- EU-Richtlinie 2022/2555 · NIS2UmsuCG in Kraft
NIS-2 normkonform umsetzen – pragmatisch und sicher.
Rund 30.000 Unternehmen in Deutschland sind unmittelbar von der NIS-2-Richtlinie betroffen. Das NIS2-Umsetzungsgesetz gilt seit Dezember 2025 – ohne Übergangsfrist. Wir begleiten Sie bei der strukturierten, praxisnahen Umsetzung aller Anforderungen.
Ist Ihr Unternehmen von NIS2 betroffen? 3 Kriterien entscheiden.
Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) gilt seit Dezember 2025 ohne Übergangsfrist. Ob Ihr Unternehmen betroffen ist, hängt von drei Kriterien ab: Sektor, Unternehmensgröße und Einstufungskategorie.
Sektor (§28 BSIG)
Ihr Unternehmen muss in einem der 18 regulierten Sektoren tätig sein (Anlage 1 oder 2 des NIS2UmsuCG). Dazu gehören u.a. Energie, Transport, Gesundheit, Finanzwesen, digitale Infrastruktur, verarbeitendes Gewerbe und Lebensmittel.
Unternehmensgröße (Size-Cap)
Mindestens 50 Mitarbeiter oder mehr als 10 Mio. € Jahresumsatz. Bei Konzernstrukturen werden verbundene Unternehmen zusammengerechnet.
Achtung Konzernklausel: Eine GmbH mit 30 Mitarbeitern, die Teil eines Konzerns mit 500 Beschäftigten ist, gilt dennoch als betroffen.
Schwellenwerte
bwE
Besonders wichtige Einrichtung: Anlage-1 BSIG + ≥250 MA oder >50 Mio. € Umsatz. Proaktive BSI-Aufsicht.
wE
Wichtige Einrichtung: Anlage-2 BSIG + ≥50 MA oder >10 Mio. € Umsatz. Reaktive BSI-Aufsicht.
Energie
Strom, Gas, Öl, Fernwärme, Wasserstoff
Transport & Verkehr
Luft-, Schienen-, Straßen-, Schiffsverkehr
Bankwesen
Kreditinstitute, Zahlungsdienstleister
Finanzmarktinfrastruktur
Handelsplätze, zentrale Gegenparteien
Gesundheitswesen
Krankenhäuser, Pharma, Medizinprodukte
Trinkwasser
Wasserversorgung, Aufbereitung
Abwasser
Abwasserentsorgung, Kläranlagen
Digitale Infrastruktur
IXPs, DNS, TLD, Cloud, Rechenzentren
IKT-Dienste (B2B)
Managed Services, IT-Outsourcing
Öffentliche Verwaltung
Bundes- und Landesbehörden
Raumfahrt
Bodeninfrastruktur, Satellitenbetrieb
Anlage 1 = besonders wichtige Einrichtungen (bwE) bei ≥250 MA oder >50 Mio. € Umsatz. Unterliegen proaktiver BSI-Aufsicht und Bußgeldern bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes.
Post & Kurierdienste
Briefzustellung, Paketdienste
Abfallwirtschaft
Entsorgung, Recycling
Chemie
Herstellung, Vertrieb chem. Stoffe
Lebensmittel
Produktion, Verarbeitung, Handel
Verarbeitendes Gewerbe
Medizinprodukte, Elektronik, Maschinenbau, Fahrzeuge
Digitale Dienste
Online-Marktplätze, Suchmaschinen, soziale Netzwerke
Forschung
Forschungseinrichtungen, Universitäten
Anlage 2 = wichtige Einrichtungen (wE) bei ≥50 MA oder >10 Mio. € Umsatz. Reaktive BSI-Aufsicht, Bußgelder bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes.
Auch Zulieferer sind mittelbar betroffen
NIS2 verpflichtet betroffene Unternehmen, Sicherheitsanforderungen an ihre Lieferkette weiterzugeben. Wer als Zulieferer oder Dienstleister für eine NIS2-regulierte Organisation arbeitet, wird de facto zu Compliance-Maßnahmen verpflichtet – unabhängig von der eigenen formalen Einstufung.
- Direkt betroffen: Unternehmen in 18 Sektoren ab 50 MA / 10 Mio. € Umsatz
- Indirekt betroffen: Zulieferer und Dienstleister von NIS2-regulierten Unternehmen
- Sonderfälle: DNS-Anbieter, TLD-Registries, qualifizierte Vertrauensdiensteanbieter – unabhängig von der Größe
10 NIS-2-Mindestmaßnahmen – nach § 30 BSIG.
§30 BSIG schreibt konkrete technische und organisatorische Maßnahmen vor. Alle betroffenen Unternehmen – ob besonders wichtig oder wichtig – müssen diese 10 Pflichtmaßnahmen abdecken. Im Ergebnis ist ein vollständiges Informationssicherheits-Managementsystem (ISMS) verpflichtend.
Risikoanalyse und Informationssicherheit
Systematische Identifikation, Bewertung und Behandlung von Risiken für Netz- und Informationssysteme. Dokumentiertes Informationssicherheits-Managementsystem (ISMS) als Grundlage.
Bewältigung von Sicherheitsvorfällen
Prozesse zur Erkennung, Analyse, Eindämmung und Behebung von Sicherheitsvorfällen. Inklusive Meldeprozesse an das BSI (24h Erstmeldung, 72h Detailmeldung, 1 Monat Abschlussmeldung).
Aufrechterhaltung des Betriebs und Krisenmanagement (BCM)
Backup-Konzepte, Wiederherstellungsverfahren und Notfallpläne (BCM). Krisenmanagement und Kommunikationspläne für den Ernstfall. Regelmäßige Tests der Notfallprozesse.
Sicherheit der Lieferkette
Sicherheitsanforderungen an unmittelbare Lieferanten und Dienstleister. Vertragsklauseln, Lieferanten-Audits und Risikobeurteilung der Lieferkette nach NIS2-Anforderungen.
Sicherheit bei Erwerb, Entwicklung und Wartung
Sichere Entwicklung, Beschaffung und Wartung von IT-Systemen. Regelmäßiges Patching, Schwachstellenscanning und Penetrationstests. Koordiniertes Schwachstellenmanagement.
Bewertung der Wirksamkeit von Risikomanagementmaßnahmen
Regelmäßige Überprüfung und Bewertung der Wirksamkeit aller Sicherheitsmaßnahmen. Interne Audits, Management-Reviews und kontinuierliche Verbesserung.
Schulung & Sensibilisierung
Regelmäßige Sicherheitsschulungen für alle Mitarbeiter. Verpflichtende Schulungen für die Geschäftsführung zu Cyber-Risiken und NIS2-Anforderungen (§38 BSIG).
Kryptographie & Verschlüsselung
Einsatz geeigneter kryptographischer Verfahren und Verschlüsselungstechnologien zum Schutz von Daten in Ruhe und in Übertragung. Schlüsselmanagement und Zertifikatsverwaltung.
Personalsicherheit und Zugriffskontrolle
Rollenbasierte Zugriffskontrolle (RBAC), Prinzip der minimalen Rechtevergabe (Least Privilege), sichere Verwaltung privilegierter Accounts und IT-Systemverwaltung.
Multi-Faktor-Authentifizierung & sichere Kommunikation
Einsatz von MFA für alle kritischen Systeme und Remote-Zugriffe. Abgesicherte Kommunikationsmittel, auch für Notfallkommunikation. Zero-Trust-Prinzipien für moderne Infrastrukturen.
ISO 27001 deckt 70–80 % der NIS2-Anforderungen ab
Unternehmen mit einer bestehenden ISO 27001 Zertifizierung haben einen erheblichen Vorsprung bei der NIS2-Umsetzung. Viele Maßnahmenbereiche überschneiden sich. Dennoch gibt es NIS2-spezifische Anforderungen, die über ISO 27001 hinausgehen – insbesondere bei Meldepflichten (§32 BSIG), Lieferkettensicherheit (§30 Nr. 4) und der persönlichen Managementhaftung (§38 BSIG).
ISO 27001 vorhanden
BSI IT-Grundschutz
Kein ISMS vorhanden
Sicherheitsvorfälle melden – abgestufte Fristen, klare Pflichten.
Bei erheblichen Sicherheitsvorfällen gelten strikte Meldefristen gegenüber dem BSI. Erheblich ist ein Vorfall, wenn er den Betrieb erheblich stört, finanzielle Verluste verursacht oder andere Personen/Organisationen erheblich beeinträchtigt.
24 Stunden
Sektor (§28 BSIG)
- Unverzügliche Meldung nach Kenntnis des Vorfalls
- Angabe: Verdacht auf vorsätzlichen Angriff?
- Angabe: Grenzüberschreitende Auswirkungen?
- Noch keine vollständige Analyse erforderlich
72 Stunden
Detailmeldung
- Bestätigung oder Aktualisierung der Erstmeldung
- Erste Bewertung des Vorfalls und seiner Auswirkungen
- Angabe der wahrscheinlichen Ursache
- Beschreibung der ergriffenen Maßnahmen
1 Monat
Abschlussmeldung
- Vollständige Beschreibung des Vorfalls
- Art und Schwere des Vorfalls
- Ursachenanalyse (Root Cause Analysis)
- Getroffene und geplante Abhilfemaßnahmen
Bußgelder & persönliche Haftung (§§ 39, 65 BSIG)
Kriterium
Besonders wichtige Einrichtung (bwE)
Wichtige Einrichtung (wE)
Maximales Bußgeld
10 Mio. € oder 2 % des weltweiten Jahresumsatzes
7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes
BSI-Aufsicht
Proaktiv – BSI kann jederzeit Audits anordnen (§61 BSIG)
Reaktiv – nur bei konkretem Verdacht (§62 BSIG)
Nachweispflicht
Proaktiv alle 3 Jahre (§39 BSIG)
Auf Verlangen des BSI
Registrierungspflicht
Pflicht – im BSI-Portal (bis März 2026)
Pflicht – im BSI-Portal (bis März 2026)
Managementhaftung
Persönliche Haftung der GF, mögliches Tätigkeitsverbot
Persönliche Haftung der GF, mögliches Tätigkeitsverbot
Was wir für Sie konkret leisten
NIS2-Betroffenheitsanalyse
Klärung, ob und in welchem Umfang Ihr Unternehmen von NIS-2 betroffen ist. Einstufung als bwE oder wE, Prüfung der Konzernklausel und Analyse der Lieferketten-Betroffenheit.
Gap-Analyse
Risikoanalyse & ISMS-Aufbau
Incident Management & Meldeprozesse
Aufbau von Prozessen zur Erkennung, Analyse und Meldung erheblicher Sicherheitsvorfälle. Implementierung der 24h/72h/1-Monat-Meldekette an das BSI gemäß §32 BSIG.
Lieferkettensicherheit
Entwicklung von Sicherheitsanforderungen für Lieferanten und Dienstleister. Vertragsklauseln, Lieferanten-Fragebögen und Risikobeurteilung der Lieferkette.
Dokumentation & Nachweisführung
Management-Schulungen
Verpflichtende Schulungen für Geschäftsführung und Führungskräfte zu Cyber-Risiken und NIS-2-Anforderungen. Awareness-Programme für Mitarbeiter zur Erfüllung der Schulungspflicht.
Prozessorientiert & formell
Kontinuierliche Unterstützung über alle Phasen der BSI-Registrierung hinaus, einschließlich der systematischen Erstellung und Führung aller erforderlichen Nachweise.
Ihr Partner für NIS-2-Compliance ohne Papiertiger.
Wir verbinden tiefes Verständnis für regulatorische Anforderungen mit dem Blick für das, was in Ihrem Unternehmen tatsächlich umsetzbar ist. Das Ergebnis: echte Sicherheitsverbesserung, nicht nur Compliance auf dem Papier.
Erfahrung mit NIS-2 und ISO 27001
Pragmatische Empfehlungen – kein Overhead
Keine unnötige Bürokratie. Wir empfehlen, was wirklich notwendig ist und was in Ihrem Unternehmen mit Ihren Ressourcen tatsächlich umsetzbar ist.
Sprache für GF und IT
Wir sprechen sowohl mit der Geschäftsführung als auch mit der IT – in der jeweils passenden Sprache und auf dem richtigen Abstraktionsniveau.
Strukturierte Roadmaps mit klaren Meilensteinen
Priorisierte Maßnahmenpläne mit klaren Verantwortlichkeiten, realistischen Zeitplänen und messbaren Meilensteinen – damit Sie wissen, wo Sie stehen.
Audit-Readiness von Anfang an
Alle Maßnahmen werden so dokumentiert, dass sie BSI-Audits, Management-Reviews und behördlichen Prüfungen standhalten – ohne Nacharbeit.
Von der Analyse zur vollständigen NIS2-Compliance.
Unser strukturiertes 4-Phasen-Modell führt Sie sicher und effizient durch die NIS2-Umsetzung – von der ersten Betroffenheitsanalyse bis zur BSI-Registrierung und dauerhaften Compliance.
Analyse & Betroffenheit
- Betroffenheitsanalyse nach §28 BSIG
- Einstufung als bwE oder wE
- Prüfung der Konzernklausel
- Lieferketten-Betroffenheit
- Gap-Analyse der §30-Pflichtmaßnahmen
Planung & Roadmap
- Priorisierter Maßnahmenplan
- Ressourcen- und Zeitplanung
- Verantwortlichkeiten definieren
- Quick Wins identifizieren
- ISMS-Aufbauplanung
Umsetzung & Dokumentation
- Aufbau/Optimierung ISMS
- Incident Management & Meldeprozesse
- Lieferkettensicherheit implementieren
- Richtlinien & Nachweise erstellen
- Management-Schulungen (§38 BSIG)
Registrierung & Betrieb
- BSI-Portal-Registrierung
- Audit-Vorbereitung (§39 BSIG)
- Kontinuierliche Überwachung
- Jährliche Reviews & Updates
- Begleitung bei Vorfällen & Meldungen
Ihre Fragen zu NIS2 – konkret beantwortet.
Die wichtigsten Fragen zur NIS2-Richtlinie, zum deutschen NIS2UmsuCG und zur praktischen Umsetzung – klar und verständlich beantwortet.
Gilt das NIS2-Umsetzungsgesetz bereits? Gibt es Übergangsfristen?
Ja, das NIS2-Umsetzungsgesetz (NIS2UmsuCG) wurde am 13. November 2025 vom Bundestag verabschiedet und ist seit Dezember 2025 in Kraft. Es gibt keine allgemeine Übergangsfrist – betroffene Unternehmen müssen ihre Pflichten sofort nach Inkrafttreten erfüllen. Lediglich die Registrierungspflicht im BSI-Portal hat eine Frist bis Ende Juli 2026.
Wie prüfe ich, ob mein Unternehmen von NIS2 betroffen ist?
Die Betroffenheit hängt von drei Kriterien ab: (1) Ihr Unternehmen ist in einem der 18 regulierten Sektoren tätig (Anlage 1 oder 2 NIS2UmsuCG). (2) Sie beschäftigen mindestens 50 Mitarbeiter oder erzielen mehr als 10 Mio. € Jahresumsatz. (3) Bei Konzernstrukturen werden verbundene Unternehmen zusammengerechnet. Das BSI bietet ein Online-Tool zur Betroffenheitsprüfung an. Für eine rechtssichere Einschätzung empfehlen wir eine professionelle Analyse.
Was sind die konkreten Pflichten nach §30 BSIG?
§30 BSIG schreibt 10 Pflichtmaßnahmen vor: Risikoanalyse und IT-Sicherheitskonzepte, Incident Management, Business Continuity Management, Lieferkettensicherheit, sichere IT-Systeme und Schwachstellenmanagement, Wirksamkeitsprüfung, Schulungen, Kryptographie, Zugriffskontrolle sowie Multi-Faktor-Authentifizierung. Im Ergebnis ist ein vollständiges ISMS verpflichtend.
Was passiert, wenn wir einen Sicherheitsvorfall haben?
Bei erheblichen Sicherheitsvorfällen gelten strikte Meldefristen: Erstmeldung ans BSI innerhalb von 24 Stunden, Detailmeldung innerhalb von 72 Stunden und Abschlussmeldung nach spätestens einem Monat. Erheblich ist ein Vorfall, wenn er den Betrieb erheblich stört, finanzielle Verluste verursacht oder andere Organisationen beeinträchtigt. Fehlende oder verspätete Meldungen können zu erheblichen Bußgeldern führen.
Welche Konsequenzen drohen bei Verstößen?
Für besonders wichtige Einrichtungen (bwE) drohen Bußgelder bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes. Für wichtige Einrichtungen (wE) bis zu 7 Mio. € oder 1,4 % des Umsatzes. Darüber hinaus haften Geschäftsführer und Vorstände persönlich – bis hin zum Verbot der Ausübung der Geschäftsführertätigkeit (§38 BSIG).
Hilft eine bestehende ISO 27001 Zertifizierung bei NIS2?
Ja, erheblich. ISO 27001 deckt rund 70–80 % der NIS2-Anforderungen ab und bildet die effizienteste Grundlage für die Compliance-Umsetzung. Allerdings gibt es NIS2-spezifische Anforderungen, die über ISO 27001 hinausgehen: insbesondere die 24h/72h-Meldepflichten, die Lieferkettensicherheit nach §30 Nr. 4 und die persönliche Managementhaftung nach §38 BSIG. Wir analysieren, welche Lücken trotz ISO 27001 noch bestehen.
Sind auch Zulieferer von NIS2-Unternehmen betroffen?
Direkt betroffen sind nur Unternehmen, die die Schwellenwerte in den 18 Sektoren erfüllen. Indirekt betroffen sind jedoch viele Zulieferer und Dienstleister: NIS2 verpflichtet betroffene Unternehmen, Sicherheitsanforderungen an ihre Lieferkette weiterzugeben (§30 Nr. 4 BSIG). Wer als Zulieferer für eine NIS2-regulierte Organisation arbeitet, wird de facto zu Compliance-Maßnahmen verpflichtet.
Wie lange dauert eine NIS2-Umsetzung?
Eine erste Gap-Analyse ist in 1–2 Wochen möglich. Die vollständige Umsetzung aller Maßnahmen dauert je nach Ausgangslage und Unternehmensgröße typischerweise 3–9 Monate. Unternehmen mit bestehendem ISO 27001 ISMS können deutlich schneller vorgehen. Wir empfehlen, sofort mit der Betroffenheitsanalyse zu beginnen, da das Gesetz bereits in Kraft ist.
- NIS2UmsuCG gilt seit Dezember 2025 – ohne Übergangsfrist
Jetzt handeln – bevor das BSI
bei Ihnen anklopft.
Im kostenlosen Erstgespräch klären wir, ob Ihr Unternehmen von NIS2 betroffen ist, welche der 10 Maßnahmenbereiche für Sie gelten und wie Sie pragmatisch und normkonform vorgehen können.
Starten Sie jetzt mit Ihrer NIS2-Analyse.
Im kostenlosen Erstgespräch klären wir Ihre Betroffenheit, besprechen die für Sie relevanten Pflichten und skizzieren einen pragmatischen Umsetzungsweg.
Telefon
Standort
Deutschland
Erreichbarkeit
Mo–Fr 8:00–18:00 Uhr
IT-Sicherheit beginnt mit dem richtigen Partner
Kostenlose Beratung innerhalb von 24h (werktags).
Vielen Dank für Ihre Anfrage!
Wir melden uns innerhalb von 24 Stunden (werktags) bei Ihnen.