NIS2 & Risikomanagement – pragmatisch umsetzen

VonJulian Bednara

Risikomanagement – klingt wichtig, fühlt sich aber oft wie Bürokratie an

„Wir wissen, dass wir Risiken dokumentieren sollen – aber welche, wie tief und wofür genau?“
Diesen Satz höre ich regelmäßig von Verantwortlichen in kleinen und mittleren Unternehmen. Die meisten wissen: Mit der NIS2-Richtlinie kommt man um das Thema Risikomanagement nicht mehr herum. Aber was das in der Praxis bedeutet, bleibt oft diffus – besonders für Organisationen, die kein eigenes Sicherheits- oder Compliance-Team haben.

Statt Klarheit herrscht Unsicherheit.
Reicht eine Excel-Liste? Muss man jede Eventualität bewerten? Und was genau verlangt NIS2 eigentlich? Die Sorge, sich in formalen Anforderungen zu verlieren oder am Ende „irgendetwas“ zu dokumentieren, das niemand nutzt, ist weit verbreitet.

Dabei ist Risikomanagement kein Bürokratie-Monster, sondern ein strategisches Werkzeug – wenn man es richtig angeht. Genau darum geht es in diesem Artikel:
Du erfährst,

  • was NIS2 mit Risikomanagement meint,
  • warum das Thema auch für KMU hochrelevant ist,
  • und wie Du pragmatisch starten kannst.

Denn: Gut gemachtes Risikomanagement spart nicht Zeit – sondern hilft, sie an den richtigen Stellen zu investieren.

Was meint NIS2 mit „Risikomanagement“?

Risikomanagement ist kein Nebenschauplatz in der NIS2-Richtlinie – es ist einer ihrer zentralen Pfeiler. In Artikel 21 ist ausdrücklich festgelegt, dass betroffene Unternehmen geeignete technische, operative und organisatorische Maßnahmen umsetzen müssen, „um Risiken für die Sicherheit der Netz- und Informationssysteme zu beherrschen“. Ohne funktionierendes Risikomanagement lässt sich diese Anforderung kaum erfüllen.

Was bedeutet das konkret?
NIS2 verlangt, dass Unternehmen Risiken systematisch erfassen, bewerten und darauf basierend Maßnahmen treffen. Im Unterschied zur ISO 27001 oder ähnlichen Frameworks – die als Best Practice freiwillig angewendet werden können – ist Risikomanagement im Kontext von NIS2 eine gesetzliche Pflicht. Während ISMS Frameworks eher auf kontinuierliche Verbesserung und Managementsysteme abzielt, fordert NIS2: „Zeig uns, dass Du weißt, wo es brennt – und was Du dagegen tust.“

Aber wie geht das ohne Overengineering?
Ein praxisnahes Beispiel für eine Risikoanalyse im Sinne der NIS2-Anforderungen:
Stell Dir vor, das Warenwirtschaftssystem eines verarbeitenden Betriebs fällt plötzlich aus. Bestellungen lassen sich nicht bearbeiten, Lieferzeiten explodieren, die Lager laufen über oder leer. Ein klarer Risikofall – nicht technisch gedacht, sondern aus der Perspektive der Geschäftsprozesse.

Risikomanagement bedeutet hier:

  • Dieses Szenario vorab als Risiko zu erkennen,
  • die Wahrscheinlichkeit und die Auswirkungen einzuschätzen,
  • und konkrete Maßnahmen zu treffen (z. B. Notfallpläne, redundante Systeme, klare Zuständigkeiten).

Wichtig: NIS2 verlangt kein akademisches Risikomanagement mit Matrix und Wahrscheinlichkeitsformeln.
Was zählt, ist ein nachvollziehbares Vorgehen, das zu Eurem Unternehmen passt – und das im Zweifel gegenüber Behörden oder im Audit erklärbar ist.

Warum auch KMU Risikomanagement ernst nehmen müssen

„Wir sind doch gar nicht systemrelevant – warum sollte uns NIS2 betreffen?“
Diese Annahme höre ich oft. Gerade in kleinen und mittleren Unternehmen hält sich hartnäckig der Gedanke: Nur große Konzerne oder kritische Infrastrukturen müssen sich mit regulatorischem Risikomanagement befassen. Doch das ist gefährlich kurz gedacht – und aus Sicht der NIS2-Richtlinie schlicht falsch.

Denn die Relevanz bemisst sich nicht (nur) an der Unternehmensgröße, sondern an der Funktion in der Wertschöpfungskette. Viele KMU sind Dienstleister, Zulieferer oder digitale Schnittstelle – mit erheblichem Einfluss auf andere Unternehmen. Und genau deshalb rücken sie ins Visier.

Wusstest Du?
Auch Unternehmen mit 50 Mitarbeitenden und 10 Mio. € Jahresumsatz können NIS2-relevant sein – etwa, wenn sie bestimmte Dienstleistungen für größere Kunden erbringen oder Cloud-Systeme betreiben.

Risikomanagement ist also keine Kür mehr – sondern Absicherung für das eigene Geschäft.

Schauen wir auf ein paar typische Risiken, wie sie unter NIS2 besonders relevant werden – gerade für KMU:

  • Legacy-IT: Alte Systeme, die noch „irgendwie funktionieren“, aber keine Updates mehr bekommen – ein Klassiker in vielen Betrieben.
  • Schlüsselpersonen: Wenn ein einzelner IT-Admin alles weiß – aber nichts dokumentiert – hängt die Sicherheit am seidenen Faden.
  • Externe Dienstleister: IT-Support per Fernwartung ist bequem – aber wer prüft, ob der Dienstleister seine Zugänge schützt? Und gibt es überhaupt einen Vertrag zur Auftragsverarbeitung?
  • Unsichtbare Abhängigkeiten: Cloud-Tools wie Mail, Buchhaltung oder Lagerverwaltung sind oft in täglicher Nutzung – aber selten im Risiko-Radar.

Das Problem: Diese Risiken sind oft bekannt, aber nicht dokumentiert.
Was fehlt, ist ein systematischer Umgang – also ein einfaches, aber strukturiertes Vorgehen, um Risiken sichtbar und steuerbar zu machen.

Denn genau das fordert NIS2. Und genau das ist die Chance:
Wer jetzt strukturiert vorgeht, schafft nicht nur Compliance – sondern Resilienz.

Was heißt das konkret für Unternehmen?

NIS2 verpflichtet Unternehmen dazu, angemessene Sicherheitsmaßnahmen zu ergreifen – und Risikomanagement ist dabei das Fundament. Doch was heißt das genau?

Hier eine verständliche Übersetzung der zentralen Pflichten:

Identifikation relevanter Risiken

Zunächst musst Du wissen, wo es potenziell weh tun könnte. Risiko bedeutet dabei: Eine potenzielle negative Abweichung von den Unternehmenszielen, verursacht durch das Zusammentreffen von Bedrohung (z. B. Ausfall, Angriff, Fehlbedienung) und Schwachstelle (z. B. veraltete Systeme, fehlende Backup-Strategien).

Du fragst: Welche Prozesse, Systeme oder externen Partner sind kritisch für Euer Geschäft? Wo gibt es Schwachstellen, die zu Sicherheitsvorfällen führen könnten – sei es durch Technik, Organisation oder menschliches Verhalten?

Bewertung – nachvollziehbar, nicht akademisch

Du musst keine Wahrscheinlichkeitsformeln rechnen. Aber Du solltest einschätzen können:

  • Wie wahrscheinlich ist es, dass das Risiko eintritt?
  • Was wären die Auswirkungen – auf Betrieb, Finanzen, Kundenzufriedenheit?
    Ziel ist Nachvollziehbarkeit, nicht Exaktheit.

Maßnahmen & Überprüfung

Für jedes relevante Risiko braucht es eine Antwort:

  • Was tun wir dagegen?
  • Wer ist zuständig?
  • Wann überprüfen wir das wieder?
     Das Ganze ist kein Einmal-Projekt, sondern ein lebender Prozess.

Mini-Leitfaden: Risikoerfassung in 3 Schritten

  1. Risiken sammeln – ohne Denkblockade
    Geh systematisch vor: Prozesse, IT-Systeme, Schnittstellen, Personal, Lieferanten. Frag: „Was passiert, wenn dieses System heute ausfällt?“ oder „Was, wenn diese Person morgen nicht mehr da ist?“
  2. Relevanz bewerten – mit gesundem Menschenverstand
     Nutzt eine einfache Skala, z. B.
    • Auswirkung: gering / mittel / hoch
    • Wahrscheinlichkeit: selten / gelegentlich / wahrscheinlich
      So entsteht schnell ein Gefühl für Prioritäten.
  3. Maßnahmen ableiten – pragmatisch, nicht perfekt
     Oft reichen schon einfache Schritte:
    • Verantwortlichkeiten klären
    • Backups einführen
    • Tools absichern
    • Lieferverträge ergänzen

Bordmittel statt Spezialtools

Du brauchst kein GRC-Tool oder komplexe Software. Viele Unternehmen setzen erfolgreich auf:

  • Excel-Tabellen mit Filter- und Kommentarfunktion
  • SharePoint-Listen mit Verantwortlichen und Statusfeldern
  • M365 Planner-Boards oder To-Do-Listen, um Aufgaben aus Risiken abzuleiten

Wichtig ist, dass der Prozess gelebt wird – nicht, welches Tool Du nutzt.

Stakeholder einbinden – ohne Endlostermine

Risikomanagement ist kein IT-Thema. Es betrifft Fachabteilungen, Geschäftsführung, Einkauf, Produktion, HR – je nach Branche.
Was hilft:

  • Kurze Fokus-Workshops (60 Minuten)
  • Klarer Leitfaden mit vorbereiteten Fragen
  • Protokollierung direkt im Tool (z. B. SharePoint oder OneNote)
     So bleibt das Ganze konkret, zeitlich begrenzt und trotzdem wirksam.

Typische Fehler vermeiden

🔸 Fokus nur auf IT-Risiken – und Prozesse vergessen
🔸 Bewertung mit 5×5-Matrix, die niemand versteht
🔸 Risiken als einmalige Liste ablegen – ohne Pflege
🔸 Fachbereiche nicht einbeziehen – oder zu spät
🔸 Keine Zuständigkeiten festlegen – alles bleibt in der Luft

Fazit dieses Abschnitts:
Risikomanagement muss nicht kompliziert sein. Es muss passend und erklärbar sein.
Mit einem klaren, einfachen Vorgehen lässt sich der NIS2-Pflichtteil pragmatisch erfüllen – und sogar ein echter Mehrwert für Euer Unternehmen schaffen.

Strategischer Nutzen: Risikomanagement als Führungsinstrument

Risikomanagement wird oft als lästige Pflicht gesehen – besonders, wenn es gesetzlich verordnet ist wie durch NIS2. Doch wer es nur als Haken auf der To-do-Liste betrachtet, verpasst eine große Chance: Richtig eingesetzt, ist Risikomanagement ein echtes Führungsinstrument.

Perspektivwechsel: Vom Pflichtprogramm zur Steuerungshilfe

Ein gutes Risikomanagement zeigt, wo die knappen Ressourcen am meisten Wirkung entfalten. Es hilft, Prioritäten zu setzen:

  • Welche Themen dulden keinen Aufschub?
  • Wo droht echter Schaden – für Kunden, Betrieb, Reputation?
  • Welche Maßnahmen lohnen sich wirklich?

Diese Fragen lassen sich plötzlich systematisch beantworten – nicht mehr nur nach Bauchgefühl oder Lautstärke einzelner Stimmen.

Chancen, die oft übersehen werden

Ein strukturierter Blick auf Risiken schafft nicht nur Überblick, sondern auch Argumentationshilfe:

  • Für Budgets: Wenn Du Risiken klar benennen kannst, fällt es leichter, Investitionen zu begründen.
  • Für Awareness: Wenn Mitarbeitende Risiken mit eigenen Prozessen verknüpfen, steigt das Verständnis – und die Akzeptanz von Maßnahmen.
  • Für Führung: Wer Risiken kennt, kann besser führen – vorausschauend, begründet und mit Rückhalt.

Was erfolgreiche Unternehmen anders machen

Ich beobachte oft: Unternehmen, die Risikomanagement ernst nehmen, sind nicht zwangsläufig sicherer – aber schneller in der Reaktion und klarer in der Entscheidung.
Sie wissen, wo sie verwundbar sind – und wo es sich lohnt, gezielt zu investieren. Sie haben Routinen geschaffen, um Risiken regelmäßig zu reflektieren, und sie binden Fachabteilungen aktiv ein.

Synergien nutzen: BCM, ISMS, Datenschutz

Gut gemachtes Risikomanagement wirkt wie ein Scharnier – es verbindet unterschiedliche Themen miteinander:

  • BCM (Business Continuity Management): Fokus auf Reaktion – Was tun wir, wenn ein Risiko eintritt? Welche Risiken gefährden die Betriebsfähigkeit und erfordern Notfallmaßnahmen?
  • ISMS (Informationssicherheitsmanagement): Fokus auf Prävention – Welche Schwachstellen in Systemen oder Prozessen müssen behandelt werden, um Risiken zu vermeiden oder zu minimieren?
  • Datenschutz (DSGVO Art. 32): Welche Risiken betreffen personenbezogene Daten? Welche technischen und organisatorischen Maßnahmen sichern die Verarbeitung? Hier besteht ein enger Zusammenhang zwischen Risikomanagement und dem Nachweis der DSGVO-Konformität.

Wer hier Synergien schafft, spart doppelte Arbeit – und erhöht die Wirksamkeit.

Fazit: Was Du mitnehmen kannst

Risikomanagement nach NIS2 muss kein Papiertiger sein. Richtig aufgesetzt, wird es vom Pflichtprogramm zum echten Steuerungsinstrument – gerade für KMU, die keine endlosen Ressourcen haben.

Hier die wichtigsten Punkte auf einen Blick:

  • Risikomanagement ist gesetzlich gefordert – aber pragmatisch umsetzbar.
  • Es geht nicht um Perfektion, sondern um Nachvollziehbarkeit und Konsequenz.
  • Gute Risikoarbeit hilft bei Entscheidungen, Budgets und Prioritäten.
  • Auch mit einfachen Tools und klarer Struktur lässt sich viel erreichen.
  • Wer Fachbereiche einbindet, erkennt mehr Risiken – und entwickelt bessere Lösungen.

Zwei Fragen zum Weiterdenken:

  • Welche Risiken kennt Ihr – aber habt sie noch nie dokumentiert?
  • Wer im Unternehmen müsste bei der Bewertung eigentlich mitreden – tut es aber noch nicht?

Mein Vorschlag:
Starte mit einem 60-Minuten-Workshop zur Risikoidentifikation. Schnapp Dir zwei Prozesse, zwei Systeme und zwei Personenrollen – und frag einfach mal:
„Was passiert, wenn das ausfällt oder angreifbar ist?“
Das reicht für den Anfang. Und meistens entsteht daraus mehr, als man denkt.

Was Du jetzt tun kannst

Quick-Check:

  • Gibt es bei Euch eine strukturierte Übersicht zu IT- oder Prozessrisiken?
  • Wurde sie im letzten Jahr überprüft oder aktualisiert?
  • Leiten sich daraus konkrete Maßnahmen oder Verantwortlichkeiten ab?

Hinweis:
Risikomanagement ist in NIS2 Artikel 21 Absatz 2 gesetzlich gefordert.

Mini-CTA:
Lade Deine Führungskraft zu einem kurzen Risikodialog ein – mit drei konkreten Beispielen aus Eurem Alltag. Das schafft Klarheit, ohne großen Aufwand.

🔎Mini-FAQ: Häufige Fragen zum Risikomanagement nach NIS2

Müssen wir für NIS2 ein formales Risikomanagementsystem einführen?
Nein. Es reicht ein nachvollziehbares und wirksames Vorgehen, das dokumentiert ist. Excel und klare Zuständigkeiten können völlig ausreichen – solange die Methode plausibel ist.

Wie oft müssen Risiken bewertet oder aktualisiert werden?
Mindestens jährlich – oder bei größeren Veränderungen, z. B. neuen IT-Systemen, Umstrukturierungen oder Vorfällen.

Reicht es, wenn nur die IT die Risiken bewertet?
Nein. Fachbereiche müssen einbezogen werden, weil sie die Auswirkungen auf Prozesse und Kunden am besten kennen.

Müssen wir jedes denkbare Risiko erfassen?
Nein. Fokus auf relevante Risiken mit realistischem Schadenspotenzial. Lieber weniger, aber gut verstanden.

Was passiert, wenn wir kein Risikomanagement haben?
Im Fall einer Prüfung oder eines Vorfalls kann das als Verstoß gegen NIS2 gewertet werden – mit möglichen Bußgeldern oder Reputationsschäden.

Gibt es ein Beispiel für eine NIS2-konforme Risikoanalyse?
Ja. Ein typisches NIS2 Risikoanalyse Beispiel ist der Ausfall eines zentralen IT-Systems wie dem Warenwirtschaftssystem. Dabei werden Eintrittswahrscheinlichkeit, Auswirkungen und Maßnahmen zur Reduktion dokumentiert.

Ähnliche Beiträge