Blind im Ernstfall: Warum NIS2 IT-Transparenz jetzt zur Pflicht macht

Cyberangriffe auf deutsche Unternehmen haben ein Rekordniveau erreicht. Laut der Bitkom-Studie „Wirtschaftsschutz 2025" waren 87 Prozent der Unternehmen in Deutschland innerhalb von zwölf Monaten von Datendiebstahl, Spionage oder Sabotage betroffen, der wirtschaftliche Gesamtschaden belief sich auf 289,2 Milliarden Euro. Laut IBM vergehen im Schnitt 241 Tage, bis ein Sicherheitsvorfall erkannt und eingedämmt ist.

Seit dem 6. Dezember 2025 kommt eine zweite Dimension hinzu: Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) macht IT-Transparenz für rund 29.500 Unternehmen in Deutschland – ab 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz in einem von 18 erfassten Sektoren – zur rechtlichen Pflicht. Ohne Übergangsfrist.

Der blinde Fleck, den niemand sehen will

Wer im Ernstfall nicht weiß, welche IT-Systeme im eigenen Unternehmen laufen, kann sie weder schützen noch verteidigen. Genau das ist in der Praxis häufig der Fall: Historisch gewachsene Systeme, dezentrale Beschaffung und der Wechsel zwischen Excel-Listen, Ticket-Systemen und dem Wissen einzelner Mitarbeitender führen dazu, dass niemand im Unternehmen eine verlässliche, vollständige Antwort auf die Frage geben kann, welche Applikationen, Services und Schnittstellen eigentlich im Einsatz sind.

Was NIS2 konkret verlangt

Das Gesetz schreibt kein eigenständiges „Applikationsinventar" als isolierte Pflicht vor. Die geforderten Maßnahmen sind ohne eines aber faktisch nicht erfüllbar:

• BSI-Registrierung: Nachfrist bis 31. Juli 2026.
• § 30 NIS2UmsuCG: Risikoanalyse, Sicherheitskonzepte und Vorfallsbewältigung – erfordert Kenntnis der eigenen IT-Landschaft.
• § 32 NIS2UmsuCG: gestuftes Meldeverfahren – Erstmeldung innerhalb von 24 Stunden, Detailbericht innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats.
• § 38 NIS2UmsuCG: persönliche Haftung der Geschäftsleitung für angemessenes Risikomanagement.
• § 65 NIS2UmsuCG: Bußgelder bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes.

Wer nicht weiß, welche Systeme im Unternehmen existieren, kann für sie keine Risikoanalyse durchführen und im Vorfall nicht innerhalb von 24 Stunden melden, was genau betroffen ist.

Was im Ernstfall ohne Übersicht passiert

Ohne aktuelle Applikationsübersicht entstehen typischerweise dieselben Kettenreaktionen: Meldefristen werden verpasst, weil niemand schnell genug benennen kann, welche Systeme und Daten betroffen sind. Die Eindämmung eines Angriffs verzögert sich, weil Schnittstellen und Datenflüsse nicht dokumentiert sind. Und im Nachgang fehlt der Nachweis der eigenen Sicherheitsmaßnahmen – mit Bußgeldrisiko und persönlicher Haftung nach § 38 für die Geschäftsleitung.

Fünf Schritte, mit denen Unternehmen jetzt starten können

1. Vollständige Erhebung aller Applikationen starten – einschließlich Schatten-IT.
2. NIS2-Betroffenheit prüfen und eine fehlende BSI-Registrierung nachholen (Nachfrist 31.7.2026).
3. Risikomanagement nach § 30 dokumentieren und mit dem IT-Inventar verknüpfen.
4. Meldeprozess realistisch testen: Wären 24/72 Stunden heute einzuhalten?
5. Statische Excel-Inventare durch eine kontinuierlich aktuelle Plattform ersetzen.

Wie knooing hilft

knooing ist eine KI-native IT-Management-Plattform, die genau diese Transparenz automatisiert herstellt – statt Excel-Listen und Insiderwissen. Ein zentrales, KI-gestütztes Verzeichnis aller Applikationen, Services, Verträge und Lizenzen liefert im Vorfall in Minuten statt Tagen die Antwort auf die Frage „Welche Systeme, Daten und Verträge sind betroffen?" – die Grundlage für fristgerechte Meldung, wirksame Eindämmung und Nachweisfähigkeit gegenüber BSI, Kunden und Versicherern.

Quellen

• Bitkom e. V.: Studie „Wirtschaftsschutz 2025"
• Bundesamt für Sicherheit in der Informationstechnik (BSI): „Die Lage der IT-Sicherheit in Deutschland 2025"
• IBM: „Cost of a Data Breach Report 2025"
• NIS2-Umsetzungsgesetz (NIS2UmsuCG); IDW Knowledge Paper „Das NIS-2-Umsetzungsgesetz", Stand 22.02.2026

Dieser Beitrag bietet eine allgemeine Einordnung und ersetzt keine individuelle Rechtsberatung.