NIS2-Vorbereitung: Krisenmanagement als Nachweispflicht

202,4 Milliarden Euro – so hoch war laut der Bitkom-Studie Wirtschaftsschutz 2025 allein der Schaden durch digitale Cyberangriffe auf die deutsche Wirtschaft; 87 Prozent der befragten Unternehmen waren betroffen. Wer in diesem Umfeld an Krisenmanagement noch als Kür denkt, hat die Rechtslage seit Ende 2025 nicht auf dem Schirm. Denn seit das NIS2-Umsetzungsgesetz in Kraft ist, gilt: Krisenmanagement ist keine freiwillige Übung mehr, sondern eine gesetzliche Nachweispflicht.

Die kurze Antwort vorweg: Bei der NIS2-Vorbereitung reicht es nicht, einen Krisenplan in der Schublade zu haben. § 30 des BSI-Gesetzes verlangt, dass Sie Ihre Krisenmanagement-Maßnahmen dokumentiert, getestet und nachweisbar vorhalten. Die Aufsichtsbehörde – in Deutschland das BSI – kann diese Nachweise einfordern. Vorbereitung bedeutet deshalb, aus einem Plan eine belegbare Handlungsfähigkeit zu machen.

Was seit Dezember 2025 gilt: NIS2 ist Gesetz, keine Ankündigung mehr

Nach über einem Jahr Verzögerung hat der Bundestag das NIS2-Umsetzungsgesetz (NIS2UmsuCG) am 13. November 2025 verabschiedet, der Bundesrat stimmte am 21. November 2025 zu. Das Gesetz wurde im Dezember 2025 im Bundesgesetzblatt verkündet und trat ohne Übergangsfrist in Kraft. Die Frist für die Erstregistrierung betroffener Einrichtungen lief bereits am 6. März 2026 ab. Rund 29.500 Unternehmen in Deutschland fallen damit neu unter die Pflichten – deutlich mehr als unter der alten KRITIS-Regulierung.

Das BSIG unterscheidet dabei zwischen „besonders wichtigen“ und „wichtigen“ Einrichtungen – abgegrenzt über Sektor, Mitarbeiterzahl und Umsatz. Die genaue Einordnung bestimmt vor allem die Intensität der Aufsicht und der Bußgeldrahmen. Für die Krisenmanagement-Vorbereitung ist der Unterschied jedoch zweitrangig: Beide Kategorien müssen ein nachweisbares Krisenmanagementverfahren vorhalten. Wer unsicher ist, ob die eigene Organisation betroffen ist, sollte die Einordnung früh klären – denn die Registrierungs- und Nachweispflichten gelten seit dem Inkrafttreten ohne Schonfrist.

Wichtig zur Abgrenzung: NIS2 (umgesetzt im BSIG) regelt die Cybersicherheit wichtiger und besonders wichtiger Einrichtungen. Das parallele KRITIS-Dachgesetz setzt die CER-Richtlinie um und adressiert die physische Resilienz kritischer Infrastrukturen. Beide verlangen ein funktionierendes Krisenmanagement – dieser Beitrag konzentriert sich auf die NIS2-Seite.

NIS2 Krisenmanagement Vorbereitung: was § 30 BSIG konkret fordert

Das Herzstück der Pflichten steckt in § 30 BSIG. Die Norm listet zehn Bereiche von Risikomanagementmaßnahmen auf, die betroffene Einrichtungen umsetzen müssen. Für die NIS2 Krisenmanagement Vorbereitung sind vor allem drei davon entscheidend:

• Bewältigung von Sicherheitsvorfällen – dokumentierte Prozesse, um einen Vorfall zu erkennen, zu melden und einzudämmen.
• Aufrechterhaltung des Betriebs – Backup-Management, Wiederherstellung nach einem Notfall und ausdrücklich Krisenmanagement als benannte Maßnahme.
• Bewertung der Wirksamkeit – Konzepte und Verfahren, um zu prüfen, ob die Maßnahmen im Ernstfall auch tragen.

Das Gesetz nennt „Krisenmanagement“ also nicht beiläufig, sondern als eigenständige Pflichtmaßnahme innerhalb der Betriebskontinuität. Dazu gehört ein Krisenmanagementverfahren, das Rollen, Kommunikationswege und die Zusammenarbeit mit Behörden regelt. Und – häufig übersehen – regelmäßige Übungen sind Pflicht, nicht Empfehlung. Ein Notfallplan, der nie geprobt wurde, erfüllt die Anforderung nicht.

Eng damit verbunden ist die Meldepflicht: Bei einem erheblichen Sicherheitsvorfall müssen betroffene Einrichtungen dem BSI eine Erstmeldung innerhalb von 24 Stunden, eine ausführlichere Meldung innerhalb von 72 Stunden und einen Abschlussbericht in der Regel innerhalb eines Monats übermitteln. Diese engen Fristen zeigen, warum ein Krisenmanagement nicht auf dem Papier existieren darf: Wer erst im Ernstfall klärt, wer meldet, entscheidet und kommuniziert, verliert genau die Stunden, die das Gesetz einfordert. Meldeketten gehören deshalb in jede Krisenübung.

Warum „nachweisbar“ das entscheidende Wort ist

Der Unterschied zwischen alter und neuer Welt liegt in einem einzigen Adjektiv: nachweisbar. Wer Maßnahmen umsetzt, sie aber nicht dokumentiert, erfüllt NIS2 formal nicht. Im Kern verlangt die Nachweispflicht drei Ebenen:

1. Existenz – Gibt es ein dokumentiertes Krisenmanagementverfahren mit klaren Rollen, Alarmierungsketten und Eskalationsstufen?
2. Wirksamkeit – Lässt sich belegen, dass das Verfahren funktioniert? Übungsprotokolle, Auswertungen und abgeleitete Maßnahmen sind hier die Währung.
3. Kontinuität – Wird das Verfahren gepflegt, aktualisiert und in einem geregelten Zyklus überprüft?

Diese Nachweislast hat unmittelbare Konsequenzen für die Führungsebene. Nach § 38 BSIG haften Geschäftsleiter persönlich für die Umsetzung und Überwachung der Risikomanagementmaßnahmen. Bei Verstößen drohen Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Krisenmanagement wird damit endgültig vom operativen Thema zur Führungsaufgabe.

ISO 22301 als Rahmen für die Nachweisführung

NIS2 sagt was nachzuweisen ist, aber nicht wie. Genau diese Lücke füllt die internationale Norm ISO 22301 für Business Continuity Management. Sie gibt Unternehmen ein anerkanntes Rahmenwerk, um Betriebskontinuität und Krisenmanagement strukturiert aufzubauen – und dokumentiert nachzuweisen.

Vier Elemente von ISO 22301 zahlen direkt auf die NIS2-Nachweispflicht ein: die Business Impact Analyse, die kritische Prozesse und tolerierbare Ausfallzeiten identifiziert; die Kontinuitätsstrategien, die daraus konkrete Wiederanlaufpläne ableiten; das Übungs- und Testprogramm, das die Wirksamkeit belegt; und der kontinuierliche Verbesserungszyklus (Plan-Do-Check-Act), der die geforderte Kontinuität sicherstellt. Wer bereits nach ISO 27001 dokumentiert, kann diese Basis um die NIS2-spezifischen BCM-Anforderungen des BSI erweitern, statt bei null zu beginnen.

Ein wichtiger Hinweis: ISO 22301 ist ein Rahmenwerk, keine gesetzliche Pflicht. Eine Zertifizierung ist für NIS2 nicht zwingend vorgeschrieben – aber sie ist der überzeugendste Weg, die geforderte Nachweisbarkeit gegenüber Behörden, Kunden und Partnern zu belegen.

In fünf Schritten zur nachweisbaren NIS2-Vorbereitung

Wie kommen Sie von der Rechtslage zur belegbaren Handlungsfähigkeit? Ein pragmatischer Fahrplan:

1. Betroffenheit und Lücken klären. Prüfen Sie, ob Sie als wichtige oder besonders wichtige Einrichtung gelten, und gleichen Sie den Ist-Zustand gegen die zehn Maßnahmen aus § 30 BSIG ab (Gap-Analyse).
2. Kritische Prozesse bestimmen. Eine Business Impact Analyse zeigt, welche Prozesse das Unternehmen wirklich am Leben halten und wie lange sie ausfallen dürfen. Das ist das Fundament jeder priorisierten Krisenreaktion.
3. Krisenmanagementverfahren dokumentieren. Legen Sie Rollen, Alarmierung, Eskalation, Entscheidungswege und die Meldepflichten gegenüber dem BSI schriftlich fest.
4. Üben und protokollieren. Führen Sie mindestens eine Tabletop-Übung durch, werten Sie sie aus und dokumentieren Sie die abgeleiteten Verbesserungen. Erst das Protokoll macht Wirksamkeit nachweisbar.
5. Zyklus etablieren. Verankern Sie Überprüfung und Aktualisierung in einem festen Turnus – jährlich und nach jedem realen Vorfall.

Lehren für die Geschäftsführung

Die eigentliche Botschaft von NIS2 lautet nicht „schafft mehr Dokumente“, sondern „macht eure Krisenfähigkeit belegbar“. Der Unterschied ist praktisch: Ein Plan beruhigt das Managementgewissen. Ein geübtes und dokumentiertes Verfahren hält im Ernstfall stand – und übersteht zugleich die Prüfung durch die Aufsicht. Genau diese Verbindung aus realer Handlungsfähigkeit und sauberem Nachweis ist der Kern der NIS2 Krisenmanagement Vorbereitung.

Beginnen Sie nicht mit dem Formular, sondern mit der Fähigkeit. Ein Krisenteam, das einmal unter realistischem Druck geübt hat, produziert bessere Dokumentation als jede Vorlage – weil es weiß, was im Ernstfall wirklich zählt. Wer jetzt strukturiert vorbereitet, verwandelt eine regulatorische Pflicht in einen echten Resilienzvorteil.

Und die Zeit drängt: Da das Gesetz ohne Übergangsfrist gilt und die Registrierungsfrist bereits verstrichen ist, prüft die Aufsicht nicht mehr, ob, sondern wie gut Einrichtungen ihre Pflichten erfüllen. Angesichts eines dokumentierten Cyberschadens von über 200 Milliarden Euro pro Jahr ist ein belastbares, geübtes Krisenmanagement ohnehin kein Compliance-Selbstzweck – es ist die Differenz zwischen einem beherrschten Vorfall und einer existenzbedrohenden Krise.

Die Deutsche Akademie für Krisenmanagement unterstützt Unternehmen dabei, Krisenmanagement nach NIS2 nachweisbar aufzubauen – von der Gap-Analyse über die Krisenstabsübung bis zum belastbaren Nachweis. Sprechen Sie uns an.

Häufige Fragen

Ist ein Krisenmanagement unter NIS2 wirklich verpflichtend?

Ja. § 30 BSIG nennt Krisenmanagement ausdrücklich als Teil der Maßnahmen zur Aufrechterhaltung des Betriebs. Betroffene Einrichtungen müssen es umsetzen, dokumentieren und regelmäßig üben.

Reicht ein vorhandener Notfallplan aus?

Nein. Entscheidend ist die Nachweisbarkeit. Ein Plan ohne dokumentierte Übungen, Auswertungen und einen Pflegezyklus erfüllt die Anforderungen aus § 30 BSIG nicht vollständig.

Brauchen wir eine ISO-22301-Zertifizierung?

Zwingend vorgeschrieben ist sie nicht. ISO 22301 ist jedoch das anerkannteste Rahmenwerk, um die von NIS2 geforderte Nachweisbarkeit strukturiert und prüfsicher zu belegen.