelten seitdem sofort, unabhängig davon, wie weit ein Unternehmen intern bereits vorbereitet war. Wer noch bei der Betroffenheitsprüfung oder Registrierung steht, findet einen Einstiegspunkt im Beitrag NIS2-Einstieg: Wie starte ich schnell und richtig?.

In mittelständischen IT-Abteilungen führen lose Checklisten immer wieder dazu, dass zu Bearbeitungslücken führen, weil die Reihenfolge fehlt. Ein klar strukturierter Kapitel-Pfad verhindert, dass wichtige Nachweise erst kurz vor einer Prüfung fehlen.

Ein strukturierter Pfad reduziert die kognitive Last erheblich. IT-Leiter ohne Compliance-Erfahrung wissen zu jedem Zeitpunkt, was als Nächstes ansteht, statt selbst priorisieren zu müssen. Der Vor-Check zeigt vorab, an welcher Stelle im Prozess ein Unternehmen aktuell steht.

Genau hier setzt der NIS2 Guide an: mit einem festen Kapitel-Pfad statt einer offenen Liste von Aufgaben.

Wie ist der NIS2 Guide in 8 Kapiteln aufgebaut?

Der NIS2 Guide gliedert die NIS2-Compliance in 8 aufeinander aufbauende Kapitel: von Betroffenheit und Registrierung über Risikomanagement, technische Maßnahmen und Vorfallsmanagement bis zu Governance, Lieferkette, Geschäftskontinuität und Schulung. Jedes Kapitel deckt einen thematischen Baustein ab und ist mit passenden Vorlagen verknüpft. So entsteht ein nachvollziehbarer Pfad statt eines unsortierten Anforderungskatalogs.

Der NIS2 Guide führt durch folgende 8 Kapitel:

• 1. Betroffenheit und Registrierung: Klärt Sektor- und Größenkriterien, die Einrichtungsklasse und die Anmeldung beim BSI.
• 2. Risikomanagement: Baut ein Asset-Inventar, eine Bedrohungsanalyse und eine Risikomatrix als Grundlage für das Gap-Assessment auf.
• 3. Technische Sicherheitsmaßnahmen: Deckt Zugangskontrolle mit Multi-Faktor-Authentifizierung, Kryptographie, Patch-Management und Netzwerksicherheit ab.
• 4. Vorfallsmanagement und Meldepflichten: Etabliert einen Incident-Response-Plan und das gestufte BSI-Meldeverfahren mit den Fristen 24 Stunden, 72 Stunden und einem Monat.
• 5. Governance und Verantwortung: Regelt die Bestellung eines Informationssicherheitsbeauftragten, Sicherheitsrichtlinien, Managementhaftung und Reporting an die Geschäftsführung.
• 6. Lieferkettensicherheit: Erfasst Lieferanten, führt ein Bewertungsverfahren ein und verankert Sicherheitsanforderungen in Verträgen.
• 7. Geschäftskontinuität und Krisenmanagement: Umfasst Business Impact Analysis, Notfallplan und Backup-Strategie für den Ernstfall.
• 8. Schulung und Awareness: Baut ein Schulungsprogramm mit Pflichtschulungen, Phishing-Simulationen und einer nachhaltigen Sicherheitskultur auf.

Diese Reihenfolge folgt einer klaren Logik. Erst wird geklärt, ob und wie eine Registrierung nötig ist, dann werden Risiken erfasst und daraus technische Maßnahmen sowie ein Vorfallsprozess abgeleitet. Anschließend folgt die organisatorische Verankerung über Governance und Lieferkette, bevor Geschäftskontinuität und Schulung den Betrieb dauerhaft absichern.

Jedes Kapitel ist einem konkreten Umsetzungsschritt nach § 30 Abs. 2 BSIG zugeordnet. Die Vorschrift definiert 10 gesetzliche Mindest-Risikomanagementmaßnahmen, darunter Risikoanalyse, Sicherheitsvorfallmanagement, Business Continuity, Lieferkettensicherheit, Schulungen, Kryptografie und Multi-Faktor-Authentifizierung. Diese Zuordnung schafft Nachvollziehbarkeit gegenüber der Geschäftsführung und späteren Prüfungen. Passende Vorlagen aus der Template Library sind direkt in die einzelnen Kapitel eingebettet, dazu später mehr in diesem Artikel.

Was decken die Kapitel zu Betroffenheit, Risikomanagement und technischen Maßnahmen ab?

Die ersten drei Kapitel klären, ob und wie ein Unternehmen betroffen ist, führen eine strukturierte Risikoanalyse durch und leiten daraus technische Sicherheitsmaßnahmen ab. 87 Prozent der deutschen Unternehmen waren laut Bitkom Wirtschaftsschutz 2025 in den vergangenen 12 Monaten von Datendiebstahl, Spionage oder Sabotage betroffen. Ohne dokumentierte Risikoanalyse fehlt die Grundlage für die passende Maßnahmenauswahl.

Wie startet Kapitel 1 in die Betroffenheits- und Registrierungsprüfung?

Kapitel 1 ist der formale Startpunkt des gesamten NIS2 Guide. Es prüft Sektor und Unternehmensgröße, legt die Einrichtungsklasse fest und bestimmt die zuständige Aufsichtsbehörde. Anschließend führt es durch die BSI-Registrierung über ELSTER-Organisationszertifikat und MUK-Konto.

Eine ausführliche Anleitung zu diesem Schritt finden Sie im Beitrag NIS2 ohne Berater umsetzen: Anleitung für KMU.

Was leistet Kapitel 2 zum Risikomanagement?

Kapitel 2 baut auf der Betroffenheitsprüfung auf und schafft die fachliche Grundlage für alle weiteren Maßnahmen. Dazu gehören:

• Asset-Inventar und Schutzbedarfsanalyse: Erfassung aller relevanten Systeme und deren Schutzbedarf
• Bedrohungs- und Schwachstellenanalyse: systematische Identifikation von Risikoquellen
• Risikomatrix: Bewertung von Eintrittswahrscheinlichkeit und Schadenshöhe
• NIS2-Gap-Assessment: Abgleich gegen die Maßnahmen aus § 30 Abs. 2 BSIG

Welche technischen Sicherheitsmaßnahmen bündelt Kapitel 3?

Kapitel 3 setzt die Ergebnisse der Risikoanalyse in konkrete technische Maßnahmen um. Zentrale Bausteine sind:

• Zugangskontrolle und Multi-Faktor-Authentifizierung
• Verschlüsselung und Kryptographiestandards
• Schwachstellen- und Patch-Management
• Netzwerksicherheit und Segmentierung

Vertiefende Beiträge zu einzelnen Maßnahmen bietet der Knowledge Hub. Die Reihenfolge der drei Kapitel ist bewusst gewählt: Erst der Betroffenheitsstatus, dann die Risikoanalyse als Basis. Nur so lassen sich technische Maßnahmen priorisiert statt wahllos umsetzen.

Wie behandelt der NIS2 Guide Vorfallsmanagement, Governance und Lieferkettensicherheit?

Die mittleren Kapitel bauen einen Meldeprozess nach § 32 BSIG auf, verankern Verantwortlichkeiten in der Organisation und weiten den Blick auf Lieferanten aus. Der BSI-Lagebericht 2025 zählt 950 Ransomware-Meldungen zwischen Juli 2024 und Juni 2025, 72 Prozent davon mit zusätzlichem Datenleck. Ein dokumentierter Vorfallsprozess und geprüfte Lieferanten senken dieses Risiko gezielt.

Kapitel 4 führt in das Vorfallsmanagement ein: Es umfasst einen Incident-Response-Plan und das dreistufige BSI-Meldeverfahren nach § 32 BSIG, Frühwarnung binnen 24 Stunden, Erstmeldung binnen 72 Stunden und Abschlussbericht nach einem Monat. Ergänzt wird das durch eine Incident-Response-Übung sowie einen Forensik- und Post-Incident-Prozess.

Kapitel 5 rückt Governance in den Mittelpunkt. Es behandelt die Bestellung eines ISB oder CISO, ein Sicherheitsrichtlinien-Framework sowie die Dokumentation der Managementhaftung inklusive Pflichtschulung der Leitungsorgane. Hinzu kommt ein regelmäßiges Sicherheitsreporting an die Geschäftsleitung.

Governance folgt bewusst erst nach den operativen Grundlagen: Rollen und Reportingwege lassen sich sauberer verankern, wenn Risiken und Vorfallsprozesse bereits erfasst sind. Wer ohne diese Basis startet, dokumentiert Verantwortlichkeiten oft ins Leere.

Kapitel 6 weitet den Blick auf die Lieferkette aus. Zentral sind ein Lieferanten- und Dienstleisterinventar, ein Bewertungsverfahren sowie vertragliche Sicherheitsanforderungen. Das Grundprinzip: Die eigene Sicherheit endet nicht an der Unternehmensgrenze.

Unzureichende Governance oder Meldepraxis hat Konsequenzen, wie der Beitrag zu NIS2-Bußgeldern zeigt. Wer Meldepflichten und Governance-Rollen vertiefen möchte, findet passende Erklärungen im Knowledge Hub. Für die praktische Umsetzung stehen Vorlagen wie eine Checkliste zur Lieferantenbewertung und eine Haftungsdokumentation bereit.

Was steckt in den Kapiteln zu Geschäftskontinuität und Schulung?

Die letzten beiden Kapitel sichern den Betrieb im Ernstfall und verankern Sicherheit dauerhaft in der Belegschaft. ENISA analysierte europaweit 4.875 Sicherheitsvorfälle zwischen Juli 2024 und Juni 2025, viele davon hätten durch Notfallpläne oder geschulte Mitarbeitende abgemildert werden können. Beide Kapitel schließen den NIS2 Guide inhaltlich ab.

Was regelt Kapitel 7 zu Geschäftskontinuität und Krisenmanagement?

Kapitel 7 beginnt mit einer Business Impact Analysis, um kritische Prozesse und deren Ausfalltoleranz zu bewerten. Darauf folgen der Business Continuity Plan beziehungsweise IT-Notfallplan sowie eine Backup-Strategie nach der 3-2-1-Regel.

Regelmäßige BCM-Tests und Krisenübungen runden das Kapitel ab. So bleibt der Ernstfall kein theoretisches Konstrukt, sondern eine geübte Routine.

Was umfasst Kapitel 8 zu Schulung und Awareness?

Kapitel 8 führt durch die Konzeption eines Schulungsprogramms mit Pflichtschulungen für Mitarbeitende und gesonderten Formaten für die Leitungsebene gemäß § 38 Abs. 3 BSIG. Phishing-Simulationen ergänzen die theoretische Schulung um praktische Tests.

Ziel ist die langfristige Verankerung einer Sicherheitskultur, die über einzelne Trainingstermine hinausträgt. Vertiefende Inhalte zu Schulungskonzepten und BCM finden sich im Knowledge Hub.

Dokumentation und Nachweis bilden dabei kein eigenes Abschlusskapitel, sondern sind fest in jeden einzelnen Schritt eingebettet, mit Templates und revisionssicherer Archivierung als Standardbestandteil. Kapitel 7 und 8 sichern damit ab, was die vorherigen Kapitel aufgebaut haben: den Betrieb im Ernstfall und die Menschen, die alle Maßnahmen dauerhaft tragen.

Wie beschleunigen verknüpfte Vorlagen aus der Template Library den Prozess?

Jedes Kapitel des NIS2 Guide ist mit passenden Word- und Excel-Vorlagen aus der Template Library verknüpft, sodass Unternehmen nicht bei null anfangen. Für rund 29.500 betroffene Unternehmen in Deutschland sind wiederverwendbare, § 30-BSIG-konforme Vorlagen ein zentraler Zeitfaktor. Statt Dokumente selbst zu entwerfen, passen IT-Leiter fertige Vorlagen an ihr Unternehmen an.

Das Prinzip dahinter: Jede Vorlage ist einem konkreten Umsetzungsschritt nach § 30 BSIG zugeordnet, lässt sich aber auch unabhängig vom NIS2 Guide einsetzen. Typische Beispiele aus der Bibliothek sind:

• Risikomatrix: strukturierte Bewertung von Bedrohungen und deren Eintrittswahrscheinlichkeit
• Meldeprozess-Vorlage: Ablaufdokument für fristgerechte Meldungen an das BSI
• Schulungsnachweis: Dokumentation von Awareness-Maßnahmen für Mitarbeitende
• Lieferantenbewertungs-Checkliste: Grundlage für die Prüfung kritischer Zulieferer

Für IT-Abteilungen mit typischerweise 3 bis 10 Personen ohne dedizierte Compliance-Ressource macht das einen spürbaren Unterschied. Eine bestehende Vorlage anzupassen kostet deutlich weniger Zeit, als ein Formular komplett neu zu entwerfen. Diese vorstrukturierten Dokumente ersetzen damit einen Teil dessen, wofür klassische NIS2-Berater sonst tagesbasiert abrechnen. Wer die Kostenfrage im Detail vergleichen möchte, findet einen vertieften Einblick im Beitrag NIS2-Berater oder selbst umsetzen? Ein Kostenvergleich.

Für welche Unternehmen ist der NIS2 Guide der richtige Einstieg?

Der NIS2 Guide eignet sich besonders für IT-Leiter und Informationssicherheitsbeauftragte ohne bisherige Compliance-Erfahrung, die schnell einen belastbaren Startpunkt brauchen. Laut Bitkom Wirtschaftsschutz 2025 berichteten 34 Prozent der Unternehmen von Ransomware-Schäden in den vergangenen 12 Monaten. Ein strukturierter Pfad verhindert, dass Basismaßnahmen dabei übersehen werden. Ideal ist der Guide für Unternehmen zwischen 30 und 250 Mitarbeitenden mit kleiner IT-Abteilung.

Wer profitiert am meisten: Unternehmen ohne Compliance-Vorerfahrung und mit begrenzten IT-Ressourcen finden im NIS2 Guide einen klaren Fahrplan statt eines unübersichtlichen Anforderungskatalogs. Wer noch nicht sicher ist, ob NIS2 überhaupt greift, findet erste Orientierung im Artikel Bin ich von NIS2 betroffen? So prüfen Sie es. Auch angesichts abgelaufener gesetzlicher Fristen bleibt ein geordneter Einstieg wichtiger als überstürztes Handeln.

Abgrenzung: Unternehmen mit einem bereits laufenden ISMS, etwa auf Basis internationaler ISMS-Tools, nutzen den NIS2 Guide eher ergänzend. Das NIS2-Fachwissen und die Vorlagen lassen sich dann punktuell in bestehende Prozesse übernehmen, statt den gesamten Pfad neu zu durchlaufen.

Bei sehr komplexen Sonderfällen, etwa mehreren betroffenen Sektoren oder Auslandstöchtern, ersetzt der NIS2 Guide keine individuelle Beratung. Diese Konstellationen erfordern rechtliche Einzelfallprüfung, die über strukturierte Selbsthilfe hinausgeht.

Ein IT-Dienstleister aus dem Bereich digitale Infrastruktur mit rund 90 Mitarbeitenden stellte im Rahmen von Kapitel 1 (Betroffenheit und Registrierung) fest, unter die Kategorie "wichtige Einrichtung" nach NIS2UmsuCG zu fallen, und schloss die BSI-Registrierung direkt im selben Kapitel ab. Die IT-Abteilung (4 Personen) hatte bislang keine dokumentierte Risikoanalyse nach § 30 Abs. 2 Nr. 1 BSIG. Mithilfe des NIS2 Guide arbeitete das Unternehmen anschließend Kapitel 2 (Risikomanagement) und Kapitel 3 (Technische Sicherheitsmaßnahmen) innerhalb von rund 6 Wochen ab, gestützt auf vorhandene Vorlagen statt eigens entworfener Dokumente.

Der einfachste Einstieg gelingt über den Vor-Check: Er zeigt den individuellen Ausgangspunkt, bevor es direkt in Kapitel 1 des NIS2 Guide weitergeht.

Häufig gestellte Fragen

Was ist der NIS2 Guide von NIS2Compass?

Der NIS2 Guide ist der strukturierte Umsetzungspfad von NIS2Compass, der Unternehmen in 8 Kapiteln von Betroffenheit und Registrierung bis zu Schulung und Awareness durch die NIS2-Compliance führt. Jedes Kapitel orientiert sich an den Mindestmaßnahmen aus § 30 BSIG und ist mit passenden Vorlagen aus der Template Library verknüpft.

Wie lange dauert es, den NIS2 Guide vollständig zu durchlaufen?

Die Dauer hängt vom Ausgangszustand und der Unternehmensgröße ab. Unternehmen ohne bisherige Dokumentation benötigen für die ersten Kapitel häufig einige Wochen, für den vollständigen Pfad mehrere Monate bei kleiner IT-Abteilung. Der Vor-Check gibt eine erste Einschätzung zum individuellen Startpunkt und Zeitaufwand.

Muss ich die 8 Kapitel der Reihe nach bearbeiten?

Die Reihenfolge folgt einer inhaltlichen Logik: Betroffenheitsprüfung/Registrierung und Risikomanagement bilden die Grundlage für spätere Maßnahmen wie technische Umsetzung oder Nachweise. Unternehmen mit Vorarbeiten, etwa aus einem bestehenden ISMS, können einzelne Kapitel überspringen oder parallel bearbeiten, sofern die jeweilige Grundlage bereits dokumentiert ist.

Ersetzt der NIS2 Guide einen NIS2-Berater?

Für viele KMU deckt der NIS2 Guide die strukturierte Eigenumsetzung vollständig ab, gestützt auf Vorlagen statt individueller Beratungstage. Bei sehr komplexen Sonderfällen, etwa mehreren Sektoren oder internationalen Konzernstrukturen, kann punktuelle externe Beratung dennoch sinnvoll bleiben. Einen Kostenvergleich beider Wege liefert der Artikel NIS2-Berater oder selbst umsetzen? Ein Kostenvergleich.

Wie hängen die 8 Kapitel mit § 30 BSIG zusammen?

§ 30 Abs. 2 BSIG listet 10 gesetzliche Mindest-Risikomanagementmaßnahmen, unter anderem Risikoanalyse, Zugriffskontrolle, Kryptografie, Business Continuity und Schulungspflichten. Die Kapitel des NIS2 Guide bündeln diese Maßnahmen thematisch, sodass jeder Umsetzungsschritt einer nachvollziehbaren gesetzlichen Grundlage zugeordnet ist und gegenüber der Geschäftsführung belegbar bleibt.