NIS2 – Betroffenheit klären, Pflichten nachweisbar umsetzen.

Das hängt von Sektor und Größe ab. Erfasst sind Unternehmen aus den Sektoren der Anlagen 1 und 2 des BSI-Gesetzes ab 50 Mitarbeitenden oder mehr als 10 Mio. € Umsatz und Bilanzsumme. Einige Dienste wie DNS oder qualifizierte Vertrauensdienste sind unabhängig von der Größe erfasst. Eine erste Einordnung gibt der kostenlose NIS2-Check auf dieser Seite.

Direkt meist ja, sofern Umsatz oder Bilanzsumme unter 10 Mio. € liegen und Sie keinen größenunabhängigen Dienst anbieten. Indirekt nicht unbedingt: Beliefern Sie eine betroffene Einrichtung, gibt sie ihre Anforderungen per Vertrag an Sie weiter.

Betroffene Einrichtungen müssen nach § 30 Abs. 2 Nr. 4 BSIG die Sicherheit ihrer Lieferkette steuern. Das setzen sie über Verträge um: Fragebogen, Mindestmaßnahmen, Meldepflichten, Auditrechte. Gesetzlich sind Sie dann nicht verpflichtet – vertraglich schon.

Nicht unter Zeitdruck ankreuzen. Jede Antwort wird zur Zusicherung, auf die sich der Kunde im Schadensfall beruft. Gleichen Sie die Fragen erst mit Ihrem tatsächlichen Stand ab und benennen Sie offene Punkte mit Umsetzungsplan – das wirkt seriöser als ein geschöntes Ja.

Ihr Auftraggeber oder ein von ihm beauftragter Prüfer darf prüfen, ob Sie die zugesicherten Maßnahmen umsetzen – mit Unterlagen, Interviews und Blick in die Systeme. Ein internes Audit vorab zeigt, wo Sie stehen, bevor es jemand anderes tut.

Registrieren Sie sich umgehend. Die gesetzliche Frist nach § 33 BSIG endete am 6. März 2026, die Nachmeldephase des BSI am 31. Juli 2026. Die Pflicht besteht unverändert weiter; eine späte Registrierung ist besser als keine.

In zwei Schritten: Zuerst wird ein Konto bei „Mein Unternehmenskonto“ angelegt, dafür ist ein ELSTER-Organisationszertifikat nötig. Danach erfolgt die Registrierung im BSI-Portal mit Angaben zu Sektor, Größe und Ansprechpartnern. Wir bereiten die Angaben mit Ihnen vor.

Erhebliche Sicherheitsvorfälle werden in drei Stufen an das BSI gemeldet: eine frühe Erstmeldung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und ein Abschlussbericht nach einem Monat (§ 32 BSIG). Das funktioniert nur mit einer vorab festgelegten Meldekette.

Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen (§ 38 BSIG). Verletzt sie diese Pflichten, haftet sie gegenüber dem Unternehmen. Delegieren lässt sich die Umsetzung, nicht die Verantwortung.

Für besonders wichtige Einrichtungen bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis 7 Mio. € oder 1,4 % – jeweils der höhere Betrag. Schon die versäumte Registrierung kann bis 500.000 € kosten.

Zehn Bereiche, von Risikoanalyse, Vorfallbewältigung und Backup über Lieferkette, Schwachstellenmanagement und Schulung bis zu Verschlüsselung, Zugriffskontrolle und Mehrfaktor-Anmeldung. Gefordert ist ein Niveau, das zum Risiko passt – keine festen Produkte.

Nein. NIS2 kennt weder Zertifikat noch Siegel. Nachgewiesen wird die Umsetzung über Dokumentation, Audits und gegebenenfalls Prüfungen durch das BSI. Ein ISMS nach ISO 27001 ist ein guter Rahmen dafür.

Beides deckt einen großen Teil der Maßnahmen ab, ersetzt aber nicht die Registrierung, die Meldepflichten und die Pflichten der Geschäftsleitung. Mit einem bestehenden ISMS ist der Weg zu NIS2 deutlich kürzer – wir gleichen ab, was fehlt.

800 € netto als Festpreis je Gesellschaft. Sie erhalten eine dokumentierte Einordnung als PDF mit Begründung, Pflichtenbild und Empfehlung sowie ein Ergebnisgespräch. Vorliegende Kundenanforderungen aus der Lieferkette sichten wir mit.

Der Check ist eine Ersteinschätzung ohne Anmeldung auf Basis von sieben Angaben. Die Betroffenheitsprüfung bewertet Ihr Unternehmen mit Unterlagen, Gruppenstruktur und Kundenverträgen und dokumentiert das Ergebnis so, dass es gegenüber Geschäftsführung und Auftraggebern trägt.

Nein. Wir ordnen fachlich ein, ob und wie Sie betroffen sind, und benennen die Pflichten. Bei echten Grenzfällen sagen wir das offen und formulieren die Frage so, dass Ihr Anwalt sie schnell verbindlich beantworten kann.

Grundsätzlich ja. Für die Größe gilt die EU-KMU-Empfehlung, nach der Daten verbundener und Partnerunternehmen einbezogen werden. Ausnahmen sind möglich, etwa bei unabhängig betriebener IT – das muss begründet und dokumentiert sein.

Ja. Als Managed Service Provider fallen wir unter Anlage 1 des BSI-Gesetzes und haben die Anforderungen aus Artikel 21 der Richtlinie umgesetzt. Was wir empfehlen, wenden wir selbst an.

Die Betroffenheitsprüfung ist in der Regel innerhalb von zwei Wochen erledigt, die Registrierung in wenigen Tagen. Die Umsetzung der Maßnahmen hängt vom Ausgangsstand ab und läuft priorisiert nach Risiko – oft über mehrere Monate, mit den wirksamsten Schritten zuerst.

Der Cyber Resilience Act regelt Produkte mit digitalen Elementen, NIS2 die Sicherheit von Organisationen. Seit dem 11. September 2026 gelten für Hersteller Meldepflichten nach dem CRA. Wer Produkte herstellt und in einem NIS2-Sektor tätig ist, hat mit beidem zu tun.