NIS2 Beratung: Die EU-Richtlinie umsetzen, bevor das BSI prüft

NIS2 ist die EU-Richtlinie für Cybersicherheit, in Deutschland umgesetzt durch das NIS2-Umsetzungsgesetz (NIS2UmsuCG). Sie verpflichtet rund 30.000 Unternehmen aus 18 Sektoren zu Risikomanagement nach Stand der Technik (Art. 21), zur Meldung von Sicherheitsvorfällen ans BSI (24 Stunden Frühwarnung, 72 Stunden Folgemeldung, ein Monat Abschlussbericht) und zur Registrierung beim BSI. Die Geschäftsleitung haftet persönlich für die Umsetzung; Bußgelder reichen bis 10 Millionen Euro oder 2 Prozent des Weltumsatzes bei besonders wichtigen Einrichtungen und bis 7 Millionen Euro oder 1,4 Prozent bei wichtigen Einrichtungen.

Besonders wichtige und wichtige Einrichtungen aus 18 Sektoren: unter anderem Energie, Transport, Banken, Gesundheit, Wasser, digitale Infrastruktur, IT-Dienstleister, öffentliche Verwaltung, Post, Abfall, Chemie, Lebensmittel, produzierendes Gewerbe und Forschung. Als Faustregel gilt: ab 50 Mitarbeitern oder mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme in einem der Sektoren. Auch kleinere Unternehmen können als Zulieferer betroffener Kunden vertraglich in die Pflicht kommen. Unsere NIS2-Betroffenheitsprüfung klärt die Betroffenheit rechtssicher.

NIS2 erfasst deutlich mehr mittelständische Unternehmen als die bisherige KRITIS-Regulierung. Als Faustregel gilt die Richtlinie ab 50 Mitarbeitern oder mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme in einem der 18 Sektoren. Für KMU oberhalb dieser Schwelle heißt das: Risikomanagement nach Art. 21, Meldewege für Sicherheitsvorfälle und die Verantwortung der Geschäftsführung müssen nachweisbar geregelt sein. Unternehmen unterhalb der Schwelle sind in der Regel nicht direkt verpflichtet, können aber über Kundenverträge betroffen sein. Für den Mittelstand bewährt sich ein schlanker Weg: Betroffenheit klären, Lücken gegen die Mindestmaßnahmen prüfen und die Umsetzung auf ein vorhandenes ISMS oder auf ISO 27001 aufsetzen.

In sechs Schritten: Erstens klären wir die Betroffenheit und dokumentieren die Einstufung als besonders wichtige oder wichtige Einrichtung. Zweitens folgt die Gap-Analyse gegen die zehn Mindestmaßnahmen nach Art. 21, in der Regel in zwei bis drei Wochen. Drittens richten wir BSI-Registrierung und Meldeprozesse für die Fristen 24 Stunden, 72 Stunden und ein Monat ein. Viertens setzen wir die Maßnahmen um, integriert in ein vorhandenes ISMS nach ISO 27001 oder IT-Grundschutz. Fünftens schulen wir die Geschäftsleitung, sechstens machen wir die Umsetzung gegenüber dem BSI nachweisbar.

Das hängt vor allem von drei Faktoren ab: der Einstufung als besonders wichtige oder wichtige Einrichtung, dem Reifegrad Ihrer vorhandenen Informationssicherheit und der Zahl der Gesellschaften und Standorte im Scope. Ein bestehendes ISMS nach ISO 27001 senkt den Aufwand deutlich, weil es viele der Mindestmaßnahmen nach Art. 21 bereits abdeckt. Deshalb steht am Anfang die Betroffenheits- und Gap-Analyse: Danach lässt sich der Umsetzungsaufwand belastbar beziffern, statt pauschal geschätzt zu werden. Der Einstieg ist ein unverbindliches Erstgespräch von 30 Minuten, in dem wir Ihre Ausgangslage und die nächsten Schritte klären.

Fünf Kriterien trennen gute von austauschbaren Angeboten: Erfahrung mit dem deutschen NIS2UmsuCG und der BSI-Praxis, nicht nur mit der EU-Richtlinie; Kompetenz in ISO 27001 und IT-Grundschutz, damit vorhandene Nachweise angerechnet werden; Unterstützung bis zu funktionierenden Meldeprozessen statt reiner Dokumentation; Erfahrung mit Ihrer Branche und Ihrer Lieferkette; und ein Angebot für die gesetzlich geforderte Schulung der Geschäftsleitung. Fragen Sie außerdem nach Referenzen und danach, wie der Nachweis gegenüber dem BSI vorbereitet wird.

Für die erste Orientierung bietet das BSI online eine NIS-2-Betroffenheitsprüfung (betroffenheitspruefung-nis-2.bsi.de) und das BSI-Portal für die Registrierung; auch Industrie- und Handelskammern informieren zu NIS2. Die eigentliche Umsetzung, also Gap-Analyse, Maßnahmen, Meldeprozesse und Schulung der Geschäftsleitung, übernehmen spezialisierte Beratungen wie ADVISORI gemeinsam mit Ihrer IT und Ihrem Informationssicherheitsbeauftragten.

Das NIS2UmsuCG ist seit dem 6. Dezember 2025 in Kraft; die Registrierungspflicht beim BSI lief für die zu diesem Zeitpunkt erfassten Einrichtungen bis zum 6. März 2026, Nachzügler sollten umgehend registrieren. Die Meldepflichten gelten laufend: frühe Erstmeldung binnen 24 Stunden nach Kenntnis eines erheblichen Vorfalls, Meldung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung. Die Maßnahmen nach Art. 21 (§ 30 BSIG) gelten ohne Übergangsfrist. Das BSI kann einzelne besonders wichtige Einrichtungen prüfen lassen; bei wichtigen Einrichtungen wird es anlassbezogen tätig.

Anhang I (Sektoren mit hoher Kritikalität): Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienstleistungsmanagement, öffentliche Verwaltung, Weltraum. Anhang II (sonstige kritische Sektoren): Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe (unter anderem Medizinprodukte, Elektronik, Maschinen- und Fahrzeugbau), Anbieter digitaler Dienste und Forschung. Anhang-I-Unternehmen ab 250 Mitarbeitern oder mit mehr als 50 Millionen Euro Umsatz und 43 Millionen Euro Bilanzsumme gelten als besonders wichtige Einrichtungen, die übrigen erfassten Unternehmen ab 50 Mitarbeitern oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme als wichtige Einrichtungen.

Drei Fragen genügen für die erste Einschätzung: Erstens, gehört Ihr Unternehmen zu einem der 18 Sektoren aus Anhang I oder II? Zweitens, haben Sie 50 oder mehr Mitarbeiter oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro? Drittens, sind Sie Betreiber kritischer Anlagen, qualifizierter Vertrauensdiensteanbieter, TLD-Registry oder DNS-Diensteanbieter (dann gilt NIS2 unabhängig von der Größe)? Zweimal Ja bedeutet: sehr wahrscheinlich betroffen. Und selbst bei dreimal Nein können Kundenverträge NIS2-Anforderungen in Ihre Lieferkette durchreichen. Unsere NIS2-Betroffenheitsprüfung liefert die rechtssichere Einstufung inklusive BSI-Dokumentation.

Drei nicht delegierbare Pflichten: Erstens müssen Leitungsorgane die Risikomanagementmaßnahmen nach Art. 21 selbst billigen und deren Umsetzung überwachen. Zweitens müssen sie regelmäßig an Cybersicherheitsschulungen teilnehmen und dies nachweisen können. Drittens haften sie bei Pflichtverletzungen persönlich. Für CISOs und IT-Sicherheitsverantwortliche heißt das: Berichtswege zur Geschäftsleitung etablieren, entscheidungsreife Risikoberichte für die Leitung liefern und die Schulungspflicht organisieren. Compliance-Verantwortliche verankern NIS2 im internen Kontrollsystem und in der Lieferantensteuerung.

In Unternehmensgruppen wird die Betroffenheit je Gesellschaft geprüft, denn die Pflichten treffen die einzelne Einrichtung. Ob Kennzahlen verbundener Unternehmen bei der Größeneinstufung zu berücksichtigen sind, hängt vom Einzelfall ab und gehört in die Betroffenheitsprüfung. In der Umsetzung bewährt sich ein gruppenweiter Rahmen mit einheitlichen Richtlinien, zentralem Melde- und Vorfallmanagement und klar benannten Verantwortlichen in jeder betroffenen Gesellschaft. Die Zahl der Gesellschaften und Standorte im Scope bestimmt den Aufwand wesentlich, ein bestehendes ISMS nach ISO 27001 senkt ihn.

Art. 21 verpflichtet regulierte Unternehmen zur Sicherheit ihrer Lieferkette. In der Praxis reichen sie die Anforderungen vertraglich weiter: Sicherheitsnachweise, Auditrechte, Meldepflichten bei Vorfällen, teils Zertifizierungen. Wer als Zulieferer besonders wichtiger oder wichtiger Einrichtungen auftritt, wird NIS2-Anforderungen daher erfüllen müssen, ohne selbst im Anwendungsbereich zu stehen. Proaktive Vorbereitung wird zum Vertriebsargument: Wer Nachweise liefern kann, gewinnt Ausschreibungen gegen unvorbereitete Wettbewerber.