Sechs Monate nach Inkrafttreten der Network and Information Security Directive 2 (NIS2-Umsetzungsgesetz) hatten sich erst rund 11.500 von etwa 29.500 betroffenen Einrichtungen beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registriert. Die gesetzliche Erstregistrierungsfrist zum 6. März 2026 ist zwar verstrichen, wurde vom BSI aufgrund des schleppenden Fortschritts in der Praxis jedoch bis zum 31. Juli 2026 verlängert. Nach Verstreichen auch dieses Datums stellt eine fehlende Registrierung unmittelbar einen eigenen Bußgeldtatbestand dar. Parallel unterschätzen laut Cyber Security Report 2026 rund 48 Prozent der Organisationen ihre Betroffenheit. Das eigentliche Problem ist aus unserer Sicht also weniger fehlendes Wissen als vielmehr die Umsetzung.
Seit dem 6. Dezember 2025 gilt das Gesetz ohne Übergangsfrist. Statt bislang rund 4.500 Organisationen fallen damit jetzt etwa 29.500 unter die Aufsicht des BSI. In vielen Häusern löst das denselben Reflex aus: ein neues, separates NIS2-Dokumentationsprojekt. Aus unserer Projektarbeit im regulierten Umfeld nehmen wir jedoch eine andere These mit. Wer ein funktionierendes internes Kontrollsystem (IKS) und eine ernstzunehmende interne Revision hat, hat einen großen Teil der NIS2-Governance-Anforderungen an die Prozessdokumentation bereits erledigt. Der Hebel heißt aus unserer Sicht nicht „noch eine Dokumentation“, sondern „vorhandenes Prozessmanagement richtig aufstellen“.
Wer ist überhaupt betroffen?
Zuvor steht jedoch eine Frage, die im Public Sektor fast immer übersprungen wird: Wer ist überhaupt betroffen? Die Betroffenheit folgt der Gesetzgebungszuständigkeit, und gerade hier entstehen die teuren Fehleinschätzungen. Die Bundesverwaltung ist über das BSI-Gesetz (BSIG) unmittelbar erfasst, mit eigenem Regime auf Basis des IT-Grundschutzes und den BSI-Mindeststandards. Für die Landesverwaltungen entfaltet das Bundesrecht dagegen keine direkte Wirkung: Maßgeblich ist hier das Landesrecht, und bislang haben nur einige Länder, etwa Hessen, Niedersachsen und Rheinland-Pfalz, eigene Umsetzungsakte geschaffen. Die kommunale Kernverwaltung ist über den Beschluss des IT-Planungsrats von der Anwendung ausgenommen.
Rechtlich selbstständige Kommunalbetriebe wie Stadtwerke, kommunale Versorger oder kommunale Krankenhäuser (als AöR oder GmbH) fallen hingegen unmittelbar unter das BSIG, sobald sie kritische Anlagen betreiben oder die Schwellenwerte für wichtige oder besonders wichtige Einrichtungen überschreiten. Gerade in Konzern- und Beteiligungsstrukturen lohnt der genaue Blick, welche Einheit tatsächlich im Anwendungsbereich liegt. Wer diese Frage sauber beantwortet hat, steht vor der eigentlichen Arbeit. Und genau dort zahlt sich vorhandene Struktur aus.
Der eigentliche Treiber ist oft gar nicht NIS2
In der Praxis erzwingt häufig nicht NIS2 die strukturierte Prozessdokumentation, sondern die interne Revision und die schriftlich fixierte Ordnung. Prozessbeschreibungen haben dort Anweisungscharakter, und die Pflichtmerkmale sind seit Langem klar: Freigabe mit Datum und Person, Gültigkeitszeitraum, Geltungsbereich, Zuständigkeiten je Tätigkeit, erklärte Schnittstellen, genutzte Anwendungen, eine ableitbare Risikobewertung sowie sauber definierte Kontrollen. Diese Merkmale bilden das organisatorische Rückgrat dessen, was NIS2 an Governance, Verantwortlichkeiten und Nachweisbarkeit verlangt. Ein gut geführtes IKS produziert NIS2-konforme Prozessdokumentation faktisch als Nebenprodukt.
Was das praktisch bedeutet
Die Konsequenz ist keine zweite Dokumentationswelt, sondern Integration. Statt eine NIS2-Checkliste abzuarbeiten, baut man ein zentrales, Business Process Model and Notation (BPMN)-basiertes Prozessbild auf, in dem Freigaben, Verantwortlichkeiten, Schnittstellen und Kontrollen ohnehin mitlaufen. Wichtig ist dabei die saubere Trennung zweier Dinge, die gern vermischt werden: verpflichtende Anforderungen (Compliance-Gates, die erfüllt sein müssen) und Optimierungsfragen (wie gut ein Prozess heute läuft). Beides gehört in die Erhebung, allerdings als getrennte Dimensionen.
Compliance ist die Pflicht, nicht die Kür
Prozessmanagement nur als Compliance-Übung zu betreiben, verschenkt den eigentlichen Wert. Sobald Prozesse strukturiert dokumentiert sind, werden Medienbrüche, Systemwechsel und manuelle Schleifen sichtbar. Genau hier liegt das Digitalisierungspotenzial, und es lässt sich heben, ohne den Prozess ein zweites Mal aufzunehmen. Unser erstes Fazit: NIS2 als Anlass nehmen, Prozessmanagement substanziell aufzubauen, statt es auf ein Pflichtdokument zu reduzieren.
Wo NIS2 über die Prozessdokumentation hinausgeht
Zur Abgrenzung: IKS-konforme Prozessdokumentation deckt die Governance- und Nachweisdimension ab, nicht NIS2 als Ganzes. NIS2 verlangt zusätzlich die Registrierung beim BSI, Meldepflichten bei erheblichen Sicherheitsvorfällen (24-Stunden-Frühwarnung, 72-Stunden-Bericht, Abschlussmeldung), technisches Risikomanagement bis zur Lieferkettensicherheit sowie eine Verschiebung der Verantwortung auf die Leitungsebene. Ein Detail, das im Public Sektor oft übersehen wird: Die persönliche Haftung der Leitung und die massiven Bußgelder treffen die Wirtschaft und kommunale Betriebe, nicht aber die Bundesverwaltung. Dabei wird strikt nach Kritikalität differenziert: Für ‚besonders wichtige Einrichtungen‘ drohen Sanktionen von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, für ‚wichtige Einrichtungen‘ liegt der Rahmen bei bis zu 7 Millionen Euro oder 1,4 Prozent. Prozessmanagement ist also der Träger der organisatorischen Nachweisbarkeit, nicht der Ersatz für ein Information Security Management System (ISMS).
Fazit
NIS2 ist aus unserer Sicht weniger ein Dokumentationsproblem als ein Organisationsproblem. Wer auf vorhandenen Kontroll- und Revisionsstrukturen aufsetzt, erfüllt die Governance-Anforderungen schneller, günstiger und belastbarer und bekommt zugleich ein Prozessmanagement, das echten Digitalisierungswert liefert. Ein pragmatischer erster Schritt ist es, die vorhandene IKS- und Revisionsdokumentation einmal gegen die NIS2-Governance-Merkmale zu spiegeln. In den meisten Häusern ist die Lücke kleiner als befürchtet, und sie wird sichtbar, bevor sie teuer wird.
