Ist mein Unternehmen von NIS2 betroffen?

Das hängt an zwei Fragen. Erstens: Arbeiten Sie in einem Sektor aus Anhang I oder II der Richtlinie? Dazu zählen etwa Energie, Transport, Gesundheit, digitale Infrastruktur, Herstellung bestimmter Güter, Abfall oder Lebensmittel. Zweitens: Sind Sie mindestens ein mittleres Unternehmen? Das heißt in der Regel ab 50 Beschäftigten oder mehr als 10 Mio. Euro Jahresumsatz und Bilanzsumme. Für einige Einrichtungen gilt NIS2 unabhängig von der Größe. In der Betroffenheitsprüfung klären wir das verbindlich für Ihre konkrete Tätigkeit.

Was verlangt NIS2 inhaltlich?

Artikel 21 fordert passende technische und organisatorische Maßnahmen gegen Risiken. Dazu gehören unter anderem: Risikoanalyse und Sicherheitskonzepte, Umgang mit Vorfällen, Notfall- und Krisenplanung, Sicherheit in der Lieferkette und das Schließen von Schwachstellen. Auch Verschlüsselung, Zugriffsrechte, Schulungen und die Anmeldung mit zweitem Faktor (MFA) zählen dazu. Hinzu kommen Meldepflichten bei erheblichen Vorfällen und die Registrierung bei der zuständigen Behörde.

Welche Meldefristen gelten bei einem Sicherheitsvorfall?

Die Richtlinie sieht drei Stufen vor. Eine Frühwarnung folgt binnen 24 Stunden, nachdem Sie von einem erheblichen Vorfall wissen. Binnen 72 Stunden folgt eine Meldung mit erster Bewertung. Der Abschlussbericht ist nach einem Monat fällig. Damit das im Ernstfall klappt, müssen Zuständigkeiten, Vorlagen und Entscheidungswege vorher feststehen.

Haftet die Geschäftsleitung persönlich?

NIS2 nimmt die Leitung ausdrücklich in die Pflicht. Nach § 38 BSIG muss die Geschäftsleitung die Maßnahmen gegen Risiken umsetzen und überwachen. Sie muss auch regelmäßig an Schulungen teilnehmen. Verletzt sie diese Pflichten schuldhaft und entsteht dem Unternehmen ein Schaden, haftet sie nach dem jeweiligen Gesellschaftsrecht. Wir bereiten die Geschäftsleitung so vor, dass sie diese Rolle nachweisbar wahrnimmt.

Reicht eine ISO-27001-Zertifizierung für NIS2?

Ein ISMS nach ISO 27001 deckt einen großen Teil von Artikel 21 ab. Es ist eine sehr gute Grundlage. Es ersetzt aber nicht automatisch alles. Meldewege, Registrierung und Pflichten der Leitung prüfen wir gesondert. Das gilt auch für einzelne Maßnahmen wie MFA oder die Sicherheit der Lieferkette. Eine Zuordnung zeigt Ihnen, was schon abgedeckt ist und wo etwas fehlt.

Was kostet die NIS2-Beratung?

Das hängt von Größe, Branche und Ihrem heutigen Stand ab. Zuerst gibt es ein kostenloses Gespräch. Danach erhalten Sie ein Angebot mit klar getrennten Paketen. Preise auf Anfrage.

IT Security Management Systeme

NIS2 · BSIG · Meldepflichten

NIS2 Beratung: von der Betroffenheit bis zur Umsetzung.

Wir klären, ob und wie NIS2 Ihr Unternehmen betrifft. Wir zeigen die Lücken zu Artikel 21. Dann setzen wir die Maßnahmen mit Ihnen um. Meldewege und Schulung der Geschäftsleitung gehören dazu.

Betroffenheit prüfen lassen Vorgehen ansehen

24 h

Frühwarnung bei erheblichen Vorfällen

72 h

Meldung mit erster Bewertung

§ 30 BSIG

Maßnahmen gegen Risiken

§ 38 BSIG

Pflichten der Geschäftsleitung

Was NIS2 für Ihr Unternehmen bedeutet

Die NIS2-Richtlinieder EU gilt für deutlich mehr Unternehmen als bisher. Sie alle müssen feste Regeln zur IT-Sicherheit erfüllen. Betroffen sind jetzt auch viele Mittelständler, nicht mehr bloß klassische KRITIS-Betreiber. Das betrifft Sektoren wie Energie, Transport, Gesundheit, digitale Dienste, Herstellung, Abfall oder Lebensmittel.

Wer betroffen ist, muss passende Maßnahmen gegen Risiken umsetzen. Erhebliche Vorfälle müssen in engen Fristen gemeldet werden. Außerdem ist eine Registrierung bei der Behörde nötig. Die Verantwortung liegt ausdrücklich bei der Geschäftsleitung. Viele Firmen spüren NIS2 auch indirekt. Ihre Kunden sind betroffen und geben die Pflichten über die Lieferkette weiter.

In Deutschland gilt NIS2 seit dem 6. Dezember 2025. Grundlage sind das NIS2-Umsetzungsgesetz und das neu gefasste BSI-Gesetz (BSIG). Wer betroffen ist, welche Fristen gelten und wie hoch Bußgelder sein können, fasst unser NIS2-Überblick zusammen.

Unsere NIS2-Beratung im Überblick

Sechs Bausteine. Sie entscheiden, welche Sie selbst übernehmen.

Betroffenheitsprüfung

Wir prüfen Sektor, Tätigkeit und Größe nach der Richtlinie und dem deutschen Gesetz. Sie erhalten schriftlich, ob Sie betroffen sind und als welche Art von Einrichtung.

Gap-Analyse nach Artikel 21

Wir gleichen Ihre Maßnahmen mit jeder Pflicht aus Artikel 21 ab. Sie erhalten eine Liste der Lücken, nach Dringlichkeit sortiert. Kein Katalog, in dem alles gleich wichtig ist.

Risikomanagement und ISMS

Wir bauen ein ISMS auf oder erweitern es. Es bildet den Rahmen für die NIS2-Maßnahmen. Auf Wunsch ist es reif für eine Zertifizierung nach ISO 27001.

Melde- und Vorfallprozess

Zuständigkeiten, Eskalationswege und Vorlagen für die Fristen von 24 und 72 Stunden und einem Monat. Geübt, bevor es ernst wird, und abgestimmt mit Ihrer Notfallreaktion.

Lieferkette und Dienstleister

Wir finden Ihre wichtigsten Lieferanten. Sicherheitsvorgaben kommen in die Verträge und werden regelmäßig geprüft. Geordnet, statt per Rundmail mit Fragebogen.

Schulung der Geschäftsleitung

Die Leitung muss die Maßnahmen billigen, überwachen und sich regelmäßig schulen lassen. Wir liefern die Schulung und die Nachweise dazu.

So setzen wir NIS2 mit Ihnen um

Sechs Schritte, die aufeinander aufbauen. Die Dauer hängt von Größe und Ihrem Stand ab. Wir schätzen sie nach der Gap-Analyse.

Betroffenheit klären

Sind Sie betroffen? Und wenn ja, als wesentliche oder wichtige Einrichtung? Davon hängen Aufsicht und mögliche Strafen ab.

Gap-Analyse

Wir vergleichen Ihren Stand mit Artikel 21 und den Pflichten zu Meldung und Leitung. Ergebnis ist eine sortierte Liste der Lücken mit grober Schätzung des Aufwands.

Registrierung und Governance

Wir bereiten die Registrierung bei der Behörde vor und benennen Rollen. Die Geschäftsleitung gibt die Leitlinie frei.

Maßnahmen umsetzen

Die dringendsten Lücken zuerst schließen. Organisatorisch und technisch, mit Ihrem Team, Ihren Dienstleistern oder mit uns.

Meldeprozess üben

Wir spielen einen echten Vorfall durch. Wer entscheidet? Wer meldet? Was steht in der Frühwarnung?

Nachweisen und fortführen

Dokumentation, internes Audit und Bewertung durch die Leitung. So belegen Sie Behörde, Kunden und Versicherern, was Sie tun.

Was Sie erhalten

Schriftliches Ergebnis der Betroffenheitsprüfung
Gap-Analyse mit sortiertem Maßnahmenplan nach Artikel 21
Zuordnung der NIS2-Pflichten zu Ihren bestehenden Maßnahmen (z. B. ISO 27001)
Melde- und Eskalationsprozess mit Vorlagen für alle Fristen
Schulungsnachweise für die Geschäftsleitung
Dokumentation, die gegenüber Aufsicht und Kunden standhält

ISMS als Fundament

Ein ISMS nach ISO 27001 deckt einen großen Teil von Artikel 21 ab. So haben Sie NIS2 dauerhaft im Griff. Es bleibt kein einmaliges Projekt.

ISO 27001 Beratung

Wenn der Vorfall eintritt

Die Meldefristen laufen ab dem Moment, in dem Sie vom Vorfall wissen. Unser Notfallteam (Incident Response) hilft, den Schaden einzudämmen. Es sichert Spuren und bereitet die Meldungen vor.

Incident Response

Häufig gestellte Fragen zu NIS2

Ist mein Unternehmen von NIS2 betroffen?: Das hängt an zwei Fragen. Erstens: Arbeiten Sie in einem Sektor aus Anhang I oder II der Richtlinie? Dazu zählen etwa Energie, Transport, Gesundheit, digitale Infrastruktur, Herstellung bestimmter Güter, Abfall oder Lebensmittel. Zweitens: Sind Sie mindestens ein mittleres Unternehmen? Das heißt in der Regel ab 50 Beschäftigten oder mehr als 10 Mio. Euro Jahresumsatz und Bilanzsumme. Für einige Einrichtungen gilt NIS2 unabhängig von der Größe. In der Betroffenheitsprüfung klären wir das verbindlich für Ihre konkrete Tätigkeit.
Was verlangt NIS2 inhaltlich?: Artikel 21 fordert passende technische und organisatorische Maßnahmen gegen Risiken. Dazu gehören unter anderem: Risikoanalyse und Sicherheitskonzepte, Umgang mit Vorfällen, Notfall- und Krisenplanung, Sicherheit in der Lieferkette und das Schließen von Schwachstellen. Auch Verschlüsselung, Zugriffsrechte, Schulungen und die Anmeldung mit zweitem Faktor (MFA) zählen dazu. Hinzu kommen Meldepflichten bei erheblichen Vorfällen und die Registrierung bei der zuständigen Behörde.
Welche Meldefristen gelten bei einem Sicherheitsvorfall?: Die Richtlinie sieht drei Stufen vor. Eine Frühwarnung folgt binnen 24 Stunden, nachdem Sie von einem erheblichen Vorfall wissen. Binnen 72 Stunden folgt eine Meldung mit erster Bewertung. Der Abschlussbericht ist nach einem Monat fällig. Damit das im Ernstfall klappt, müssen Zuständigkeiten, Vorlagen und Entscheidungswege vorher feststehen.
Haftet die Geschäftsleitung persönlich?: NIS2 nimmt die Leitung ausdrücklich in die Pflicht. Nach § 38 BSIG muss die Geschäftsleitung die Maßnahmen gegen Risiken umsetzen und überwachen. Sie muss auch regelmäßig an Schulungen teilnehmen. Verletzt sie diese Pflichten schuldhaft und entsteht dem Unternehmen ein Schaden, haftet sie nach dem jeweiligen Gesellschaftsrecht. Wir bereiten die Geschäftsleitung so vor, dass sie diese Rolle nachweisbar wahrnimmt.
Reicht eine ISO-27001-Zertifizierung für NIS2?: Ein ISMS nach ISO 27001 deckt einen großen Teil von Artikel 21 ab. Es ist eine sehr gute Grundlage. Es ersetzt aber nicht automatisch alles. Meldewege, Registrierung und Pflichten der Leitung prüfen wir gesondert. Das gilt auch für einzelne Maßnahmen wie MFA oder die Sicherheit der Lieferkette. Eine Zuordnung zeigt Ihnen, was schon abgedeckt ist und wo etwas fehlt.
Was kostet die NIS2-Beratung?: Das hängt von Größe, Branche und Ihrem heutigen Stand ab. Zuerst gibt es ein kostenloses Gespräch. Danach erhalten Sie ein Angebot mit klar getrennten Paketen. Preise auf Anfrage.

Klären Sie, ob NIS2 Sie betrifft.

Im kostenlosen Erstgespräch prüfen wir, ob Sie betroffen sind. Wir zeigen Ihnen die nächsten Schritte.

Betroffenheit prüfen lassen

So arbeiten wir mit Ihnen zusammen

Wir wollen lange mit Ihnen arbeiten, nicht nur einmal liefern. Unser Weg hat vier Schritte. So wissen Sie stets, was als Nächstes kommt, wer was macht und was am Ende steht.

1. Erstes Gespräch, kostenlos

Wir lernen Ihre Lage und Ihre Ziele kennen. In 30 bis 45 Minuten prüfen wir, ob wir zu Ihnen passen. Wir zeigen Wege auf und klären Ihre Fragen.

2. Bestandsaufnahme

Wir prüfen, wo Sie heute stehen: bei Technik, Abläufen und Vorgaben. Sie bekommen eine Liste mit Stärken und Lücken, nach Dringlichkeit sortiert. Darauf baut unser Angebot auf.

3. Umsetzung mit festem Kontakt

Eine erfahrene Leitung führt Sie durch das Projekt. Es gibt klare Ziele, einen offenen Plan für Zeit und Kosten und jede Woche einen Stand. Alle Ergebnisse sind dokumentiert und gehören Ihnen.

4. Betrieb und Prüfung

Nach dem Projekt bleiben wir an Ihrer Seite. Wir betreiben Systeme für Sie, prüfen sie in festen Abständen und behalten offene Punkte im Blick. Bei neuen Gefahren oder neuen Regeln melden wir uns von selbst.