NIS2 Compliance
Die EU-Richtlinie NIS2 verpflichtet Unternehmen zu umfassenden Cybersicherheitsmaßnahmen. Wir begleiten Sie von der Betroffenheitsanalyse bis zur vollständigen Compliance.
NIS2 seit 06.12.2025 in Kraft — Meldefristen 24 und 72 Stunden
Das Wichtigste auf einen Blick
- Geeignet für
- Unternehmen ab 50 Mitarbeitern oder 10 Mio. € Umsatz in einem der 18 NIS2-Sektoren
- Ausgangssituation
- NIS2 gilt seit dem 6. Dezember 2025; Registrierung, Meldewege und Maßnahmen fehlen im Haus noch
- Wir übernehmen
- Betroffenheitsprüfung, Gap-Analyse mit priorisiertem Maßnahmenplan, Umsetzung der zehn Mindestmaßnahmen aus Artikel 21 und die Nachweisdokumentation
- Bei Ihnen bleibt
- Die Entscheidung über Ihre Fachanwendungen und der Zugang zu Ihren Daten. Eigentum und Hoheit wechseln nicht.
- Vorhandene Systeme
- Was heute läuft, sehen wir uns vor dem Angebot an. Was bleiben kann und was ersetzt werden muss, steht schriftlich fest, bevor Sie beauftragen.
- Ihr Ergebnis
- Meldewege, die die 24-Stunden-Frist halten. Und eine Dokumentation, die einer BSI-Prüfung standhält
- Preisrahmen
- Nach Reifegrad — die Gap-Analyse liefert Aufwands- und Budgetschätzung vor jeder Umsetzung
- Reaktionszeit
- Erstmeldung binnen 24 Stunden, Folgemeldung binnen 72 Stunden, Abschlussbericht binnen eines Monats
- Dauer
- 6 bis 12 Monate bis zur belastbaren Compliance, abhängig vom heutigen Reifegrad
- Erster Schritt
- Betroffenheitsprüfung nach dem NIS2-Umsetzungsgesetz: Sektor, Größe und Einstufung als wesentlich oder wichtig
Was NIS2 von Ihrem Unternehmen verlangt
Risikomanagement
Art. 21 Abs. 2 lit. aSystematische Identifikation, Analyse und Behandlung von Cybersicherheitsrisiken mit dokumentierten Prozessen.
- Risikoanalyse und -bewertung
- Sicherheitsrichtlinien und -konzepte
- Regelmäßige Überprüfung und Anpassung
Incident Management
Art. 21 Abs. 2 lit. bProzesse zur Erkennung, Analyse, Eindämmung und Meldung von Sicherheitsvorfällen an zuständige Behörden.
- Frühwarnung innerhalb von 24 Stunden
- Detaillierte Meldung innerhalb von 72 Stunden
- Abschlussbericht innerhalb eines Monats
Business Continuity
Art. 21 Abs. 2 lit. cSicherstellung der Betriebskontinuität durch Backup-Management, Disaster Recovery und Krisenmanagement.
- Backup- und Wiederherstellungskonzepte
- Disaster-Recovery-Pläne
- Krisenmanagement-Prozesse
Lieferketten-Sicherheit
Art. 21 Abs. 2 lit. dSicherheitsanforderungen an Lieferanten und Dienstleister inklusive vertraglicher Vereinbarungen und Kontrollen.
- Bewertung von Lieferanten
- Vertragliche Sicherheitsanforderungen
- Regelmäßige Überprüfungen
Betroffene Sektoren
Energie
Strom, Gas, Öl, Fernwärme
Transport
Luft, Schiene, Straße, Wasser
Finanzmarkt
Banken, Börsen, Versicherungen
Gesundheit
Kliniken, Labore, Pharma
Digitale Infrastruktur
Rechenzentren, DNS, IXP
IT-Dienstleister
MSP, Cloud, Managed Security
Chemie
Produktion, Lagerung, Vertrieb
Produktion
Maschinen, Fahrzeuge, Elektronik
Unser NIS2-Compliance-Programm
Gap-Analyse
Ermittlung des aktuellen Reifegrads und Definition des Handlungsbedarfs.
- Betroffenheitsprüfung
- Security Assessment
- Priorisierter Maßnahmenplan
- Aufwands- und Budgetschätzung
Implementierung
Umsetzung der technischen und organisatorischen Maßnahmen.
- Risikomanagement-Framework
- Incident-Response-Prozesse
- Business Continuity Management
- Technische Schutzmaßnahmen
Betrieb & Nachweis
Aufbau der Dokumentation und kontinuierliche Verbesserung.
- Richtlinien und Prozessdokumentation
- Schulungs- und Awareness-Programme
- Audit-Vorbereitung
- Kontinuierliches Monitoring
NIS2 Timeline
EU-Richtlinie in Kraft
Die NIS2-Richtlinie (EU) 2022/2555 tritt auf europäischer Ebene in Kraft.
Umsetzungsfrist abgelaufen
Frist zur Überführung in nationales Recht endet — in Deutschland ohne fertiges Gesetz.
NIS2UmsuCG in Kraft
Das deutsche Umsetzungsgesetz gilt. Registrierungs-, Melde- und Maßnahmenpflichten greifen unmittelbar.
Aufsicht und Durchsetzung
Das BSI prüft, ordnet Maßnahmen an und kann Bußgelder verhängen. Die Geschäftsleitung haftet persönlich.
FAQ — NIS2 Compliance
/01Wer ist von der NIS2-Richtlinie betroffen?+
Betroffen sind Unternehmen in 18 definierten Sektoren (u.a. Energie, Transport, Gesundheit, digitale Infrastruktur, IT-Dienstleister, Fertigung, Lebensmittel) ab 50 Mitarbeitern oder 10 Millionen Euro Jahresumsatz. Zusätzlich fallen bestimmte kritische Anbieter unabhängig von der Größe unter die Regelung. Die Einstufung als wesentlich oder wichtig bestimmt Prüftiefe und Sanktionshöhe. Eine Betroffenheitsanalyse anhand des NIS2-Umsetzungsgesetzes schafft Klarheit und ist Grundlage jeder weiteren Planung.
/02Bis wann muss NIS2 umgesetzt sein?+
Die EU-Richtlinie war bis Oktober 2024 in nationales Recht zu überführen. In Deutschland ist das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) am 6. Dezember 2025 in Kraft getreten. Registrierungs-, Melde- und Maßnahmenpflichten gelten seitdem unmittelbar, Übergangsfristen für technische Maßnahmen sind begrenzt. Wer erst jetzt beginnt, arbeitet unter geltendem Recht auf und riskiert Lücken und Bußgelder. Realistisch ist ein Fahrplan über 6 bis 12 Monate.
/03Welche technischen Maßnahmen fordert NIS2 konkret?+
Artikel 21 fordert zehn Mindestmaßnahmen: Risikoanalyse, Incident-Handling, Business Continuity und Backup, Lieferkettensicherheit, Sicherheit bei Erwerb und Entwicklung, Evaluierung der Wirksamkeit, Cyberhygiene und Schulungen, Kryptografie, Personal- und Zugriffsmanagement sowie Multi-Faktor-Authentifizierung. Die Umsetzung orientiert sich am Stand der Technik, verhältnismäßig zum Risiko. ISO 27001, BSI-Grundschutz oder CISIS12 liefern anerkannte Rahmenwerke, die NIS2-Anforderungen weitgehend abdecken.
/04Welche Sanktionen drohen bei NIS2-Verstößen?+
Für wesentliche Einrichtungen sind Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vorgesehen - je nachdem, welcher Betrag höher ist. Wichtige Einrichtungen riskieren bis zu 7 Millionen Euro oder 1,4 Prozent Umsatz. Zusätzlich haften Geschäftsleitungen persönlich für die Einhaltung. Bei fehlender Meldung oder mangelhafter Umsetzung kann das BSI Anordnungen erlassen, Audits durchführen und die Geschäftsleitung zwingen, Maßnahmen unverzüglich umzusetzen.
/05Welche Rolle spielt das BSI bei NIS2?+
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist zentrale Aufsichtsbehörde und Meldestelle. Betroffene Unternehmen müssen sich beim BSI registrieren, Kontaktstellen benennen und Sicherheitsvorfälle innerhalb von 24 Stunden als Frühwarnung sowie 72 Stunden als vollständige Meldung übermitteln. Das BSI kann Prüfungen anordnen, Anweisungen erteilen und Bußgelder verhängen. Gleichzeitig stellt es Handreichungen und Standards (BSI-Grundschutz) bereit, die als praxiserprobte Umsetzungshilfe dienen.
Das könnte Sie auch interessieren.
Compliance-Anforderungen besprechen.
Wir klären zuerst, ob und wie stark Sie betroffen sind — daraus wird eine Liste mit Fristen statt einer Liste mit Sorgen.
ISO/IEC 27001 zertifiziert · Zertifikat 202787