NIS2-Beratung für den Mittelstand
Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz. Damit müssen erstmals auch viele mittelständische Unternehmen strenge Vorgaben zur IT-Sicherheit erfüllen – nach Schätzungen rund 29.000 Betriebe. Viele wissen bis heute nicht sicher, ob sie dazugehören.
Wir klären mit Ihnen, ob NIS2 für Ihr Unternehmen gilt, unterstützen bei der Registrierung beim BSI und setzen die geforderten Maßnahmen technisch um – praxisnah, ohne Papierberg und aus einer Hand.
Unsere NIS2-Leistungen
Betroffenheitsprüfung
- Abgleich Ihrer Tätigkeit mit den Sektoren des BSI-Gesetzes
- Prüfung der Schwellenwerte für Beschäftigte, Umsatz und Bilanzsumme
- Klare Antwort: betroffen, nicht betroffen oder indirekt über Ihre Kunden
Registrierung & Bestandsaufnahme
- Unterstützung bei der Registrierung beim BSI
- Bestandsaufnahme Ihrer IT-Sicherheit
- Priorisierte Maßnahmenliste statt Papierberg
Technische Umsetzung
- Firewall, Zugriffskontrollen und Mehr-Faktor-Anmeldung
- Datensicherung und Notfallplanung
- Protokollierung, Überwachung und Updates
Dokumentation & Schulung
- Richtlinien und Nachweise für das BSI
- Meldeprozess für Sicherheitsvorfälle
- Schulungen für Geschäftsleitung und Team
Treten Sie mit uns in Kontakt
Treten Sie mit uns in Kontakt
Unsicher, ob NIS2 Ihr Unternehmen betrifft? Wir prüfen es gemeinsam mit Ihnen.
NIS2 kompakt: Was das Gesetz von Unternehmen verlangt
Das NIS2-Umsetzungsgesetz hat das BSI-Gesetz grundlegend erneuert. Die wichtigsten Punkte für mittelständische Unternehmen im Überblick:
Wer fällt unter NIS2?
- Wichtige Einrichtungen: Unternehmen aus den Sektoren der Anlagen 1 oder 2 des BSI-Gesetzes mit in der Regel mindestens 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme.
- Besonders wichtige Einrichtungen: Unternehmen aus den Sektoren der Anlage 1 mit in der Regel mindestens 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz und 43 Millionen Euro Bilanzsumme sowie Betreiber kritischer Anlagen.
- Typische Sektoren: Energie, Transport und Verkehr, Gesundheit, Wasser, digitale Infrastruktur, Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste und Forschung.
Die Einordnung ist im Detail oft schwieriger, als die Schwellenwerte vermuten lassen – etwa bei Unternehmensgruppen oder Betrieben mit mehreren Tätigkeitsfeldern. Genau das prüfen wir mit Ihnen.
Was müssen betroffene Unternehmen umsetzen?
Gefordert sind angemessene technische und organisatorische Maßnahmen zum Risikomanagement, unter anderem:
- Risikoanalyse und Sicherheitskonzepte für die IT
- Erkennung und Bewältigung von Sicherheitsvorfällen
- Aufrechterhaltung des Betriebs: Datensicherung, Wiederherstellung und Notfallmanagement
- Sicherheit in der Lieferkette, also auch bei Dienstleistern und Zulieferern
- Sichere Beschaffung, Wartung und ein Prozess für Sicherheitsupdates
- Schulungen und grundlegende Cyberhygiene für alle Mitarbeitenden
- Verschlüsselung, Zugriffskontrolle und Mehr-Faktor-Authentifizierung
- Dokumentation aller Maßnahmen, die das BSI auf Anforderung prüfen kann
Meldepflichten bei Sicherheitsvorfällen
Erhebliche Sicherheitsvorfälle müssen in drei Stufen an das BSI gemeldet werden: eine Erstmeldung innerhalb von 24 Stunden, eine Folgemeldung innerhalb von 72 Stunden und ein Abschlussbericht nach spätestens einem Monat. Damit das im Ernstfall funktioniert, braucht es vorher einen klaren Meldeprozess und funktionierende Überwachung.
Pflichten der Geschäftsleitung und Bußgelder
NIS2 macht IT-Sicherheit zur Chefsache: Die Geschäftsleitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Bei Pflichtverletzungen drohen empfindliche Bußgelder – nach den Vorgaben der EU-Richtlinie bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für besonders wichtige und bis zu 7 Millionen Euro oder 1,4 % für wichtige Einrichtungen.
So setzen wir NIS2 mit Ihnen um
- Betroffenheit klären – kurz, verbindlich und schriftlich festgehalten.
- Bestandsaufnahme – wo steht Ihre IT-Sicherheit heute, wo sind die größten Lücken?
- Maßnahmenplan – priorisiert nach Risiko und Aufwand, mit realistischem Zeitplan.
- Umsetzung – technisch durch uns, etwa mit Managed Firewall, Managed Backup und abgesicherten Arbeitsplätzen.
- Dokumentation und Schulung – damit Sie gegenüber dem BSI und Ihren Kunden nachweisfähig sind.
Hinweis: Diese Seite gibt einen Überblick und ersetzt keine Rechtsberatung. Bei rechtlichen Detailfragen arbeiten wir mit Ihrem Rechtsbeistand zusammen. Weitere Hintergründe finden Sie in unserem Beitrag zu IT-Sicherheitsrichtlinien.
Häufig gestellte Fragen (FAQ)
Betroffen sind Unternehmen aus den im BSI-Gesetz genannten Sektoren – etwa Energie, Gesundheit, Transport, digitale Infrastruktur, verarbeitendes Gewerbe, Lebensmittel, Abfallwirtschaft, Post- und Kurierdienste oder digitale Dienste – in der Regel ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme. Einige Einrichtungen sind unabhängig von ihrer Größe erfasst.
Besonders wichtige Einrichtungen sind in der Regel Unternehmen aus den Sektoren der Anlage 1 mit mindestens 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz und 43 Millionen Euro Bilanzsumme, außerdem Betreiber kritischer Anlagen. Für sie gelten eine strengere Aufsicht und höhere Bußgelder.
Die Registrierungsfrist endete am 6. März 2026. Wer betroffen ist und sich noch nicht registriert hat, sollte das umgehend nachholen.
Erhebliche Sicherheitsvorfälle müssen dem BSI gemeldet werden: eine erste Meldung innerhalb von 24 Stunden, eine ausführlichere Meldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats.
Die Geschäftsleitung muss die Maßnahmen zum Risikomanagement billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Verletzt sie diese Pflichten, kann sie persönlich haften.
Oft ja, indirekt: Betroffene Unternehmen müssen auch ihre Lieferkette absichern und stellen deshalb Anforderungen an Zulieferer und Dienstleister. Außerdem sind die NIS2-Maßnahmen ein guter Maßstab für solide IT-Sicherheit.