NIS2 Compliance-Checkliste für Deutschland: Der BSI-Kritis-Konflikt

Stand 2026 beantwortet eine NIS2 Compliance-Checkliste, die direkt aus dem EU-Richtlinientext kopiert wird, für die meisten deutschen Betreiber die falsche Frage. NIS2 selbst ist risikobasiert aufgebaut: Sie verlangt Risikosteuerungen, gestaffelte Vorfallsmeldung und persönliche Haftung der Geschäftsführung bei Verstößen in 18 kritischen Sektoren der EU, wie sentinelone.com zusammenfasst. Deutschland setzt die Richtlinie dagegen über deterministische Definitionen um: Feste Sektorenlisten und Größenkriterien in BSI-Kritis entscheiden, wer betroffen ist, und die Registrierungspflicht beim BSI entscheidet, wer das nachweisen muss. Der Konflikt zwischen diesen beiden Logiken ist genau der Punkt, an dem generische Checklisten scheitern.

TL;DR: Eine NIS2 Compliance-Checkliste für Deutschland braucht zwei Ebenen: die risikobasierten Kontrollen der EU und die deterministischen BSI-Kritis-Definitionen. Generische Checklisten decken die erste ab und überlassen die zweite der Rechtsberatung.

Wichtigste Erkenntnisse

• Risikobasiert vs. deterministisch: NIS2 misst Risiko; BSI-Kritis definiert den Anwendungsbereich mit festen Listen und Schwellen. Die Checkliste muss beide bedienen.
• Durchsetzung läuft: Audits nehmen 2025–2026 zu, und Unternehmen müssen laufenden Nachweis mit Dokumentation auf Abruf erbringen.
• Meldefristen sind harte Fristen: 24 Stunden Frühwarnung, danach gestaffelte Meldung nach 72 Stunden und einem Monat.
• Haftung ist persönlich: Artikel 20 macht die Geschäftsführung haftbar, mit Strafen bis zu 10 Millionen Euro oder 2 Prozent des Weltumsatzes und möglicher vorübergehender Tätigkeitsverbots.
• ISO 27001 deckt vieles, aber nicht alles: NIS2 fügt Fristen, Vorstandsschulung, Lieferkettenprüfungen und sektorspezifische Pflichten hinzu.

Was NIS2 für deutsche Unternehmen bedeutet

NIS2 ersetzt die ursprüngliche NIS-Richtlinie durch strengere Pflichten: Risikosteuerungen, verpflichtende Lieferketten-Sicherheitsprüfungen, persönliche Haftung der Geschäftsführung nach Artikel 20 und EU-weite Mindeststrafobergrenzen von bis zu 10 Millionen Euro oder 2 Prozent des Weltumsatzes, laut sentinelone.com. Für einen deutschen Betreiber ist die Richtlinie allein nur die halbe Wahrheit. NIS2 wird durch nationales Recht umgesetzt, das zusätzliche oder abweichende Anforderungen stellen kann; der veröffentlichte Richtlinientext ist keine Rechtsberatung für ein konkretes Unternehmen, wie Mondoo betont. Welche Regeln tatsächlich gelten, ist eine nationale Frage, und in Deutschland wird sie über BSI-Kritis beantwortet.

Das ist die zentrale Spannung, die dieser Artikel aufgreift. Jede generische NIS2 Compliance-Checkliste auf dem Markt arbeitet vom Richtlinientext: Sie listet Risikosteuerungen, Meldestufen und Führungspflichten. Keine davon sagt einem deutschen Geschäftsführer, ob sein Unternehmen überhaupt betroffen ist, denn diese Entscheidung treffen deterministische Definitionen, keine Risikobewertung. Bis die Abgrenzungsfrage geklärt ist, steht jede Checklistenposition auf unsicherem Boden.

Welche Organisationen betroffen sind

NIS2 erfasst 18 kritische Sektoren in der EU, aber Sektorzugehörigkeit ist nur der erste Filter. Die Richtlinie unterscheidet wesentliche von wichtigen Einrichtungen, und die deutsche Umsetzung fügt eigene Filter hinzu: feste Sektorendefinitionen und Größenkriterien, die Betreiber deterministisch als kritische Infrastruktur einstufen. Ein Betreiber in einem gelisteten Sektor über der relevanten Schwelle ist betroffen, unabhängig davon, wie er sein eigenes Risikoprofil bewertet; ein Betreiber unterhalb der Schwelle kann dennoch über Lieferkettenverträge mit betroffenen Kunden Pflichten übernehmen.

Entscheidungsskala: drei Zustände der Abgrenzungssicherheit

• 🟢 Deterministisch betroffen: gelisteter Sektor plus Größenkriterium erfüllt. Registrierung beim BSI und volle NIS2-Pflichten gelten; keine risikobasierte Ermessensspielräume.
• 🟡 Grenzfall: gelisteter Sektor, aber unterhalb der Schwelle, oder ein Sektor mit umstrittener deutscher Definition. Dieser Zustand lässt sich von keiner Checkliste lösen; er erfordert Rechtsberatung.
• 🔴 Nicht betroffen, aber exponiert: nicht als kritische Infrastruktur eingestuft, aber vertraglich an betroffene Kunden gebunden. Lieferketten-Sicherheitsprüfungen wirken nach unten durch.

Der 🟡-Zustand ist der Punkt, an dem generische Checklisten scheitern. Sie setzen voraus, dass die Leserschaft bereits die Antwort auf eine Frage kennt, die nur nationale Definitionen und in Grenzfällen Rechtsauslegung klären können.

Die neun Schlüsselanforderungen im Überblick

Bleibt die Abgrenzung bei Seite, sind die materiellen Pflichten gut dokumentiert. Der veröffentlichte Richtlinientext definiert zehn Anforderungen aus Artikel 21, wie Mondoo feststellt; eine praxisnahe deutsche Checkliste bündelt sie zu neun operativen Bereichen: Risikomanagement-Maßnahmen; Vorfallsmeldung mit gestaffelten Fristen; Geschäftskontinuität; Lieferketten-Sicherheitsprüfungen; Führungsüberwachung, -genehmigung und -schulung; Dokumentation und Nachweis; Registrierung bei der zuständigen Behörde; Umgang mit persönlicher Haftung; sektorspezifische Anforderungen.

Zwei davon verdienen besondere Aufmerksamkeit, weil generische Checklisten sie am häufigsten unterbewerten. Erstens die Führungshaftung: NIS2 verlangt, dass die Geschäftsführung die Sicherheitsmaßnahmen des Unternehmens überwacht, genehmigt und geschult ist; Verstöße können persönliche Sanktionen nach sich ziehen, einschließlich Haftung und möglicher vorübergehender Verbots aus Führungspositionen, laut nis2directive.eu. Zweitens die Lieferkette: Die Richtlinie verlangt Prüfungen von Lieferanten, eine Pflicht, die weit über das betroffene Unternehmen hinausreicht.

Technische und organisatorische Maßnahmen

Die Kontrollebene einer NIS2 Compliance-Checkliste überlappt stark mit bestehenden Frameworks. ISO 27001 gilt als der nächstgelegene bestehende Standard zu NIS2, und zertifizierte Unternehmen werden viele Pflichten bereits abdecken, so Guardey. Das ist der stärkste Gegenpunkt zur Argumentation dieses Artikels: Wer bereits ISO 27001 hält, fährt mit einer Gap-Analyse gegenüber der Richtlinie wirklich effizient.

Aber NIS2 enthält Anforderungen, die ISO 27001 nicht trägt: konkrete Meldefristen, Führungshaftung mit verpflichtender Vorstandsschulung, Lieferketten-Sicherheitsprüfungen und sektorspezifische Anforderungen. Für technische Maßnahmen liefert die ENISA NIS2 Technical Implementation Guidance praktische Hinweise, Belegebeispiele und Zuordnungen von Sicherheitsanforderungen für Einrichtungen in den Sektoren digitale Infrastruktur, ICT-Service-Management und digitale Anbieter, deren Anforderungen auf EU-Ebene durch die Durchführungsverordnung (EU) 2024/2690 vom 17. Oktober 2024 definiert sind, wie ENISA veröffentlicht. Die Guidance ist ein Ressourcenwerkzeug für die Kontrollebene, nicht für die Abgrenzungsebene. Sie erklärt, wie man umsetzt; sie sagt nicht, ob man muss.

Dokumentation und Nachweis

Die Durchsetzung von NIS2 läuft in den meisten EU-Mitgliedstaaten bereits, und Audits nehmen 2025–2026 zu. Unternehmen müssen nun laufenden Nachweis erbringen, Dokumentation auf Abruf liefern und strenge Meldefristen einhalten, wie Lansweeper beobachtet. Dokumentation ist damit kein Nebenprodukt der Compliance, sondern die Compliance-Position selbst.

Für deutsche Betreiber hat das eine strukturelle Konsequenz. Ein Checklistenpunkt wie "Vermögensverzeichnis pflegen" ist nur so stark wie die Belegkette dahinter: Wer hat genehmigt, wann wurde zuletzt verifiziert, welche Risikobewertung liegt zugrunde. Die ENISA-Guidance liefert ausdrücklich Belegbeispiele, damit Unternehmen Umsetzung demonstrieren können; das ist das richtige Modell: Jede Kontrolle braucht ein benanntes Artefakt. Wo aber die zugrunde liegende Frage eine Rechtsfrage ist, genügt kein Artefakt. Ein dokumentiertes internes Memo "Wir haben unser Risiko bewertet und halten uns nicht für kritische Infrastruktur" bindet das BSI nicht, weil die BSI-Kritis-Definitionen deterministisch sind. Deshalb muss der Dokumentationsbereich einer deutschen Checkliste einen Platz für Rechtsberatung einplanen, nicht für Selbstbewertung.

Meldung von Vorfällen

NIS2 führt eine gestaffelte Vorfallsmeldung ein. Wesentliche Vorfälle sind innerhalb von 24 Stunden beim zuständigen CSIRT oder der zuständigen Behörde zu melden, laut europeanresiliencesummit.com; die vollständige gestaffelte Sequenz läuft über 24 Stunden, 72 Stunden und einen Monat, laut Guardey. Wesentliche und wichtige Einrichtungen müssen Prozesse für die zügige Meldung von Sicherheitsvorfällen mit erheblicher Auswirkung auf Dienstleistungserbringung oder Empfänger haben.

Ein Beispiel-Szenario: Ein mittelständischer Logistikbetrieb erleidet einen Ransomware-Vorfall, der das Sendungsverfolgungssystem zwei Tage lang beeinträchtigt. Die technische Reaktion läuft gut, aber der Vorfall wird intern als "geringfügig" gebucht und niemandem gemeldet. Weil der Betrieb deterministisch unter BSI-Kritis fällt, ist die verpasste 24-Stunden-Frühwarnung ein Verstoß gegen die Meldepflicht, unabhängig davon, wie gut die technische Reaktion war. Der Checklistenpunkt "wesentliche Vorfälle innerhalb von 24 Stunden melden" lässt sich leicht abhaken; die harte Arbeit besteht darin, was "wesentlich" bedeutet, vor dem Vorfall zu definieren, und diese Definition berührt das nationale Recht.

Tools und Unterstützung

Werkzeuge zur NIS2-Vorbereitung reichen von Asset-Discovery-Plattformen, die das Inventar aktuell halten, über Compliance-Frameworks, die Kontrollen auf Artikel 21 abbilden. Die ehrliche Einschätzung: Tools automatisieren die Kontrollebene gut und können die Abgrenzungsebene nicht berühren. Kein Scanner stuft ein Unternehmen nach BSI-Kritis ein; keine Gap-Analyse klärt, ob eine Sektorendefinition auf ein konkretes Geschäftsmodell passt.

Was Tools gut leisten: kontinuierliche Belegsammlung, damit die Dokumentationspflicht aus dem vorherigen Abschnitt gewartet statt quartalsweise rekonstruiert wird. Was sie nicht leisten: rechtliche Einstufung. Eine deutsche NIS2 Compliance-Checkliste sollte daher Tooling mit einem benannten Rechtsberatungsschritt paaren, der geplant statt ad hoc erfolgt.

Zertifizierung und Prüfung

ISO 27001-Zertifizierung bleibt der effizienteste Weg, die Kontrollebene als vorhanden zu demonstrieren, da sich die technischen Anforderungen von NIS2 stark mit ihr überlappen. Aber Zertifizierung belegt Leistungsfähigkeit, nicht Abgrenzungsstatus, und ersetzt weder die Registrierung noch die nationale Prüfungspraxis, die 2025–2026 anzieht. Behörden erwarten von Einrichtungen laufenden Nachweis und Dokumentation auf Abruf; Audits sind keine Hypothese mehr.

Die praktische Arbeitsteilung lautet: Zertifizierung und interne Audits decken die risikobasierte Kontrollebene ab; Rechtsberatung deckt die deterministische Abgrenzungsebene ab. Eine deutsche NIS2 Compliance-Checkliste, die diese Grenze explizit zieht, ist ein funktionsfähiges Instrument; eine, die sie verwischt, schiebt die gesamte Last nachträglich auf die Kanzlei.

Die Governance agentischer KI eröffnet eine eigene NIS2-Exposition, weil autonome Systeme die Angriffsfläche vergrößern, die die deterministischen BSI-Kritis-Definitionen berücksichtigen müssen.

Die europäische regulatorische Compliance über GDPR, den AI Act und NIS2 kann als Wettbewerbsvorteil fungieren, wenn die Kontrollen über mehrere Frameworks konsolidiert werden.

Unternehmen, die ihre NIS2-Pflichten strukturiert erfassen, profitieren von Governance-Frameworks, die Sicherheitsmaßnahmen an regulatorischen Anforderungen ausrichten.

Teams, die ihre Exposition bewerten, erkennen häufig, dass dokumentierte Anwendungsfälle zeigen, wie Compliance-Programme in regulierten Umfeldern skalieren.

Fazit: Die Checkliste in zwei Ebenen bauen

Der Konflikt zwischen der risikobasierten Logik von NIS2 und den deterministischen Definitionen von BSI-Kritis ist keine Lücke, die man mit mehr Checklistenpunkten überdeckt. Er ist die zentrale Designvorgabe für jedes deutsche Compliance-Programm 2026. Der nächste Schritt für Leserinnen und Leser: Nehmen Sie Ihre bestehende NIS2-Checkliste, markieren Sie jeden Punkt als risikobasierte Kontrollarbeit oder Abgrenzungsdefinition und leiten Sie die zweite Gruppe vor der Umsetzung einer einzigen Kontrolle zur Rechtsberatung weiter.