Viele NIS2-pflichtige Unternehmen haben sich an einen ursprünglichen Termin gewöhnt, der inzwischen Geschichte ist: Der erste verbindliche Nachweis der NIS2-Konformität war ursprünglich für den 31. Dezember 2025 vorgesehen. Aufgrund der verzögerten nationalen Umsetzung in zahlreichen Mitgliedstaaten wurde dieser Termin auf den 30. Juni 2026 verschoben. Diese Frist ist nun in wenigen Tagen erreicht.
Was genau muss bis dahin nachgewiesen sein?
Im Kern geht es darum, dass „wesentliche“ Einrichtungen erstmals belastbar dokumentieren können, dass die zehn in Art. 21 Abs. 2 NIS2 vorgeschriebenen Mindestmaßnahmen tatsächlich umgesetzt sind. Dazu zählen unter anderem:
- Risikoanalyse und Sicherheitskonzepte für Informationssysteme
- Bewältigung von Sicherheitsvorfällen (Erkennung, Reaktion, Wiederherstellung)
- Aufrechterhaltung des Betriebs, einschließlich Backup-Management und Krisenreaktion
- Sicherheit der Lieferkette gegenüber Zulieferern und Dienstleistern
- Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen
- Konzepte zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen
- Schulungen zur Cyberhygiene und grundlegende Verfahren der Kryptografie
- Personalsicherheit, Zugriffskontrollkonzepte und Anlagenmanagement
- Einsatz von Multi-Faktor-Authentifizierung oder kontinuierlicher Authentifizierung
- Gesicherte Sprach-, Video- und Textkommunikation für Notfälle
Was bei einem unvollständigen Stand passiert
Wer am Stichtag wesentliche Lücken aufweist, wird dadurch nicht automatisch sanktioniert – die Aufsichtsbehörden haben in der Praxis bislang einen kooperativen Ansatz gewählt, wie bereits die ersten BSI-Prüfungen und die belgische CCB-Durchsetzung gezeigt haben. Entscheidend ist jedoch, ob ein Unternehmen aktiv und dokumentiert an der Schließung der Lücken arbeitet. Wer dagegen gar keine Fortschritte vorweisen kann, riskiert ein formales Verfahren mit Fristsetzung – und im Wiederholungsfall Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen.
Die letzten Tage sinnvoll nutzen
- Selbstbewertung durchführen: Alle zehn Maßnahmenbereiche durchgehen und ehrlich bewerten, wo Lücken bestehen.
- Priorisieren statt perfektionieren: Logging, Risikoregister und Incident-Response sind die Bereiche, die Prüfer erfahrungsgemäß am häufigsten beanstanden – hier zuerst ansetzen.
- Lücken dokumentieren, nicht verstecken: Ein ehrlicher Maßnahmenplan mit Zeitplan wirkt bei einer Prüfung deutlich überzeugender als der Versuch, Defizite zu verschleiern.
- Geschäftsleitung einbinden: Ein schriftlicher Management-Beschluss zur Compliance-Roadmap zeigt, dass die persönliche Verantwortung nach Art. 20 NIS2 ernst genommen wird.
Der 30. Juni 2026 markiert keinen Schlusspunkt, sondern den Beginn der aktiven Aufsichtsphase. Unternehmen, die diesen Termin als Weckruf nutzen statt ihn zu ignorieren, verschaffen sich einen erheblichen Vorteil gegenüber jenen, die weiterhin abwarten.