NIS2 mit Excel: Wann die Tabelle nicht mehr reicht

Die meisten NIS2-Projekte im Mittelstand beginnen in einer Tabelle. Das ist kein Fehler, sondern der schnellste Weg zu einem ersten Überblick: Wer NIS2 mit Excel startet, hat nach zwei Wochen eine Asset-Liste, eine Gap-Analyse und eine Reihenfolge, in der gearbeitet wird. Der Bruch kommt später, mit den Anforderungen des Gesetzes: Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beziffert die Zahl der registrierungspflichtigen Unternehmen und Einrichtungen der Bundesverwaltung auf etwa 29.500. Für sie gilt das NIS2-Umsetzungsgesetz seit dem 6. Dezember 2025 und es verlangt keinen Projektabschluss, sondern eine dauerhafte NIS2 Nachweispflicht: einen Zustand, der jederzeit belegbar bleibt.

NIS2 mit Excel: Wofür die Tabelle reicht

Am Anfang eines NIS2-Projekts geht es um eine Momentaufnahme: Wo stehen wir, was fehlt, was kostet es? Auf diese Fragen liefert NIS2 mit Excel schnell brauchbare Antworten, ohne Einführungsprojekt und für jeden im Unternehmen lesbar.

Vier Aufgaben lassen sich sauber in Excel erledigen:

• Die Betroffenheitsprüfung samt Begründung dokumentieren
• Ein erstes Asset-Inventar aufbauen, Aufwand rund 20 bis 40 Stunden
• Eine Gap-Analyse gegen die Anforderungsbereiche führen, je Bereich mit Ist-Stand, Lücke, Kritikalität und geschätztem Aufwand
• Eine Roadmap mit Prioritäten, Verantwortlichen und Terminen ableiten

Auch Word hat hier seinen Platz. Eine Informationssicherheitsleitlinie als Word-Dokument ist unproblematisch, solange erkennbar bleibt, welche Fassung gilt und wer sie freigegeben hat. Die erste Risikoanalyse kostet ohne bestehendes Managementsystem 40 bis 80 Stunden. Diese Zeit geht in die Inhalte, nicht in die Werkzeugauswahl. In dieser Phase ist NIS2 mit Excel eine vernünftige Entscheidung.

Der Punkt, an dem NIS2 die Tabelle überholt

Die Pflichten stehen in § 30 Absatz 2 BSIG, den das NIS2-Umsetzungsgesetz eingeführt hat. Das BSI formuliert die Kernanforderung so: Unternehmen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen zu ergreifen und zu dokumentieren.

Wirksam heißt, dass die Wirksamkeit der Maßnahmen regelmäßig bewertet werden muss; sie ist einer der zehn Mindestbereiche des Gesetzes. Dokumentieren heißt, dass der Nachweis nicht im Ergebnis liegt, sondern im Weg dorthin. Die Verantwortung für Umsetzung und Überwachung liegt laut BSI bei der Geschäftsleitung.

Damit verschiebt sich die Aufgabe. Aus einer Liste, die abgearbeitet wird, wird ein Regelkreis, der laufen muss. Eine Tabelle kann einen Zustand abbilden. Einen Prozess kann sie nicht führen. Das ist der eigentliche Einwand gegen NIS2 mit Excel: nicht die Datei selbst, sondern der fehlende Regelkreis um sie herum.

Sechs Bruchstellen bei NIS2 mit Excel

Wer NIS2 mit Excel dauerhaft führt, stößt an immer dieselben Stellen.

Keine Versionierung, kein Audit-Trail

Wer hat wann welche Risikobewertung geändert, und mit welcher Begründung? In der Tabelle steht am Ende nur das Ergebnis. Bei einer Prüfung ist die Frage nach dem Weg dorthin Standard. Dem BSI stehen dafür regelmäßige Berichterstattung, Audits und unangekündigte Vor-Ort-Kontrollen zur Verfügung.

Verantwortlichkeiten ohne Verbindlichkeit

In der Spalte „Verantwortlich“ steht ein Name. Ob die Person davon weiß, ob sie die Aufgabe angenommen hat und was bei einem Personalwechsel passiert, steht dort nicht. Aufgaben ohne Zusage und ohne Eskalationsweg bleiben liegen.

Fristen, an die niemand erinnert

NIS2 arbeitet mit Wiederholungen. Interne Audits sind mindestens jährlich fällig, Management-Reviews quartalsweise empfohlen, die Risikoanalyse mindestens jährlich zu aktualisieren, Zugriffsrechte quartalsweise zu prüfen. Eine Tabelle erinnert an keinen dieser Termine. Die Wiedervorlagen liegen in den Kalendern einzelner Personen, und dort enden sie auch.

Doppelpflege über drei Listen

Assets, Risiken und Maßnahmen hängen zusammen: Ein Asset trägt Risiken, ein Risiko wird durch Maßnahmen behandelt, eine Maßnahme braucht ihre Begründung aus dem Risiko. In getrennten Dateien muss jede Änderung an drei Stellen nachgezogen werden. Nach einigen Monaten weichen die Listen voneinander ab, und es ist nicht mehr entscheidbar, welche stimmt.

Meldepflicht unter Zeitdruck

Bei einem erheblichen Sicherheitsvorfall gelten die drei Meldefristen des BSI: 24 Stunden für die Erstmeldung, 72 Stunden für die Meldung mit erster Bewertung, 30 Tage für die Abschlussmeldung. Wird ein Vorfall am Samstagabend entdeckt, läuft die erste Frist am Sonntagabend ab. In diesen Stunden entscheidet sich, ob die betroffenen Systeme, die Kontaktstelle und die Meldevorlage auffindbar sind oder erst zusammengesucht werden.

Bericht an die Leitung

Die Geschäftsleitung muss Maßnahmen billigen und die Umsetzung überwachen. Dafür braucht sie einen Status, der nicht aus vier Dateien zusammengerechnet werden muss. Wo der Bericht Handarbeit ist, entsteht er selten. Und ein Projekt, nach dem die Geschäftsführung nicht mehr fragt, schläft ein.

Als siebte Bruchstelle kommt die Lieferkette hinzu, weil Bewertungen von Lieferanten und Dienstleistern wiederholt und belegt werden müssen. Wie sich das Lieferkettenrisiko unter NIS2 steuern lässt, behandelt ein eigener Beitrag im SAVISCON-Blog.

Fünf Fragen, die den Kipppunkt zeigen

Ob NIS2 mit Excel bei Ihnen noch trägt, klärt sich an fünf Fragen:

1. Können Sie zu einer Maßnahme sagen, wer sie wann freigegeben hat, ohne jemanden zu fragen?
2. Wissen Sie heute, welche Reviews in den nächsten 30 Tagen fällig sind?
3. Ist jedem hoch bewerteten Risiko eine Maßnahme zugewiesen, mit Termin und Verantwortlichem?
4. Könnten Sie in zwei Stunden einen belastbaren Statusbericht für die Geschäftsführung erzeugen?
5. Ist die Risikobewertung von vor zwölf Monaten heute noch nachvollziehbar?

Zweimal Nein ist ein Signal, dreimal Nein ein Befund. Ein in Tabellen geführtes Managementsystem ist nach etwa einem Jahr veraltet, weil seine Pflege ohne Erinnerungen und Freigabewege an einzelnen Personen hängt.

Von der Pflichtliste zur Steuerungsaufgabe

NIS2 als Compliance-Pflicht abzuarbeiten gehört zu den häufigsten Missverständnissen bei NIS2 und führt zu einem Ordner, der einmal vollständig war. NIS2 als Steuerungsaufgabe zu führen heißt, vier Dinge dauerhaft zu betreiben:

• Einen Regelkreis aus Planen, Umsetzen, Prüfen und Anpassen, nicht nur die ersten zwei Schritte
• Einen festen Berichtsrhythmus an die Geschäftsführung, monatlich statt jährlich
• Nachweise, die im Moment ihrer Entstehung festgehalten werden und nicht rückwirkend
• Eine Stelle, die Änderungen aufnimmt: neue Systeme, neue Prozesse, neue Dienstleister

Die Kostenfrage lässt sich dabei rechnen. Eine ISMS- oder GRC-Software liegt bei 5.000 bis 30.000 Euro pro Jahr, ein externer Berater bei 1.200 bis 1.800 Euro pro Tag. Wer die Pflege manuell leistet, zahlt sie in Arbeitszeit: Ein internes Audit bindet 16 bis 40 Stunden im Jahr, die Prüfung von Zugriffsrechten 8 bis 16 Stunden pro Quartal.

Mit ersten systematischen BSI-Prüfungen wird ab 2027 gerechnet. Bis dahin entscheidet sich, ob im Unternehmen eine Historie entstanden ist oder eine Tabelle. NIS2 mit Excel zu starten ist vertretbar. NIS2 mit Excel zu steuern ist es nicht.

Wie die SAVISCON unterstützt

Das GRC-COCKPIT führt Risikobewertung, Maßnahmenverfolgung, Richtlinien und Reporting in einer Oberfläche zusammen. Freigaben, Änderungen und Wiedervorlagen bleiben nachvollziehbar, der Status für die Geschäftsführung entsteht aus den laufenden Daten. Wer NIS2 mit Excel begonnen hat, fängt dabei nicht neu an: Asset-Listen, Risikobewertungen und Maßnahmen lassen sich übernehmen. Wer vorher wissen will, wo das eigene Unternehmen steht, kann mit der SAVISCON ein NIS2-Assessment zum Festpreis durchführen.

Sie haben mit der NIS2 Umsetzung noch nicht begonnen? Mit dem NIS2 Kickstart beginnen Sie nicht bei 0.

Dieser Beitrag wurde teilweise mit Unterstützung von KI erstellt und redaktionell überarbeitet.