NIS2-Beratung
NIS2-Beratung: Pflichten einordnen, Maßnahmen umsetzen
Unsere NIS2-Beratung prüft, ob das BSI-Gesetz Ihren Betrieb erfasst, setzt die geforderten Maßnahmen um und bereitet die Nachweise vor.
Das Gesetz gilt, doch was heißt das für Sie?
NIS2 ist eine Richtlinie der EU für mehr Cybersicherheit. In Deutschland setzt sie das NIS2UmsuCG um, das seit dem 6. Dezember 2025 in Kraft ist. Die Pflichten stehen seither im BSI-Gesetz, kurz BSIG. Das BSI ist das Bundesamt für Sicherheit in der Informationstechnik und wacht über die Umsetzung. Viele Betriebe wissen noch nicht, ob das Gesetz sie erfasst und womit sie anfangen sollen.
- Ob Ihr Betrieb unter das BSIG fällt, hängt von Branche, Beschäftigtenzahl, Umsatz und Bilanzsumme ab. Geprüft hat das bisher niemand.
- Ein großer Kunde schickt einen Fragebogen zur IT-Sicherheit und will Nachweise sehen, die es in Ihrem Betrieb noch nicht gibt.
- Die Geschäftsleitung weiß, dass sie für die Umsetzung verantwortlich ist, aber nicht, was das im Alltag von ihr verlangt.
- Wer bei einem Angriff entscheidet, wer das BSI informiert und wo die Datensicherung liegt, steht nirgends geschrieben.
Was wir für Sie umsetzen
Betroffenheit prüfen und einordnen
Wir gleichen Ihre Branche mit den Sektoren in den Anlagen 1 und 2 zum BSIG ab und prüfen die Größenschwellen nach § 28 BSIG: Zahl der Beschäftigten, Jahresumsatz und Jahresbilanzsumme. Sie erhalten eine schriftliche Einordnung mit Begründung. Sie zeigt, ob Ihr Betrieb voraussichtlich als besonders wichtige oder als wichtige Einrichtung gilt oder nicht unmittelbar erfasst ist. Hängt die Einordnung an einer offenen Frage, benennen wir sie.
Abgleich mit den zehn Mindestmaßnahmen
Risikomanagement heißt: Gefahren für Ihre IT erkennen, bewerten und mit passenden Maßnahmen beantworten. Das BSIG nennt in § 30 Abs. 2 zehn Bereiche, die es mindestens abdecken muss, von der Risikoanalyse über Datensicherung und Notfallplanung bis zur Lieferkette. Wir prüfen Punkt für Punkt, was in Ihrem Betrieb schon steht. Dazu sprechen wir mit den Zuständigen, sichten Unterlagen und sehen uns Ihre Systeme an. Jede Lücke kommt mit Risiko und Aufwand in einen Maßnahmenplan, der die Reihenfolge festlegt.
Maßnahmen technisch umsetzen
Wir setzen den Plan mit Ihnen oder Ihrem IT-Dienstleister um. Dazu gehört die Mehr-Faktor-Anmeldung: Neben dem Passwort braucht es einen zweiten Nachweis, etwa einen Code aus einer App. Wir richten Datensicherungen ein, die ein Angreifer nicht mitverschlüsseln kann, und testen die Wiederherstellung. Wir erfassen Geräte, Programme und Zugänge, vergeben Rechte nach Aufgabe und verschlüsseln Verbindungen und Datenträger.
Meldewege und Registrierung beim BSI
Wer unter das Gesetz fällt, muss sich nach § 33 BSIG beim BSI registrieren. Wir stellen die Angaben dafür mit Ihnen zusammen und begleiten die Registrierung. Für meldepflichtige Sicherheitsvorfälle gelten nach § 32 BSIG feste Fristen. Wir legen vorab fest, wer im Ernstfall entscheidet, wer meldet und welche Angaben bereitliegen. Den Ablauf spielen wir einmal mit Ihnen durch, damit er sitzt, wenn es darauf ankommt.
Regelwerk und Nachweise
Ein Informationssicherheits-Managementsystem, kurz ISMS, ist das Regelwerk, mit dem ein Betrieb seine Sicherheit plant, umsetzt und regelmäßig überprüft. Wir bauen es in der Struktur von ISO 27001 auf, im Umfang, den Ihr Betrieb braucht: Sicherheitsleitlinie, Rollen und Rechte, Notfallplan und eine Bewertung Ihrer wichtigen Dienstleister. So entstehen Unterlagen, die Sie bei einer Prüfung oder auf die Frage eines Kunden vorlegen.
Schulung für Geschäftsleitung und Team
Nach § 38 Abs. 3 BSIG muss die Geschäftsleitung regelmäßig an Schulungen teilnehmen. Ein festes Intervall schreibt das Gesetz nicht vor. Wir schulen sie zu ihren Pflichten und zu den Entscheidungen, die bei ihr liegen. Ihr Team lernt in kurzen Einheiten, Phishing zu erkennen, also gefälschte Nachrichten, die an Zugangsdaten gelangen wollen, und einen Verdacht sofort zu melden.
Was Ihr Betrieb davon hat
Sie wissen, woran Sie sind
Sie kennen die Einordnung Ihres Betriebs und die Gründe dafür. Statt Vermutungen haben Sie eine schriftliche Grundlage für die nächsten Entscheidungen.
Zuerst das, was am meisten schützt
Der Maßnahmenplan ordnet jede Lücke nach Risiko und Aufwand. Zeit und Budget fließen zuerst dorthin, wo ein Angriff den größten Schaden anrichten würde.
Die Geschäftsleitung behält den Überblick
Nach § 38 Abs. 1 BSIG muss die Geschäftsleitung die Maßnahmen umsetzen und ihre Umsetzung überwachen. Ein knapper Bericht zeigt ihr, was erledigt ist und was noch fehlt.
Nachweise, wenn jemand fragt
Fragt ein Kunde, eine Versicherung oder das BSI nach Ihrer Sicherheit, legen Sie Richtlinien, Pläne und Protokolle vor. Fragebögen füllen Sie aus, ohne jedes Mal neu zu suchen.
So kann das bei Ihnen aussehen
- Produktion
Vom Kundenhinweis zum Maßnahmenplan
Ein mittelständischer Maschinenbauer erfährt von einem Kunden, dass NIS2 auch ihn betreffen könnte. Der Abgleich zeigt: Der Maschinenbau gehört zu den Sektoren im BSIG, und der Betrieb liegt über den Größenschwellen. Es folgen die Registrierung beim BSI und der Abgleich mit den zehn Mindestmaßnahmen. Der Plan beginnt damit, die Fernwartungszugänge der Maschinen mit Mehr-Faktor-Anmeldung abzusichern und das Netz der Fertigung vom Büronetz zu trennen.
- IT-Dienstleister
Kundenzugänge sauber getrennt
Ein Systemhaus betreut die Rechner und Server seiner Kunden aus der Ferne. Damit bietet es IKT-Dienstmanagement an, also den Betrieb von Informations- und Kommunikationstechnik für andere, und dieser Bereich steht im BSIG. Liegt das Systemhaus über den Größenschwellen, gilt das Gesetz unmittelbar. Wir trennen die Zugänge je Kunde, sichern die Fernwartung mit Mehr-Faktor-Anmeldung, vergeben Adminrechte nur auf Zeit und schreiben jede Anmeldung ins Protokoll.
- Steuerberatung
Nachweise für einen Mandanten
Eine Steuerkanzlei gehört zu keinem der Sektoren im BSIG. Ein Mandant aus der Lebensmittelindustrie fällt aber unter das Gesetz und muss auch die Sicherheit in seiner Lieferkette beachten. Er bittet die Kanzlei um Nachweise. Wir schreiben eine kurze Sicherheitsleitlinie, prüfen Zugänge und Datensicherung und führen die Mehr-Faktor-Anmeldung für die Kanzleisoftware ein. Danach liegen die Unterlagen gesammelt vor, und die Kanzlei kann sie jedem Mandanten zeigen.
Ablauf
In vier Etappen zur fertigen Lösung
Erstgespräch und Festpreisangebot
Im vertraulichen Erstgespräch klären wir Branche, Größe und Anlass, etwa eine Kundenanfrage, einen Vorfall oder die offene Frage, ob das Gesetz gilt. Das Gespräch kostet nichts. Danach erhalten Sie ein Angebot zum Festpreis.
Bestandsaufnahme und Maßnahmenplan
Wir ordnen die Betroffenheit ein, sprechen mit den Zuständigen, sichten Unterlagen und prüfen Ihre Systeme gegen die zehn Mindestmaßnahmen. Die Geschäftsleitung erhält einen Bericht mit den Lücken, ihrem Risiko und der Reihenfolge, in der wir sie schließen.
Umsetzung mit Ihrem Team
Wir setzen die Maßnahmen um, bauen Regelwerk und Notfallplan auf, begleiten die Registrierung und schulen Geschäftsleitung und Team. Eine Probeprüfung zeigt am Ende, wo noch etwas fehlt, bevor ein Kunde oder das BSI danach fragt.
Laufende Betreuung
Sicherheit bleibt nicht von selbst auf dem Stand. Wir prüfen ihn regelmäßig, frischen Schulungen auf, bewerten neue Dienstleister und passen die Unterlagen an, wenn sich Gesetz oder Betrieb ändern. Sie behalten einen festen Ansprechpartner.
Was NIS2 für den Mittelstand bedeutet
Ob ein Betrieb unter das BSIG fällt, entscheiden zwei Fragen. Erstens: Gehört er zu einem Sektor aus den Anlagen 1 und 2 zum Gesetz, etwa Gesundheitswesen, Maschinenbau, Lebensmittelindustrie, Chemikalien, Abfallwirtschaft oder IKT-Dienstmanagement? Zweitens: Erreicht er die Größenschwellen nach § 28 BSIG, also mindestens 50 Beschäftigte oder einen Jahresumsatz und eine Jahresbilanzsumme über den dort genannten Werten? Betreiber kritischer Anlagen (KRITIS) sind unabhängig von ihrer Größe erfasst. Das Gesetz unterscheidet besonders wichtige und wichtige Einrichtungen. Beide setzen dieselben Maßnahmen um. Sie unterscheiden sich bei der Aufsicht und bei der Höhe möglicher Bußgelder nach § 65 BSIG. Wer seine NIS2-Betroffenheit prüfen will, beginnt also mit Branche und Kennzahlen.
Für betroffene Betriebe beschreibt § 30 Abs. 2 BSIG zehn Mindestmaßnahmen: Risikoanalyse und Sicherheit der IT, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs mit Datensicherung und Krisenmanagement, Sicherheit der Lieferkette, Sicherheit bei Erwerb, Entwicklung und Wartung von IT, Bewertung der Wirksamkeit, Schulungen, Kryptografie, Personalsicherheit mit Zugriffskontrolle und Verwaltung der Anlagen sowie Mehr-Faktor-Authentifizierung. Hinzu kommen die Registrierung nach § 33 und die Meldepflichten nach § 32. Bei der NIS2-Umsetzung achten wir darauf, dass jede Maßnahme im Alltag funktioniert und sich belegen lässt. Ein Ordner voller Richtlinien, die niemand kennt, schützt keinen Betrieb.
Auch wer nicht selbst unter das Gesetz fällt, spürt es oft. Betroffene Unternehmen müssen nach § 30 Abs. 2 Nr. 4 BSIG die Sicherheit in den Beziehungen zu ihren unmittelbaren Anbietern und Dienstleistern beachten. Deshalb können sie von Zulieferern, Handwerksbetrieben, Kanzleien und IT-Dienstleistern Nachweise verlangen. Eine NIS2-Beratung lohnt sich darum auch für kleinere Betriebe: Sie zeigt, ob eigene Pflichten bestehen, und schafft die Nachweise, die Kunden sehen wollen. Wir setzen die Maßnahmen dabei in dem Umfang um, den Ihr Betrieb tatsächlich braucht. Eine kleine Kanzlei braucht kein Regelwerk wie ein Konzern, wohl aber eine geprüfte Datensicherung, sichere Zugänge und einen Notfallplan.
Ihre Schwachstellen bleiben unter uns
Bei einer NIS2-Beratung sehen wir, wo Ihr Betrieb verwundbar ist. Mit diesem Wissen gehen wir so sorgfältig um, wie wir es Ihnen empfehlen.
- Vertraulich ab dem ersten Gespräch: Befunde und Maßnahmenpläne liegen verschlüsselt und gehen nur an die Personen, die Sie benennen.
- Zugriff nur mit Ihrer Freigabe: Auf Ihre Systeme greifen wir nur zu, wenn Sie es erlaubt haben, mit eigenen Zugängen und Mehr-Faktor-Anmeldung. Jeder Fernzugriff steht im Protokoll.
- Daten in Deutschland oder der EU: Ihre Unterlagen speichern wir dort. Für personenbezogene Daten schließen wir mit Ihnen einen Auftragsverarbeitungsvertrag.
Häufige Fragen
Fällt mein Betrieb unter NIS2?
Das hängt von Branche und Größe ab. Erfasst sind Betriebe aus den Sektoren der Anlagen 1 und 2 zum BSIG, die mindestens 50 Beschäftigte haben oder mit Jahresumsatz und Jahresbilanzsumme über den Schwellen nach § 28 liegen. Betreiber kritischer Anlagen sind unabhängig von der Größe erfasst. Kleine Arztpraxen unter 50 Beschäftigten sind in der Regel nicht unmittelbar betroffen, und Steuerkanzleien gehören zu keinem der Sektoren. Im Erstgespräch gleichen wir Ihre Angaben mit diesen Kriterien ab.
Was, wenn wir nicht unter das Gesetz fallen?
Aus dem BSIG folgen dann keine eigenen Pflichten. Ihre Kunden können aber trotzdem fragen: Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette beachten und können deshalb Nachweise von Dienstleistern und Zulieferern verlangen. Wer eine Sicherheitsleitlinie, geprüfte Datensicherungen, Mehr-Faktor-Anmeldung und einen Notfallplan vorlegen kann, beantwortet solche Anfragen schnell. Dieselben Maßnahmen schützen zugleich Ihren eigenen Betrieb vor Ausfall und Datenverlust.
Wie schnell muss ein Sicherheitsvorfall gemeldet werden?
Das BSIG nennt in § 32 für meldepflichtige Vorfälle drei Fristen: eine Frühwarnung an das BSI innerhalb von 24 Stunden, eine ausführliche Meldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats. Sind personenbezogene Daten betroffen, kann zusätzlich eine Meldung an die Datenschutzaufsicht nach Art. 33 DSGVO nötig sein. Damit das unter Druck gelingt, legen wir vorab fest, wer entscheidet, wer meldet und welche Angaben bereitliegen.
Brauchen wir eine Zertifizierung nach ISO 27001?
Nein, ISO 27001 ist für NIS2 keine Pflicht. Ein Zertifikat erleichtert den Nachweis, ersetzt aber nicht den Abgleich mit den zehn Mindestmaßnahmen nach § 30 Abs. 2 BSIG. Auch die Registrierung beim BSI, die Meldewege und die Schulung der Geschäftsleitung erledigt es nicht. Haben Sie bereits ein ISMS, gleichen wir es Punkt für Punkt mit diesen Anforderungen ab und benennen jede Lücke. Wollen Sie die Zertifizierung, begleiten wir Sie auch dabei.
Welche Pflichten hat die Geschäftsleitung?
Nach § 38 Abs. 1 BSIG muss die Geschäftsleitung die Maßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen. Verletzt sie diese Pflichten, haftet sie der eigenen Einrichtung nach § 38 Abs. 2 für schuldhaft verursachte Schäden nach den Regeln des Gesellschaftsrechts. Nach Abs. 3 muss sie regelmäßig an Schulungen teilnehmen; ein festes Intervall nennt das Gesetz nicht. Wir schulen die Geschäftsleitung und liefern ihr einen knappen Stand, mit dem sie die Umsetzung überwachen kann.
Was kostet eine NIS2-Beratung?
Das hängt vom Umfang ab: Ist nur die Betroffenheit einzuordnen, oder folgt die Umsetzung? Wie viele Standorte, Systeme und Dienstleister gehören dazu? Gibt es schon Richtlinien, Datensicherungen und einen Notfallplan? Soll die Betreuung danach weiterlaufen? Nach dem kostenlosen Erstgespräch erhalten Sie ein Festpreisangebot, das genau festhält, was Sie dafür bekommen.
Passt gut dazu
ISO 27001
Baut mit Ihnen ein Sicherheitsmanagement nach ISO 27001 auf und bereitet die Zertifizierung vor.
Penetration Testing
Greift Ihre Systeme mit Ihrer Erlaubnis an und zeigt, wie Sie gefundene Lücken schließen.
Incident Response
Hilft im IT-Notfall, sichert Spuren, bringt Ihre Systeme zurück und übt mit Ihnen den Ernstfall.
Lassen Sie uns über Ihre Abläufe sprechen.
30 Minuten, kostenlos und unverbindlich. Sie schildern, wo Zeit verloren geht. Wir sagen Ihnen offen, was Software und KI dort leisten können und was nicht.