NIS2 umsetzen –
nicht nur verstehen.
Seit Dezember 2025 ist das NIS2-Umsetzungsgesetz geltendes Recht. Wir klären, ob Sie erfasst sind, zeigen die Lücken zwischen Ihrer IT und den Pflichten aus § 30 BSIG – und schließen sie anschließend selbst.
Bei einem erheblichen Sicherheitsvorfall läuft die Meldefrist ab Kenntnis – nicht ab Feierabend, nicht ab Montagmorgen.
- 24 Std frühe Erstmeldung an die gemeinsame Meldestelle von BSI und BBK
- 72 Std Meldung mit erster Bewertung nach Schweregrad und Auswirkungen
- 1 Monat Abschlussmeldung – oder zunächst eine Fortschrittsmeldung
Bußgeldrahmen nach § 65 BSIG: bis 10 Millionen Euro bei besonders wichtigen, bis 7 Millionen Euro bei wichtigen Einrichtungen – und bis 500.000 Euro allein für eine versäumte Registrierung.
- NIS2-Beratung heißt im Mittelstand vor allem: klären, ob das Unternehmen erfasst ist, die vorhandene IT gegen die Pflichten aus § 30 BSIG halten und die Lücken in einer belastbaren Reihenfolge schließen.
- Das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025. Registrierung, Risikomanagement, Meldewege und die persönlichen Pflichten der Geschäftsleitung sind seitdem geltendes Recht, nicht Vorbereitung.
- Betroffen sind nach Angabe des BSI rund 29.500 Unternehmen direkt – dazu kommen deren Dienstleister, die über die Anforderungen an die Lieferkette faktisch mitverpflichtet werden.
- Erhebliche Sicherheitsvorfälle sind gestuft zu melden: Erstmeldung binnen 24 Stunden, Bewertung binnen 72 Stunden, Abschlussmeldung nach spätestens einem Monat – die Uhr läuft ab Kenntnis.
- Ohne Dokumentation zählt ein Risikomanagement im Zweifel wie keines: § 30 Absatz 1 BSIG verlangt den Nachweis ausdrücklich, § 65 stellt fehlende Dokumentation eigens unter Bußgeld.
Sind Sie überhaupt erfasst?
Erst diese Frage entscheidet, wie viel Arbeit vor Ihnen liegt – und sie wird häufiger falsch beantwortet als jede andere. Der verbreitetste Irrtum: „Wir haben unter 250 Mitarbeitende, also sind wir raus." Das stimmt nicht. Wer in einem der erfassten Sektoren arbeitet und über 50 Beschäftigte hat, fällt in die Kategorie der wichtigen Einrichtungen – mit denselben Pflichten, nur anderem Bußgeldrahmen und anderer Aufsicht.
Hinzu kommt die Lieferkette. Auch wer selbst nicht erfasst ist, bekommt die Anforderungen über Verträge und Fragebögen erfasster Kunden auf den Tisch – oft mit kurzer Frist und der Bitte um Nachweise, die noch niemand gesammelt hat.
Ab 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz und mehr als 43 Millionen Euro Bilanzsumme – in den Kernsektoren wie Energie, Verkehr, Gesundheit, Trinkwasser, digitale Infrastruktur oder Finanzwesen. Das BSI beaufsichtigt sie auch ohne Anlass.
Ab 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme – in denselben Kernsektoren und zusätzlich im breiteren Kreis: verarbeitendes Gewerbe, Chemie, Lebensmittel, Post- und Kurierdienste, Abfallwirtschaft, digitale Dienste.
Beteiligungen und verbundene Unternehmen werden mitgerechnet. Nur wer bei Beschaffung und Betrieb seiner IT nachweislich unabhängig entscheidet, wird allein gezählt.
Vier Blöcke –
getrennt angehbar.
Betroffene Unternehmen müssen nicht alles auf einmal stemmen. Die Pflichten hängen zusammen, lassen sich aber nacheinander schließen.
Registrierung beim BSI
Die formale Anmeldung samt dauerhaft erreichbarer Kontaktstelle. Der einfachste Schritt – und der, an dem es am häufigsten hakt, weil das benötigte Zertifikat vorab beantragt sein will.
- Kontaktstelle benennen
- Zugang rechtzeitig beantragen
- Bußgeldrahmen bis 500.000 € bei Versäumnis
Risikomanagement nach § 30 BSIG
Das inhaltliche Herzstück: geeignete, verhältnismäßige und wirksame Maßnahmen in mindestens zehn Feldern – von der Risikoanalyse über Backup und Zugriffskontrolle bis zu Verschlüsselung und Schulungen.
- Maßstab ist Verhältnismäßigkeit
- Multi-Faktor-Authentifizierung und Patch-Management inbegriffen
- Wirksamkeit muss belegbar sein
Meldepflichten mit Uhr
Erhebliche Vorfälle gehen gestuft an die gemeinsame Meldestelle von BSI und BBK. Das setzt zweierlei voraus: dass ein Vorfall überhaupt bemerkt wird – und dass vorher feststeht, wer meldet.
- 24 Stunden: frühe Erstmeldung
- 72 Stunden: Bewertung des Vorfalls
- Ein Monat: Abschlussmeldung
Sicherheit der Lieferkette
Sie sind für die Sicherheit Ihrer Dienstleister und Software-Lieferanten mitverantwortlich. In der Praxis: Anforderungen in Verträge schreiben, die wichtigsten Zulieferer prüfen, Ergebnisse festhalten.
- Vertragliche Anforderungen
- Prüfung der wichtigsten Zulieferer
- Ergebnisse dokumentiert
Über allem steht die Nachweispflicht: § 30 Absatz 1 BSIG verlangt die Dokumentation der Einhaltung ausdrücklich, und § 65 stellt eine fehlende oder unvollständige Dokumentation eigens unter Bußgeld. Die rechtlichen Grundlagen im Detail stehen im Beitrag zum NIS2-Umsetzungsgesetz.
Fünf Schritte, nicht fünfzig Seiten
Ein Gutachten, das niemand umsetzt, erfüllt keine einzige Pflicht. Deshalb ist der Bericht bei uns Zwischenergebnis, nicht Endprodukt.
Betroffenheit klären
Sektor, Beschäftigtenzahl, Umsatz und Konzernzugehörigkeit gegen die Schwellen aus § 28 BSIG halten. Am Ende steht eine begründete Einordnung – besonders wichtig, wichtig oder nicht erfasst – und, falls erfasst, die Kategorie schriftlich.
Bestand aufnehmen
Was ist heute da? Geräte, Konten, Rechte, Backups, Erkennung, Notfallplan, Schulungen. Diese Aufnahme ist kein Fragebogen, sondern ein Abgleich mit dem, was in Ihren Systemen tatsächlich eingestellt ist.
Lücken priorisieren
Jede Lücke bekommt Aufwand, Wirkung und einen Verantwortlichen. Was Sie in einer Woche schließen können, steht vorn; was ein Projekt ist, bekommt einen Termin. Sie entscheiden, was in welcher Reihenfolge passiert.
Maßnahmen umsetzen
Wir setzen die technischen und organisatorischen Maßnahmen um: Multi-Faktor-Authentifizierung, Geräteverschlüsselung, Patchstand, Backup mit geprüfter Wiederherstellung, Angriffserkennung, Notfallplan, Awareness.
Nachweise führen
Jede Maßnahme bekommt einen Ort, an dem sichtbar ist, wer zuständig ist und wann zuletzt geprüft wurde. Der Nachweis entsteht dabei nebenbei – nicht in einer Nachtschicht vor der Prüfung.
Und danach?
NIS2 ist kein Projekt mit Enddatum. Maßnahmen veralten, Personal wechselt, Systeme kommen dazu. Wer die Betreuung ohnehin an uns gibt, hat den Nachweis laufend aktuell – ohne dafür noch einmal anzufangen.
Was aus den Paragrafen im Alltag wird
Der Maßnahmenkatalog des § 30 klingt abstrakt. In der Praxis sind es sechs Dinge, die im Mittelstand über Erfüllung oder Lücke entscheiden:
- Multi-Faktor-Authentifizierung Für alle Konten mit Zugriff auf Unternehmensdaten – der wirksamste Einzelschritt gegen übernommene Zugänge.
- Angriffserkennung (EDR) Ohne Erkennung fällt ein Einbruch oft erst auf, wenn die Verschlüsselung läuft – und die 24-Stunden-Uhr ist längst gelaufen.
- Backup mit geprüfter Wiederherstellung Nach dem 3-2-1-Prinzip, mit regelmäßigem Rückspieltest. Ein Backup, das nie zurückgespielt wurde, ist eine Annahme.
- Geräte, Konten und Rechte an einer Stelle Wer hat welches Gerät, welchen Zugang, welche Rolle? Genau diese Frage stellt jede Prüfung zuerst.
- Schulung und Phishing-Simulation Schulungen gehören ausdrücklich zum Katalog des § 30 – mit Teilnahmenachweis statt Anwesenheitsgefühl.
- Notfallplan mit Meldeweg Wer meldet, an wen, in welcher Frist – festgehalten, bevor der Ernstfall eintritt.
Dafür sind wir richtig
- Unternehmen mit 20 bis 250 Mitarbeitenden ohne eigene Sicherheitsabteilung.
- Betriebe, die erfasst sind und die Pflichten technisch umsetzen müssen, statt sie nur zu beschreiben.
- Zulieferer, die den Fragebogen eines erfassten Kunden belegbar beantworten müssen.
- Geschäftsführungen, die wissen wollen, was wirklich zu tun ist – in der Reihenfolge, in der es wirkt.
Dafür brauchen Sie andere
- Rechtsverbindliche Auslegung im Grenzfall: Sektorzuordnung, Konzernstrukturen, Haftungsfragen – das gehört in eine Kanzlei.
- Zertifizierung nach ISO 27001: Wir bereiten vor und liefern Belege, das Audit macht eine akkreditierte Stelle.
- Betreiber kritischer Anlagen mit Nachweispflicht nach § 39 BSIG: Hier ist ein spezialisierter Prüfer gefragt.
- Unternehmen, die nur ein Dokument für die Ablage suchen: Ein Papier ohne umgesetzte Maßnahme schützt weder vor Angriffen noch vor Bußgeldern.
Gut zu wissen
Was leistet eine NIS2-Beratung konkret?
Eine NIS2-Beratung klärt zuerst, ob Ihr Unternehmen überhaupt erfasst ist, und vergleicht anschließend den Ist-Zustand Ihrer IT mit den Pflichten aus dem BSI-Gesetz. Ergebnis ist eine Lückenliste mit Aufwand, Wirkung und Verantwortlichen – und daraus ein Umsetzungsplan. Bei kjello endet die Beratung nicht mit dem Bericht: Die technischen Maßnahmen setzen wir anschließend selbst um und führen die Nachweise laufend mit.
Ist mein Unternehmen von NIS2 betroffen?
Das entscheidet sich an drei Fragen: Fällt Ihr Geschäft in einen der erfassten Sektoren, wie viele Beschäftigte haben Sie und wie hoch sind Umsatz und Bilanzsumme? Wichtige Einrichtungen sind Unternehmen ab 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme in den Sektoren der Anlagen 1 und 2, besonders wichtige Einrichtungen ab 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz und mehr als 43 Millionen Euro Bilanzsumme in den Kernsektoren. Beteiligungen und verbundene Unternehmen werden dabei mitgerechnet. Eine schnelle Ersteinschätzung liefert unser NIS2-Check.
Was kostet die Umsetzung von NIS2 im Mittelstand?
Der Aufwand hängt fast vollständig davon ab, was bereits vorhanden ist. Betriebe mit gepflegten Geräten, Multi-Faktor-Authentifizierung und geprüftem Backup schließen die verbleibenden Lücken meist in Wochen. Wo Inventar, Rechtevergabe und Dokumentation fehlen, wird daraus ein Projekt über mehrere Monate. Deshalb steht am Anfang die Bestandsaufnahme und nicht ein Pauschalangebot: Erst danach lässt sich seriös sagen, was zu tun ist.
Wie lange dauert die Umsetzung?
Die Registrierung ist eine Frage von Tagen, sobald der Zugang beantragt ist. Der Aufbau des Risikomanagements dauert im Mittelstand typischerweise zwei bis sechs Monate, je nach Ausgangslage. Wichtig ist die Reihenfolge: Erst kommen die Maßnahmen, die sofort Wirkung zeigen – Multi-Faktor-Authentifizierung, Backup-Test, Erkennung –, dann die, die Zeit brauchen.
Ersetzt eine ISO-27001-Zertifizierung die NIS2-Umsetzung?
Nein, sie erleichtert sie aber erheblich. Ein gelebtes Informationssicherheits-Managementsystem deckt große Teile des Maßnahmenkatalogs bereits ab. NIS2-spezifisch bleiben vor allem die Registrierung, die Meldefristen gegenüber der gemeinsamen Meldestelle und die persönlichen Pflichten der Geschäftsleitung – diese Punkte müssen auch zertifizierte Unternehmen gesondert nachweisen.
Wer haftet, wenn die Pflichten nicht erfüllt sind?
Die Geschäftsleitung. Das BSI-Gesetz nimmt sie ausdrücklich in die Pflicht, das Risikomanagement umzusetzen, seine Umsetzung zu überwachen und regelmäßig selbst an Schulungen teilzunehmen. Diese Verantwortung lässt sich nicht an die IT oder an einen Dienstleister abgeben – wohl aber die Arbeit, die daraus folgt.
Bekomme ich von Ihnen eine Rechtsberatung?
Nein. Wir sind IT-Dienstleister, keine Kanzlei. Wir ordnen ein, liefern die technische und organisatorische Umsetzung und stellen die Nachweise bereit. Wo es um die rechtsverbindliche Auslegung geht – Sektorzuordnung im Grenzfall, Konzernstrukturen, Vertragsklauseln zur Lieferkette – arbeiten wir Ihrem Anwalt oder Ihrer Datenschutzbeauftragten zu, statt deren Rolle zu spielen.
Wir sind selbst nicht betroffen, aber unser Kunde fragt nach NIS2. Was nun?
Das ist der häufigste Fall im Mittelstand. Erfasste Unternehmen müssen die Sicherheit ihrer Lieferkette nachweisen und reichen die Anforderungen an ihre Dienstleister weiter – meist als Fragebogen oder Vertragsanhang. Antworten lassen sich diese Fragebögen nur mit belegbaren Angaben zu Zugriffen, Backup, Erkennung und Meldewegen. Genau diese Angaben entstehen bei uns ohnehin und lassen sich als Bericht ausgeben.
Klären wir zuerst, wo Sie stehen.
Ein Gespräch, eine Einordnung, eine ehrliche Lückenliste: Erzählen Sie uns kurz, in welchem Sektor Sie arbeiten und wie Ihre IT heute betreut wird – den Rest übernehmen wir.
Unverbindlich · Antwort in der Regel am selben Werktag · [email protected]
