Die Umsetzungsfrist war Oktober 2024. Zwei Jahre später haben die meisten Mitgliedstaaten NIS 2 in nationales Recht überführt, und die Behörden sind vom Veröffentlichen von Leitlinien zum Stellen von Fragen übergegangen.
Und doch läuft das Gespräch, das ich mit CISOs, Compliance-Verantwortlichen und IT-Managern in ganz Europa führe, immer gleich ab.
"We know NIS 2 applies to us. We have read the directive. We have not actually started."
Wenn das auf Sie zutrifft, liegt das Problem nicht am Lesen.
Die Lücke, über die niemand spricht
NIS 2 ist eine Richtlinie, kein Handbuch.
It tells you what to achieve. It says nothing about how. And "how" is where everyone is stuck.
Sie haben fünfzig Seiten Rechtstext. Sie verstehen den Anwendungsbereich, die Sektoren, die Meldepflichten. Dann kommt der Montagmorgen, jemand fragt Sie, wo Sie anfangen sollen, und die ehrliche Antwort ist: Sie wissen es noch nicht.
Diese Lücke, zwischen dem Verstehen der Richtlinie und ihrer Umsetzung, kostet Organisationen sechs Monate. Sechs Monate, die Sie nicht mehr haben.
Was NIS 2 von allem anderen unterscheidet, was Sie bisher gemacht haben
If you have run ISO 27001 or GDPR, you might file NIS 2 under "another framework". It is not.
Ihre Unternehmensleitung haftet persönlich. Nicht die Organisation. Die Personen. Wenn Sie der CISO oder der Compliance-Verantwortliche sind, trägt Ihr Leitungsgremium eine Verantwortung, die ein Zertifikat nicht absorbiert.
Die Meldefristen sind verbindlich. Twenty-four hours for an early warning. Seventy-two for a full notification. There is no "we will come back to you next week".
Lieferkettensicherheit ist keine Klausel, die man unterschreibt. Sie benötigen dokumentierte Bewertungen, vertragliche Verpflichtungen und eine Überwachung, die einer Beweisanforderung standhält.
Die Bußgelder sind strukturell. Bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen, und Ihre Organisation kann öffentlich genannt werden.
Grenzüberschreitend bedeutet mehrfach. Wer in mehreren Mitgliedstaaten tätig ist, hat es mit mehreren nationalen Umsetzungen derselben Richtlinie zu tun, die nicht übereinstimmen.
ISO 27001 ist eine gute Grundlage. Sie deckt weder die Meldefristen noch die sektorspezifischen Anforderungen noch die Managementverantwortung ab. Diese sind neu, und sie sind die Teile mit Biss.
Die fünf Fragen, die Ihre Aufsichtsbehörde stellen wird
Wenn Ihre nationale Behörde anklopft, und das wird sie, möchte sie Folgendes sehen.
- Governance. Verfügen Sie über einen Cybersicherheits-Governance-Rahmen mit benannten Rollen und echter Managementaufsicht? Können Sie nachweisen, dass die Unternehmensleitung eingebunden ist, nicht nur informiert?
- Risikomanagement. Gibt es eine formale Risikobewertung? Dokumentiert? Verknüpft mit konkreten Maßnahmen? Können Sie zeigen, wie Sie priorisiert haben?
- Incident Response. Haben Sie einen getesteten Plan, der die 24- und 72-Stunden-Pflichten erfüllt? Haben Sie ihn tatsächlich geübt?
- Lieferkette. Wie bewerten und überwachen Sie Cybersicherheitsrisiken bei Ihren Lieferanten? Welche Verträge, welche Maßnahmen, welche Nachweise?
- Kontinuierliche Verbesserung. Was messen Sie? Was berichten Sie? Wie testen und verbessern Sie?
Wenn Sie nicht alle fünf Fragen mit Dokumentation und aufrichtig beantworten können, haben Sie eine Lücke. Diese Lücke hat ihren Preis.
14. bis 18. Dezember: Schließen Sie sie in fünf Tagen
Genau dafür ist der NIS 2 Directive Lead Implementer Kurs da.
Vom 14. bis 18. Dezember führen wir einen Live-Online-Kurs auf Englisch durch, der den gesamten Umsetzungsprozess abdeckt. Nicht die Theorie. Nicht den Normtext. Die Methodik, die Sie am darauffolgenden Montag einsetzen werden.
| Tag | Schwerpunkt |
|---|---|
| Mo. 14. Dez. | NIS 2 Grundlagen, Anforderungen, Scoping Ihrer Organisation, Einleitung des Umsetzungsprojekts |
| Di. 15. Dez. | Governance-Struktur, Rollen und Verantwortlichkeiten, Asset-Management, Risikomanagement-Methodik |
| Mi. 16. Dez. | Cybersicherheitsmaßnahmen, Lieferkettensicherheit, Incident Management, Krisenmanagement-Frameworks |
| Do. 17. Dez. | Business Continuity, Awareness und Schulung, Testing, Metriken und Monitoring, kontinuierliche Verbesserung |
| Fr. 18. Dez. | Zertifizierungsprüfung |
Die Kursgruppen sind auf sechs Personen begrenzt, was der Grund ist, warum Fragen wirklich beantwortet werden.
Was Sie mitnehmen
"You will learn a lot" is not a value proposition. Here is the specific list.
- Eine Umsetzungs-Roadmap, die Sie am Montag Ihrem Leitungsgremium vorlegen können. Phasen, Meilensteine, Verantwortliche, keine Notizen aus einer Schulung.
- Incident-Response-Frameworks, die die 24- und 72-Stunden-Pflichten erfüllen. Dokumentiert, getestet, vertretbar.
- Eine Risikobewertungsmethodik, aufgebaut auf realen Szenarien, nicht auf Lehrbuchbeispielen.
- Lieferkettenansätze, that go past "our vendors signed an NDA". Assessment frameworks, contractual requirements, ongoing monitoring.
- Das PECB Certified NIS 2 Directive Lead Implementer Credential, europaweit anerkannt, mit im Preis enthaltener Prüfung und 31 CPD Credits.
- Die [Certification or Refund Garantie](/trainings/certification-or-refund). Wenn Sie den Kurs abschließen, die Prüfung ablegen und nicht bestehen, erhalten Sie eine Rückerstattung.
Warum dieser Kurs anders ist
Es gibt andere NIS 2 Kurse. Die meisten werden von Trainern gehalten, die Folien über die Richtlinie vorlesen.
Ich bin ein praktizierender CISO. Ich führe NIS 2 Implementierungen für Organisationen in ganz Europa durch. Wenn ich Incident Response unterrichte, liegt das daran, dass ich dieses Jahr Incident-Response-Pläne entwickelt habe und gesehen habe, wie sie eingesetzt wurden. Wenn ich Supply-Chain-Bewertung unterrichte, liegt das daran, dass ich mit Lieferanten über Nachweise gestritten habe.
Das ist der Unterschied zwischen einem Kurs über eine Richtlinie und der Weitergabe von Umsetzungs-Know-how von jemandem, der die Arbeit macht.
Ist das der richtige Kurs für Sie
Dieser Kurs richtet sich an Personen, die mit dem Lesen über NIS 2 fertig sind.
- CISOs und Sicherheitsmanager, die ein NIS 2 Compliance-Projekt leiten oder kurz davor stehen
- GRC- und Compliance-Verantwortliche, die die Richtlinie in operative Realität überführen
- IT-Manager in den achtzehn Sektoren, die jetzt in den Anwendungsbereich fallen: Energie, Verkehr, Gesundheitswesen, digitale Dienste und weitere
- Berater, die zu NIS 2 beraten und das Credential hinter ihrer Beratung benötigen
- Risk Manager, die NIS 2 in ein unternehmensweites Risiko-Framework integrieren
Nicht ganz passend? Wenn Sie eine übergeordnete Einführung darin suchen, was NIS 2 ist und für wen es gilt, ist NIS 2 Foundation der bessere Einstiegspunkt.
Sichern Sie sich Ihren Platz
NIS 2 Directive Lead Implementer, 14. bis 18. Dezember 2026, live online, auf Englisch. PECB Zertifizierungsprüfung inklusive, 31 CPD Credits, Certification or Refund Garantie.
Sechs Plätze. Das ist kein Knappheitsmarketing, sondern die Zahl, bei der jeder seine eigenen Fragen stellen kann.