Der 90-Tage-NIS2-Plan für KMU: Woche für Woche zum dokumentierten Grundgerüst

Wer NIS2 zum ersten Mal umsetzt, sucht meist zuerst einen Berater – und stellt dann fest, dass passende Unterstützung für den Mittelstand nicht immer kurzfristig verfügbar ist, während die Pflichten aus dem BSIG für erfasste Einrichtungen bereits gelten. Nach § 38 BSIG sind die Geschäftsleitungen „wichtiger“ und „besonders wichtiger Einrichtungen“ verpflichtet, die Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen; verletzen sie diese Pflicht schuldhaft, haften sie ihrer Einrichtung nach den gesellschaftsrechtlichen Regeln der jeweiligen Rechtsform.[1] Die gute Nachricht: Ein kleines Team kann in 90 Tagen einen großen Teil der Grundlagenarbeit selbst leisten und von „gar nichts dokumentiert“ zu einem nachvollziehbar dokumentierten Grundgerüst kommen – wenn die Reihenfolge stimmt. Ob und an welcher Stelle externe Unterstützung trotzdem sinnvoll ist, hängt vom Einzelfall ab; die Grenzen beschreibt der vorletzte Abschnitt.

Dieser Fahrplan ist keine gesetzliche Frist. Es gibt keine „90-Tage-Regel“ im BSIG. Er ist eine pragmatische interne Zielmarke: kurz genug, um Dringlichkeit zu erzeugen, und lang genug, um die zehn Maßnahmenbereiche aus § 30 Absatz 2 BSIG geordnet abzuarbeiten. Zwei Punkte stehen bewusst ganz am Anfang, weil sie nicht vom Reifegrad der Sicherheitsmaßnahmen abhängen: die Betroffenheitsprüfung samt Registrierung beim BSI und die Fähigkeit, erhebliche Sicherheitsvorfälle fristgerecht zu melden. Der Plan gliedert sich in drei Phasen von drei bis sechs Wochen: Bestandsaufnahme, Maßnahmen, Nachweise. Jede Woche hat ein konkretes Deliverable – kein vages „sich mit dem Thema befassen“, sondern ein Dokument, eine Konfigurationsänderung oder ein Protokoll, das am Ende der Woche existieren soll.

Warum 90 Tage ohne Berater realistisch sein können

§ 30 Absatz 1 BSIG verlangt „geeignete, verhältnismäßige und wirksame“ Maßnahmen und schreibt ausdrücklich vor, dass bei der Bewertung der Verhältnismäßigkeit „das Ausmaß der Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten und die Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen sowie ihre gesellschaftlichen und wirtschaftlichen Auswirkungen“ zu berücksichtigen sind.[2] Für eine kleinere Einrichtung mit einem Umsetzungsteam von wenigen Personen bedeutet das: Der Umfang einzelner Maßnahmen kann schlank ausfallen, soweit das der eigenen Risikolage entspricht – eine Seite Incident-Response-Ablauf statt eines 40-seitigen Handbuchs –, aber alle zehn Bereiche müssen adressiert werden. Ein solches Grundgerüst lässt sich in vielen Fällen in 90 Tagen weitgehend intern aufbauen, wenn die Arbeit sequenziell statt parallel angegangen wird.

Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) ist seit dem 6. Dezember 2025 ohne separate Übergangsfrist in Kraft. Wer heute beginnt, beginnt nicht bei null Risiko, sondern holt eine bereits laufende Pflicht nach – die Registrierungsfrist nach § 33 BSIG etwa endete für Einrichtungen, die seit Inkrafttreten erfasst sind, bereits am 6. März 2026. Das ist kein Grund zur Panik, aber ein Grund, den Plan diese Woche zu starten statt ihn „für nächstes Quartal“ zu verschieben. Ein Team ohne dedizierten CISO kommt bei den Grundlagen weniger durch mehr Personal voran als durch eine klare Reihenfolge: zuerst die Pflichten klären, die bereits laufen (Betroffenheit, Registrierung, Meldefähigkeit), dann wissen, was fehlt (Bestandsaufnahme), dann die dringendsten Lücken schließen (Maßnahmen), dann alles so dokumentieren, dass es einer Nachfrage standhält (Nachweise).

Was auf dem Spiel steht, ist dabei kein abstraktes Risiko: Für bestimmte Verstöße – etwa gegen die Risikomanagement-, Dokumentations- oder Meldepflichten – sieht § 65 BSIG bei besonders wichtigen Einrichtungen Bußgelder bis zu zehn Millionen Euro vor, bei einem weltweiten Gesamtumsatz des Unternehmens von mehr als 500 Millionen Euro bis zu zwei Prozent dieses Umsatzes; bei wichtigen Einrichtungen liegt der Rahmen bei bis zu sieben Millionen Euro beziehungsweise 1,4 Prozent. Eine unterlassene Registrierung kann mit bis zu 500.000 Euro geahndet werden.[3] Für ein kleines Team ist dieser Rahmen weniger eine Zahl zum Merken als eine Begründung dafür, warum sich 90 Tage konzentrierter Arbeit lohnen: Ein dokumentiertes Grundgerüst senkt im Ernstfall nicht automatisch die Bußgeldhöhe, kann gegenüber dem BSI aber belegen, dass die Einrichtung ihre Pflichten aktiv angeht – zumal § 30 Absatz 1 BSIG die Dokumentation der Maßnahmen ausdrücklich verlangt.

Der Fahrplan im Überblick: 3 Phasen, 13 Wochen

Die folgende Tabelle zeigt den kompletten Ablauf. Sie ist der Kern dieses Artikels – jede Woche darunter wird im jeweiligen Phasenabschnitt genauer erklärt.

Woche	Phase	Fokus	Deliverable am Wochenende
1	Bestandsaufnahme	Betroffenheit prüfen & beim BSI registrieren	Einstufung nach § 28 BSIG (besonders wichtig/wichtig/nicht erfasst) schriftlich festgehalten, Registrierung nach § 33 BSIG erledigt oder eingeleitet, Verantwortliche benannt
2	Bestandsaufnahme	Meldefähigkeit herstellen	Ein-Seiten-Eskalationskette für die Meldestufen nach § 32 BSIG (24 h / 72 h / ein Monat), Zugang zum BSI-Portal geklärt
3	Bestandsaufnahme	System- und Dienstleisterinventar	Liste der kritischen IT-Systeme, Daten und Netzwerksegmente sowie Tabelle aller IT-Dienstleister mit grober Kritikalitätseinstufung
4	Bestandsaufnahme	Gap-Analyse gegen § 30 Abs. 2 BSIG	Ampel-Bewertung (grün/gelb/rot) für alle zehn Maßnahmenbereiche
5	Maßnahmen	Zugriffskontrolle & MFA	MFA auf allen administrativen und Fernzugriffen aktiv
6	Maßnahmen	Vorfallbewältigung	Kurzer Incident-Response-Ablauf (Erkennen, Eindämmen, Beweise sichern, Kommunikation)
7	Maßnahmen	Backup & Wiederherstellung testen	Dokumentierter Restore-Test mit Ergebnisprotokoll
8	Maßnahmen	Risikoanalyse-Grundgerüst	Erste schriftliche Risikobewertung der kritischsten Systeme
9	Maßnahmen	Lieferkettensicherheit	Kritikalitätsregister mit Vertragsprüfung für die drei wichtigsten Dienstleister
10	Maßnahmen	Schulung & Sensibilisierung	Schulung der Belegschaft durchgeführt, Schulung der Geschäftsleitung (§ 38 Abs. 3 BSIG) absolviert oder terminiert
11	Nachweise	Dokumentation konsolidieren	Alle Nachweise aus Woche 1-10 in einer zentralen Ablage gebündelt
12	Nachweise	Management-Review der Geschäftsleitung	Protokoll: Umsetzungsstand gesichtet, offene Punkte und Zuständigkeiten festgelegt (Überwachung nach § 38 Abs. 1 BSIG)
13	Nachweise	Trockenübung & Lückenliste 2.0	Simulierter Vorfall durchgespielt, offene Punkte priorisiert für Monat 4+

Phase 1: Bestandsaufnahme (Woche 1-4)

Die erste Phase kostet kaum Budget, vor allem Zeit – und sie ist die Phase, die am häufigsten übersprungen wird, weil sie sich nicht wie „echte Arbeit“ anfühlt. Das ist ein Fehler: Ohne eine ehrliche Bestandsaufnahme priorisiert das Team in Phase 2 nach Bauchgefühl statt nach tatsächlichem Risiko. Die ersten beiden Wochen klären zudem Pflichten, die unabhängig vom Umsetzungsstand bereits gelten.

Woche 1 – Betroffenheit prüfen und registrieren: Bevor irgendetwas umgesetzt wird, muss feststehen, ob und in welcher Kategorie die Einrichtung überhaupt erfasst ist. Maßgeblich ist § 28 BSIG: Erfasst sind Einrichtungen, die einer in Anlage 1 oder Anlage 2 genannten Einrichtungsart zuzuordnen sind und die Größenschwellen erreichen. Als besonders wichtig gelten Einrichtungen aus Anlage 1 mit mindestens 250 Beschäftigten oder mit einem Jahresumsatz von über 50 Millionen Euro und zugleich einer Jahresbilanzsumme von über 43 Millionen Euro. Als wichtig gelten Einrichtungen aus Anlage 1 oder 2 mit mindestens 50 Beschäftigten oder mit einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Millionen Euro. Einrichtungen aus Anlage 2 sind auch oberhalb der höheren Schwellen „nur“ wichtige Einrichtungen. Daneben gibt es Sonderfälle – etwa Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter sowie Telekommunikationsanbieter mit eigenen Schwellen. Bei der Zählung sind nach § 28 Absatz 4 BSIG grundsätzlich die Regeln der KMU-Empfehlung 2003/361/EG anzuwenden, Daten von Partner- oder verbundenen Unternehmen also in der Regel einzubeziehen; das gilt nicht, wenn die Einrichtung mit Blick auf ihre IT-Systeme unabhängig ist. Geschäftstätigkeiten, die im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbar sind, können bei der Zuordnung unberücksichtigt bleiben (§ 28 Absatz 3).[4] Als erste Orientierung hilft die NIS-2-Betroffenheitsprüfung des BSI – deren Ergebnis ist laut BSI aber „rechtlich nicht bindend“.[5] Mehr dazu im Beitrag zur NIS2-Betroffenheit. Das Ergebnis wird schriftlich mit Datum und Begründung festgehalten, nicht nur mündlich abgestimmt.

Ergibt die Prüfung eine Betroffenheit, folgt im selben Schritt die Registrierung nach § 33 BSIG. Die Frist beträgt drei Monate ab dem Zeitpunkt, zu dem eine Einrichtung erstmals als (besonders) wichtige Einrichtung gilt – für Einrichtungen, die seit dem 6. Dezember 2025 erfasst sind, endete sie am 6. März 2026. Wer noch nicht registriert ist, sollte die Registrierung umgehend nachholen; spätere Änderungen der Angaben sind „unverzüglich, spätestens jedoch binnen zwei Wochen“ zu übermitteln.[6] Praktisch läuft die Registrierung in zwei Schritten: zunächst ein ELSTER-Organisationszertifikat über „Mein Unternehmenskonto“ (MUK) beantragen – der Aktivierungsbrief kommt per Post, die Zustellung dauert nach den MUK-Hinweisen „regelmäßig mindestens fünf Werktage“ –, danach die Anmeldung im BSI-Portal unter portal.bsi.bund.de.[7] Eine Schritt-für-Schritt-Beschreibung bietet unsere Anleitung zur BSI-Registrierung. Gleichzeitig wird eine verantwortliche Person benannt – in einem Kleinbetrieb oft die IT-Leitung mit direkter Berichtslinie an die Geschäftsführung, nicht ein neu zu schaffender Vollzeit-CISO-Posten.

Woche 2 – Meldefähigkeit herstellen: Die Meldepflichten nach § 32 BSIG gelten nicht erst, wenn das Sicherheitskonzept fertig ist. Erhebliche Sicherheitsvorfälle sind an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) zu melden – in Stufen: eine frühe Erstmeldung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung; eine Meldung mit erster Bewertung spätestens nach 72 Stunden; auf Ersuchen des BSI Zwischenmeldungen; und spätestens einen Monat nach der 72-Stunden-Meldung eine Abschlussmeldung beziehungsweise, wenn der Vorfall noch andauert, eine Fortschrittsmeldung.[8] Das BSI-Portal dient dabei laut BSI als Meldestelle; Einrichtungen, die noch nicht im Portal registriert sind, melden über ein Online-Formular des BSI.[9] Eine Ein-Seiten-Eskalationskette legt fest, wer einen Vorfall als „erheblich“ bewertet, wer die frühe Erstmeldung absetzt, wer die 72-Stunden-Meldung vorbereitet und wer die Abschlussmeldung verantwortet – jeweils mit Vertretung. Klären Sie auch, wer Zugriff auf das ELSTER-Organisationszertifikat und das BSI-Portal hat. Ohne dieses Dokument kann die 24-Stunden-Frist in der Praxis allein dadurch verstreichen, dass niemand weiß, wer den ersten Schritt tun soll. Details zu Fristen und Inhalten erläutert der Beitrag zu den NIS2-Meldepflichten.

Woche 3 – System- und Dienstleisterinventar: Welche Systeme verarbeiten geschäftskritische Daten? Welche Netzwerksegmente existieren? Welche Systeme wären bei einem Ausfall binnen 24 Stunden ein Betriebsstillstand, welche könnten eine Woche warten? Eine einfache Tabelle mit drei Spalten – System, Zweck, Kritikalität (hoch/mittel/niedrig) – reicht als Startpunkt. Parallel entsteht eine erste Liste der IT-Dienstleister, denn die Sicherheit der Lieferkette ist ein eigener Maßnahmenbereich (§ 30 Absatz 2 Nr. 4 BSIG). Viele kleine Teams haben nie eine vollständige Übersicht ihrer Dienstleister mit Risikobewertung erstellt – Cloud-Hosting, Buchhaltungssoftware, externe IT-Betreuung, Zahlungsdienstleister. Perfektion ist hier nicht das Ziel, Vollständigkeit der offensichtlich wichtigen Systeme und Dienstleister schon.

Woche 4 – Gap-Analyse: Jetzt werden die zehn Maßnahmenbereiche aus § 30 Absatz 2 BSIG einzeln durchgegangen und ehrlich mit Ampelfarben bewertet: Konzepte zur Risikoanalyse und IT-Sicherheit, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs (Backup-Management, Wiederherstellung, Krisenmanagement), Sicherheit der Lieferkette, Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen einschließlich Schwachstellenmanagement, Bewertung der Wirksamkeit, grundlegende Schulungen und Sensibilisierung, Kryptografie, Personalsicherheit/Zugriffskontrolle/Verwaltung von IKT-Systemen sowie Multi-Faktor- oder kontinuierliche Authentifizierung und gesicherte Kommunikation.[2] Rot heißt „existiert praktisch nicht“, Gelb heißt „existiert informell, aber undokumentiert“, Grün heißt „existiert und ist dokumentiert“. Diese Ampel-Tabelle ist die Grundlage für die Priorisierung in Phase 2 – als Faustregel kommen rote Felder zuerst dran, bei denen geringer Aufwand ein hohes Risiko senkt; aufwendige Themen werden mit Termin eingeplant, nicht verdrängt.

Phase 2: Maßnahmen (Woche 5-10)

In dieser Phase werden die roten Felder aus der Gap-Analyse in dieser Reihenfolge geschlossen: zuerst was wenig kostet und ein großes Einzelrisiko senkt, danach was mehr Zeit braucht. Ein vollständiges Kryptografiekonzept oder eine tiefgreifende Lieferantenaudit-Kampagne gehören bewusst nicht in diese sechs Wochen – da auch sie zu den Mindestmaßnahmen nach § 30 Absatz 2 BSIG gehören, werden sie in Phase 3 als offene Punkte mit Termin für Monat 4 dokumentiert, nicht ignoriert.

Woche 5 – Zugriffskontrolle und MFA: Multi-Faktor-Authentifizierung für Fernzugriffe und administrative Konten ist in vielen Umgebungen ein Konfigurationsschritt in bereits vorhandener Software, keine Neuanschaffung. Kompromittierte Zugangsdaten sind ein verbreiteter Einfallsweg für Angreifer, auch bei Ransomware – diese eine Woche kann das Gesamtrisiko deshalb spürbar senken.

Woche 6 – Vorfallbewältigung: Aufbauend auf der Eskalationskette aus Woche 2 entsteht ein kurzer Incident-Response-Ablauf für den Maßnahmenbereich „Bewältigung von Sicherheitsvorfällen“: Wie wird ein Vorfall erkannt und eingestuft, welche Sofortmaßnahmen zur Eindämmung gibt es (etwa Systeme vom Netz trennen), wie werden Protokolle und Beweise gesichert, wer kommuniziert intern und extern? Ein bis zwei Seiten reichen als Startpunkt, solange Zuständigkeiten und Kontaktdaten aktuell sind.

Woche 7 – Backup und Wiederherstellung testen: Ein Backup, das automatisiert läuft, aber nie zurückgespielt wurde, ist eine Annahme, kein Nachweis. Diese Woche wird ein realer Restore-Test durchgeführt und das Ergebnis – erfolgreich oder mit welchen Problemen – dokumentiert. Die Aufrechterhaltung des Betriebs einschließlich Backup-Management ist einer der zehn Pflichtbereiche, und ein getesteter Restore ist ein besonders greifbarer Einzelnachweis dafür.

Woche 8 – Risikoanalyse-Grundgerüst: Aufbauend auf dem Inventar aus Woche 3 entsteht eine erste schriftliche Risikobewertung für die als „hoch kritisch“ markierten Systeme: Welche Bedrohungen sind realistisch, welche Auswirkung hätte ein Ausfall, welche Maßnahmen mindern das Risiko bereits. Diese Analyse muss nicht ISO-27001-Tiefe erreichen – sie sollte aber existieren, aktuell sein und nachvollziehbar begründen, warum welche Priorität gesetzt wurde.

Woche 9 – Lieferkettensicherheit: Aus der groben Liste von Woche 3 wird jetzt ein Kritikalitätsregister für die drei bis fünf wichtigsten Dienstleister, inklusive einer kurzen Prüfung der bestehenden Verträge auf Sicherheits- und Meldepflichten. Ein vollständiges Lieferanten-Audit-Programm ist für Monat 4 vorgesehen – diese Woche schafft die Grundlage, nicht die Vollständigkeit.

Woche 10 – Schulung und Sensibilisierung: Eine kompakte Schulung für die gesamte Belegschaft (etwa eine Stunde), mit konkreten Phishing-Beispielen und den in Woche 2 festgelegten internen Meldewegen. Viele erfolgreiche Angriffe beginnen nicht bei der Technik, sondern bei einer angeklickten E-Mail – diese Schulung ist damit mehr als eine Formalität. Zusätzlich bestimmt § 38 Absatz 3 BSIG, dass Geschäftsleitungen „regelmäßig an Schulungen teilnehmen“ müssen, um Risiken und Risikomanagementpraktiken erkennen und bewerten zu können.[1] Diese Woche wird die erste Geschäftsleitungsschulung durchgeführt oder verbindlich terminiert. Mehr dazu im Beitrag zu den Schulungsanforderungen.

Phase 3: Nachweise (Woche 11-13)

Die dritte Phase unterscheidet eine Einrichtung, die Maßnahmen umgesetzt hat, von einer, die ihre Umsetzung auch belegen kann. Beides ist nötig – § 30 Absatz 1 BSIG bestimmt ausdrücklich: „Die Einhaltung der Verpflichtung nach Satz 1 ist durch die Einrichtungen zu dokumentieren.“[2]

Woche 11 – Dokumentation konsolidieren: Alle Nachweise aus den vorangegangenen zehn Wochen – Betroffenheitsprüfung und Registrierungsbestätigung, Eskalationskette, Ampel-Tabelle, Restore-Protokoll, Risikoanalyse, Kritikalitätsregister, Schulungsteilnahmelisten – werden an einem zentralen Ort gebündelt, idealerweise versioniert und mit Datum. Verstreute Nachweise in einzelnen E-Mail-Postfächern lassen sich bei einer Nachfrage kaum belegen.

Woche 12 – Management-Review der Geschäftsleitung: § 38 Absatz 1 BSIG verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen nach § 30 „umzusetzen und ihre Umsetzung zu überwachen“. Eine ausdrückliche Billigungs- oder Genehmigungspflicht enthält § 38 BSIG nicht.[1] Für die Überwachung bietet sich trotzdem ein konkreter Termin an: Die Geschäftsführung sichtet die konsolidierte Dokumentation, legt Prioritäten und Zuständigkeiten für die offenen Punkte fest und hält das in einem kurzen Protokoll fest. Ein solches Protokoll ist keine gesetzliche Formvorschrift, aber ein naheliegender Beleg dafür, dass die Geschäftsleitung ihrer Überwachungspflicht nachkommt – und genau an deren Verletzung knüpft die Haftung gegenüber der Einrichtung nach § 38 Absatz 2 BSIG an.

Woche 13 – Trockenübung und Lückenliste 2.0: Ein simulierter Vorfall – zum Beispiel ein fiktiver Ransomware-Befall auf einem der als kritisch eingestuften Systeme – wird anhand der Eskalationskette aus Woche 2 und des Incident-Response-Ablaufs aus Woche 6 durchgespielt, einschließlich der Frage, wer die frühe Erstmeldung im BSI-Portal absetzen würde. Das deckt Lücken auf, die auf dem Papier nicht sichtbar waren: eine veraltete Telefonnummer in der Eskalationskette, ein Restore, der länger dauert als angenommen. Die letzte Woche endet nicht mit „fertig“, sondern mit einer priorisierten Liste offener Punkte für Monat 4 und danach – etwa das vollständige Kryptografiekonzept oder ein tiefergehendes Lieferanten-Audit.

Was ein kleines Team realistisch selbst schafft – und wo Grenzen liegen

Dieser Plan ist bewusst so gebaut, dass er sich weitgehend intern umsetzen lässt – die Vorlagen, Tabellen und Checklisten aus der vollständigen NIS2-Compliance-Checkliste orientieren sich an den Wochenaufgaben und können viele davon unterstützen. Realistisch bleiben aber Grenzen bestehen. Erstens: Ein 90-Tage-Sprint schafft ein solides Grundgerüst, aber keine vollständige, auditreife ISMS-Struktur und keine Garantie, dass alle Anforderungen erfüllt sind – Themen wie ein umfassendes Kryptografiekonzept oder ein mehrstufiges Lieferanten-Auditprogramm brauchen typischerweise länger als drei Monate und profitieren von spezialisiertem Wissen. Zweitens: Grenzfälle bei der Betroffenheit – etwa die Zuordnung zu einer Einrichtungsart, die Einrechnung verbundener Unternehmen oder eine mögliche Einstufung als Betreiber kritischer Anlagen – lassen sich nicht immer allein klären. Drittens: Wer bereits eine förmliche Anfrage oder Anordnung des BSI oder einer anderen Behörde vorliegen hat, sollte diesen Plan als Grundlage nutzen, aber zusätzlich rechtlichen Rat einholen – die Fristenlogik und die Haftung der Geschäftsleitung nach § 38 BSIG sind kein Bereich für Trial-and-Error.

Für den größeren Kontext – warum gerade jetzt so viele mittelständische Unternehmen erstmals betroffen sind und welche typischen Lücken dabei auftauchen – lohnt sich der Artikel NIS2 für den Mittelstand. Wer den vollständigen, nicht auf 90 Tage komprimierten Ablauf mit allen Details zu jeder der zehn Maßnahmen sehen möchte, findet ihn im ausführlichen NIS2-Umsetzungsleitfaden – dieser 90-Tage-Plan ist die komprimierte, wochengetaktete Variante davon für Teams, die diese Woche anfangen wollen, statt erst auf einen freien Beratungstermin zu warten.

Häufige Fragen

Ist der 90-Tage-Zeitrahmen eine gesetzliche Frist?
Nein. Weder das BSIG noch die NIS2-Richtlinie schreiben einen 90-Tage-Zeitraum vor. Es handelt sich um einen internen Zielrahmen, der die zehn Maßnahmenbereiche aus § 30 Absatz 2 BSIG in einer sinnvollen Reihenfolge abarbeitet. Gesetzliche Pflichten gelten davon unabhängig: Die Meldepflichten nach § 32 BSIG (24 Stunden / 72 Stunden / ein Monat) greifen, sobald eine Einrichtung erfasst ist, und die dreimonatige Registrierungsfrist nach § 33 BSIG ist für Einrichtungen, die seit dem 6. Dezember 2025 erfasst sind, am 6. März 2026 abgelaufen.

Was, wenn eine Woche nicht ausreicht, um das geplante Deliverable fertigzustellen?
Der Plan ist ein Rahmen, kein starres Diktat. Wichtiger als die exakte Wochenzahl ist die Reihenfolge – Betroffenheit, Registrierung und Meldefähigkeit zuerst, Bestandsaufnahme vor Maßnahmen, Maßnahmen vor Nachweisen. Eine Woche, die zwei Kalenderwochen braucht, ist unproblematisch, solange die nachfolgenden Wochen entsprechend nachrücken und keine Phase komplett übersprungen wird.

Reicht dieser Plan für eine besonders wichtige Einrichtung genauso wie für eine wichtige Einrichtung?
Die Struktur passt für beide Kategorien, weil § 30 Absatz 2 BSIG dieselben zehn Maßnahmenbereiche für beide vorschreibt. Unterschiede bestehen unter anderem beim Bußgeldrahmen nach § 65 BSIG. Beim Umsetzungsaufwand pro Maßnahme gilt der Verhältnismäßigkeitsgrundsatz: Eine besonders wichtige Einrichtung mit mehreren Standorten wird pro Woche in der Regel mehr Detailtiefe benötigen als ein einzelner 60-Personen-Betrieb.

Muss die Geschäftsführung während aller 13 Wochen aktiv mitarbeiten?
Nicht wöchentlich, aber an einigen Punkten ist sie gefragt: bei der Einstufung und der Benennung von Verantwortlichen in Woche 1, bei der eigenen Schulung nach § 38 Absatz 3 BSIG (Woche 10) und beim Management-Review in Woche 12. Dazwischen genügt eine kurze Zwischenmeldung. Die Pflicht, die Maßnahmen umzusetzen und ihre Umsetzung zu überwachen, liegt nach § 38 Absatz 1 BSIG bei der Geschäftsleitung selbst; die operative Arbeit kann sie delegieren, die Überwachung sollte sie aber erkennbar selbst wahrnehmen.

Was passiert nach Tag 90?
Der Plan endet nicht mit einem abgeschlossenen Zustand, sondern mit einer priorisierten Lückenliste für die nächsten Monate. NIS2-Umsetzung ist ein fortlaufender Prozess – Risikoanalysen, Lieferantenbewertungen und Schulungen sollten regelmäßig aktualisiert werden, nicht einmalig erstellt und dann liegen gelassen werden. Ändern sich die bei der Registrierung gemeldeten Angaben, sind sie dem BSI binnen zwei Wochen mitzuteilen.

Kann ein Ein-Personen-IT-Team diesen Plan allein umsetzen?
Mit Unterstützung der Geschäftsführung bei den genannten Leitungsterminen ist das möglich, aber anstrengend. Realistischer ist eine Aufteilung: IT übernimmt die technischen Wochen (5, 6, 7, 8), die kaufmännische Leitung die Dienstleister- und Vertragswochen (3, 9), die Geschäftsführung die Leitungstermine (1, 10, 12) – so verteilt sich die Last auf drei statt eine Person.

Quellen

• [1] § 38 BSIG (Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen) — gesetze-im-internet.de
• [2] § 30 BSIG (Risikomanagementmaßnahmen) — gesetze-im-internet.de
• [3] § 65 BSIG (Bußgeldvorschriften) — gesetze-im-internet.de
• [4] § 28 BSIG (Besonders wichtige Einrichtungen und wichtige Einrichtungen) — gesetze-im-internet.de
• [5] NIS-2-Betroffenheitsprüfung — Bundesamt für Sicherheit in der Informationstechnik
• [6] § 33 BSIG (Registrierungspflicht) — gesetze-im-internet.de
• [7] Anleitung zur Registrierung im BSI-Portal und Mein Unternehmenskonto (MUK) — BSI
• [8] § 32 BSIG (Meldepflichten) — gesetze-im-internet.de
• [9] NIS-2-Meldepflicht — BSI

Dieser Artikel dient ausschließlich der allgemeinen Information und stellt keine Rechts- oder Compliance-Beratung dar. Anforderungen können je nach Rechtsform, Sektor und Einzelfall abweichen. Konsultieren Sie für eine auf Ihr Unternehmen zugeschnittene Bewertung eine qualifizierte Rechts- oder Compliance-Fachkraft.