NIS2 · Frist läuft
NIS2-Beratung für den Mittelstand – technisch umgesetzt, nachweisbar
Das Registrierungsportal des BSI ist offen, rund 29.500 Einrichtungen in Deutschland sind betroffen. Wir bringen Ihre IT auf den geforderten Stand und sorgen dafür, dass Sie belegen können, was Sie umgesetzt haben.
technische UmsetzungNachweisführung
Die Uhren, die laufen
Fristen, die NIS2 vorgibt
3 Monate
Registrierung beim BSI
Nach Feststellung der Betroffenheit binnen drei Monaten über das Organisationskonto.
24 Std
Erstmeldung eines Vorfalls
Frühwarnung an das BSI, sobald ein erheblicher Sicherheitsvorfall erkannt ist.
72 Std
Vorfallsmeldung
Bewertung, Schweregrad und bisherige Erkenntnisse nachreichen.
1 Monat
Abschlussbericht
Ursache, Auswirkungen und ergriffene Gegenmaßnahmen.
Die Meldefristen greifen ab Kenntnis eines erheblichen Vorfalls. Wer sie einhalten will, braucht vorher einen geübten Ablauf – nicht erst im Ernstfall eine Zuständigkeitsklärung.
Wen NIS2 betrifft
Drei Fragen entscheiden: In welchem Sektor sind Sie tätig, wie groß sind Sie – und für wen liefern Sie?
Sektor
18 Sektoren statt weniger Betreiber
NIS2 erfasst deutlich mehr als die frühere KRITIS-Regelung: Energie, Verkehr, Gesundheit, digitale Infrastruktur, Abfallwirtschaft, Lebensmittel, Chemie, verarbeitendes Gewerbe und weitere. Viele Betriebe, die sich nie als kritische Infrastruktur verstanden haben, fallen jetzt darunter.
Größe
Meist ab 50 Mitarbeitenden
In der Regel gelten Einrichtungen ab 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz als „wichtig“, ab 250 Mitarbeitenden oder 50 Millionen Euro als „besonders wichtig“. Maßgeblich ist immer die Kombination aus Sektor und Größe – und es gibt Ausnahmen in beide Richtungen.
Lieferkette
Auch wenn Sie selbst nicht betroffen sind
Wer für ein betroffenes Unternehmen produziert oder Software liefert, wird Teil dessen Sicherheitsanforderungen. In der Praxis kommt der Druck deshalb oft nicht vom Gesetz, sondern per Fragebogen vom größten Kunden.
Was konkret zu tun ist
Sechs Bereiche, in denen NIS2 Handlung verlangt. Der aufwendigste ist selten die Technik, sondern der Nachweis, dass sie wirkt.
Registrierung beim BSI
Die Anmeldung läuft über das Organisationskonto und anschließend das BSI-Portal. Betroffene Einrichtungen müssen sich selbst registrieren – eine behördliche Aufforderung kommt nicht.
Risikomanagement einführen
Gefordert sind Maßnahmen nach dem Stand der Technik: Zugriffskontrolle, Verschlüsselung, Backup und Wiederherstellung, Schwachstellenmanagement, Sicherheit in der Lieferkette und ein geübter Umgang mit Vorfällen.
Meldewege aufbauen
Wer binnen 24 Stunden melden soll, braucht vorher geklärte Zuständigkeiten, Erreichbarkeiten und Vorlagen. Im Ernstfall entsteht das nicht mehr.
Nachweise führen können
Entscheidend ist nicht nur, dass Maßnahmen existieren, sondern dass sie belegbar sind: Protokolle, dokumentierte Tests, nachvollziehbare Änderungen.
Geschäftsleitung in der Pflicht
Die Leitungsebene muss die Maßnahmen billigen, überwachen und sich schulen lassen. Bei Versäumnissen drohen Bußgelder bis in den zweistelligen Millionenbereich und persönliche Haftung.
Lieferanten einbeziehen
Sicherheit endet nicht an der eigenen Firewall. Anforderungen an Dienstleister und Zulieferer gehören in Verträge und in die regelmäßige Prüfung.
Was wir übernehmen – und was nicht
Das übernehmen wir
- Bestandsaufnahme der IT gegen die geforderten Maßnahmen
- Technische Umsetzung: Zugriffe, Protokollierung, Backup, Wiederherstellung
- Monitoring und Alarmierung, damit Vorfälle überhaupt auffallen
- Meldewege und Vorlagen für den 24-Stunden-Fall aufbauen
- Nachweisführung: Protokolle, Tests, nachvollziehbare Änderungen
- Anforderungen an Ihre Dienstleister technisch prüfbar machen
Das gehört zur Rechtsberatung
- Rechtliche Feststellung, ob Sie betroffen sind
- Vertragsgestaltung und juristische Prüfung
- Vertretung gegenüber Behörden
Wir sind Ingenieure, keine Juristen. Die Einordnung, ob und in welche Kategorie Ihr Unternehmen fällt, gehört zur Rechtsberatung – wir liefern dafür die technischen Fakten und arbeiten anschließend mit Ihrer Kanzlei oder Ihrem Datenschutzbeauftragten zusammen.
Warum das für den Mittelstand anders läuft
NIS2 wurde nicht für den Mittelstand geschrieben, trifft ihn aber mit voller Wucht. Ein Betrieb mit achtzig Mitarbeitenden hat keine Sicherheitsabteilung, sondern zwei Leute, die alles am Laufen halten. Für die ist ein Anforderungskatalog nach dem Stand der Technik erst einmal eine Wand.
Genau deshalb zerlegen wir das Thema. Nicht alles muss gleichzeitig passieren, und nicht jede Maßnahme ist gleich viel wert. Am Anfang steht eine Bestandsaufnahme, die sagt, wo Sie stehen – danach eine Reihenfolge, die dem Risiko folgt und nicht der Reihenfolge im Gesetzestext.
Der Druck ist real: Laut Lagebild des BSI zielen inzwischen fast achtzig Prozent aller Ransomware-Angriffe auf den Mittelstand. Angreifer wissen, dass hier handfeste Werte auf schlanke Sicherheitsbudgets treffen. Die Pflichten aus NIS2 zwingen zu dem, was ohnehin überfällig war.
- Bestandsaufnahme statt KatalogabarbeitungErst sehen, was vorhanden ist – erstaunlich viel ist es meistens schon.
- Reihenfolge nach RisikoWas am ehesten ausgenutzt wird, kommt zuerst. Nicht was im Gesetz oben steht.
- Ein Ansprechpartner statt GremiumSie sprechen mit denselben Leuten, die die Maßnahmen anschließend umsetzen.
Ihr Ansprechpartner in Stuttgart
Unser Büro liegt in Stuttgart-Wangen. Für die Bestandsaufnahme kommen wir zu Ihnen.
Handlungsbedarf klären
- Erstgespräch kostenlos und unverbindlich
- Auch geeignet, wenn die Betroffenheit noch ungeklärt ist
- Auf Wunsch mit erster Einschätzung zum Handlungsbedarf
Häufige Fragen zu NIS2
Das entscheidet die Kombination aus Sektor und Unternehmensgröße, dazu einige Sonderfälle. Die rechtliche Feststellung gehört zur Rechtsberatung – wir liefern dafür die technischen Fakten und ordnen ein, was die Antwort praktisch bedeuten würde. Häufig ist die Frage auch zweitrangig: Wer für betroffene Unternehmen liefert, bekommt deren Anforderungen ohnehin weitergereicht.
Es hilft erheblich, deckt aber nicht automatisch alles ab. Ein bestehendes Managementsystem liefert den Rahmen, die Dokumentation und meist einen Großteil der Maßnahmen. Zu prüfen bleiben die spezifischen Punkte, etwa die Meldefristen, die Anforderungen an die Lieferkette und die Pflichten der Geschäftsleitung.
Die Registrierung ist eine Pflicht, deren Versäumnis geahndet werden kann; der Rahmen reicht bis in den zweistelligen Millionenbereich, dazu kommt die persönliche Haftung der Geschäftsleitung. Praktisch wichtiger ist aber: Eine verspätete Registrierung lässt sich nachholen, ein Sicherheitsvorfall ohne funktionierende Meldewege nicht.
Für eine belastbare Bestandsaufnahme rechnen wir in Wochen. Wie lange die Umsetzung dauert, hängt davon ab, was bereits vorhanden ist – und das ist meist mehr, als die Beteiligten denken. Realistisch ist ein Vorgehen über mehrere Monate, mit den risikoreichsten Lücken zuerst.
In aller Regel nicht. NIS2 verlangt keine bestimmte Technik, sondern Maßnahmen nach dem Stand der Technik und den Nachweis, dass sie wirken. Häufig geht es um Ergänzungen: Protokollierung, geprüfte Wiederherstellung, Zugriffskonzepte, Monitoring. Ein Komplettumbau ist fast nie die richtige Antwort.
Ja, auf Wunsch. Monitoring, Alarmierung und die regelmäßige Prüfung lassen sich über unsere Managed Services abbilden, mit klaren Reaktionszeiten. Ebenso möglich ist die Übergabe an Ihr Team, samt Dokumentation und geübtem Ablauf.
Ja, und das ist der Regelfall. Wir bringen die technische Seite ein, die rechtliche Bewertung bleibt dort, wo sie hingehört. Diese Arbeitsteilung ist erfahrungsgemäß deutlich schneller, als wenn eine Seite versucht, beides zu leisten.
Verwandte Leistungen
Managed ServicesMonitoring, Wartung und Reaktionszeiten im laufenden Betrieb.Mehr erfahren ›KI-Governance & EU AI ActDie zweite Regulierung, die gerade auf Unternehmen zukommt.Mehr erfahren ›Cloud-MigrationSichere Architektur statt gewachsener Umgebung.Mehr erfahren ›Öffentliche VerwaltungWo NIS2 auf Verwaltungspflichten trifft.Mehr erfahren ›
Unklar, wo Sie stehen?
Das ist der Normalfall und ein guter Grund für ein Gespräch. Wir ordnen ein, was auf Sie zukommt, was Sie bereits erfüllen und womit Sie anfangen sollten – ohne Ihnen Angst zu verkaufen.