NIS2 ist seit Januar 2026 durch das NIS2UmsuCG verbindliches deutsches Recht. Die Registrierungsfrist beim BSI ist bereits abgelaufen. Für rund 29.000 deutsche Unternehmen bedeutet das: Wer Software betreibt, die kritische Geschäftsprozesse unterstützt, muss nachweisen können, dass diese Anwendungen technische Sicherheitsanforderungen erfüllen. Das Problem dabei: Die meisten Artikel erklären nur die rechtlichen Grundlagen von NIS2 – aber kaum jemand beschreibt, was das konkret für Softwarearchitektur, Backend-Systeme und bestehende Anwendungen bedeutet. Genau diese Lücke schließt dieser Leitfaden von LogioLegion. Wir zeigen praxisnah, welche technischen Maßnahmen Unternehmen jetzt in ihre Software integrieren müssen, um NIS2-konform zu werden.

---

Wen betrifft NIS2 – und welche Software fällt darunter?

NIS2 betrifft deutlich mehr Unternehmen als die frühere NIS-Richtlinie. Besonders viele mittelständische Unternehmen wurden erstmals regulatorisch erfasst.

Betroffen sind unter anderem:

• Maschinenbauunternehmen
• Lebensmittelproduzenten
• Logistikunternehmen
• Gesundheitsdienstleister
• Chemieunternehmen
• Digitale Dienstleister
• Forschungsunternehmen

Entscheidend sind dabei nicht nur Branche und Kritikalität, sondern auch Unternehmensgröße. Bereits Unternehmen mit 50 bis 249 Mitarbeitern oder 10 bis 50 Millionen Euro Jahresumsatz fallen häufig unter die Richtlinie.

Auch die betroffene Software wird oft unterschätzt.

Unter NIS2 fallen beispielsweise:

• ERP-Systeme
• CRM-Plattformen
• Produktionssteuerungssoftware
• Kundenportale
• Interne Verwaltungsanwendungen
• APIs zu Drittanbietern
• Cloudbasierte Plattformen

Wichtig: Nicht nur individuell entwickelte Anwendungen müssen geprüft werden. Auch eingekaufte Software und SaaS-Systeme müssen auf NIS2-Konformität bewertet werden.

Drei Fragen zur schnellen Einordnung

Eine Anwendung sollte unter NIS2 geprüft werden, wenn mindestens eine dieser Fragen mit „Ja“ beantwortet wird:

1. Unterstützt die Software kritische Geschäftsprozesse?
2. Verarbeitet die Anwendung sensible Unternehmens- oder Kundendaten?
3. Würde ein Ausfall der Software erhebliche operative oder wirtschaftliche Schäden verursachen?

Wenn mehrere Punkte zutreffen, ist eine technische NIS2-Prüfung praktisch unvermeidbar.

---

Die technischen NIS2-Anforderungen – übersetzt für Softwareentwickler

1. Zugangs- und Berechtigungsmanagement (Access Control)

Viele bestehende Unternehmensanwendungen erfüllen die neuen Anforderungen beim Berechtigungsmanagement nicht.

NIS2 verlangt ein konsequentes rollenbasiertes Zugriffsmodell (RBAC). Jeder Nutzer darf ausschließlich auf die Daten und Funktionen zugreifen können, die für seine Tätigkeit erforderlich sind.

Dazu gehören:

• Rollenbasierte Rechteverwaltung
• Trennung von Nutzer- und Adminrechten
• Nachvollziehbare Berechtigungsänderungen
• Temporäre Rechtevergaben
• Zugriffshistorien

Multi-Faktor-Authentifizierung (MFA) ist für administrative Zugänge und kritische Funktionen Pflicht.

Besonders problematisch sind häufig gemeinsam genutzte Admin-Accounts. NIS2-konforme Systeme benötigen stattdessen eindeutige Benutzeridentitäten mit vollständiger Protokollierung.

Zusätzlich sollten Anwendungen implementieren:

• Session-Timeouts
• Automatisches Logout bei Inaktivität
• IP-basierte Zugriffskontrollen
• Login-Rate-Limiting
• Gerätevalidierung

Privileged Access Management (PAM) wird besonders für größere Unternehmen relevant. Administrative Zugriffe müssen gesondert abgesichert und vollständig protokolliert werden.

2. Verschlüsselung und Datenschutz

NIS2 verlangt keinen bestimmten Technologieanbieter, aber klare technische Mindeststandards.

Für Datenübertragungen sollte TLS 1.3 als Mindeststandard gelten. Das betrifft:

• Webanwendungen
• Mobile Apps
• APIs
• Interne Services
• Datenbankverbindungen

Auch Daten in Ruhe („at Rest“) müssen verschlüsselt werden.

Empfohlen wird AES-256 für:

• Personenbezogene Daten
• Kundendaten
• Zugangsdaten
• Geschäftskritische Informationen
• Backups

Viele Unternehmen verschlüsseln zwar Datenbanken, vergessen aber sensible Einzelfelder wie:

• API-Tokens
• Session-Daten
• Zugangsschlüssel
• Interne Konfigurationsdaten

Ebenso wichtig ist die Schlüsselverwaltung.

Encryption Keys sollten niemals direkt im Anwendungscode gespeichert werden. Stattdessen empfehlen sich Systeme wie:

• AWS KMS
• Azure Key Vault
• Hardware Security Modules (HSM)

Auch Backup-Strategien müssen angepasst werden. Backups sollten verschlüsselt und getrennt vom Primärsystem gespeichert werden.

3. Audit-Logging und Nachvollziehbarkeit

Audit-Logging gehört zu den zentralen technischen NIS2-Anforderungen.

Die Software muss nachvollziehbar dokumentieren können:

• Wer auf welche Daten zugegriffen hat
• Wann Änderungen vorgenommen wurden
• Welche Berechtigungen geändert wurden
• Welche Fehler aufgetreten sind
• Welche administrativen Aktionen durchgeführt wurden

Typische Log-Ereignisse umfassen:

• Login und Logout
• Passwortänderungen
• Rollenänderungen
• API-Zugriffe
• Datenexporte
• Fehlgeschlagene Login-Versuche
• Löschvorgänge

Besonders wichtig: Logs müssen manipulationssicher sein.

Kein Nutzer – auch kein Administrator – sollte Logs einfach löschen oder verändern können. Moderne Systeme arbeiten deshalb mit:

• Append-only-Logging
• Write-once-Speicher
• Immutable Storage
• Hash-basierter Verifikation

Die Aufbewahrungsdauer hängt vom jeweiligen Risiko und aktuellen BSI-Empfehlungen ab. Viele Unternehmen orientieren sich derzeit an mindestens 12 Monaten.

Logs sollten außerdem exportierbar sein für SIEM-Systeme wie:

• Splunk
• Microsoft Sentinel
• Elastic SIEM

Ohne SIEM-Integration verlieren Audit-Logs einen Großteil ihres operativen Nutzens.

4. Incident Detection und automatische Meldung

NIS2 verlangt nicht nur Schutzmaßnahmen, sondern auch aktive Erkennung von Sicherheitsvorfällen.

Moderne Anwendungen sollten deshalb ungewöhnliche Ereignisse automatisch erkennen können.

Dazu gehören:

• Wiederholte fehlgeschlagene Logins
• Zugriffe außerhalb üblicher Arbeitszeiten
• Auffällige Datenmengen
• Verdächtige API-Aufrufe
• Ungewöhnliche Standortwechsel
• Rechteeskalationen

Automatische Alerts müssen an das Sicherheitsteam weitergeleitet werden.

Immer mehr Unternehmen ergänzen klassische Regeln inzwischen durch KI-gestützte Anomalieerkennung. Einen Überblick über aktuelle Modelle bietet unser Leitfaden zu den besten KI-Agenten-Modellen 2026.

Besonders relevant wird dabei die BSI-Meldepflicht.

Erhebliche Sicherheitsvorfälle müssen:

• Innerhalb von 24 Stunden als Frühwarnung gemeldet werden
• Innerhalb von 72 Stunden mit vollständigem Bericht nachgereicht werden

Die Software sollte deshalb Vorfälle automatisch vorstrukturieren können.

Sinnvoll sind beispielsweise:

• Automatische Incident-Tickets
• Exportierbare Vorfallsberichte
• Zeitstempel-Protokolle
• Ereignischronologien
• Betroffenenanalysen

Das reduziert den manuellen Aufwand im Ernstfall erheblich.

5. Lieferketten-Risikomanagement (Supply Chain Security)

Viele Unternehmen unterschätzen die Anforderungen an Drittanbieter und externe Entwicklungspartner.

NIS2 verlangt ausdrücklich die Bewertung von Lieferkettenrisiken.

In der Praxis bedeutet das:

• Dokumentation aller externen APIs
• Bewertung von SaaS-Anbietern
• Sicherheitsprüfungen von Cloud-Diensten
• Prüfung von Open-Source-Abhängigkeiten
• Sicherheitsanforderungen an Entwicklungspartner

Gerade bei extern entwickelter Software sollten Unternehmen vertraglich festhalten:

• Sicherheitsstandards
• Verschlüsselungsvorgaben
• Logging-Anforderungen
• Incident-Prozesse
• AVV-Regelungen

Auch Softwarebibliotheken und Frameworks müssen regelmäßig geprüft und aktualisiert werden.

---

NIS2-Anforderungen in bestehende Software einbauen – oder neu entwickeln?

Nicht jede bestehende Anwendung muss ersetzt werden.

In vielen Fällen ist eine Nachrüstung wirtschaftlich sinnvoll.

Nachrüstung sinnvoll wenn:

• Die bestehende Codebase modular aufgebaut ist
• Die Software gut dokumentiert wurde
• Nur einzelne Sicherheitsmodule fehlen
• Das Backend technisch modern genug ist
• Die Anwendung aktiv gepflegt wird

Typische Nachrüstungen umfassen:

• MFA
• Audit-Logging
• Rollenmanagement
• Verschlüsselung
• SIEM-Anbindung

Der Zeitrahmen liegt meist zwischen sechs und zwölf Wochen.

Neuentwicklung sinnvoll wenn:

• Die Anwendung monolithisch aufgebaut ist
• Sicherheitsfunktionen komplett fehlen
• Die Dokumentation unvollständig ist
• Veraltete Frameworks eingesetzt werden
• Mehrere Kernanforderungen gleichzeitig fehlen

Wenn Logging, Verschlüsselung und Berechtigungsmanagement gleichzeitig fehlen, wird eine Nachrüstung oft teurer als eine saubere Neuentwicklung.

Gerade ältere Eigenentwicklungen verursachen hier hohe Folgekosten.

---

Was kostet es, NIS2-Compliance in Software einzubauen?

NIS2-Audit und Gap-Analyse bestehender Software

Leistungsumfang:

• Analyse der bestehenden Codebase
• Prüfung gegen NIS2-Anforderungen
• Risikoanalyse
• Priorisierung kritischer Lücken
• Handlungsempfehlungen

Laufzeit: 2–3 Wochen
Kosten: 4.000 € – 9.000 €

NIS2-Compliance-Nachrüstung (bestehende Anwendung)

Leistungsumfang:

• MFA-Integration
• Audit-Logging
• Verschlüsselung
• Incident-Alerts
• SIEM-Anbindung

Laufzeit: 6–12 Wochen
Kosten: 12.000 € – 35.000 €

NIS2-konforme Neuentwicklung

Leistungsumfang:

• Vollständige Sicherheitsarchitektur
• RBAC-System
• Verschlüsselung
• SIEM-Integration
• Incident Reporting
• Dokumentation
• Monitoring

Laufzeit: 14–28 Wochen
Kosten: 35.000 € – 95.000 €+

Kostenloses Erstgespräch vereinbaren – LogioLegion analysiert Ihre aktuelle Softwarelandschaft und erstellt einen konkreten NIS2-Umsetzungsplan.

---

In 5 Schritten zur NIS2-konformen Software mit LogioLegion

1. Gap-Analyse

Wir prüfen bestehende Anwendungen gegen die technischen NIS2-Anforderungen. Dabei identifizieren wir kritische Sicherheitslücken und priorisieren Risiken.

2. Priorisierungsplan

Nicht jede Lücke ist gleich kritisch. Systeme mit hohem Risiko oder regulatorischer Relevanz werden zuerst abgesichert.

3. Entwicklung in Sprints

Neue Sicherheitsmodule werden iterativ integriert. Wöchentliche Demos sorgen dafür, dass Fachabteilungen und IT jederzeit Transparenz behalten.

4. Dokumentation

Für Audits und BSI-Prüfungen benötigt jedes Unternehmen belastbare technische Dokumentation. Deshalb dokumentieren wir Architektur, Sicherheitsmaßnahmen und Prozesse vollständig.

5. Monitoring-Setup

Wir integrieren Logging, SIEM-Anbindung und automatische Alerts. Zusätzlich erstellen wir Vorlagen für Incident- und BSI-Meldeprozesse.

---

5 häufige Fehler bei der NIS2-Umsetzung in Software

NIS2 als Datenschutzprojekt behandeln statt als Softwarearchitektur-Aufgabe

Viele Unternehmen konzentrieren sich ausschließlich auf DSGVO-Dokumentation. Die eigentlichen technischen Anforderungen bleiben dadurch unzureichend umgesetzt.

Logging nachträglich einbauen statt von Anfang an zu planen

Audit-Logging greift tief in die Architektur ein. Nachträgliche Integration verursacht oft ein Vielfaches der ursprünglichen Entwicklungskosten.

MFA nur für externe Nutzer implementieren, interne Admin-Accounts vergessen

Interne Administrationszugänge gehören zu den häufigsten Angriffspunkten. Genau diese Konten bleiben in älteren Systemen oft unzureichend abgesichert.

SIEM-Integration ignorieren

Logs allein reichen nicht aus. Ohne zentrale Auswertung und Alarmierung bleiben Sicherheitsvorfälle häufig unentdeckt.

Lieferketten-Risiken nicht dokumentieren

NIS2 verlangt Nachweise über Drittanbieter und externe Dienstleister. Fehlende Dokumentation kann bei Prüfungen problematisch werden.

---

Warum LogioLegion der richtige Partner für Ihre NIS2-konforme Software ist

LogioLegion entwickelt sichere Webplattformen, Business-Anwendungen und Backend-Systeme für Unternehmen in Europa und der GCC-Region. Unsere Teams arbeiten mit React, Next.js, Node.js und Laravel – Technologien, die sich besonders gut für Audit-Logging, rollenbasierte Zugriffssysteme, Verschlüsselung und SIEM-Integrationen eignen.

DSGVO-konforme Entwicklung gehört bei uns bereits zum Standard. Dadurch lassen sich viele NIS2-Anforderungen strukturiert in bestehende oder neue Anwendungen integrieren. Unternehmen erhalten klare Projektstrukturen, vollständige technische Dokumentation und transparente Festpreisangebote für NIS2-Projekte.

Ob Nachrüstung bestehender Anwendungen oder vollständige Neuentwicklung: Wir unterstützen Unternehmen dabei, technische Compliance-Anforderungen sauber und nachvollziehbar umzusetzen.

---

Fazit

NIS2 ist kein einmaliges Compliance-Projekt, sondern eine dauerhafte Anforderung an die technische Qualität Ihrer Software. Unternehmen, die jetzt handeln, reduzieren ihr Cyberrisiko, vermeiden Bußgelder und schaffen eine belastbare digitale Infrastruktur für die kommenden Jahre.

Die größte Herausforderung liegt nicht in der Theorie, sondern in der technischen Umsetzung innerhalb bestehender Anwendungen und Prozesse.

Bereit, Ihre Software NIS2-konform zu machen? Vereinbaren Sie jetzt ein kostenloses Erstgespräch mit LogioLegion – wir analysieren Ihre Codebase und erstellen innerhalb von 5 Werktagen einen konkreten Umsetzungsplan.