Information Security

NIS2-Beratung

Gesetzliche Pflicht, praktisch umgesetzt. Das NIS2-Umsetzungsgesetz gilt in Deutschland seit dem 6. Dezember 2025, ohne Übergangsfrist. Rund 29.500 Unternehmen fallen darunter, deutlich mehr als unter das bisherige IT-Sicherheitsrecht. Mit unserer NIS2-Beratung klären wir Ihre Betroffenheit, holen Sie auf den geforderten Stand und begleiten Sie durch Registrierung, Risikomanagement und Meldepflichten.

Beratung anfragenAlle Beratungsservices

NIS2
Compliance

Gesetzliche Pflicht

Rechtsgrundlage

NIS2UmsuCG

In Kraft seit

6. Dezember 2025

Betroffene Unternehmen

rund 29.500

Bußgeld

bis zu 10 Mio. € oder 2% Jahresumsatz

Wichtiger Hinweis

Die dreimonatige Registrierungsfrist beim BSI endete am 6. März 2026. Diese Frist ist damit bereits abgelaufen. Wer sich noch nicht registriert hat, bleibt trotzdem verpflichtet, und die fehlende Registrierung ist ein eigenständiger Bußgeldtatbestand, unabhängig von einem Sicherheitsvorfall. Eine verspätete Registrierung ist möglich und dringend ratsam.

Ob Sie unter NIS2 fallen

Die Einordnung hängt von zwei Faktoren ab: Sektor und Unternehmensgröße.

Sektoren
Das Gesetz unterscheidet 18 Sektoren, unter anderem Energie, Wasser, Fertigung, Maschinenbau, Lebensmittelproduktion, Pharmazie, digitale Infrastruktur, Transport, Gesundheitswesen und Abfallwirtschaft. Auch Zulieferer und Dienstleister in diesen Sektoren können betroffen sein, nicht nur die Kernbranche selbst.

Größenklassen
Als grober Richtwert gelten Unternehmen ab 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz innerhalb eines betroffenen Sektors als „wichtige“ oder „besonders wichtige“ Einrichtung. Für bestimmte Sektoren und Sonderfälle gelten davon abweichende Schwellen, unabhängig von der Größe.

Warum das nicht offensichtlich ist
Studien zeigen, dass ein erheblicher Teil der Unternehmen die eigene Betroffenheit unterschätzt, gerade als Zulieferer oder Dienstleister eines betroffenen Sektors. Die Einordnung lässt sich mit dem NIS2-Checker des BSI orientierend prüfen, das Ergebnis ist dabei nicht rechtsverbindlich. Eine belastbare Einordnung braucht den Blick auf Ihr konkretes Geschäftsmodell.

Was NIS2 konkret verlangt

Das Gesetz nennt keine feste Zertifizierung, sondern verlangt „geeignete, wirksame und verhältnismäßige“ technische und organisatorische Maßnahmen nach dem Stand der Technik. In der Praxis heißt das:

  • Registrierung beim BSI über das Melde- und Unterrichtungskanal-Portal, sobald eine Betroffenheit vorliegt.
  • Risikomanagementmaßnahmen in mehreren Kernbereichen: unter anderem Richtlinien zur Risikoanalyse, Vorfallbewältigung, Business Continuity, Lieferkettensicherheit, Zugriffskontrolle und Kryptografie.
  • Meldepflichten bei erheblichen Sicherheitsvorfällen, gestuft und mit sehr kurzen Fristen.
  • Pflichten der Geschäftsleitung, einschließlich persönlicher Haftung bei Verstößen gegen die Aufsichts- und Umsetzungspflichten. Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen und deren Umsetzung überwachen.
  • Nachweispflichten, etwa im Rahmen von Prüfungen durch das BSI.

Wenn ein Vorfall eintritt

Bei einem erheblichen Sicherheitsvorfall gilt ein mehrstufiges, eng getaktetes Verfahren:

  • Frühwarnung innerhalb von 24 Stunden nach Kenntnisnahme.
  • Meldung mit erster Bewertung innerhalb von 72 Stunden.
  • Abschlussbericht spätestens einen Monat nach der Meldung.

Diese Fristen laufen unabhängig davon, ob Sie technisch noch mitten in der Bewältigung stecken. Wer für den Vorfall selbst Unterstützung braucht, findet sie bei unserer Incident Response. Die NIS2-Beratung sorgt dafür, dass Prozesse und Verantwortlichkeiten für diesen Fall vorher stehen.

Wann Sie jetzt handeln sollten

  • Sie wissen nicht sicher, ob Ihr Unternehmen zu den rund 29.500 betroffenen Einrichtungen zählt.
  • Die Registrierungsfrist ist bereits verstrichen und Sie haben sich noch nicht gemeldet.
  • Ein Kunde aus einem betroffenen Sektor verlangt Nachweise zu Ihren Sicherheitsmaßnahmen als Zulieferer.
  • Es existieren Sicherheitsmaßnahmen, aber niemand hat sie gegen die konkreten Anforderungen des Gesetzes geprüft.
  • Die Geschäftsleitung möchte wissen, welche persönlichen Pflichten und Haftungsrisiken sich aus dem Gesetz ergeben.
  • Meldeprozesse für Sicherheitsvorfälle existieren nicht oder sind nicht auf die engen gesetzlichen Fristen ausgelegt.

Wie wir Sie begleiten

Betroffenheitsprüfung: Belastbare Einordnung, ob und in welcher Kategorie Sie unter das Gesetz fallen
Registrierungsunterstützung: Begleitung bei der Registrierung beim BSI, auch bei bereits abgelaufener Frist
Gap-Analyse: Abgleich Ihrer bestehenden Maßnahmen mit den Anforderungen aus §30 NIS2UmsuCG
Maßnahmenumsetzung: Priorisierter Plan zur Schließung der Lücken in den geforderten Kernbereichen
Meldeprozess: Ausgearbeiteter Prozess für die gestuften Meldefristen im Vorfall
Schulung der Geschäftsleitung: Einordnung der persönlichen Pflichten und Haftungsrisiken für die Unternehmensleitung
Audit-Vorbereitung: Vorbereitung auf mögliche Prüfungen durch das BSI

NIS2 und andere Rahmenwerke

NIS2 ist eine gesetzliche Pflicht, kein freiwilliger Standard, und verlangt keine eigene Zertifizierung. In der Praxis ist ISO 27001 der gängigste Weg, die geforderten Maßnahmen strukturiert nachzuweisen, ebenso BSI IT-Grundschutz. Wer bereits nach einem dieser Rahmenwerke arbeitet, hat einen großen Teil der NIS2-Anforderungen meist schon erfüllt.

Ergänzend regelt das seit dem 17. März 2026 geltende KRITIS-Dachgesetz zusätzliche Anforderungen an die physische Resilienz für Betreiber kritischer Anlagen. Ob das für Sie relevant ist, klären wir im selben Gespräch mit ab.

So läuft die Beratung ab

1

Betroffenheitsprüfung

Wir klären anhand Ihres Geschäftsmodells, ob und als welche Einrichtungskategorie Sie unter NIS2 fallen.

2

Registrierung

Sofern noch nicht erfolgt, begleiten wir die Registrierung beim BSI, auch nach Ablauf der ursprünglichen Frist.

3

Gap-Analyse

Abgleich Ihrer bestehenden Maßnahmen gegen die gesetzlichen Anforderungen, mit priorisiertem Maßnahmenplan.

4

Umsetzung und Meldeprozess

Begleitung der Umsetzung sowie Aufbau eines Prozesses, der im Vorfall die engen gesetzlichen Fristen einhalten kann.

NIS2-Beratung

Klären Sie mit uns zuerst Ihre Betroffenheit. Im Erstgespräch ordnen wir Pflichten, Fristen und nächste Schritte ein.

  • Belastbare Betroffenheitsprüfung
  • Registrierung beim BSI, auch verspätet
  • Gap-Analyse gegen §30 NIS2UmsuCG
  • Meldeprozess für 24/72-Stunden-Fristen
Beratung anfragen

Häufig gestellte Fragen

Was Kunden vorher wissen wollen.

Nein. Die Pflicht zur Registrierung besteht unabhängig von der verstrichenen Frist weiter, und eine verspätete Registrierung ist ausdrücklich möglich. Je länger sie unterbleibt, desto größer wird allerdings das Bußgeldrisiko.

Der NIS2-Checker des BSI gibt eine erste, nicht rechtsverbindliche Orientierung. Für eine belastbare Einordnung braucht es den Blick auf Ihr konkretes Geschäftsmodell, das klären wir im Erstgespräch.

Ein großer Teil der Anforderungen deckt sich, ersetzt die gesetzliche Betroffenheitsprüfung und Registrierung aber nicht automatisch. Wir prüfen die konkrete Abdeckung.

Das Gesetz sieht Pflichten und ein Haftungsrisiko für die Unternehmensleitung bei Verstößen gegen die Aufsichts- und Umsetzungspflichten vor. Die rechtliche Einzelfallbewertung gehört in die Hände Ihrer Rechtsberatung, wir ordnen die fachlichen Anforderungen ein.

Auch das kann eine Betroffenheit auslösen oder zumindest vertragliche Anforderungen Ihres Kunden nach sich ziehen. Das prüfen wir gemeinsam.