NIS2 in der öffentlichen Verwaltung: Was eine Masterarbeit aus unserem Team für die Praxis zeigt

Warum NIS2 öffentliche Organisationen betrifft

Die zunehmende Digitalisierung und die wachsende Zahl von Cyberangriffen stellen öffentliche Organisationen vor enorme Herausforderungen. Die EU hat darauf mit der NIS2-Richtlinie reagiert, die Ende 2022 verabschiedet wurde. Ihr Ziel ist ein hohes gemeinsames Cybersicherheitsniveau in der gesamten EU. Gegenüber der Vorgängerrichtlinie NIS1 erweitert sie den Kreis der verpflichteten Organisationen erheblich.

Öffentliche Verwaltungen sind zentrale Akteure der Daseinsvorsorge. Sie verwalten sensible Daten, erteilen Genehmigungen und sind oft eng mit Versorgungsbetrieben wie Wasser- oder Energieversorgern verknüpft. NIS2 verpflichtet deshalb nicht nur große Unternehmen, sondern ausdrücklich auch Einrichtungen der öffentlichen Verwaltung – insbesondere auf zentraler und regionaler Ebene – zu umfassenden Sicherheitsmaßnahmen. Dazu gehören unter anderem Risikomanagement, Notfallpläne, Cyberhygiene, Zugriffskontrollen und die Sicherheit der Lieferkette.

Wer in Deutschland konkret betroffen ist

In Deutschland ist das NIS2-Umsetzungsgesetz am 6. Dezember 2025 in Kraft getreten. Es verpflichtet direkt vor allem die Bundesverwaltung. Für Landes- und Kommunalverwaltungen sind die Länder zuständig, die eigene Regelungen treffen. Kommunale Unternehmen wie Stadtwerke, Wasserversorger oder IT-Dienstleister können dagegen unmittelbar unter das Gesetz fallen, wenn sie in einem der erfassten Sektoren tätig sind und die Schwellenwerte erreichen.

Für die Praxis heißt das: Prüfen Sie früh, welche Regeln für Ihre Organisation und Ihre Beteiligungen gelten. Und auch wer formal nicht verpflichtet ist, profitiert von den NIS2-Maßnahmen – Angreifer unterscheiden nicht danach, wer unter welches Gesetz fällt.

Die Masterarbeit: Fragestellung und Vorgehen

Janek Grafenburg hat in seiner Masterarbeit „NIS2-Richtlinie: Auswirkungen auf die IT-Security-Strategie öffentlicher Organisationen“ zwei zentrale Fragen untersucht:

1. Inwieweit fallen öffentliche Organisationen unter NIS2?
2. Wie können die vorgeschriebenen Maßnahmen zielführend umgesetzt werden?

Methodisch stützt sich die Arbeit auf Design Science Research (DSR). Dieser Ansatz entwickelt ein konkretes Artefakt – hier ein Framework – und bewertet es anschließend. Grundlage waren eine systematische Literaturrecherche und Interviews mit Expertinnen und Experten, die praxisnahe Einschätzungen beisteuerten.