Die Registrierung beim BSI ist erledigt. In vielen Vorständen gilt NIS2 damit als abgehakt.
Das ist ein Missverständnis.
Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz, ohne Übergangsfrist. Für die Registrierung galt zuletzt der 31. Juli 2026 als Frist; nach Berichten betraf sie rund 29.500 Einrichtungen. Sie war der erste, sichtbare Schritt. Geprüft wird künftig etwas anderes: ob die Pflichten im Betrieb tatsächlich gelebt werden.
Was NIS2 im Alltag verlangt
- Risikomanagement: Angemessene technische und organisatorische Maßnahmen, regelmäßig überprüft.
- Meldepflichten: Erhebliche Sicherheitsvorfälle müssen gestuft gemeldet werden – eine erste Meldung innerhalb von 24 Stunden, eine Folgemeldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats.
- Lieferkette: Risiken durch Dienstleister und Zulieferer müssen bewertet und gesteuert werden.
- Verantwortung der Geschäftsleitung: Die Leitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und sich schulen lassen.
Warum ServiceNow dafür gut geeignet ist
In vielen Konzernen laufen Incident Management, CMDB, Risikomanagement und Lieferantenverwaltung bereits auf ServiceNow – nur nicht verbunden. Genau diese Verbindung braucht NIS2:
| NIS2-Anforderung | ServiceNow-Baustein |
|---|---|
| Vorfälle erkennen und melden | Security Incident Response mit Meldefristen als SLA |
| Betroffene Services bewerten | CMDB und Service-Mapping |
| Risikomanagement nachweisen | GRC: Risiken, Kontrollen, Maßnahmen |
| Lieferkette steuern | Third-Party Risk Management |
| Berichte an die Geschäftsleitung | Dashboards aus denselben Daten |
Die 24-Stunden-Frist ist eine Prozessfrage
Die meisten Organisationen scheitern nicht an der Meldung selbst, sondern an der Frage, wann die Uhr zu laufen beginnt. Ab wann ist ein Vorfall „erheblich“? Wer entscheidet das, auch nachts und am Wochenende? Wer meldet? In ServiceNow lässt sich das abbilden: Klassifizierungskriterien im Security Incident, ein SLA für jede Meldestufe, automatische Eskalation an die Meldeverantwortlichen und Vorlagen für die Meldung. Entscheidend ist, dass die Kriterien vorher festgelegt und geübt sind.
Nachweisbarkeit statt Dokumentenablage
Prüfer fragen nicht nur, ob es eine Richtlinie gibt, sondern ob sie wirkt. Wer Kontrollen in ServiceNow GRC hinterlegt und Ergebnisse automatisch aus dem Betrieb ableitet – etwa aus Patch-Ständen, Schwachstellen oder Zugriffsrechten –, kann Wirksamkeit belegen, ohne vor jedem Audit Excel-Listen zu sammeln.
Synergien mit ISO 27001
Viele NIS2-Pflichten überschneiden sich mit einem Informationssicherheits-Managementsystem nach ISO 27001. Wer beides in einem Kontrollrahmen abbildet, vermeidet doppelte Arbeit: Eine Kontrolle, mehrere Nachweise.
Unser Vorgehen
- Gap-Analyse: Welche NIS2-Pflichten sind heute wie abgedeckt, wo fehlen Nachweise?
- Meldeprozess: Kriterien, Rollen, Fristen und Vorlagen in Security Incident Response.
- Kontrollrahmen: NIS2 und ISO 27001 gemeinsam in ServiceNow GRC.
- Übung: Ein simulierter Vorfall prüft, ob die 24 Stunden in der Praxis reichen.
Die Moch.IT GmbH unterstützt Konzerne und öffentliche Einrichtungen bei der Umsetzung regulatorischer Anforderungen auf ServiceNow. Mehr dazu unter ServiceNow SecOps, ServiceNow GRC und ISO 27001.
Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Ob und wie NIS2 für Ihr Unternehmen gilt, sollte im Einzelfall geprüft werden.