Risikomanagement (§ 30 BSIG)
Geeignete, verhältnismäßige und wirksame Maßnahmen, dokumentiert. Das Gesetz nennt zehn Mindestbereiche, darunter Risikoanalyse, Umgang mit Vorfällen, Notfallbetrieb, Lieferkette, Schulungen und Mehr-Faktor-Anmeldung.
·NIS 2 · BSI-GESETZ
NIS-2-Beratung von der Betroffenheit bis zum Nachweis
Wir klären, ob Ihr Unternehmen unter NIS 2 fällt, setzen die Pflichten aus dem BSI-Gesetz mit Ihnen um und ordnen die Nachweise, die das BSI auf Anordnung verlangen kann.
·WER BETROFFEN IST
Wer unter NIS 2 fällt
NIS 2 ist die EU-Richtlinie zur Cybersicherheit. In Deutschland steht sie seit dem 6. Dezember 2025 im BSI-Gesetz (BSIG). Ob ein Unternehmen betroffen ist, entscheiden Sektor und Größe (§ 28 BSIG).
- 01
Besonders wichtige Einrichtungen
Unternehmen aus den Sektoren der Anlage 1 mit mindestens 250 Mitarbeitern oder mit über 50 Mio. € Jahresumsatz und zudem über 43 Mio. € Bilanzsumme. Betreiber kritischer Anlagen zählen unabhängig von der Größe dazu.
- 02
Wichtige Einrichtungen
Unternehmen aus den Sektoren der Anlagen 1 und 2 mit mindestens 50 Mitarbeitern oder mit jeweils über 10 Mio. € Jahresumsatz und Bilanzsumme.
- 03
Sektoren
Anlage 1 nennt Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur und Weltraum. Anlage 2 nennt unter anderem Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste und Forschung.
Für einzelne Branchen gelten Ausnahmen und Sonderregeln, etwa für Finanzunternehmen unter DORA (§ 28 Abs. 5 und 6 BSIG). Die Betroffenheitsprüfung klärt das für Ihr Unternehmen.
·PFLICHTEN
Was das Gesetz verlangt
Vier Pflichten, die jede betroffene Einrichtung kennen muss.
Meldung in drei Stufen (§ 32 BSIG)
Erhebliche Sicherheitsvorfälle gehen an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz: frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat nach dieser Meldung.
Registrierung (§ 33 BSIG)
Spätestens drei Monate, nachdem ein Unternehmen als betroffene Einrichtung gilt, registriert es sich beim BSI, unter anderem mit Kontaktdaten, Sektor und öffentlichen IP-Adressbereichen.
Geschäftsleitung (§ 38 BSIG)
Die Geschäftsleitung setzt die Maßnahmen um, überwacht sie und nimmt regelmäßig an Schulungen teil. Für schuldhaft verursachte Schäden haftet sie ihrer Einrichtung nach den Regeln des Gesellschaftsrechts.
·LEISTUNGEN
Was wir für Sie übernehmen
Sechs Bausteine, einzeln oder als Programm. Am Ende stehen Unterlagen, die Ihr Team selbst weiterführt.
- 01
Betroffenheitsprüfung
Sektor, Größe und Sonderregeln gegen § 28 BSIG geprüft, mit schriftlichem Ergebnis.
- 02
Registrierung beim BSI
Wir stellen die geforderten Angaben zusammen und begleiten die Registrierung.
- 03
Gap-Analyse
Ihr Stand gegen die zehn Mindestbereiche aus § 30 BSIG, Lücken nach Dringlichkeit sortiert.
- 04
Maßnahmenplan und Richtlinien
Aufgaben mit Verantwortlichen und Terminen, dazu Richtlinien zur Freigabe durch die Geschäftsleitung.
- 05
Meldeweg
Wer meldet wann an wen. Vorlagen für die drei Meldestufen und eine Übung vor dem Ernstfall.
- 06
Schulung der Geschäftsleitung
Schulung nach § 38 Abs. 3 BSIG über die GAD Academy, mit GAD Teilnahmebescheinigung.
·VORGEHEN
Von der Betroffenheit bis zum geübten Meldeweg
Fünf Schritte, jeder mit einem greifbaren Ergebnis.
- 01
Betroffenheit
Sektor und Größe prüfen, Ergebnis schriftlich festhalten
- 02
Gap-Analyse
Ist-Stand mit § 30 BSIG abgleichen
- 03
Maßnahmenplan
Lücken nach Risiko ordnen, Verantwortliche und Termine festlegen
- 04
Umsetzung
Maßnahmen einführen, Richtlinien freigeben, Nachweise ablegen
- 05
Meldeweg & Schulung
Meldekette üben, Geschäftsleitung schulen
Start: BetroffenheitsprüfungErgebnis: dokumentierte Umsetzung
Für die Prüfung der Wirksamkeit (§ 30 Abs. 2 Nr. 6 BSIG) bieten wir Penetrationstests an, für das Erkennen von Vorfällen die SOC-Überwachung rund um die Uhr.
Cybersecurity ansehen →·NIS 2 UND ISO 27001
ISO 27001 ist ein Fundament, kein NIS-2-Nachweis
Nach Einschätzung des BSI bedeutet eine Zertifizierung nach ISO/IEC 27001 nicht automatisch, dass ein Unternehmen alle Anforderungen aus § 30 BSIG erfüllt. Der Geltungsbereich eines ISMS ist frei wählbar, und Meldung, Registrierung und die Pflichten der Geschäftsleitung stehen nicht in der Norm. Ein offizielles NIS-2-Zertifikat gibt es nicht.
Ein vorhandenes ISMS (Informationssicherheits-Managementsystem) bildet laut BSI ein gutes Fundament. Wir prüfen es gegen den Maßnahmenkatalog des Gesetzes und ergänzen, was fehlt.
Wir leben, was wir beraten GermanAI Defense ist seit Mai 2026 selbst nach ISO/IEC 27001:2022 zertifiziert, geprüft durch die akkreditierte Zertifizierungsstelle A-Mark Ratings Limited (Zertifikat-Nr. 26052601, gültig bis 25.05.2029). Mehr zu Sicherheit & Compliance →
Rechtsstand: BSI-Gesetz in der am 13.10.2026 geltenden Fassung. Diese Seite ersetzt keine Rechtsberatung im Einzelfall.
Fragen zu NIS 2? Antworten
Ab wann gilt NIS 2 in Deutschland?
Seit dem 6. Dezember 2025. An diesem Tag trat das neue BSI-Gesetz in Kraft (BGBl. 2025 I Nr. 301). Eine allgemeine Übergangsfrist gibt es laut BSI nicht.
Fällt mein Unternehmen unter NIS 2?
Das hängt von Sektor und Größe ab (§ 28 BSIG). Als wichtige Einrichtung gilt in der Regel, wer in einem Sektor der Anlagen 1 oder 2 tätig ist und mindestens 50 Mitarbeiter beschäftigt oder jeweils über 10 Mio. € Jahresumsatz und Bilanzsumme hat. Für einzelne Branchen gelten Sonderregeln. Eine Betroffenheitsprüfung klärt das schriftlich für Ihren Fall.
Welche Meldefristen gelten nach NIS 2?
Drei Stufen nach § 32 BSIG: frühe Erstmeldung binnen 24 Stunden nach Kenntnis, Meldung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat nach dieser Meldung. Gemeldet werden erhebliche Sicherheitsvorfälle. Was als erheblich gilt, definiert § 2 Nr. 11 BSIG.
Reicht ein ISO-27001-Zertifikat für NIS 2?
Nein. Laut BSI ist eine Zertifizierung nach ISO/IEC 27001 kein Nachweis der NIS-2-Konformität, aber ein gutes Fundament. Der Geltungsbereich eines ISMS ist frei wählbar, und Meldung, Registrierung und die Pflichten der Geschäftsleitung stehen nicht in der Norm.
Muss das Unternehmen die Umsetzung nachweisen?
Laut BSI müssen Unternehmen die Umsetzung nur auf Anordnung nachweisen. Betreiber kritischer Anlagen weisen sie alle drei Jahre nach (§ 39 BSIG). Bei wichtigen Einrichtungen prüft das BSI, wenn Tatsachen einen Verstoß nahelegen (§ 62 BSIG). Die Dokumentation der Maßnahmen ist für alle Pflicht (§ 30 Abs. 1 BSIG).