NIS-2-Beratung
Compliance in 90 Tagen

Sie sind betroffen, wenn Ihr Unternehmen in einem der 18 NIS-2-Sektoren (Anlage 1 und 2 BSIG) tätig ist und mindestens 50 Mitarbeitende beschäftigt oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. EUR aufweist (§ 28 BSIG). Sektoren umfassen u.a. Energie, Transport, Gesundheitswesen, digitale Infrastruktur, verarbeitendes Gewerbe, Lebensmittel und öffentliche Verwaltung. Im Rahmen unseres kostenlosen Erstgesprächs prüfen wir Ihre Betroffenheit.

Die Kosten hängen von Unternehmensgröße und bestehendem Reifegrad ab. Die Betroffenheitsprüfung ist bei uns kostenlos. Eine Gap-Analyse gegen alle 10 Mindestmaßnahmen des § 30 BSIG kostet ab 3.500 EUR. Die vollständige Umsetzungsbegleitung liegt für KMU (50–250 Mitarbeitende) typischerweise bei 15.000–40.000 EUR — auf Festpreisbasis, keine offenen Beratertage.

Die Bußgelder sind nach Einrichtungstyp gestaffelt: Für besonders wichtige Einrichtungen bis zu 10 Mio. EUR (§ 65 Abs. 6 BSIG), für wichtige Einrichtungen bis zu 7 Mio. EUR (§ 65 Abs. 5 BSIG). Bei Unternehmen mit über 500 Mio. EUR Jahresumsatz können die Bußgelder auf bis zu 2 % bzw. 1,4 % des weltweiten Gesamtumsatzes steigen. Zusätzlich haften Geschäftsführer nach § 38 BSIG persönlich.

ISO 27001 ist ein starkes Fundament und deckt einen Großteil der 10 Mindestmaßnahmen ab — aber nicht alle NIS-2-spezifischen Pflichten. Zusätzlich verlangt NIS-2: Meldepflichten mit 24h-Erstmeldung an das BSI (§ 32 BSIG), spezifische Anforderungen an die Lieferkettensicherheit, die persönliche Schulungs- und Billigungspflicht der Geschäftsführung (§ 38 BSIG) und die Registrierung beim BSI. Wir schließen genau diese Lücken.

Mit externer Begleitung typischerweise 60–120 Tage. Unternehmen mit bestehendem ISMS oder ISO 27001 können deutlich schneller compliant werden (30–60 Tage für die NIS-2-spezifischen Zusatzanforderungen). Ohne externe Unterstützung planen Unternehmen erfahrungsgemäß 6–12 Monate. Wir empfehlen, jetzt zu starten — BSI-Prüfungen können jederzeit beginnen.

Die 10 Mindestmaßnahmen nach § 30 Abs. 2 BSIG sind: 1) Risikoanalyse und Sicherheitskonzepte, 2) Bewältigung von Sicherheitsvorfällen, 3) Aufrechterhaltung des Betriebs und Krisenmanagement (BCM), 4) Sicherheit der Lieferkette, 5) Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen, 6) Bewertung der Wirksamkeit von Risikomanagementmaßnahmen, 7) Cyberhygiene und Schulungen, 8) Einsatz von Kryptografie und Verschlüsselung, 9) Personalsicherheit und Zugangskontrollen, 10) Multi-Faktor-Authentifizierung und sichere Kommunikation.

Ja. § 38 BSIG verpflichtet Geschäftsleitungen, die Umsetzung der Risikomanagementmaßnahmen nach § 30 BSIG zu billigen, deren Umsetzung zu überwachen und regelmäßig an Schulungen teilzunehmen. Bei Pflichtverletzung haften sie persönlich für schuldhaft verursachte Schäden nach den Regeln des Gesellschaftsrechts (§ 38 Abs. 2 BSIG). Diese Haftung kann nicht durch Vereinbarung auf null reduziert werden.

Bei erheblichen Sicherheitsvorfällen schreibt § 32 BSIG einen dreistufigen Meldeprozess an das BSI vor: 1) Frühe Erstmeldung innerhalb von 24 Stunden nach Kenntniserlangung, 2) Bestätigende Meldung mit erster Bewertung innerhalb von 72 Stunden, 3) Abschlussmeldung spätestens einen Monat nach dem Vorfall. Wir helfen Ihnen, die dafür nötigen Prozesse, Vorlagen und Verantwortlichkeiten aufzubauen.