NIS2 umsetzen –
nicht nur verstehen.
Seit Dezember 2025 ist das NIS2-Umsetzungsgesetz geltendes Recht. Wir klären, ob Sie erfasst sind, zeigen die Lücken zwischen Ihrer IT und den Pflichten aus § 30 BSIG – und schließen sie anschließend selbst.
- Seit 2004 im Mittelstand
- 4,9/5 Kundenbewertung
- Support aus Hamburg
Bei einem erheblichen Sicherheitsvorfall läuft die Meldefrist ab Kenntnis – nicht ab Feierabend, nicht ab Montagmorgen.
- 24 Std frühe Erstmeldung an die gemeinsame Meldestelle von BSI und BBK
- 72 Std Meldung mit erster Bewertung nach Schweregrad und Auswirkungen
- 1 Monat Abschlussmeldung – oder zunächst eine Fortschrittsmeldung
Bußgeldrahmen nach § 65 BSIG: bis 10 Millionen Euro bei besonders wichtigen, bis 7 Millionen Euro bei wichtigen Einrichtungen – und bis 500.000 Euro allein für eine versäumte Registrierung.
Sind Sie überhaupt erfasst?
Diese Frage entscheidet, wie viel Arbeit vor Ihnen liegt. Und sie wird oft falsch beantwortet. Der häufigste Irrtum: „Wir haben unter 250 Mitarbeitende, also sind wir raus.“ Das stimmt nicht.
Wer in einem der erfassten Sektoren arbeitet und über 50 Beschäftigte hat, ist eine wichtige Einrichtung. Die Pflichten sind dieselben. Anders sind nur Bußgeldrahmen und Aufsicht.
Dazu kommt die Lieferkette. Auch wer selbst nicht erfasst ist, bekommt die Anforderungen über Verträge und Fragebögen seiner Kunden. Oft mit kurzer Frist und der Bitte um Nachweise, die noch niemand gesammelt hat.
Ab 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz und mehr als 43 Millionen Euro Bilanzsumme – in den Kernsektoren wie Energie, Verkehr, Gesundheit, Trinkwasser, digitale Infrastruktur oder Finanzwesen. Das BSI beaufsichtigt sie auch ohne Anlass.
Ab 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme – in denselben Kernsektoren und zusätzlich im breiteren Kreis: verarbeitendes Gewerbe, Chemie, Lebensmittel, Post- und Kurierdienste, Abfallwirtschaft, digitale Dienste.
Beteiligungen und verbundene Unternehmen werden mitgerechnet. Nur wer bei Beschaffung und Betrieb seiner IT nachweislich unabhängig entscheidet, wird allein gezählt.
- NIS2-Beratung heißt im Mittelstand vor allem: klären, ob das Unternehmen erfasst ist, die vorhandene IT gegen die Pflichten aus § 30 BSIG halten und die Lücken in einer belastbaren Reihenfolge schließen.
- Das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025. Registrierung, Risikomanagement, Meldewege und die persönlichen Pflichten der Geschäftsleitung sind seitdem geltendes Recht, nicht Vorbereitung.
- Betroffen sind nach Angabe des BSI rund 29.500 Unternehmen direkt – dazu kommen deren Dienstleister, die über die Anforderungen an die Lieferkette faktisch mitverpflichtet werden.
Mehr in Kürze
- Erhebliche Sicherheitsvorfälle sind gestuft zu melden: Erstmeldung binnen 24 Stunden, Bewertung binnen 72 Stunden, Abschlussmeldung nach spätestens einem Monat – die Uhr läuft ab Kenntnis.
- Ohne Dokumentation zählt ein Risikomanagement im Zweifel wie keines: § 30 Absatz 1 BSIG verlangt den Nachweis ausdrücklich, § 65 stellt fehlende Dokumentation eigens unter Bußgeld.
Vier Blöcke –
getrennt angehbar.
Sie müssen nicht alles auf einmal schaffen. Die Pflichten hängen zusammen, lassen sich aber nacheinander erledigen.
Registrierung beim BSI
Sie melden Ihr Unternehmen beim BSI an und nennen eine Kontaktstelle, die dauerhaft erreichbar ist. Das ist der einfachste Schritt. Trotzdem hakt es hier am häufigsten: Den Zugang dafür müssen Sie vorab beantragen.
- Kontaktstelle benennen
- Zugang rechtzeitig beantragen
- Bußgeldrahmen bis 500.000 € bei Versäumnis
Risikomanagement nach § 30 BSIG
Das ist der Kern. Das Gesetz verlangt passende und wirksame Maßnahmen in mindestens zehn Feldern. Dazu gehören Risikoanalyse, Datensicherung, Zugriffsrechte, Verschlüsselung und Schulungen.
- Maßstab ist Verhältnismäßigkeit
- Zwei-Faktor-Anmeldung und Updates gehören dazu
- Wirksamkeit muss belegbar sein
Meldepflichten mit Uhr
Erhebliche Vorfälle melden Sie in Stufen an die gemeinsame Meldestelle von BSI und BBK. Dafür muss zweierlei klar sein: dass ein Vorfall überhaupt bemerkt wird. Und wer meldet.
- 24 Stunden: frühe Erstmeldung
- 72 Stunden: Bewertung des Vorfalls
- Ein Monat: Abschlussmeldung
Sicherheit der Lieferkette
Sie sind für die Sicherheit Ihrer Dienstleister und Software-Lieferanten mitverantwortlich. Praktisch heißt das: Anforderungen in Verträge schreiben, die wichtigsten Zulieferer prüfen, Ergebnisse festhalten.
- Vertragliche Anforderungen
- Prüfung der wichtigsten Zulieferer
- Ergebnisse dokumentiert
Über allem steht die Nachweispflicht: § 30 Absatz 1 BSIG verlangt die Dokumentation der Einhaltung ausdrücklich, und § 65 stellt eine fehlende oder unvollständige Dokumentation eigens unter Bußgeld. Die rechtlichen Grundlagen im Detail stehen im Beitrag zum NIS2-Umsetzungsgesetz.
Fünf Schritte, nicht fünfzig Seiten
Ein Gutachten, das niemand umsetzt, erfüllt keine einzige Pflicht. Deshalb ist der Bericht bei uns ein Zwischenschritt, nicht das Ergebnis.
Betroffenheit klären
Wir halten Branche, Zahl der Beschäftigten, Umsatz und Firmenverbund gegen die Schwellen aus § 28 BSIG. Am Ende steht eine begründete Einordnung: besonders wichtig, wichtig oder nicht erfasst. Sie bekommen sie schriftlich.
Bestand aufnehmen
Was ist heute da? Geräte, Konten, Rechte, Datensicherung, Virenschutz, Notfallplan, Schulungen. Wir füllen dafür keinen Fragebogen aus. Wir sehen nach, was in Ihren Systemen wirklich eingestellt ist.
Lücken priorisieren
Jede Lücke bekommt Aufwand, Wirkung und eine zuständige Person. Was in einer Woche zu schließen ist, steht vorn. Was ein Projekt ist, bekommt einen Termin. Die Reihenfolge entscheiden Sie.
Maßnahmen umsetzen
Dann setzen wir um: Zwei-Faktor-Anmeldung, verschlüsselte Geräte, Updates, Datensicherung, Virenschutz und Schulungen. Mit „Datensicherung Premium“ kommt ein geprobter Weg für den Notbetrieb dazu.
Nachweise führen
Zugriffsprüfungen und ein Nachweispaket geben Sie im Portal als PDF aus, mit Security+ kommt jeden Monat der schriftliche Sicherheitsbericht dazu. So entsteht der Nachweis nebenbei – nicht in einer Nachtschicht vor der Prüfung.
Und danach?
NIS2 hört nicht auf. Maßnahmen veralten, Menschen wechseln, Systeme kommen dazu. Wer die Betreuung ohnehin bei uns hat, hält den Nachweis laufend aktuell – ohne noch einmal von vorn anzufangen.
Was aus den Paragrafen im Alltag wird
Die Liste in § 30 klingt abstrakt. Im Mittelstand entscheiden in der Praxis sechs Dinge, ob die Pflicht erfüllt ist:
- Zwei-Faktor-Anmeldung Für alle Konten, die an Firmendaten kommen. Kein anderer Einzelschritt schützt so gut vor gestohlenen Zugängen.
- Virenschutz Mit Security+ läuft der Virenschutz auf jedem Gerät. Wir sehen nach, ob der Schutz läuft, und Sie bekommen es jeden Monat schriftlich.
- Datensicherung Server täglich in ein deutsches Rechenzentrum, Rechner mit eigenen Daten auf Wunsch. Soll die Wiederherstellung belegt sein, gibt es „Datensicherung Premium“: Einmal im Vierteljahr holen wir echte Daten zurück, mit Bericht.
- Geräte, Konten und Rechte an einer Stelle Wer hat welches Gerät, welchen Zugang, welche Rolle? Genau diese Frage stellt jede Prüfung zuerst.
- Schulung und Phishing-Simulation Schulungen stehen ausdrücklich in § 30. Kurze Schulungen von wenigen Minuten, dazu Übungsmails. Die Abschlussquote ist Ihr Nachweis.
- Notfallplan mit Meldeweg Wer meldet, an wen, in welcher Frist – festgehalten, bevor der Ernstfall eintritt.
Dafür sind wir richtig
- Unternehmen mit 20 bis 250 Mitarbeitenden ohne eigene Sicherheitsabteilung.
- Betriebe, die erfasst sind und die Pflichten technisch umsetzen müssen, statt sie nur zu beschreiben.
- Zulieferer, die den Fragebogen eines erfassten Kunden belegbar beantworten müssen.
- Geschäftsführungen, die wissen wollen, was wirklich zu tun ist – in der Reihenfolge, in der es wirkt.
Dafür brauchen Sie andere
- Rechtsverbindliche Auslegung im Grenzfall: Sektorzuordnung, Konzernstrukturen, Haftungsfragen – das gehört in eine Kanzlei.
- Zertifizierung nach ISO 27001: Wir bereiten vor und liefern Belege, das Audit macht eine akkreditierte Stelle.
- Betreiber kritischer Anlagen mit Nachweispflicht nach § 39 BSIG: Hier ist ein spezialisierter Prüfer gefragt.
- Unternehmen, die nur ein Dokument für die Ablage suchen: Ein Papier ohne umgesetzte Maßnahme schützt weder vor Angriffen noch vor Bußgeldern.
Gut zu wissen
Was leistet eine NIS2-Beratung konkret?
Zuerst klären wir, ob Ihr Unternehmen überhaupt erfasst ist. Dann vergleichen wir Ihre IT mit den Pflichten aus dem BSI-Gesetz. Sie bekommen eine Liste der Lücken mit Aufwand, Wirkung und zuständiger Person – und daraus einen Plan. Bei kjello endet die Beratung nicht mit dem Bericht. Die technischen Maßnahmen setzen wir danach selbst um und führen die Nachweise laufend mit.
Ist mein Unternehmen von NIS2 betroffen?
Das entscheidet sich an drei Fragen: Fällt Ihr Geschäft in einen der erfassten Sektoren, wie viele Beschäftigte haben Sie und wie hoch sind Umsatz und Bilanzsumme? Wichtige Einrichtungen sind Unternehmen ab 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme in den Sektoren der Anlagen 1 und 2, besonders wichtige Einrichtungen ab 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz und mehr als 43 Millionen Euro Bilanzsumme in den Kernsektoren. Beteiligungen und verbundene Unternehmen werden dabei mitgerechnet. Eine schnelle Ersteinschätzung liefert unser NIS2-Check.
Was kostet die Umsetzung von NIS2 im Mittelstand?
Das hängt fast nur davon ab, was schon da ist. Wer gepflegte Geräte, Zwei-Faktor-Anmeldung und eine funktionierende Datensicherung hat, schließt die übrigen Lücken meist in Wochen. Fehlen Geräteliste, Rechtevergabe und Dokumentation, wird daraus ein Projekt über mehrere Monate. Deshalb steht am Anfang die Bestandsaufnahme, kein Pauschalangebot. Erst danach lässt sich seriös sagen, was zu tun ist.
Wie lange dauert die Umsetzung?
Die Registrierung dauert Tage, sobald der Zugang beantragt ist. Das Risikomanagement aufzubauen dauert im Mittelstand meist zwei bis sechs Monate, je nach Ausgangslage. Wichtig ist die Reihenfolge. Zuerst kommt, was sofort wirkt: Zwei-Faktor-Anmeldung, Datensicherung, Virenschutz. Danach kommt, was Zeit braucht.
Ersetzt eine ISO-27001-Zertifizierung die NIS2-Umsetzung?
Nein, sie erleichtert sie aber erheblich. Ein gelebtes Informationssicherheits-Managementsystem deckt große Teile des Maßnahmenkatalogs bereits ab. NIS2-spezifisch bleiben vor allem die Registrierung, die Meldefristen gegenüber der gemeinsamen Meldestelle und die persönlichen Pflichten der Geschäftsleitung – diese Punkte müssen auch zertifizierte Unternehmen gesondert nachweisen.
Wer haftet, wenn die Pflichten nicht erfüllt sind?
Die Geschäftsleitung. Das BSI-Gesetz nimmt sie ausdrücklich in die Pflicht, das Risikomanagement umzusetzen, seine Umsetzung zu überwachen und regelmäßig selbst an Schulungen teilzunehmen. Diese Verantwortung lässt sich nicht an die IT oder an einen Dienstleister abgeben – wohl aber die Arbeit, die daraus folgt.
Bekomme ich von Ihnen eine Rechtsberatung?
Nein. Wir sind IT-Dienstleister, keine Kanzlei. Wir ordnen ein, liefern die technische und organisatorische Umsetzung und stellen die Nachweise bereit. Wo es um die rechtsverbindliche Auslegung geht – Sektorzuordnung im Grenzfall, Konzernstrukturen, Vertragsklauseln zur Lieferkette – arbeiten wir Ihrem Anwalt oder Ihrer Datenschutzbeauftragten zu, statt deren Rolle zu spielen.
Wir sind selbst nicht betroffen, aber unser Kunde fragt nach NIS2. Was nun?
Das ist der häufigste Fall im Mittelstand. Erfasste Unternehmen müssen die Sicherheit ihrer Lieferkette nachweisen und reichen die Anforderungen an ihre Dienstleister weiter – meist als Fragebogen oder Vertragsanhang. Beantworten lassen sich diese Fragebögen nur mit belegbaren Angaben zu Zugriffen, Datensicherung, Virenschutz und Meldewegen. Genau diese Angaben entstehen bei uns ohnehin und lassen sich als Bericht ausgeben.
Klären wir zuerst, wo Sie stehen.
Ein Gespräch, eine Einordnung, eine ehrliche Lückenliste: Erzählen Sie uns kurz, in welchem Sektor Sie arbeiten und wie Ihre IT heute betreut wird – den Rest übernehmen wir.
- Unverbindlich
- monatlich kündbar
- Antwort in der Regel innerhalb eines Werktags
- [email protected]
