Compliance · NIS2
NIS2: erst klären, dann umsetzen.
Erst klären wir mit Ihnen, ob und wie NIS2 Sie betrifft, direkt per Gesetz oder über Ihre Kunden. Dann setzen wir die Pflichten so um, dass sie sich nachweisen lassen: organisatorisch und technisch, mit festgelegten Meldewegen und Entscheidungen, die bei Ihrer Leitung liegen.
kostenlos · 30 Minuten · telefonisch oder online
Stand: Oktober 2026
Was seit Dezember 2025 gilt
Seit dem 6. Dezember 2025 gelten in Deutschland die Pflichten aus NIS2, ohne allgemeine Übergangsfrist. Betroffene Unternehmen müssen unter anderem Sicherheitsvorfälle bewältigen und melden, die Wirksamkeit ihrer Maßnahmen bewerten, Mitarbeitende schulen und die Sicherheit ihrer Lieferkette berücksichtigen. Die Geschäftsleitung billigt die Maßnahmen, überwacht ihre Umsetzung und muss sich selbst schulen lassen.
Stand: Oktober 2026. Keine Rechtsberatung.
Betroffenheit
Wie NIS2 bei Ihnen ankommen kann.
Ob Sie betroffen sind, hängt unter anderem von Sektor und Größe ab. Für viele Mittelständler kommt NIS2 aber gar nicht über das Gesetz ins Haus, sondern über einen Kunden. Beides lässt sich klären, und beides verlangt etwas anderes.
Direkt über Sektor und Größe
Ihr Unternehmen gehört zu einem erfassten Sektor und erreicht die maßgebliche Größe. Dann gelten die Pflichten aus dem Gesetz unmittelbar. Auch das verarbeitende Gewerbe, etwa Maschinen- und Fahrzeugbau, gehört zu den erfassten Sektoren.
Über Ihre Kunden
Auch wenn NIS2 Sie nicht direkt betrifft, fragen Kunden, die selbst darunter fallen, zunehmend nach der Sicherheit ihrer Lieferanten. Dann geht es um die Anforderungen Ihres Kunden, nicht um das Gesetz.
Über Ausschreibungen und Fragebögen
Ein Sicherheitsfragebogen oder eine Ausschreibung fragt nach Risikomanagement, Meldewegen und Nachweisen. Wer die Antworten belegen kann, beantwortet sie einmal sauber statt jedes Mal neu. Beim Ausfüllen unterstützen wir Sie.
Über Ihre eigenen Dienstleister
Sind Sie betroffen, gehört auch die Sicherheit Ihrer IT-Dienstleister und Zulieferer zu Ihren Aufgaben. Die Anforderung wandert in der Kette weiter.
Ein erster Eindruck in wenigen Minuten: der NIS2-Check. Ihre Antworten werden nicht gespeichert.
Registrierung und Fragebögen
Wenn das BSI oder Ihr Kunde fragt.
Für viele Unternehmen ist das der erste konkrete Schritt: die Registrierung, wenn Sie direkt betroffen sind, oder der Fragebogen eines Kunden, der selbst unter NIS2 fällt.
Registrierung beim BSI
- Sind Sie direkt betroffen, müssen Sie sich beim BSI registrieren.
- Wir klären mit Ihnen, welche Angaben nötig sind, und unterstützen bei der Registrierung.
- Die Verantwortung für die Angaben bleibt bei Ihrem Unternehmen.
Fragebögen aus der Lieferkette
- Kunden, die selbst unter NIS2 fallen, fragen nach der Sicherheit ihrer Lieferanten, oft per Fragebogen.
- Wir ordnen ein, was gefragt ist, gleichen es mit Ihrem Stand ab und unterstützen beim Ausfüllen.
- Antworten, die sich belegen lassen, nutzen Sie beim nächsten Fragebogen wieder.
Fehlt eine Maßnahme, die der Fragebogen voraussetzt, sagen wir Ihnen, was nötig ist, und setzen es auf Wunsch mit um. Umgekehrt helfen wir, Fragebögen für Ihre eigenen Lieferanten aufzusetzen und auszuwerten.
Pflichten
Was NIS2 verlangt, und wobei wir mitarbeiten.
Die Pflichten aus Sicht der Organisation, jeweils mit der Leistung, die dazu beiträgt. Organisatorisches und Technisches kommt aus einem Team, darum bleibt es nicht beim Konzept.
| Pflicht | Wozu wir beitragen | Mehr dazu |
|---|---|---|
| Risiken bewerten, Richtlinien und Maßnahmen festlegen | Risikoworkshops, Richtlinien, priorisierter Maßnahmenplan mit Zuständigkeit | ISO 27001 |
| Sicherheitsvorfälle bewältigen und melden | Meldewege und Rollen vorab festlegen; Erkennung und Reaktion rund um die Uhr über 24/7 Managed Security | 24/7 Managed Security |
| Wirksamkeit der Maßnahmen bewerten | Interne Audits und manuelle Pentests durch unsere Sicherheitsforscher | Pentesting |
| Schwachstellen behandeln | Vulnerability Management: finden, bewerten, mit Frist beheben | Vulnerability Management |
| Netz und Systeme absichern, Datensicherung | Härtung: Firewall, Segmentierung, Backup, umgesetzt statt nur empfohlen | Security Consulting |
| Mitarbeitende und Geschäftsleitung schulen | Awareness für Mitarbeitende, Schulungen für die Geschäftsleitung | Social Engineering & Awareness |
| Lieferkette berücksichtigen | Lieferanten bewerten, Sicherheitsanforderungen in Verträge aufnehmen | – |
| Umsetzung dokumentieren und auf Nachfrage belegen | Nachweise an der jeweiligen Anforderung, auf Wunsch in NXN Compliance OS | NXN Compliance OS |
Risiken bewerten, Richtlinien und Maßnahmen festlegen
- Wozu wir beitragen
- Risikoworkshops, Richtlinien, priorisierter Maßnahmenplan mit Zuständigkeit
- Mehr dazu
- ISO 27001
Sicherheitsvorfälle bewältigen und melden
- Wozu wir beitragen
- Meldewege und Rollen vorab festlegen; Erkennung und Reaktion rund um die Uhr über 24/7 Managed Security
- Mehr dazu
- 24/7 Managed Security
Wirksamkeit der Maßnahmen bewerten
- Wozu wir beitragen
- Interne Audits und manuelle Pentests durch unsere Sicherheitsforscher
- Mehr dazu
- Pentesting
Schwachstellen behandeln
- Wozu wir beitragen
- Vulnerability Management: finden, bewerten, mit Frist beheben
- Mehr dazu
- Vulnerability Management
Netz und Systeme absichern, Datensicherung
- Wozu wir beitragen
- Härtung: Firewall, Segmentierung, Backup, umgesetzt statt nur empfohlen
- Mehr dazu
- Security Consulting
Mitarbeitende und Geschäftsleitung schulen
- Wozu wir beitragen
- Awareness für Mitarbeitende, Schulungen für die Geschäftsleitung
- Mehr dazu
- Social Engineering & Awareness
Lieferkette berücksichtigen
- Wozu wir beitragen
- Lieferanten bewerten, Sicherheitsanforderungen in Verträge aufnehmen
Umsetzung dokumentieren und auf Nachfrage belegen
- Wozu wir beitragen
- Nachweise an der jeweiligen Anforderung, auf Wunsch in NXN Compliance OS
- Mehr dazu
- NXN Compliance OS
Diese Übersicht ist eine Orientierung und ersetzt keine Rechtsberatung.
Meldewege
Meldewege festlegen, bevor sie gebraucht werden.
Wer unter NIS2 fällt, muss erhebliche Sicherheitsvorfälle in Stufen an das BSI melden: eine frühe Erstmeldung innerhalb von 24 Stunden nach Kenntnis, eine Meldung innerhalb von 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach dieser Meldung.
Schritt 1: Innerhalb von 24 Stunden
frühe Erstmeldung
Schritt 2: Innerhalb von 72 Stunden
Meldung
Schritt 3: Spätestens einen Monat danach
Abschlussmeldung
Die Frist beginnt nicht im Büro, sondern dann, wenn der Vorfall bekannt wird, auch am Wochenende. Deshalb legen wir vorher fest, wer entscheidet, ob ein Vorfall erheblich ist, wer die Meldung freigibt und wer vertritt. Die Abläufe gehen wir mit den Beteiligten durch und üben sie auf Wunsch in einer Tabletop-Übung, damit sie im Ernstfall nicht zum ersten Mal gelesen werden.
Bei den Meldungen unterstützen wir Sie und geben sie auf Wunsch stellvertretend für Sie ab. Die Verantwortung für die Meldung bleibt bei Ihrem Unternehmen.
Rollen
Wer im Unternehmen was zu tun hat.
NIS2 richtet sich ausdrücklich an die Geschäftsleitung. Das heißt nicht, dass sie alles selbst erledigt. Es heißt, dass sie entscheidet und überwacht. Die Arbeit übernehmen wir, die Entscheidungen treffen Sie.
„Was muss ich persönlich tun?“
- Bei Ihnen
- Maßnahmen billigen, ihre Umsetzung überwachen und sich selbst schulen lassen.
- Von uns
- Entscheidungsvorlagen, die in einer Sitzung zu bearbeiten sind: was ansteht, was es kostet, was offen bleibt, wenn Sie es nicht tun. Die Billigung der Maßnahmen dokumentieren wir mit Ihnen. Dazu Schulungen für die Geschäftsleitung, mit Teilnahmenachweis.
Vorgehen
Fünf Schritte, in dieser Reihenfolge.
Jeder Schritt baut auf dem vorherigen auf. Haben Sie schon ein ISMS oder ein ISO-Zertifikat, fangen Sie nicht bei null an.
- 1
Betroffenheit klären
Ein erster Eindruck mit dem NIS2-Check, danach die verbindliche Einschätzung im Gespräch: direkt betroffen, über Kunden betroffen oder nicht betroffen. Sind Sie betroffen, unterstützen wir auch bei der Registrierung beim BSI.
- 2
Ist-Stand erheben
Organisatorisch und technisch: Welche Regeln gibt es, welche werden gelebt, was läuft tatsächlich im Netz?
- 3
Mit Vorhandenem abgleichen
Was Ihr ISMS oder Ihre ISO-27001-Zertifizierung schon abdeckt, rechnen wir an. Wir zeigen, was NIS2 darüber hinaus verlangt.
- 4
Maßnahmen priorisieren
Risikomanagement, Meldewege, Lieferkette, technische Maßnahmen: jede mit Zuständigkeit, Frist und benötigtem Nachweis.
- 5
Umsetzen, nachweisen, prüfen
Technische Maßnahmen setzen wir mit um. Nachweise hängen an der Anforderung, und eine technische Prüfung zeigt, ob die Maßnahme wirkt.
Stolpersteine
Woran NIS2-Vorhaben oft hängen bleiben.
Keine dieser Lücken ist ungewöhnlich. Wer sie kennt, plant sie von Anfang an ein.
Nur nach Köpfen gezählt
Die Betroffenheit wird allein an der Mitarbeiterzahl festgemacht. Sektor, Umsatz und die Rolle im Unternehmensverbund bleiben außen vor.
Zertifikat gleich erledigt
Ein ISO-Zertifikat liegt vor, also gilt NIS2 als abgehakt. Ein ISMS ist eine gute Grundlage, aber kein Ersatz für den Abgleich mit den gesetzlichen Pflichten.
Meldeweg nur auf Papier
Das Dokument existiert, aber niemand weiß am Samstagabend, wer entscheidet, ob ein Vorfall gemeldet wird.
Lieferkette als Liste
Lieferanten stehen in einer Tabelle, bewertet ist keiner. Die Anforderung ist nicht die Liste, sondern die Bewertung.
Ergebnis
Was Sie am Ende in der Hand haben.
- Eine begründete Einschätzung Ihrer Betroffenheit
- Einen Abgleich mit Ihrem vorhandenen ISMS, falls es eines gibt
- Priorisierte Maßnahmen mit Zuständigkeit, Frist und benötigtem Nachweis
- Festgelegte Meldewege mit Rollen und Vertretung
- Entscheidungsvorlagen für die Geschäftsleitung
- Unterstützung bei der Registrierung beim BSI, falls Sie betroffen sind
- Dokumentierte Billigung der Maßnahmen und Teilnahmenachweis der Leitungsschulung
- Nachweise, die an den Anforderungen hängen
NXN Compliance OS
NIS2 ist kein eigener Katalog in NXN Compliance OS. Viele NIS2-Maßnahmen lassen sich über ein ISMS nach ISO 27001 abbilden und nachweisen.
- ISO 27001:2022, BSI IT-Grundschutz und TISAX nach ISA2027, mit Zuordnungen zwischen den Katalogen
- Eigene technische Prüfung: Netzwerk-Scan und automatisierte Pentests
- Selbst gehostet oder Private Cloud in Deutschland, Betrieb durch NetzExperten, Datenexport bei Kündigung
Wir ordnen Anforderungen ein und setzen sie organisatorisch und technisch um. Die rechtsverbindliche Auslegung im Einzelfall bleibt Sache Ihrer Rechtsberatung.
FAQ
Häufige Fragen
Betroffen oder nicht? Das klären wir zuerst.
Im kostenlosen Erstgespräch ordnen wir ein, ob und wie NIS2 Sie betrifft, und schlagen einen ersten Schritt vor. Wenn etwas nicht nötig ist, sagen wir das auch. Auf Ihre Anfrage meldet sich unser Team.
kostenlos · 30 Minuten · telefonisch oder online