NIS2-Audit in drei Mandaten

NIS2 ist in Deutschland seit dem 6. Dezember 2025 nationales Recht: Das NIS-2-Umsetzungsgesetz wurde am 5. Dezember 2025 verkündet (BGBl. 2025 I Nr. 301) und trat am Tag darauf in Kraft. Der 17. Oktober 2024 war die Umsetzungsfrist der Richtlinie, nicht das Datum der Geltung.

Im vierten Quartal 2025 haben wir drei Mittelstandsmandate auditfähig gemacht: ein Maschinenbauer, ein kommunaler Energieversorger und eine Beratungsgesellschaft. Diese Notiz fasst zusammen, was funktioniert hat und wo Geld verbrannt wurde.

Was tatsächlich funktioniert

Dokumentation vor Werkzeug. Alle drei Mandate hatten bereits sinnvolle Sicherheitsbausteine: Patching, Endpoint-Detection, MFA. Was fehlte, war die belastbare Dokumentation: Wer ist verantwortlich, wer entscheidet im Vorfall, wie lange dauert die Eskalation? NIS2-Auditoren prüfen Prozesse, nicht Logos.

Vorfälle simulieren. Drei Tabletops in drei Monaten brachten mehr Klarheit als neue Tools. Im Tabletop fällt auf, dass der Eskalationspfad „CISO anrufen“ nicht funktioniert, wenn die CISO-Rolle nicht besetzt ist. Das ließ sich schnell beheben: Wir übernehmen die Rolle in unserem Virtual-CISO-Modell.

Lieferkette dokumentieren. Die NIS2-Anforderung an Lieferanten-Sicherheit wird unterschätzt. Wir haben jedem Mandat ein einfaches Lieferanten-Register angelegt (kritische Anbieter, Vertragsklauseln, Kontaktpfade) und die Top-10-Lieferanten mit Sicherheits-Fragebögen abgedeckt. Auditoren waren danach zufrieden.

Wo Geld verbrannt wurde

Ein Compliance-Tool gekauft, das niemand pflegt. Ein Mandat hatte eine GRC-Plattform abonniert, die niemand nutzt. Solche Tools sind ohne Owner wertlos. Wir haben sie abgeschaltet und stattdessen ein Confluence-Space plus den Audit-Log unserer Nova9-Plattform genommen. Das ist günstiger und wird tatsächlich gepflegt.

Penetrationstests vor der Hygiene. Ein Mandat wollte einen Pentest, bevor die Basis-Hygiene saß. Ergebnis: hundert Findings, davon achtzig in den ersten zwei Wochen mit Hardening behebbar. Wir empfehlen heute: Härtung zuerst, dann Pentest. Sonst zahlt man für eine Mängelliste, die man auch ohne Pentest bekommen hätte.

Was Nova9 dazu beigetragen hat

Die Audit-Trails unserer Plattform liefern die Belege für die Meldepflichten nach § 32 BSIG ohne Zusatzaufwand. Jede Agenten-Aktion ist signiert, zeitgestempelt und durchsuchbar. Bei einem der Audits hat genau das den Auditor überzeugt, dass die 24-Stunden-Frist für die Erstmeldung belegbar eingehalten wird.

Konkrete Empfehlung

Wenn Sie noch nicht angefangen haben:

1. Verantwortlichkeiten klären. Wer trägt die Vorfalls-Verantwortung? Wer informiert die Aufsicht? Schreiben Sie es auf.
2. Top-5-Vorfälle simulieren. Tabletop, eine Stunde pro Szenario.
3. Lieferanten-Register anlegen. Kein Excel-Grab, ein einfaches Markdown reicht.
4. Audit-Trail aktivieren. Auf jedem System, das produktiv arbeitet.