Question 1

Gilt NIS2 für mein Unternehmen?

Accepted Answer

NIS2 gilt in Deutschland für Unternehmen ab 50 Mitarbeitern oder 10 Mio. EUR Jahresumsatz, die in einem der 18 regulierten Sektoren tätig sind — darunter Energie, Transport, Gesundheit, digitale Infrastruktur und ICT-Service-Management. Auch Lieferanten kritischer Einrichtungen können über die Lieferkettenpflicht nach §30 Abs. 2 Nr. 4 BSIG mittelbar betroffen sein. Die Konzernklausel nach EU-Empfehlung 2003/361/EG kann zudem dazu führen, dass kleinere Tochtergesellschaften großer Konzerne die Schwellenwerte überschreiten.

Question 2

Was droht bei Nichteinhaltung von NIS2?

Accepted Answer

Die Bußgelder nach §65 BSIG sind erheblich: bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen, bis zu 7 Mio. EUR oder 1,4 % für wichtige Einrichtungen. Daneben verpflichtet § 38 BSIG die Geschäftsleitung, die Maßnahmen umzusetzen und ihre Umsetzung zu überwachen. Verletzt sie diese Pflicht schuldhaft, haftet sie ihrer eigenen Einrichtung nach den Regeln des jeweils anwendbaren Gesellschaftsrechts — nach dem BSIG selbst nur dann, wenn das Gesellschaftsrecht keine entsprechende Haftungsregelung enthält (§ 38 Abs. 2 Satz 2).

Question 3

Bis wann muss NIS2 umgesetzt werden?

Accepted Answer

Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) gilt seit dem 6. Dezember 2025 ohne Übergangsfrist. Die BSI-Registrierung nach §33 BSIG war bis März 2026 fällig. Der erste Compliance-Nachweis für besonders wichtige Einrichtungen ist bis Dezember 2028 einzureichen, danach alle drei Jahre. Unternehmen, die sich noch nicht registriert haben, sollten dies unverzüglich nachholen.

Question 4

Reicht eine ISO 27001-Zertifizierung für NIS2?

Accepted Answer

Ein gepflegtes ISMS nach ISO 27001 deckt einen großen Teil der zehn Maßnahmenbereiche des § 30 BSIG bereits ab — Risikomanagement, Dokumentenlenkung, interne Audits und Managementbewertung lassen sich unmittelbar weiterverwenden. Nicht abgedeckt sind die gesetzlichen Pflichten selbst: die BSI-Registrierung nach § 33, die dreistufige Meldepflicht nach § 32 mit 24 Stunden, 72 Stunden und einem Monat sowie die Umsetzungs-, Überwachungs- und Schulungspflicht der Geschäftsleitung nach § 38. Eine Gap-Analyse zeigt, welche dieser Lücken bei Ihnen offen sind.

NIS2 trifft Ihr Unternehmen.
Sind Sie vorbereitet?

Ich bin...

Für Geschäftsführer

Für IT-Leiter

Für Compliance-Verantwortliche

Was droht bei Nichteinhaltung?

Wen betrifft NIS2?

Bin ich von NIS2 betroffen?

Von der Analyse zur vollen Compliance

So arbeiten wir

Erstgespräch

Analyse

Maßnahmenplan

Umsetzung

Unsere Methodik

Was Sie über NIS2 wissen müssen

Bereit für Ihre NIS2-Compliance?

NIS2 trifft Ihr Unternehmen.Sind Sie vorbereitet?