Für wesentliche Einrichtungen (essential entities) läuft eine kritische Frist ab: Bis zum 30. Juni 2026 müssen sie ihren ersten formalen NIS2-Compliance-Nachweis erbringen. Weniger als zwei Monate bleiben, um die Audit-Dokumentation fertigzustellen.
Hintergrund: Die ursprüngliche Frist (31. Dezember 2025) wurde auf den 30. Juni 2026 verschoben. Für viele Einrichtungen ist dieser Termin die erste echte Bewährungsprobe unter der nationalen NIS2-Umsetzungsgesetzgebung.
Was muss nachgewiesen werden?
Wesentliche Einrichtungen müssen gegenüber der zuständigen nationalen Behörde belegen, dass die NIS2-Sicherheitsanforderungen implementiert wurden. Der Nachweis umfasst konkret:
- Risikoanalyse: Dokumentierte, aktuelle Analyse nach dem All-Hazards-Ansatz
- Sicherheitsmaßnahmen: Technische und organisatorische Maßnahmen proportional zur Risikolage
- Incident Response: Getesteter Reaktionsplan mit 24/72-Stunden-Meldeverfahren
- Lieferkette: Bewertung und vertragliche Absicherung kritischer Lieferanten
- Management-Governance: Schulungsnachweise und dokumentierte Verantwortungsübernahme der Leitungsebene
- Business Continuity: Getestete Backup- und Wiederherstellungsprozesse
Was ist mit wichtigen Einrichtungen?
Für wichtige Einrichtungen gilt diese spezifische Audit-Frist nicht im gleichen Umfang – sie unterliegen einer nachgelagerten Ex-post-Aufsicht. Die NIS2-Pflichten selbst (Risikomanagement, Meldepflichten) gelten jedoch ab Inkrafttreten der nationalen Gesetze ohne Aufschub.
Drohende Konsequenzen bei Fristversäumnis
- Bußgelder bis 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes
- Bindende Anordnungen der nationalen Behörde (BSI, CCB, CERT Polska etc.)
- Öffentliche Bekanntmachung von Verstößen
- Persönliche Haftung der Geschäftsführung bei grober Fahrlässigkeit
Sofortmaßnahmen für die verbleibenden Wochen
- Gap-Inventur: Welche der sechs Kernbereiche sind dokumentiert, welche fehlen?
- Incident-Response-Test: Tabletop-Übung durchführen und Ergebnis dokumentieren.
- Lieferanten-Review: Mindestens die zehn kritischsten Lieferanten bewerten.
- Management-Briefing: Leitungsebene nachweislich einbeziehen (Protokoll, Schulungsnachweis).
- Dokumentationspaket: Alle Nachweise in einer Audit-Ready-Struktur bündeln.
Belastbare Dokumentation und ein klarer Remediation-Plan – auch wenn noch nicht alle Maßnahmen vollständig umgesetzt sind – werden von nationalen Behörden in der Regel positiv bewertet.