NIS-2 aufschieben: Warum Warten teurer wird als Starten

Vor drei Monaten sagte mir ein Geschäftsführer: Wir warten noch ab. NIS-2 sei noch zu unklar. Man wolle erst sehen, was die anderen machen. Letzte Woche rief er mich zurück. Die Stimme angespannt. Wir brauchen das jetzt. Schnell.

Dieser Anruf ist kein Einzelfall. Er ist ein Muster.

Das Muster, das sich seit 25 Jahren wiederholt

Bei DSGVO war es genauso. Bei ISO 27001 war es genauso. Bei jeder Regulierung, die zunächst unklar wirkte, kam irgendwann der Moment, in dem aus Abwarten eine Notlage wurde.

Der Unterschied zwischen Januar und April ist nicht die Regulierung. Der Unterschied sind die Ressourcen. Was im Januar ein entspannter Start gewesen wäre, ist jetzt ein Feuerwehreinsatz. Interne Teams sind bis Q3 ausgebucht. Externe Kapazitäten sind rar. Preise steigen.

Drei Gründe, warum Unternehmen warten

Erstens: Unklarheit über die eigene Betroffenheit. Viele Unternehmen wissen schlicht nicht, ob sie unter NIS-2 fallen. Die Unsicherheit führt zu Passivität statt zu einer sachlichen Prüfung.

Zweitens: Überschätzte Komplexität. NIS-2-Compliance klingt nach einem Mammutprojekt. Tatsächlich ist der erste Schritt klein und klar definiert.

Drittens: Konkurrenzbeobachtung. Man wartet, was die anderen machen. Doch wenn alle warten, hat niemand einen Vorteil. Und der Termin rückt trotzdem näher.

Was den Berg größer macht

Der Berg wird nicht kleiner, wenn man wartet. Er wächst.

Wer heute anfängt, kann strukturiert priorisieren, ein Budget schrittweise aufbauen und interne Verantwortlichkeiten sauber definieren. Wer im Herbst anfängt, muss unter Zeitdruck entscheiden, externe Berater teuer einkaufen und Kompromisse eingehen, die sich später rächen.

Hinzu kommt: Behörden bauen gerade Prüfkapazitäten auf. Die ersten Aufsichtsmaßnahmen werden nicht lange auf sich warten lassen. Wer dann noch in der Startphase steckt, steht vor einem ernsthaften Problem.

Der erste Schritt dauert zwei Stunden

Eine Betroffenheitsprüfung klärt genau eine Frage: Fällt mein Unternehmen unter NIS-2?

Die Antwort hängt von drei Faktoren ab: Branche, Unternehmensgröße und Kritikalität der erbrachten Dienste. Das BSI stellt klare Kriterien bereit. Mit einer strukturierten Checkliste ist die Prüfung in zwei Stunden erledigt.

Das Ergebnis ist binär: Betroffenheit ja oder nein. Wer nicht betroffen ist, kann das Thema abhaken. Wer betroffen ist, hat jetzt eine Entscheidungsgrundlage statt einer vagen Bedrohung.

Was nach der Betroffenheitsprüfung kommt

Wenn die Betroffenheit feststeht, folgt das Gap-Assessment. Es zeigt, wo das Unternehmen heute steht und welche der 21 Sicherheitsmaßnahmen nach Artikel 21 NIS-2 bereits erfüllt sind.

Priorisierung statt Perfektion

Kein Unternehmen muss alle Maßnahmen gleichzeitig umsetzen. Was zählt, ist ein nachweisbarer, dokumentierter Fortschritt. Aufsichtsbehörden erwarten keine Perfektion. Sie erwarten Ernsthaftigkeit und einen klaren Plan.

Der Unterschied zwischen einem Unternehmen, das im Oktober 40 Prozent der Anforderungen erfüllt und einen Fahrplan vorlegen kann, und einem Unternehmen, das noch gar nicht angefangen hat, ist aus Sicht der Behörde erheblich.

Was jetzt zu tun ist

Schritt eins: Betroffenheitsprüfung durchführen. Zwei Stunden, klares Ergebnis. Schritt zwei: Gap-Assessment beauftragen oder intern durchführen. Schritt drei: Maßnahmenpakete priorisieren und Verantwortliche benennen.

Das ist kein Marathonprojekt. Es ist eine Folge überschaubarer Schritte, die sich leichter anfühlen als der Druck, im Herbst unter Zeitnot zu starten.

Der Anruf, den ich letzte Woche erhalten habe, ist eine Vorhersage für viele Unternehmen, die heute noch warten. Der Berg wächst nicht von selbst kleiner.