Die Frist ist vorbei. Die Pflicht bleibt.
Der 30. Juni 2026 war ein bedeutender Stichtag für europäische Organisationen im Anwendungsbereich der NIS2-Richtlinie: die Frist für den Abschluss eines ersten Compliance-Audits. Für viele Compliance-Teams war es ein Sprint - Kontrollen bewerten, Lücken schließen und Dokumentation unter Zeitdruck zusammenstellen.
Doch das Bestehen des ersten Audits ist nicht die Ziellinie. Es ist der Startschuss. NIS2 ist keine einmalige Zertifizierung. Es ist eine fortlaufende Pflicht, und die zuständigen nationalen Behörden in den EU-Mitgliedstaaten treten jetzt in eine Phase aktiver Aufsicht ein. Organisationen, die die Juni-Frist als bloßes Häkchen auf einer Liste behandelt haben, werden in den kommenden Monaten angreifbar sein.
Dieser Artikel beschreibt, was als Nächstes kommt - und wie Sie Ihre Compliance-Position wirklich belastbar machen, statt sie nur periodisch zu dokumentieren.
Was das erste Audit tatsächlich abgedeckt hat
Das erste NIS2-Compliance-Audit konzentrierte sich auf die zehn Mindestmaßnahmen für die Cybersicherheit, die in Artikel 21 festgelegt sind. Dazu gehören Konzepte für das Risikomanagement, Verfahren zur Bewältigung von Sicherheitsvorfällen, Maßnahmen zur Aufrechterhaltung des Betriebs, die Sicherheit der Lieferkette und Praktiken der Zugriffskontrolle.
Für viele Organisationen, insbesondere für jene, die nach den nationalen Umsetzungsgesetzen neu als wesentliche oder wichtige Einrichtungen eingestuft wurden, war das Audit die erste strukturierte Bewertung ihrer Cyber-Governance. Das Registrierungsportal des deutschen BSI ging im Januar 2026 online. Das portugiesische Gesetzesdekret Nr. 125/2025 setzte seine eigenen Pflichten im April 2026 in Kraft. In der gesamten EU sind die Regulierungsbehörden von der Richtlinie zur aktiven Durchsetzung übergegangen.
Das Audit stellte fest, ob eine Organisation zu einem bestimmten Zeitpunkt die richtigen Richtlinien und Kontrollen eingerichtet hatte. Was es nicht ohne Weiteres überprüfen konnte, war, ob diese Kontrollen Tag für Tag und System für System Bestand haben würden.
Häufige Lücken nach der ersten Runde
In der Compliance-Community haben sich aus den ersten NIS2-Audits mehrere wiederkehrende Schwachstellen herauskristallisiert:
Qualität der Nachweise. Viele Organisationen verfügten über Richtlinien und Verfahren, es fehlten ihnen aber überprüfbare, mit Zeitstempel versehene Aufzeichnungen, die belegen, dass diese Kontrollen aktiv durchgesetzt wurden. Ein Richtliniendokument ist kein Nachweis. Ein Audit-Log mit kryptografischer Integrität schon.
Abdeckung der Lieferkette. Artikel 21 verlangt ausdrücklich, dass Organisationen die Cybersicherheitsrisiken in ihren Lieferketten bewerten und steuern. Viele stellten fest, dass ihre Lieferantenverzeichnisse unvollständig waren oder ihren Bewertungen von Drittanbietern die Substanz fehlte.
Bereitschaft zur Erkennung und Meldung von Sicherheitsvorfällen. NIS2 verlangt, dass erhebliche Sicherheitsvorfälle den zuständigen Behörden innerhalb von 24 Stunden nach der Erstmeldung gemeldet werden, gefolgt von einem vollständigen Bericht innerhalb von 72 Stunden. Viele Organisationen mussten feststellen, dass ihr Ablauf von der Erkennung bis zur Meldung nicht geprobt worden war.
Kontinuierliche Überwachung. Eine Momentaufnahme zeigt Ihnen, wo Sie an einem bestimmten Tag standen. Sie sagt Ihnen nicht, ob eine Datei am vergangenen Dienstag geändert wurde, ob eine Konfiguration in der letzten Woche vom Sollzustand abgewichen ist oder ob die Integrität Ihrer Backups seit Ihrem letzten Test nachgelassen hat.
Vom periodischen Audit zur kontinuierlichen Compliance
Die Regulierungsbehörden signalisieren einen Wandel, den versierte Compliance-Teams bereits vollziehen: weg vom periodischen Audit, hin zu kontinuierlichen Compliance-Nachweisen.
Das bedeutet Systeme, die nicht nur Richtlinien erfassen, sondern fortlaufend die Integrität der Assets überprüfen, die diese Richtlinien schützen sollen. Jede kritische Datei, Datenbank und Konfiguration sollte einen kryptografischen Fingerabdruck haben - eine versiegelte, mit Zeitstempel versehene Aufzeichnung ihres exakten Zustands zu jedem Zeitpunkt. Jede Abweichung von dieser Aufzeichnung löst eine Warnmeldung aus, statt sechs Monate später beim nächsten Audit entdeckt zu werden.
Die verifizierbare Vertrauensinfrastruktur von ROOTKey wurde genau für dieses Umfeld entwickelt. Wenn Ihre kritischen Datenbestände in einem unabhängigen öffentlichen Ledger verankert sind und ihre Integrität kontinuierlich überprüft wird, kann Ihre Organisation Compliance nicht nur am Tag des Audits nachweisen - sondern an jedem Tag.
Starten Sie mit ROOTKey in die kontinuierliche Compliance - kostenloser Plan verfügbar, keine Kreditkarte erforderlich.
- Alle kritischen Datenbestände kryptografisch verankern - Dateien, Datenbanken, API-Ausgaben und Konfigurationsdatensätze -, damit jede Änderung sofort erkennbar ist.
- Eine Ebene zur kontinuierlichen Integritätsüberwachung aufbauen, die bei Abweichungen in Echtzeit alarmiert und nicht erst zum Zeitpunkt des Audits.
- Sicherstellen, dass Ihr Ablauf für die Meldung von Sicherheitsvorfällen geprobt ist und sich auf verifizierte Nachweise stützt, statt aus dem Gedächtnis rekonstruiert zu werden.
- Die Assets Ihrer Lieferkette erfassen und von wichtigen Technologieanbietern überprüfbare Integrität verlangen.
- Ihre Compliance-Nachweise in einem Format dokumentieren, das die zuständigen nationalen Behörden unabhängig überprüfen können - nicht nur in internen Tabellen.
Worauf die Aufsichtsbehörden als Nächstes achten
Die zuständigen nationalen Behörden warten nicht auf 2027. Die Aufsicht ist bereits aktiv. In Deutschland hat das BSI eine verstärkte Prüfung wesentlicher Einrichtungen in den Sektoren Energie und Gesundheit signalisiert. In Portugal setzt das CNCS seinen Durchsetzungsrahmen im Anschluss an das DL 125/2025 operativ um. In der gesamten EU verlagert sich der Fokus von „Haben Sie eine Richtlinie?“ zu „Können Sie nachweisen, dass sie funktioniert?“
Am sichersten werden sich in diesem Umfeld jene Organisationen bewegen, die Anfragen der Aufsicht mit überprüfbaren, maschinenlesbaren Nachweisen beantworten können - und nicht, indem sie nach der Anfrage einer Behörde nachträglich Unterlagen zusammentragen.
NIS2-Compliance ist kein Projekt mehr. Sie ist eine operative Fähigkeit.