Premium-IT · 24/7 SecurityPersönlich erreichbar · 24/7 Security
08232 952105-11Erstgespräch

Leistung · NIS2

NIS2. Umgesetzt und belegbar.

Seit dem 6. Dezember 2025 gilt in Deutschland das NIS-2-Umsetzungsgesetz. Es betrifft rund 29.500 Unternehmen direkt und viele weitere über ihre Auftraggeber: Verträge und Ausschreibungen verlangen zunehmend Nachweise zur IT-Sicherheit. Wir bringen Ihre IT auf den geforderten Stand und dokumentieren es so, dass Sie es belegen können.

Erstgespräch vereinbarenSelbsttest starten

Wer betroffen ist

Direkt oder über Ihre Kunden. Beides zählt.

NIS2 trifft Unternehmen auf zwei Wegen. Der zweite wird oft übersehen, und genau der taucht gerade in Ausschreibungen auf.

Weg 1

Direkt betroffen

Ihr Unternehmen gehört zu einem der Sektoren des Gesetzes, etwa Energie, Gesundheit, Transport, Chemie, Lebensmittel, Maschinen- und Fahrzeugbau, Elektronik oder IT-Dienstleistungen, und erreicht eine bestimmte Größe. Dann gelten Registrierung, Risikomanagement und Meldepflichten unmittelbar.

Wichtige Einrichtung
ab 50 Beschäftigten oder mehr als 10 Mio. € Jahresumsatz und Bilanzsumme
Besonders wichtige Einrichtung
ab 250 Beschäftigten oder mehr als 50 Mio. € Jahresumsatz und 43 Mio. € Bilanzsumme

§ 28 BSIG. Einige Dienste fallen unabhängig von der Größe unter das Gesetz.

Weg 2

Über Ihre Auftraggeber

Betroffene Unternehmen müssen auch die Sicherheit ihrer Lieferkette gewährleisten. Das BSI empfiehlt ausdrücklich, Zulieferer und Dienstleister vertraglich zu entsprechenden Sicherheitsanforderungen zu verpflichten.

Deshalb fragen Auftraggeber und Ausschreibungen zunehmend nach Sicherheitskonzept, Notfallplan und Nachweisen, besonders bei Stadtwerken, Wasser- und Abwasserbetrieben und anderen Ver- und Entsorgern. Auch bei Unternehmen, die selbst nicht unter NIS2 fallen.

§ 30 Abs. 2 Nr. 4 BSIG, BSI zur Lieferkette

NIS2 in Zahlen

Das Gesetz gilt. Viele sind noch nicht so weit.

Seit Januar 2026 nimmt das BSI Registrierungen und Meldungen über sein Portal entgegen. Die Zahlen zeigen, wo Deutschland steht.

  • 29.500

    Unternehmen und Einrichtungen fallen nach Schätzung des BSI unter NIS2. Vorher waren es rund 4.500.

    Quelle: BSI, Pressemitteilung 06.01.2026

  • 20.373

    davon hatten sich bis Ende September 2026 beim BSI registriert. Rund ein Drittel fehlt also noch.

    Quelle: BSI, NIS-2 in Zahlen, 30.09.2026

  • 1.272

    Erstmeldungen zu Sicherheitsvorfällen sind bis dahin beim BSI eingegangen.

    Quelle: BSI, NIS-2 in Zahlen, 30.09.2026

  • 24h

    bleiben nach Kenntnis eines erheblichen Sicherheitsvorfalls für die erste Meldung an das BSI. Auch nachts und am Wochenende.

    Quelle: § 32 BSIG

Die Pflichten

Vier Pflichten. Ohne Übergangsfrist.

Für direkt betroffene Unternehmen gelten die Pflichten seit dem Tag des Inkrafttretens. Bei Verstößen drohen Bußgelder bis zu 10 Mio. € und die persönliche Haftung der Geschäftsleitung.

  1. 01

    § 33 BSIG

    Registrieren

    Betroffene Unternehmen müssen sich selbst beim BSI registrieren, über „Mein Unternehmenskonto“ und das BSI-Portal. Die Frist ist am 6. März 2026 abgelaufen. Wer sie verpasst hat, holt es jetzt umgehend nach.

  2. 02

    § 30 BSIG

    Risiken managen

    Zehn Mindestmaßnahmen nach dem Stand der Technik, von Backup und Notfallplan bis zur Mehrfaktor-Anmeldung. Die Umsetzung muss dokumentiert sein.

  3. 03

    § 32 BSIG

    Vorfälle melden

    Bei einem erheblichen Sicherheitsvorfall: erste Meldung nach spätestens 24 Stunden, Meldung nach 72 Stunden, Abschlussmeldung nach einem Monat.

  4. 04

    § 38 BSIG

    Verantwortung übernehmen

    Die Geschäftsleitung muss die Maßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Verletzt sie diese Pflichten schuldhaft, haftet sie.

Meldefristen

24 Stunden. Auch am Wochenende.

Die Uhr läuft ab dem Moment, in dem Sie von einem erheblichen Vorfall wissen. Wer erst am Montag merkt, was am Samstag passiert ist, hat ein Problem. Unser SOC wacht rund um die Uhr, und wir bereiten die Meldungen mit Ihnen vor.

  1. 0 h

    Kenntnis

    Das SOC erkennt den Vorfall, auch nachts. Wir informieren Sie und sichern die Spuren.

  2. 24 h

    Erste Meldung

    Frühe Erstmeldung an das BSI: Verdacht auf einen Angriff, mögliche Auswirkungen über Grenzen hinweg.

  3. 72 h

    Meldung

    Erste Bewertung von Schwere und Auswirkungen, soweit vorhanden mit Angriffsmerkmalen.

  4. 1 Monat

    Abschlussmeldung

    Ursache, Maßnahmen und Auswirkungen. Ist der Vorfall noch nicht abgeschlossen, zunächst eine Fortschrittsmeldung.

Fristen nach § 32 BSIG. Zuständig ist die gemeinsame Meldestelle von BSI und BBK, die Meldung läuft über das BSI-Portal.

§ 30 BSIG

Zehn Mindestmaßnahmen. Und was wir dafür tun.

Das Gesetz verlangt geeignete, verhältnismäßige und wirksame Maßnahmen nach dem Stand der Technik. Was das für Ihr Unternehmen heißt, hängt von Größe und Risiko ab. Diese zehn Punkte gehören immer dazu.

  1. 01

    Risikoanalyse und Sicherheitskonzept

    Bestandsaufnahme Ihrer Systeme und Daten, Bewertung der Risiken und ein Sicherheitskonzept, das Sie Auftraggebern zeigen können.

  2. 02

    Bewältigung von Sicherheitsvorfällen

    Unser Security Operations Center (SOC) erkennt Angriffe rund um die Uhr und greift sofort ein. Dazu ein Notfallplan, der festlegt, wer was tut. Mehr dazu

  3. 03

    Betrieb aufrechterhalten

    Überwachte Backups, regelmäßig geprüfte Wiederherstellung, Notfall- und Wiederanlaufplan. Mehr dazu

  4. 04

    Sicherheit der Lieferkette

    Übersicht Ihrer IT-Dienstleister und Zulieferer und die Anforderungen, die Sie an sie stellen. Als Ihr Dienstleister liefern wir unsere Nachweise selbst mit.

  5. 05

    Sicherheit bei Beschaffung und Wartung

    Geplante Updates, zeitnahe Sicherheitspatches und ein geregelter Umgang mit Schwachstellen. Mehr dazu

  6. 06

    Wirksamkeit prüfen

    Regelmäßige Überprüfung der Maßnahmen, Berichte und Anpassung, wenn sich Ihre IT oder die Bedrohungslage ändert. Mehr dazu

  7. 07

    Cyberhygiene und Schulungen

    Schulungen für Ihr Team und für die Geschäftsleitung, Phishing-Übungen und klare Regeln, dokumentiert. Mehr dazu

  8. 08

    Kryptografie und Verschlüsselung

    Verschlüsselte Geräte, Datenträger, Backups und Verbindungen. Mehr dazu

  9. 09

    Zugriffe und Anlagen im Griff

    Berechtigungskonzept, geregeltes Ein- und Austreten von Mitarbeitenden und ein aktuelles Verzeichnis Ihrer Geräte und Systeme.

  10. 10

    Mehrfaktor-Anmeldung und sichere Kommunikation

    Mehrfaktor-Anmeldung für alle Zugänge, abgesicherte Kommunikation in Microsoft 365 und ein Kommunikationsweg für den Notfall. Mehr dazu

Für Auftraggeber und Ausschreibungen

Wenn jemand Nachweise sehen will.

Sicherheitsfragebögen, Lieferantenaudits, Anforderungen in Ausschreibungen: Sie können belastbar antworten, weil die Maßnahmen tatsächlich umgesetzt und dokumentiert sind.

Sicherheitskonzept

Ihre Maßnahmen schriftlich, verständlich und aktuell. Die Grundlage für jede Nachweisanfrage.

Notfall- und Meldeplan

Wer tut was bei einem Vorfall, wer meldet an wen, innerhalb welcher Frist. Mit Kontakten, die auch nachts erreichbar sind.

Belegte Wiederherstellung

Protokollierte Wiederherstellungstests statt der Aussage „wir haben ein Backup“.

Fragebögen und Selbstauskünfte

Wir unterstützen Sie beim Beantworten von Sicherheitsfragebögen Ihrer Auftraggeber und bei den Angaben in Ausschreibungen.

Schulungsnachweise

Schulungen für Mitarbeitende und Geschäftsleitung, mit Datum und Inhalt dokumentiert.

Überwachung rund um die Uhr

Unser SOC überwacht Ihre Systeme 24 Stunden am Tag, 365 Tage im Jahr, und jeder Vorfall wird dokumentiert.

Ablauf

In vier Schritten zu NIS2.

Sie müssen nicht alles auf einmal machen. Aber in der richtigen Reihenfolge.

  1. 01

    Einordnen

    Sind Sie direkt betroffen, als wichtige oder besonders wichtige Einrichtung, oder über Ihre Auftraggeber?

  2. 02

    Bestandsaufnahme

    Wir gleichen Ihre IT mit den zehn Mindestmaßnahmen ab und zeigen, was fehlt und was zuerst kommt.

  3. 03

    Umsetzen

    Technik und Regeln werden umgesetzt, in sinnvoller Reihenfolge und ohne Ihren Betrieb aufzuhalten.

  4. 04

    Belegen und begleiten

    Dokumentation und Nachweise für BSI und Auftraggeber. Danach prüfen wir regelmäßig und passen an.

Selbsttest

Betrifft NIS2 Ihr Unternehmen?

Der Selbsttest gibt Ihnen in wenigen Minuten eine erste Einordnung und zeigt, wo Sie stehen. Ihre Antworten bleiben in Ihrem Browser. Eine verbindliche Prüfung bietet das BSI mit seiner Betroffenheitsprüfung.

NIS2-Selbsttest

Start

Betrifft NIS2 Ihr Unternehmen, und wo stehen Sie?

Der Selbsttest hat zwei Teile und dauert etwa fünf Minuten. Sie brauchen keine Vorkenntnisse.

  1. Teil A: Betrifft NIS2 Ihr Unternehmen?3 Fragen zu Branche und Größe
  2. Teil B: Wo stehen Sie?10 Fragen zu Ihren Sicherheitsmaßnahmen

Orientierung, keine Rechtsberatung. Der Test vereinfacht die Regeln. Ihre Antworten bleiben in Ihrem Browser, bis Sie sie selbst an uns schicken.

Fragen

Was Sie wissen sollten.

Ihre Frage ist nicht dabei? Rufen Sie an: 08232 952105-11. Wir gehen ran.

Wir fallen nicht unter NIS2. Warum fragt unser Kunde trotzdem danach?

Weil Ihr Kunde selbst betroffen ist. Das Gesetz verpflichtet ihn, auch die Sicherheit seiner Lieferkette zu gewährleisten, und das BSI empfiehlt, Zulieferer und Dienstleister vertraglich zu Sicherheitsanforderungen zu verpflichten. Deshalb tauchen NIS2-Anforderungen in Verträgen, Lieferantenaudits und Ausschreibungen auf, auch bei Unternehmen, die selbst nicht registrieren müssen.

Wir haben die Registrierung verpasst. Was jetzt?

Umgehend nachholen. Für alle, die seit Inkrafttreten des Gesetzes betroffen sind, endete die Frist am 6. März 2026. Das BSI kann Unternehmen auch selbst registrieren, und eine fehlende Registrierung kann mit einem Bußgeld von bis zu 500.000 € geahndet werden. Wir helfen bei der Einordnung und bei der Registrierung.

Müssen wir nach ISO 27001 zertifiziert sein?

NIS2 schreibt keine Zertifizierung vor. Manche Auftraggeber verlangen sie trotzdem, und das BSI empfiehlt Lieferanten ein Managementsystem für Informationssicherheit nach ISO 27001 oder BSI-Standard 200-1. Ob das für Sie sinnvoll ist, hängt von Ihren Auftraggebern ab. Das klären wir im Erstgespräch.

Was droht bei Verstößen?

Bei Verstößen gegen Risikomanagement oder Meldepflichten bis zu 10 Mio. € für besonders wichtige und bis zu 7 Mio. € für wichtige Einrichtungen. Bei sehr großen Unternehmen kann es auch ein Anteil am weltweiten Jahresumsatz sein (2 % bzw. 1,4 %). Hinzu kommt die persönliche Haftung der Geschäftsleitung.

Ändert sich NIS2 bald noch einmal?

Die EU-Kommission hat im Januar 2026 Anpassungen an der Richtlinie vorgeschlagen, unter anderem Erleichterungen für mittelgroße Unternehmen. Beschlossen ist davon noch nichts. Die Pflichten aus dem deutschen Gesetz gelten heute.

Ersetzt das eine Rechtsberatung?

Nein. Wir sorgen dafür, dass Ihre IT-Sicherheit technisch und organisatorisch dem entspricht, was das Gesetz verlangt, und dass Sie es belegen können. Für die rechtliche Prüfung stimmen wir uns gern mit Ihrer Kanzlei ab.

Quellen

Stand: Oktober 2026. Orientierung zur Umsetzung in der IT, keine Rechtsberatung.

Kontakt

NIS2 umsetzen. Und belegen können.

In einem Erstgespräch klären wir, ob und wie NIS2 Sie betrifft, was Ihre Auftraggeber erwarten und welcher Schritt zuerst sinnvoll ist. 30 Minuten, per Teams oder bei Ihnen vor Ort.

Termin wählen08232 952105-11

Klaus Lichtblau

Inhaber, IT-Systems Engineer

Erreichbar
Mo–Fr 8:00–18:00 Uhr
Notfälle rund um die Uhr nach Vereinbarung