Am Anfang steht die Frage: Sind wir eine besonders wichtige oder wichtige Einrichtung? Sektorzuordnung, Schwellenwerte und Konzernzurechnung sind in der Praxis die häufigste Fehlerquelle. Das Ergebnis der Prüfung sollte in jedem Fall dokumentiert werden, auch bei Nicht-Betroffenheit. Betroffene Einrichtungen müssen sich beim BSI registrieren: Die reguläre Frist ist bereits abgelaufen, die Pflicht bleibt aber bestehen und eine Nachregistrierung ist möglich und dringend geboten.
NIS-2 Beratung
NIS-2 Beratung für den Mittelstand: praxisnah, technisch fundiert, prüfsicher.
Das NIS-2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft, gilt ohne Übergangsfrist und soll laut BSI bis spätestens bis zum 31. Juli 2026 abgeschlossen sein. Wer sich noch nicht um seine NIS-2-Registrierung gekümmert hat, sollte dies also langsam tun. Denn rund 29.500 Unternehmen in 18 Sektoren müssen jetzt gewisse Pflichten wie Cybersicherheits-Risikomanagement, Meldeprozesse und prüfsichere Nachweise umsetzen. Die Geschäftsleitung haftet dabei persönlich für Versäumnisse. Die NIS2 Beratung von Elsen GRC klärt Ihre Betroffenheit, begleitet die BSI-Registrierung und strukturiert die Maßnahmen nach §30 BSIG, priorisiert und prüfsicher dokumentiert. Unser Beratungsansatz verbindet über 14 Jahre Erfahrung in der Software-Entwicklung mit fundierter GRC-Praxis, sodass Sie nicht nur formal abgesichert sind, sondern die Anforderungen auch technisch umsetzen können.
Was ist NIS-2?
Die NIS-2-Richtlinie (EU 2022/2555) ist das europäische Regelwerk für Cybersicherheit und wurde in Deutschland durch das NIS-2-Umsetzungsgesetz (BSIG 2025) in nationales Recht überführt, verkündet am 6. Dezember 2025 und schließt sich ohne Übergangsfrist an die Vorherige NIS-Richtlinie an. Das Gesetz unterscheidet besonders wichtige und wichtige Einrichtungen in 18 Sektoren, von Energie, Transport und Gesundheit über Fertigung, Maschinenbau und Lebensmittelproduktion bis zu digitalen Diensten und Logistik. Betroffen sind Unternehmen in diesen Sektoren in der Regel ab 50 Mitarbeitern oder 10 Mio. € Jahresumsatz, für Betreiber kritischer Anlagen gelten teils niedrigere Schwellen. Die Kernpflichten: Registrierung beim BSI, Risikomanagement-Maßnahmen nach §30 BSIG, gestufte Meldepflichten bei Sicherheitsvorfällen (§32) und persönliche Geschäftsleitungspflichten inklusive NIS2-Schulung (§38). Bei Verstößen drohen Bußgelder bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes. Eine fundierte NIS2 Beratung klärt zuerst die Betroffenheit, denn schon die Einstufung ist in Konzern- und Lieferkettenstrukturen häufig fehleranfällig.
Die 7 zentralen Pflichten aus NIS-2
Betroffenheitsprüfung & BSI-Registrierung
01
Risikomanagement nach §30 BSIG
Das Herzstück von NIS-2: Betroffene Einrichtungen müssen geeignete, verhältnismäßige technische und organisatorische Maßnahmen umsetzen, unter anderem Risikoanalyse und Sicherheitskonzepte, Incident-Handling, Backup- und Notfallmanagement, Sicherheit der Lieferkette, Zugriffskontrolle, Multi-Faktor-Authentifizierung, Kryptografie und Schulungen. Entscheidend ist nicht die einzelne Maßnahme, sondern der dokumentierte, wiederholbare Managementprozess dahinter.
02
Meldepflichten bei Sicherheitsvorfällen
Erhebliche Sicherheitsvorfälle müssen in einem dreistufigen Verfahren an das BSI gemeldet werden: Frühwarnung binnen 24 Stunden, ausführlicher Bericht binnen 72 Stunden und ein Abschlussbericht nach einem Monat. Diese Fristen sind ohne vorbereitete Prozesse nicht einzuhalten: Wer erst im Ernstfall klärt, wer meldet, was ein erheblicher Vorfall ist und welche Informationen bereitstehen müssen, verliert genau die Stunden, die zählen.
03
Geschäftsleitungspflichten & Schulung
NIS-2 macht Cybersicherheit zur Chefsache – auch aus rechtlicher Perspektive: Die Geschäftsleitung muss die Risikomanagement-Maßnahmen selbst billigen und überwachen und regelmäßig an NIS-2 Schulungen teilnehmen, um Risiken und Maßnahmen bewerten zu können. Diese Pflichten sind nicht vollständig delegierbar. Ein dokumentierter Schulungsnachweis der Geschäftsleitung gehört damit zu den ersten Dokumenten, die eine Aufsichtsbehörde anfordern kann.
04
Sicherheit der Lieferkette
NIS-2 verlangt, die Sicherheit der Lieferkette aktiv zu managen: Dienstleister, Zulieferer und IT-Provider müssen bewertet und vertraglich eingebunden werden. Die praktische Folge reicht weit über die direkt Betroffenen hinaus: Auch Unternehmen unterhalb der Schwellenwerte erhalten zunehmend NIS-2-Fragebögen und Nachweisforderungen ihrer Kunden, Cybersicherheit wird zur Voraussetzung, um Lieferant zu bleiben.
05
Dokumentation & Nachweise
Ohne NIS-2 Dokumentation keine Compliance: Risikoanalysen, Maßnahmen, Richtlinien, Schulungen und Vorfälle müssen so dokumentiert sein, dass sie einer Prüfung durch das BSI standhalten. Für besonders wichtige Einrichtungen kommen weitergehende Nachweis- und Prüfpflichten hinzu. Wer Nachweise erst auf Anforderung zusammensucht, hat strukturell verloren, prüfsichere Dokumentation entsteht im laufenden Prozess, nicht im Ernstfall.
06
Bußgelder bis zu 10 Mio. € und persönliche Haftung
Die Sanktionen haben DSGVO-Format: Für besonders wichtige Einrichtungen bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Mio. € oder 1,4 %. Hinzu kommt die persönliche Haftung der Geschäftsleitung bei grober Verletzung der Überwachungspflichten, ein Hebel, den es in dieser Schärfe bisher nicht gab – nicht einmal bei der DSGVO. Die Aufsicht liegt beim BSI, das bereits aktiv registriert und nachfasst.
07
Was wir mit unserer Beratung zu NIS-2 abdecken
- Betroffenheitsprüfung mit dokumentierter Einstufung (besonders wichtig / wichtig / nicht betroffen)
- Begleitung der BSI-Registrierung inkl. Nachregistrierung bei verpasster Frist
- Gap-Analyse zu den Risikomanagement-Maßnahmen nach §30 BSIG mit Ampel-Bewertung
- Priorisierter Maßnahmenplan mit Verantwortlichkeiten und Zeitrahmen
- Richtlinien-Set: Informationssicherheit, Incident Response, Backup, Zugriffs- und Berechtigungsmanagement
- Meldeprozess für Sicherheitsvorfälle (24h / 72h / 1 Monat) inkl. Rollen und Vorlagen
- NIS2 Schulung für Geschäftsleitungen inkl. dokumentiertem Teilnahmenachweis
- Lieferketten-Check: Bewertung kritischer Dienstleister und vertragliche Anforderungen
- Schnittstellen zu DSGVO, ISMS und ISO 27001: integrierte Compliance statt Doppelstrukturen
- Auf Wunsch laufende Betreuung als externer Ansprechpartner für Informationssicherheit (Retainer)
NIS2 QuickCheck
ab1.950€
- Betroffenheitsprüfung inkl. dokumentierter Einstufung
- Registrierungsstatus & Begleitung der BSI-Registrierung
- Gap-Analyse §30 BSIG mit Ampel-Bewertung (10 – 15 S.)
- Priorisierter Maßnahmenplan mit Zeitrahmen
- Lieferketten-Schnellbewertung kritischer Dienstleister
- Management-Summary für die Geschäftsleitung
- Kostenschätzung für Umsetzungspakete
- Ergebnispräsentation (60 Min.)
NIS2 Compliance Starter
4.900€ / Festpreis
Alles aus dem NIS2 QuickCheck + (plus):
- Richtlinien-Set: Informationssicherheit, Incident Response, Backup, Zugriffe
- Meldeprozess 24h / 72h / 1 Monat inkl. Rollen, Vorlagen und Playbook
- NIS2 Schulung für die Geschäftsleitung inkl. Teilnahmenachweis
- Lieferketten-Check mit vertraglichen Mindestanforderungen
- Umsetzungsroadmap mit Meilensteinen und Verantwortlichkeiten
- Management-Präsentation (90 Min.) + Follow-Up nach 4 Wochen
Alle Preise netto zzgl. ges. USt.
Für wen ist die NIS2 Beratung geeignet?
- Mittelständische Unternehmen ab 50 Mitarbeitern in Fertigung, Maschinenbau, Chemie, Lebensmittel oder Logistik
- Unternehmen, die unsicher sind, ob sie als besonders wichtige oder wichtige Einrichtung gelten
- Betreiber kritischer Anlagen und deren Zulieferer und Dienstleister
- IT-Dienstleister, Managed-Service-Provider und Anbieter digitaler Dienste
- Unternehmen, die NIS-2-Nachweise von Kunden gefordert bekommen (Lieferkette)
- Organisationen, die NIS-2 mit DSGVO- und ISMS-Strukturen verzahnen wollen, statt Doppelstrukturen aufzubauen
- Geschäftsführer, die ihre persönlichen Haftungsrisiken aus §38 BSIG minimieren wollen
Ihr Ansprechpartner
Als TÜV-zertifizierter Datenschutzbeauftragter und Gründer von Elsen GRC in Hamburg berate ich Unternehmen und Organisationen zur NIS-2-Compliance. Mit über 14 Jahren Erfahrung in der Software-Entwicklung verstehe ich nicht nur die regulatorischen Anforderungen, sondern spreche auch die Sprache Ihrer IT: von der Betroffenheitsprüfung über die Gap-Analyse nach §30 BSIG bis zur Verzahnung mit bestehenden DSGVO- und ISMS-Strukturen. So entsteht integrierte Compliance statt Papier für den Aktenschrank.
Mario Elsen, Geschäftsführer Elsen Media GmbH
FAQ zur NIS2 Beratung
Was ist NIS-2 bzw. das NIS-2-Umsetzungsgesetz?
Die NIS-2-Richtlinie (EU 2022/2555) ist der europäische Rechtsrahmen für Cybersicherheit. In Deutschland wurde sie durch das NIS-2-Umsetzungsgesetz (BSIG 2025) umgesetzt, das am 6. Dezember 2025 in Kraft trat und ohne Übergangsfrist gilt. Es verpflichtet rund 29.500 Unternehmen in 18 Sektoren zu Risikomanagement, Meldeprozessen, BSI-Registrierung und persönlichen Geschäftsleitungspflichten.
Ist mein Unternehmen von NIS-2 betroffen?
Betroffen sind Unternehmen in 18 regulierten Sektoren, in der Regel ab 50 Mitarbeitern oder 10 Mio. € Jahresumsatz, darunter Fertigung, Maschinenbau, Chemie, Lebensmittelproduktion, Energie, Transport, Gesundheit, Abfall, digitale Dienste und Logistik. Für Betreiber kritischer Anlagen gelten teils niedrigere Schwellen. Vorsicht bei Konzernstrukturen: Die Zurechnung verbundener Unternehmen führt häufig zu Fehleinschätzungen. Auch wer selbst unter den Schwellen liegt, kann über die Lieferkette faktisch betroffen sein, wenn Kunden Nachweise fordern. Eine dokumentierte Betroffenheitsprüfung schafft in beide Richtungen Sicherheit.
Die BSI-Registrierungsfrist ist abgelaufen - was jetzt?
Die reguläre Registrierungsfrist beim BSI endete am 6. März 2026. Wer sie verpasst hat, ist damit nicht aus der Pflicht: Die Registrierungspflicht besteht fort, eine Nachregistrierung ist möglich und dringend zu empfehlen, bevor das BSI von sich aus nachfasst. Eine verspätete, aber proaktive Registrierung ist in jedem Fall die bessere Position als ein dokumentiertes Untätigbleiben. Wir begleiten die Nachregistrierung inklusive der vorgelagerten Betroffenheitsprüfung.
Welche Maßnahmen verlangt §30 BSIG konkret?
§30 BSIG fordert geeignete, verhältnismäßige technische und organisatorische Maßnahmen, unter anderem: Konzepte für Risikoanalyse und Sicherheit, Bewältigung von Sicherheitsvorfällen, Backup- und Krisenmanagement, Sicherheit der Lieferkette, Sicherheit in Entwicklung und Beschaffung, Bewertung der Wirksamkeit, Cyberhygiene und Schulungen, Kryptografie, Personalsicherheit und Zugriffskontrolle sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation. Der Maßstab ist risikobasiert: Umfang und Tiefe richten sich nach Exponierung, Größe und Schadenspotenzial.
Welche Meldepflichten gelten bei Sicherheitsvorfällen?
Erhebliche Sicherheitsvorfälle sind dreistufig an das BSI zu melden: Frühwarnung binnen 24 Stunden, ausführlicher Bericht binnen 72 Stunden und Abschlussbericht nach einem Monat. Damit das im Ernstfall funktioniert, müssen Meldewege, Verantwortlichkeiten, Bewertungskriterien und Vorlagen vorab definiert sein. Genau diesen Meldeprozess bauen wir im NIS2 Compliance Starter mit auf.
Was kostet eine NIS2 Beratung?
Der Umfang hängt von Größe, Sektor und vorhandenen Strukturen ab. Der NIS2 QuickCheck (Betroffenheitsprüfung, Registrierung, Gap-Analyse, Maßnahmenplan) beginnt ab 1.950 € netto. Der NIS2 Compliance Starter mit Richtlinien-Set, Meldeprozess und Geschäftsleitungsschulung kostet 4.900 € netto als Festpreis. Für laufende Betreuung oder komplexe Konzernstrukturen erstellen wir ein individuelles Angebot nach einem kostenfreien 15-Minuten-Erstgespräch.
Brauche ich eine ISO-27001-Zertifizierung für NIS-2?
Nein, NIS-2 schreibt keine ISO-27001-Zertifizierung vor. Die geforderten Maßnahmen entsprechen aber in weiten Teilen einem Informationssicherheits-Managementsystem (ISMS). Wer bereits nach ISO 27001 arbeitet, hat einen großen Vorsprung; wer nicht, braucht keine Zertifizierung, sondern ein pragmatisch dimensioniertes Maßnahmen- und Dokumentationssystem. Eine spätere Zertifizierung kann als starker Nachweis dienen, ist aber kein Muss. Wir bauen NIS-2-Compliance so auf, dass der Weg zu ISO 27001 offen bleibt.
Haftet die Geschäftsleitung bei NIS-2 wirklich persönlich?
Ja. §38 BSIG verpflichtet Geschäftsleitungen, die Risikomanagement-Maßnahmen zu billigen und zu überwachen und regelmäßig an Schulungen teilzunehmen. Bei grober Verletzung dieser Pflichten kommt eine persönliche Haftung gegenüber dem Unternehmen in Betracht. Praktisch bedeutet das: dokumentierte Befassung der Geschäftsleitung, dokumentierte Schulung und nachvollziehbare Entscheidungen. Genau diese Nachweise erzeugt unsere Geschäftsleitungsschulung mit Teilnahmedokumentation.
Wie läuft die NIS2 Beratung ab?
In drei Schritten:
- Betroffenheit & Registrierung: Dokumentierte Einstufung (besonders wichtig / wichtig / nicht betroffen) und Begleitung der BSI-Registrierung.
- Gap-Analyse & Maßnahmenplan: Abgleich mit den Anforderungen des §30 BSIG, Ampel-Bewertung und priorisierter Maßnahmenplan mit Verantwortlichkeiten.
- Umsetzung: Richtlinien, Meldeprozess, Geschäftsleitungsschulung und auf Wunsch laufende Begleitung. Ein kostenfreies 15-Minuten-Erstgespräch klärt Ihren konkreten Bedarf.