Was kostet ein Managed IT Service?
11. Januar 2026KI und Automatisierung als Chance
9. Juni 2026
Was bedeutet NIS2 – und was nicht?
Mit der NIS2-Richtlinie der Europäischen Union rückt das Thema IT-Sicherheit stärker in den Fokus vieler Unternehmen. Gleichzeitig besteht große Unsicherheit darüber, wen die Regelungen betreffen, was konkret gefordert ist und welche Rolle IT-Dienstleister dabei spielen.
Dieser Beitrag dient der sachlichen Einordnung der NIS2-Richtlinie. Er erklärt, was NIS2 grundsätzlich bedeutet, welche Zielsetzung dahintersteht – und was nicht Bestandteil der Richtlinie ist.
Inhalt
Was ist NIS2?
NIS2 ist eine EU-Richtlinie zur Stärkung der Cyber- und Informationssicherheit. Sie baut auf der ursprünglichen NIS-Richtlinie auf und erweitert sowohl den Anwendungsbereich als auch die Anforderungen an betroffene Organisationen.
Als EU-Richtlinie legt NIS2 Ziele und Rahmenbedingungen fest. Die konkrete Umsetzung erfolgt über nationale Gesetze.
Zielsetzung der NIS2-Richtlinie
Die zentrale Zielsetzung von NIS2 ist es, die Resilienz kritischer und wichtiger Einrichtungen gegenüber Cyber-Risiken zu erhöhen.
Dazu gehören unter anderem:
bessere Prävention von Sicherheitsvorfällen
frühzeitige Erkennung von Cyber-Risiken
strukturierter Umgang mit Sicherheitsereignissen
höhere Verlässlichkeit digitaler Dienste
NIS2 verfolgt dabei einen risikobasierten Ansatz, keinen rein technischen.
Wen betrifft NIS2 grundsätzlich?
NIS2 richtet sich an bestimmte kritische und wichtige Einrichtungen, die anhand von Kriterien wie:
Branche
Unternehmensgröße
Bedeutung für Wirtschaft und Gesellschaft
eingeordnet werden.
Nicht jedes Unternehmen ist automatisch betroffen. Ob NIS2 Anwendung findet, hängt von mehreren Faktoren ab und lässt sich nicht pauschal beantworten.
Welche Anforderungen verfolgt NIS2?
NIS2 formuliert Anforderungen auf einer organisatorischen und technischen Ebene, unter anderem in Bezug auf:
Risikomanagement
Sicherheitsmaßnahmen
Umgang mit Sicherheitsvorfällen
organisatorische Verantwortlichkeiten
Dabei geht es weniger um konkrete Technologien, sondern um strukturierte Sicherheitsprozesse.
Welche Rolle spielt IT-Sicherheit im laufenden Betrieb?
Ein zentrales Element der NIS2-Richtlinie ist der Fokus auf dauerhafte und strukturierte Sicherheitsmaßnahmen. IT-Sicherheit wird nicht als einmaliges Projekt verstanden, sondern als laufender Bestandteil des IT-Betriebs.
Damit verschiebt sich der Schwerpunkt weg von punktuellen Maßnahmen hin zu kontinuierlichen Prozessen, die nachvollziehbar, überprüfbar und dauerhaft wirksam sind.
Kontinuität statt Einzelmaßnahmen
NIS2 zielt nicht darauf ab, einzelne technische Lösungen vorzuschreiben.
Stattdessen steht die kontinuierliche Umsetzung grundlegender Sicherheitsmaßnahmen im Vordergrund.
Dazu gehören unter anderem:
regelmäßige Aktualisierung von Systemen
dauerhafte Absicherung von Endgeräten und Servern
kontrollierter Zugriff auf Systeme und Daten
strukturierter Umgang mit Sicherheitsereignissen
Diese Maßnahmen entfalten ihre Wirkung nur dann, wenn sie laufend angewendet und überwacht werden.
Nachvollziehbarkeit und Struktur
Ein weiterer Aspekt ist die Nachvollziehbarkeit von Sicherheitsprozessen.
Unternehmen müssen in der Lage sein, grundlegende Sicherheitsmaßnahmen und Zuständigkeiten strukturiert darzustellen.
Das betrifft insbesondere:
klare Verantwortlichkeiten
dokumentierte Abläufe
definierte Reaktionsprozesse
transparente Entscheidungswege
IT-Sicherheit wird damit zu einem organisatorischen Thema, nicht ausschließlich zu einer technischen Aufgabe.
IT-Sicherheit als Betriebsfaktor
Im Kontext von NIS2 ist IT-Sicherheit eng mit dem stabilen IT-Betrieb verknüpft.
Ein verlässlicher Betrieb setzt voraus, dass Sicherheitsrisiken frühzeitig erkannt und angemessen behandelt werden.
Dauerhafte IT-Security trägt dazu bei:
Ausfälle zu vermeiden
Risiken zu reduzieren
Betriebsstörungen zu begrenzen
Abhängigkeiten von Einzelpersonen zu verringern
Abgrenzung zur individuellen Umsetzung
Wichtig ist die klare Abgrenzung:
NIS2 definiert keine konkreten Umsetzungsdetails für den einzelnen Betrieb.
Wie IT-Sicherheitsmaßnahmen im laufenden Betrieb konkret umgesetzt werden, hängt von:
Unternehmensstruktur
Risikoprofil
vorhandenen IT-Ressourcen
ab und erfordert immer eine individuelle Betrachtung.
Was bedeutet NIS2 nicht?
Zur sachlichen Einordnung gehört ausdrücklich auch, was die NIS2-Richtlinie nicht bedeutet. Gerade hier entstehen häufig Missverständnisse, die zu unnötiger Unsicherheit führen.
Keine konkrete technische Vorgabe
NIS2 schreibt keine bestimmten Technologien, Produkte oder Hersteller vor. Es gibt keine Pflicht zur Einführung einzelner Tools oder Lösungen.
Die Richtlinie formuliert Ziele und Anforderungen auf konzeptioneller Ebene, nicht auf Produktebene.
Keine pauschale Verpflichtung für jedes Unternehmen
Nicht jedes Unternehmen fällt automatisch unter die NIS2-Regelungen.
Ob und in welchem Umfang NIS2 Anwendung findet, hängt von mehreren Faktoren ab, unter anderem:
Branche
Unternehmensgröße
Rolle innerhalb von Liefer- und Wertschöpfungsketten
Eine pauschale Aussage „NIS2 betrifft alle“ ist daher nicht korrekt.
Keine einmalige Maßnahme
NIS2 ist kein Projekt, das einmal umgesetzt und anschließend abgeschlossen ist. Ebenso wenig reicht eine punktuelle Maßnahme oder ein einzelnes Audit aus.
Die Richtlinie zielt auf dauerhafte Strukturen und Prozesse ab, nicht auf kurzfristige Einzelaktionen.
Keine Garantie für vollständige Sicherheit
Auch bei Umsetzung grundlegender Anforderungen bietet NIS2 keinen vollständigen Schutz vor Cyberangriffen. IT-Sicherheit bleibt immer ein Risikomanagement, kein Zustand absoluter Sicherheit.
Die Richtlinie fordert einen angemessenen Umgang mit Risiken – keine Risikofreiheit.
Keine individuelle Umsetzungsanleitung
NIS2 ersetzt keine individuelle Risikoanalyse, keine rechtliche Beratung und keine organisationsspezifische Ausgestaltung.
Wie Anforderungen konkret umgesetzt werden, hängt immer von:
internen Strukturen
bestehenden Prozessen
technischen Gegebenheiten
ab und lässt sich nicht allgemeingültig festlegen.
Keine vollständige Verantwortungsauslagerung
Auch bei Nutzung externer IT- oder Security-Dienstleister verbleibt die Verantwortung für Organisation und Prozesse beim Unternehmen selbst. Externe Leistungen können unterstützen, ersetzen jedoch nicht die eigene organisatorische Verantwortung.
Einordnung für Unternehmen
NIS2 ist eine europäische Richtlinie zur Stärkung der Cyber-Resilienz. Sie erweitert bestehende Anforderungen und rückt IT-Sicherheit als dauerhaften Bestandteil des IT-Betriebs in den Fokus.
Was NIS2 konkret bedeutet, hängt vom jeweiligen Unternehmen ab – und erfordert immer eine individuelle Einordnung.
Fazit
Die Kosten eines Managed IT Services hängen von mehreren Faktoren ab und lassen sich nicht pauschal beziffern. Entscheidend ist, welche Leistungen enthalten sind und wie gut sie zum eigenen IT-Betrieb passen.
Standardisierte Managed IT Services bieten Unternehmen eine transparente, planbare Grundlage für den dauerhaften IT-Betrieb.
Passende Leistungen finden Sie direkt bei flinked.