NIS2 Artikel 21(2)(a): Die zwei Dokumente, nach denen jeder Prüfer zuerst fragt

Am 15. August 2026 trat das niederländische Cyberbeveiligingswet in Kraft. Mehr als 8.000 Organisationen haben nun eine Sorgfaltspflicht, eine Registrierungspflicht beim NCSC und eine 24-Stunden-Meldefrist.

Keine von ihnen wird zuerst nach ihrer EDR-Konsole gefragt.

NIS2 Artikel 21(2)(a) ist der Punkt, an dem jedes Aufsichtsgespräch beginnt: Ihre Leitlinie für die Sicherheit von Netz- und Informationssystemen und Ihr Risikomanagementrahmen. Zwei Dokumente. Beide vom Leitungsorgan genehmigt. Beide datiert.

Die meisten Organisationen haben keines von beiden in der Form, die die Verordnung tatsächlich verlangt. Hier ist, was Artikel 21(2)(a) fordert, Maßnahme für Maßnahme, und was das für die Berater bedeutet, die es liefern müssen.

Artikel 21(2)(a) sind zwei Pflichten, nicht eine

Der Richtlinientext ist kurz: „Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme". Schnell gelesen klingt das nach einem einzigen Dokument.

Die Durchführungsverordnung (EU) 2024/2690 sieht das anders. Ihr Anhang teilt Artikel 21(2)(a) in zwei getrennte Hauptabschnitte:

• Abschnitt 1 — Leitlinie für die Sicherheit von Netz- und Informationssystemen sowie Rollen, Verantwortlichkeiten und Befugnisse.
• Abschnitt 2 — Risikomanagementkonzept: der Rahmen, Compliance-Überwachung und unabhängige Überprüfung.

Die Durchführungsverordnung gilt unmittelbar für DNS-Anbieter, TLD-Registries, Cloud-Anbieter, Rechenzentrumsbetreiber, CDNs, Managed Service Provider, Managed Security Service Provider, Online-Marktplätze, Suchmaschinen, soziale Plattformen und Vertrauensdiensteanbieter. Für alle anderen ist sie der faktische Maßstab, weil nationale Aufsichtsbehörden nichts Spezifischeres zum Messen haben.

Wer eine kombinierte „Informationssicherheitsleitlinie" liefert und Artikel 21(2)(a) damit für erledigt hält, hat etwa die Hälfte erfüllt.

Ihre Sicherheitsleitlinie hat elf Pflichtinhalte

Anhang Ziffer 1.1.1 listet auf, was die oberste Leitlinie enthalten muss. Nicht „sollte berücksichtigen" — muss festlegen:

1. Den Ansatz der Einrichtung zur Steuerung der Sicherheit ihrer Netz- und Informationssysteme
2. Abstimmung mit Geschäftsstrategie und -zielen
3. Festgelegte Sicherheitsziele
4. Eine Verpflichtung zur kontinuierlichen Verbesserung
5. Eine Verpflichtung zur Bereitstellung von Ressourcen — Personal, Budget, Prozesse, Werkzeuge, Technologien
6. Kommunikation an und Kenntnisnahme durch relevante Beschäftigte und externe Parteien
7. Rollen und Verantwortlichkeiten gemäß Ziffer 1.2
8. Die aufzubewahrende Dokumentation und deren Aufbewahrungsdauer
9. Eine Liste der themenspezifischen Leitlinien
10. Indikatoren und Kennzahlen zur Überwachung der Umsetzung und des aktuellen Reifegrads
11. Das Datum der förmlichen Genehmigung durch die Leitungsorgane

Punkt 5 lässt die meisten Audits scheitern. Eine Leitlinie, die sich zur Sicherheit bekennt, aber nie Budget oder Personal zusagt, erfüllt 1.1.1(e) nicht. Punkt 10 ebenso wenig: Wer die Indikatoren zur Messung der eigenen Leitlinie nicht zeigen kann, hat eine Absichtserklärung, keine Leitlinie.

Punkt 11 ist am billigsten zu beheben und fehlt am häufigsten. Eine Leitlinie ohne datierte Genehmigung durch das Leitungsorgan ist aufsichtsrechtlich ein Entwurf.

Wo 21(2)(a) unter den zehn Maßnahmen steht

Artikel 21(2)(a) ist die erste von zehn Risikomanagementmaßnahmen — und die, von der alle anderen abgeleitet sind. Zugangskontrolle nach 21(2)(i) muss eine themenspezifische Leitlinie unter Ihrer obersten Leitlinie sein. Backup-Anforderungen nach 21(2)(c) müssen aus einer Business-Impact-Analyse folgen, die Ihren Risikobehandlungsplan speist. Geht (a) schief, haben die anderen neun kein Fundament.

Artikel 21 — 10 NIS2 Cybersicherheitsmaßnahmen
🛡️
Artikel 21
10 Cybersicherheitsmaßnahmen
📊
Governance & Strategie
1Risikoanalyse & Informationssicherheitsrichtlinien
6Bewertung der Wirksamkeit von Sicherheitsmaßnahmen
🚨
Vorfälle & Kontinuität
2Vorfallsbehandlung & Meldung
3Geschäftskontinuität & Notfallwiederherstellung
🔗
Lieferkette & Systeme
4Sicherheit der Lieferkette
5Sicherheit bei der Entwicklung von Netz- und Informationssystemen
🔐
Technische Kontrollen
8Kryptografie & Verschlüsselung
10Multi-Faktor-Authentifizierung & sichere Kommunikation
👥
Personal & Ressourcen
7Cyber-Hygiene & Schulung
9Personalsicherheit & Zugangskontrolle

Das Leitungsorgan muss unterschreiben — und erneut unterschreiben

Ziffer 1.1.2 verlangt, dass die Leitlinie von den Leitungsorganen mindestens jährlich überprüft und gegebenenfalls aktualisiert wird, und zusätzlich immer dann, wenn erhebliche Sicherheitsvorfälle oder erhebliche Änderungen des Betriebs oder der Risiken eintreten. Das Ergebnis jeder Überprüfung muss dokumentiert werden.

Zwei praktische Konsequenzen.

Erstens ist „jährlich" eine Untergrenze, kein Terminplan. Eine Fusion, eine neue Cloud-Plattform, ein Ransomware-Vorfall bei einem wichtigen Lieferanten — jedes davon löst eine außerplanmäßige Überprüfung aus. Hat Ihr Kunde im März ein neues ERP eingeführt und die Leitlinie wurde zuletzt im Januar überprüft, ist das eine Lücke, die eine Aufsichtsbehörde mit einer Frage findet.

Zweitens ist die Überprüfung eine Tätigkeit der Leitung, keine IT-Tätigkeit. Der CISO kann sie vorbereiten. Das Leitungsorgan muss sie durchführen. Das ist der operative Ausdruck der persönlichen Verantwortlichkeit aus Artikel 20 — und der Grund, warum Sitzungsprotokolle zu Auditnachweisen geworden sind.

Mindestens eine Person muss direkt an die Leitung berichten

Ziffer 1.2.3 ist ein Satz mit großer Wirkung: Mindestens eine Person berichtet direkt an die Leitungsorgane in Fragen der Sicherheit von Netz- und Informationssystemen.

Für einen MSP ist das die Grenze, die Sie stellvertretend für Ihren Kunden nicht überschreiten können. Sie können das SOC betreiben, die Leitlinie schreiben, das Risikoregister pflegen und die Vorlage für die Leitung erstellen. Sie können nicht stellvertretend die Person sein, die an die Leitung berichtet, weil die Verantwortlichkeit in der Einrichtung liegt.

Ziffer 1.2.5 ergänzt die Trennung unvereinbarer Aufgaben, soweit anwendbar. Ziffer 1.2.4 räumt für kleinere Einrichtungen Realität ein: Sicherheit darf eine Aufgabe zusätzlich zu einer bestehenden Rolle sein statt einer dedizierten Funktion. Was sie nicht einräumt, ist das Fehlen der Aufgabe.

Der Risikomanagementrahmen ist ein Prozess, keine Tabelle

Anhang Ziffer 2.1.2 definiert den Cybersicherheits-Risikomanagementprozess in zehn Schritten. Einrichtungen müssen:

• Einer Risikomanagementmethodik folgen
• Ein Risikotoleranzniveau entsprechend der Risikobereitschaft festlegen
• Risikokriterien festlegen und pflegen
• Risiken im Sinne eines Allgefahrenansatzes identifizieren und dokumentieren, ausdrücklich einschließlich Dritter und Single Points of Failure
• Bedrohung, Eintrittswahrscheinlichkeit, Auswirkung und Risikoniveau analysieren, unter Nutzung von Cyber-Bedrohungsinformationen und Schwachstellendaten
• Risiken anhand der Kriterien bewerten
• Behandlungsoptionen identifizieren und priorisieren
• Die Umsetzung der Behandlungsmaßnahmen kontinuierlich überwachen
• Benennen, wer für jede Behandlungsmaßnahme verantwortlich ist und bis wann
• Behandlungsmaßnahmen in einem Risikobehandlungsplan dokumentieren, mit nachvollziehbarer Begründung für akzeptierte Restrisiken

Legen Sie diese Liste neben das durchschnittliche Kundenrisikoregister. Die meisten haben eine Risikoliste mit Rot-Gelb-Grün-Bewertung. Sehr wenige haben eine dokumentierte Methodik, ein festgelegtes Toleranzniveau, benannte Verantwortliche mit Fristen und eine schriftliche Begründung für Restrisiken.

Die Allgefahren-Anforderung ist zudem breiter, als die meisten Teams annehmen. Sie umfasst physische und umweltbedingte Bedrohungen, Lieferantenausfall und Personalausfall — nicht nur Cyberangriffe. Enthält Ihr Register nur Angriffsszenarien, erfüllt es 2.1.2(d) nicht. Insbesondere Drittparteienrisiken müssen im Register selbst erkennbar sein, und dort verbindet es sich mit den Lieferkettenpflichten nach Artikel 21(2)(d).

Ziffer 2.1.3 ergänzt eine Bedingung, die Berater begrüßen sollten: Bei der Priorisierung der Behandlung müssen Einrichtungen die Umsetzungskosten gegen den erwarteten Nutzen abwägen. Verhältnismäßigkeit steht in der Verordnung. Sie müssen nicht alles empfehlen — Sie müssen begründen, was Sie getan und was Sie unterlassen haben.

Restrisiko braucht einen Namen

Ziffer 2.1.1 ist der Satz, der Governance verändert: Ergebnisse der Risikobewertung und Restrisiken sind von den Leitungsorganen zu akzeptieren, oder von Personen, die verantwortlich und befugt sind, Risiken zu steuern, bei angemessener Berichterstattung an die Leitungsorgane.

Das ist eine Unterschriftsanforderung. „Die Leitung wurde informiert" ist keine Akzeptanz. Es muss eine Entscheidung geben, durch eine benannte verantwortliche Person, dokumentiert.

Ziffer 2.1.4 verlangt dann, Risikobewertung und Behandlungsplan in geplanten Abständen und mindestens jährlich zu überprüfen sowie nach erheblichen Vorfällen oder erheblichen Änderungen. Dieselbe Auslöserlogik wie bei der Leitlinienprüfung, angewandt auf das Register.

Compliance-Überwachung und unabhängige Überprüfung sind zwei verschiedene Dinge

Ziffer 2.2 verlangt eine regelmäßige Überprüfung der Einhaltung der eigenen Leitlinien, Standards und Regeln, mit regelmäßiger Berichterstattung an die Leitungsorgane über ein wirksames Compliance-Berichtssystem.

Ziffer 2.3 verlangt etwas völlig anderes: eine unabhängige Überprüfung des Ansatzes der Einrichtung zur Steuerung der Sicherheit — Menschen, Prozesse und Technologien — durchgeführt von Personen mit angemessener Auditkompetenz, die nicht der Weisungslinie des überprüften Bereichs unterstehen.

Wo eine Trennung aufgrund der Größe unmöglich ist, muss die Einrichtung alternative Maßnahmen zur Sicherstellung der Unparteilichkeit treffen. Auslassen ist keine Option.

Das ist die klarste kommerzielle Öffnung in Artikel 21(2)(a) für Berater und vCISOs. Eine wichtige Einrichtung mit zehn Beschäftigten kann keinen intern unabhängigen Prüfer stellen. Ein externer ist die alternative Maßnahme. Beachten Sie: 2.3 steht neben, nicht anstelle der Wirksamkeitsbewertung nach Artikel 21(2)(f) — Aufsichtsbehörden erwarten beides.

Die Aufsicht wartet nicht mehr

Der Druck kommt aus zwei Richtungen zugleich.

National: Die Niederlande gingen am 15. August 2026 mit dem Cyberbeveiligingswet live, mit 18 Sektoren und über 8.000 Einrichtungen. Das deutsche Registrierungsfenster schloss vor Monaten, während ein großer Teil der betroffenen Einrichtungen noch immer nicht registriert war. Österreich, Schweden, Polen und Portugal sind alle in Kraft.

Aus Brüssel: Am 8. Juli 2026 verwies die Europäische Kommission Irland, Spanien, Frankreich und die Niederlande wegen unvollständiger Umsetzung an den Gerichtshof der EU und beantragte finanzielle Sanktionen. Mitgliedstaaten, die langsam umsetzen, werden stark gedrängt — was historisch zu nationalen Behörden führt, die nach Inkrafttreten ihres Gesetzes Durchsetzungsaktivität zeigen wollen.

NIS2 Umsetzungsstatus nach Land (2025–2026)
✅
Vollständig in Kraft
🇧🇪Belgien
🇭🇷Kroatien
🇭🇺Ungarn
🇱🇹Litauen
🇱🇻Lettland
🇮🇹Italien
6 Länder
📋
Verabschiedet — Ende 2025
🇩🇪Deutschland
🇨🇿Tschechien
🇫🇮Finnland
3 Länder
⏳
In Bearbeitung — erwartet 2026
🇳🇱Niederlande
🇫🇷Frankreich
🇪🇸Spanien
🇵🇱Polen
🇦🇹Österreich
🇸🇪Schweden
🇮🇪Irland
7 Länder

Was passiert, wenn 21(2)(a) fehlt

Eine fehlende oder undatierte Leitlinie ist selten der Befund, der eine Prüfung beendet. Es ist der Befund, der eine beginnt. Ist die oberste Leitlinie nicht genehmigt, haben die darunterliegenden themenspezifischen Leitlinien kein Mandat. Hat das Risikoregister keine Methodik, wird jede nachgelagerte Kontrollentscheidung unbegründbar.

Von dort eskaliert das Aufsichtsinstrumentarium: verbindliche Anweisungen, verpflichtende Audits auf Kosten der Einrichtung, öffentliche Bekanntmachung der Nichteinhaltung, Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen und — für wesentliche Einrichtungen — die vorübergehende Untersagung von Leitungsfunktionen.

NIS2-Sanktionseskalation — Jenseits der Geldbuße
!
Auslöser
Non-Compliance erkannt oder Vorfall tritt ein
Eine Aufsichtsbehörde identifiziert eine Compliance-Lücke oder eine Organisation erfüllt die NIS2-Anforderungen nicht
Behörden können verhängen
▼
Nicht-finanzielle Sanktionen
1
Anordnungen mit bindenden Fristen
2
Verpflichtende Sicherheitsaudits auf eigene Kosten
3
Öffentliche Bekanntmachung von Verstößen
4
Bindende Anweisungen zu spezifischen Sicherheitsmaßnahmen
Eskaliert zu
▼
Betriebliche und persönliche Konsequenzen
1
Aussetzung von Zertifizierungen oder Betriebsgenehmigungen
2
Vorübergehendes Verbot von Leitungsfunktionen für Personen
3
Öffentliche Benennung verantwortlicher natürlicher Personen
Auslöser
Nicht-finanziell
Betrieblich / persönlich

Ein 30-Tage-Plan für Berater

Wenn Sie betroffene Kunden betreuen, liefert diese Reihenfolge am schnellsten belastbare Nachweise:

Tag 1–5. Holen Sie die aktuelle Sicherheitsleitlinie des Kunden. Prüfen Sie sie gegen die elf Inhalte in Ziffer 1.1.1. Die meisten scheitern an Ressourcen, Indikatoren und Genehmigungsdatum.

Tag 6–10. Klären Sie, ob jemand direkt an das Leitungsorgan zur Sicherheit berichtet. Falls nicht: benennen Sie diese Person und lassen Sie es protokollieren.

Tag 11–20. Bauen Sie das Risikoregister um 2.1.2 herum neu auf: dokumentierte Methodik, festgelegte Toleranz, Allgefahren-Umfang einschließlich Lieferanten und Single Points of Failure, benannte Verantwortliche, Fristen und schriftliche Restrisikobegründung.

Tag 21–25. Legen Sie Leitlinie und Risikobehandlungsplan dem Leitungsorgan vor. Holen Sie die förmliche Genehmigung ein, datiert und protokolliert.

Tag 26–30. Definieren Sie den Rhythmus der Compliance-Überwachung nach 2.2 und terminieren Sie die erste unabhängige Überprüfung nach 2.3, mit einem ausdrücklichen Hinweis, wie Unparteilichkeit sichergestellt wird.

Das erzeugt die zwei Artefakte, nach denen eine Aufsichtsbehörde zuerst fragt — mit dem Governance-Nachweis, dass sie echt sind.

Wenn Sie schnell einschätzen wollen, wo ein Kunde gegenüber Artikel 21 steht, bevor Sie einen Projektumfang festlegen, nutzen Sie den NIS2 Quick Scan. Er zeigt die Lücken in Minuten, damit Sie die Arbeit kalkulieren statt schätzen.

Die Kurzfassung

Artikel 21(2)(a) ist kein Dokumentationsaufwand. Es ist die Maßnahme, die jede andere Maßnahme begründbar macht. Eine Leitlinie mit elf definierten Inhalten und einer datierten Genehmigung der Leitung. Ein Risikorahmen mit Methodik, benannten Verantwortlichen und akzeptiertem Restrisiko. Compliance-Überwachung und eine unabhängige Überprüfung durch jemanden außerhalb der Weisungslinie.

Alles andere in Artikel 21 baut darauf auf. Bauen Sie das zuerst.