NIS2 ist die EU-Richtlinie zur Cybersicherheit, die in Deutschland seit dem 6. Dezember 2025 über das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz gilt. Nach Schätzung des Bundesinnenministeriums fallen rund 29.500 Unternehmen darunter. Betroffene müssen Risikomanagementmaßnahmen einführen, Sicherheitsvorfälle in mehreren Stufen an das BSI melden und ihre Lieferkette absichern. Die Geschäftsleitung haftet persönlich für die Umsetzung. Eine NIS2-Beratung klärt zuerst die Betroffenheit, ermittelt dann den Abstand zum Soll-Zustand und priorisiert die Maßnahmen.
So viele fallen laut BMI-Schätzung unter die Aufsicht des BSI. Viele davon wissen es noch nicht – Betroffenheit entsteht über Sektor, Größe und Lieferkette.
Erstmeldung binnen 24 Stunden, Folgemeldung binnen 72 Stunden, Abschlussbericht binnen eines Monats. Diese Fristen laufen ab Kenntnis, nicht ab Aufklärung.
NIS2 nimmt die Leitungsebene ausdrücklich in die Pflicht – inklusive Schulungspflicht. Bußgelder reichen bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes.
Gap-Analyse, Maßnahmenplan, Incident-Response-Pläne und die Übernahme von Behördenmeldungen im Ernstfall – aus einem Haus, seit 1999, ISO/IEC 27001 (TÜV SÜD).
Woran Sie eine belastbare NIS2-Beratung erkennen – und woran eine reine Papierübung.
Eine seriöse Beratung beginnt mit der Frage, ob und wie Sie betroffen sind – nicht mit dem Maßnahmenkatalog. Lassen Sie sich die Herleitung schriftlich geben.
Meldewege, Formulare und Erwartungshaltung der Behörde sind Praxiswissen. Fragen Sie nach konkret begleiteten Meldungen, nicht nach Zertifikaten.
NIS2 verlangt beides: Prozesse und Nachweise ebenso wie Segmentierung, Patch- und Zugriffsmanagement. Eine reine Papierberatung greift zu kurz.
Ein Meldeprozess ist nur so gut wie das Team, das ihn nachts anwendet. Prüfen Sie, ob Beratung und Incident Response zusammenhängen.
Ihre Pflichten enden nicht an der eigenen Firewall. Die Beratung sollte Ihre Dienstleister mit erfassen – und Ihre eigene Rolle als Zulieferer.
Ein Gap-Report mit 200 Punkten ohne Reihenfolge hilft nicht. Verlangen Sie eine nach Risiko und Aufwand priorisierte Roadmap.
Am Ende zählt, was Sie vorlegen können. Klären Sie früh, welche Dokumente entstehen und wer sie pflegt.
NIS2 endet nicht mit dem Maßnahmenplan. Klären Sie, wer die Nachweise fortschreibt, wenn sich Prozesse, Dienstleister oder Rechtslage ändern.
Die Fragen, die Entscheider vor der Umsetzung stellen – hier unsere Antworten.
Maßgeblich sind Sektor, Unternehmensgröße und die Rolle in der Lieferkette. Grob gilt: Einrichtungen ab 50 Beschäftigten oder 10 Mio. Euro Umsatz in den erfassten Sektoren fallen darunter. Weil es Sonderfälle und sektorspezifische Schwellen gibt, ist eine geprüfte Betroffenheitsanalyse der sichere Weg.
Drei Stufen: eine Erstmeldung innerhalb von 24 Stunden nach Kenntnis, eine Folgemeldung mit Bewertung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats. Die Uhr läuft ab dem Zeitpunkt der Kenntnis, nicht ab der vollständigen Aufklärung.
Für wesentliche Einrichtungen sieht das Gesetz Bußgelder bis 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes vor, für wichtige Einrichtungen bis 7 Millionen Euro oder 1,4 %. Hinzu kommt die persönliche Verantwortung der Geschäftsleitung.
Sie ist eine sehr gute Grundlage, deckt NIS2 aber nicht automatisch ab. Meldepflichten, Lieferkettenanforderungen und die Pflichten der Leitungsebene gehen darüber hinaus und müssen gesondert nachgewiesen werden.