# NIS-2: Wer ist betroffen und was ist zu tun? – mit Max Beckmann Quelle: https://rz10.de/it-security/nis-2-wer-ist-betroffen-und-was-ist-zu-tun-mit-max-beckmann/ Stand: 2026-08-19 In dieser Folge des SAP-IT-Podcasts spreche ich mit Max Beckmann, IT-Security- und KI-Consultant, darüber, was NIS-2 für Unternehmen in Deutschland konkret bedeutet, warum deutlich mehr Unternehmen ihre Betroffenheit selbst prüfen müssen und was nach Ablauf der Registrierungsfrist zu tun ist. Außerdem sprechen wir darüber, warum NIS-2 nicht nur ein Thema für CISOs ist, sondern auch SAP und das Management betrifft. ## ...zum Anschauen [Video](https://www.youtube.com/watch?v=G-avYky3Llo) YOUTUBE-CHANNEL abonnieren: [https://www.youtube.com/@sap-it-podcast](https://www.youtube.com/@sap-it-podcast) ## ...zum Hören ## ...zum Lesen ## Status quo: Darum geht es bei NIS-2 Mit dem Inkrafttreten des NIS-2-Umsetzungsgesetzes ist aus einer europäischen Vorgabe in Deutschland verbindliches Recht geworden. Viele Unternehmen müssen jetzt prüfen, ob sie betroffen sind, sich beim [Bundesamt für Sicherheit in der Informationstechnik (BSI)](https://www.bsi.bund.de/DE/Home/home_node.html) registrieren und Sicherheitsmaßnahmen nachweisen. Im Podcast macht Max Beckmann deutlich: NIS-2 ist kein reines IT-Thema, sondern betrifft das gesamte Unternehmen. ## Was NIS-2 konkret regelt [NIS-2](https://rz10.de/knowhow/nis-2-richtlinie/) steht für „Network and Information Security“ und verfolgt ein klares Ziel: ein durchgängiges IT-Sicherheitsniveau in Unternehmen und damit eine robustere digitale Infrastruktur in Deutschland und Europa. Es geht also nicht darum, Unternehmen mit zusätzlichen Regeln zu belasten, sondern darum, wirtschaftlich relevante Organisationen widerstandsfähiger gegen Cyberangriffe, Ausfälle und Sicherheitsvorfälle zu machen. Gerade in einer stark digitalisierten Wirtschaft ist das nachvollziehbar. Unternehmen hängen heute an ihren IT-Systemen. Fällt die IT aus, stehen häufig Produktion, Logistik, Vertrieb oder Kundenservice still. NIS-2 setzt genau hier an und macht Sicherheitsstandards dort verbindlich, wo bislang oft nur Empfehlungen oder freiwillige Maßnahmen galten. ## Warum die Richtlinie viele Unternehmen unvorbereitet trifft Viele Unternehmen haben NIS-2 lange beobachtet, statt sich aktiv vorzubereiten. Spätestens mit der Umsetzung in deutsches Recht am 6. Dezember 2025 und der Registrierungspflicht bis zum 6. März 2026 wurde klar: Aus der Ankündigung ist Pflicht geworden. Laut Max Beckmann zeigt die geringe Zahl registrierter Unternehmen jedoch, wie groß die Lücke zwischen Vorgabe und Umsetzung derzeit noch ist. ## Wer jetzt selbst prüfen muss, ob er betroffen ist Der eigentliche Wandel bei NIS-2 liegt in der Eigenverantwortung der Unternehmen: Sie werden nicht einzeln auf ihre Pflichten hingewiesen, sondern müssen selbst aktiv prüfen, ob sie unter die Regulierung fallen, und sich bei Bedarf proaktiv registrieren. Genau das macht NIS-2 für viele so ungewohnt. Betroffen sind dabei nicht nur klassische [KRITIS-Unternehmen](https://rz10.de/knowhow/kritis/). Besonders genau hinschauen sollten vor allem Unternehmen mit mehr als 50 Mitarbeitern oder mehr als 10 Millionen Euro Umsatz. Danach entscheidet der jeweilige Sektor. Neben kritischen Infrastrukturen können auch weitere Branchen wie Post, Kurierdienste oder Teile des produzierenden Gewerbes relevant sein. Der häufigste Irrtum lautet deshalb: „Wir waren nie KRITIS, also betrifft uns das nicht.“ Genau das ist laut Max Beckmann oft falsch und gleichermaßen gefährlich. Wer seiner Registrierungspflicht nicht nachkommt, begeht einen formalen [Compliance](https://rz10.de/knowhow/compliance/)-Verstoß. Je nach Einstufung des Unternehmens sind laut BSI dafür Bußgelder von bis zu 7 oder 10 Millionen Euro beziehungsweise 1,4 oder 2 Prozent des weltweiten Jahresumsatzes möglich. ## Warum SAP bei NIS-2 mitgedacht werden muss NIS-2 betrifft alle informationstechnischen Systeme, die für die Wertschöpfung eines Unternehmens wichtig sind. Genau deshalb ist SAP ein zentrales Thema: Dort laufen oft geschäftskritische Prozesse, sensible Daten und finanzrelevante Abläufe zusammen. In vielen Unternehmen werden Infrastruktur-Security und [SAP-Security](https://rz10.de/knowhow/sap-security/) jedoch noch getrennt betrachtet, obwohl NIS-2 ein durchgängiges Sicherheitsniveau verlangt. Konkret geht es dabei um bekannte Sicherheitsdisziplinen wie: - Zugriffsmanagement - Schwachstellenmanagement - sichere Konfigurationen - Verschlüsselung - [Risikomanagement](https://rz10.de/knowhow/cyber-risk-management/) - Lieferkettensicherheit - Schulungen Neu ist dabei weniger der Inhalt als die Verbindlichkeit. Auch das Management muss eingebunden werden. ## Typische Lücken in der Praxis Max Beckmann erklärt, es zeigt sich in Projekten häufig ein ähnliches Bild: Viele Unternehmen haben bereits funktionierende Abläufe, aber sie sind nicht sauber dokumentiert oder nicht klar Verantwortlichen zugeordnet. Gute Praxis existiert, ist aber nicht formalisiert. Hinzu kommen typische technische Lücken, etwa: - fehlende [Multifaktor-Authentifizierung](https://rz10.de/knowhow/multi-faktor-authentifizierung/) - unzureichendes Schwachstellenmanagement - unklare oder nicht dokumentierte Verantwortlichkeiten - unterschiedliche Sicherheitsniveaus zwischen Infrastruktur und SAP Genau deshalb beginnt die praktische Arbeit beim Team rund um Max Beckmann oftmals mit einer [Gap-Analyse](https://rz10.de/angebot/nis-2-gap-analyse/). Dabei wird geprüft, welche Anforderungen bereits erfüllt sind, wo technische oder organisatorische Lücken bestehen und welche Maßnahmen priorisiert werden sollten. Solche Analysen liefern häufig innerhalb von vier bis sechs Wochen ein belastbares Bild. ## Was nach der Registrierung zählt Mit der Registrierung ist die Arbeit jedoch noch nicht erledigt. Entscheidend ist, dass Unternehmen ihre Sicherheitsanforderungen nachvollziehbar umsetzen, dokumentieren und priorisieren. Das BSI muss nicht laufend über jede Maßnahme informiert werden, kann aber Prüfungen durchführen. Wichtig ist außerdem die Meldepflicht bei Sicherheitsvorfällen. Relevante Vorfälle müssen fristgerecht gemeldet werden, wofür es klare Prozesse, feste Zuständigkeiten und ein funktionierendes Incident-Handling benötigt. Genau deshalb ist NIS-2 mehr als ein Technikthema: Auch das Management ist in der Pflicht, weil es um Budgets, Verantwortung und Haftung geht und sollte entsprechend geschult und informiert werden. Dafür bieten wir eine [kompakte Pflichtschulung](https://rz10.de/schulung/nis-2-management-pflichtschulung/) an, die Führungskräften die nötigen Grundlagen zu NIS-2, Cyberrisiken und Meldepflichten vermittelt. ## Was Unternehmen jetzt konkret tun sollten Aus dem Podcast lassen sich fünf sinnvolle nächste Schritte ableiten: 1. **Betroffenheit prüfen** Mit dem BSI-Fragenkatalog lässt sich schnell einschätzen, ob das eigene Unternehmen unter NIS-2 fällt. 2. **Registrierung und Zuständigkeiten klären** Ist die Relevanz gegeben, müssen Registrierung, Kontaktstelle und interne Verantwortung sauber geregelt werden. 3. **Status quo erfassen** Eine Gap-Analyse zeigt, welche technischen und organisatorischen Anforderungen bereits erfüllt sind und wo Lücken bestehen. 4. **Roadmap aufsetzen** Entscheidend ist ein realistischer Umsetzungsplan mit Prioritäten, Terminen und Verantwortlichkeiten. 5. **Vorfallprozesse definieren** Unternehmen müssen in der Lage sein, Sicherheitsvorfälle intern sauber zu bewerten und fristgerecht zu melden. ## Fazit NIS-2 zwingt Unternehmen dazu, ihre IT-Sicherheit strukturierter und verbindlicher anzugehen. Das betrifft nicht nur CISO und Infrastruktur, sondern auch SAP, Prozesse und Management. Wer jetzt prüft, dokumentiert und priorisiert, erfüllt nicht nur regulatorische Anforderungen, sondern stärkt auch die eigene Resilienz.