Offensive Services
Maßgeschneiderte Offensive Services von neonotu. Ethical Hacking, Penetrationstests und Red Team Operations für maximal…
AnsehenDefensive Services
NIS2-Beratung für Unternehmen
Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz. Nach Schätzung der Bundesregierung fallen rund 29.500 Unternehmen darunter, die meisten davon zum ersten Mal. Wir klären mit Ihnen, ob und wie Sie betroffen sind, wo Sie heute stehen und welche Maßnahmen zuerst kommen. Danach setzen wir sie gemeinsam um.
01
Betroffenheit
Betrifft NIS2 Ihr Unternehmen?
Das Gesetz erfasst 18 Sektoren. Neben Energie, Gesundheit und Verkehr gehören auch Maschinenbau, Lebensmittelproduktion, Chemie, Abfallwirtschaft sowie Post- und Kurierdienste dazu. Erfasst ist ein Unternehmen in der Regel ab 50 Beschäftigten oder ab 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme. Ab 250 Beschäftigten oder ab 50 Millionen Euro Umsatz bei mehr als 43 Millionen Euro Bilanzsumme gilt es meist als besonders wichtige Einrichtung, mit strengerer Aufsicht und höheren Bußgeldern.
Die Einstufung hängt an Details. Maßgeblich ist, welche Tätigkeit Ihr Unternehmen tatsächlich ausübt, und in Unternehmensgruppen können die Zahlen verbundener Firmen mitzählen. Manche Firmen sind über einen Nebenbereich erfasst, an den niemand gedacht hat. Andere fallen trotz ihrer Größe heraus.
Auch wer nicht selbst unter das Gesetz fällt, bekommt NIS2 oft zu spüren. Betroffene Kunden müssen ihre Lieferkette absichern und reichen Anforderungen an Zulieferer und Dienstleister weiter, meist als Fragebogen oder Vertragsklausel.
- 24 Stunden
- für die Frühwarnung an das BSI
- 72 Stunden
- für die Meldung des Vorfalls
- 1 Monat
- für den Abschlussbericht
- 50 Beschäftigte
- ab hier kann das Gesetz greifen
Zielgruppe
Für wen die Beratung gedacht ist
01
Geschäftsführung und Vorstand
Das Gesetz verpflichtet Sie, die Maßnahmen zu billigen und ihre Umsetzung zu überwachen. Sie haften bei Pflichtverletzung und müssen regelmäßig an Schulungen teilnehmen.
02
IT-Leitung und Informationssicherheit
Sie brauchen einen Plan, der sich mit den vorhandenen Leuten umsetzen lässt, und Argumente für das Budget.
03
Compliance und Recht
Sie müssen gegenüber dem BSI und Ihren Kunden belegen können, was umgesetzt ist.
04
Zulieferer betroffener Unternehmen
Sie bekommen Anforderungen gestellt und wollen wissen, was davon wirklich nötig ist.
Ablauf
So gehen wir vor
Die Reihenfolge richtet sich nach den Fristen. Was das Gesetz kurzfristig verlangt, kommt zuerst.
Für die Schulung der Leitung eignet sich unser Workshop Cybersicherheit für Führungskräfte. Ob die Maßnahmen wirken, zeigen technische Prüfungen wie ein Penetrationstest, und für die Belegschaft gibt es unser Security Awareness Training.
- 01
Betroffenheit prüfen. Wir ordnen Ihr Unternehmen einem Sektor zu, prüfen die Schwellenwerte und halten die Einstufung schriftlich fest. Falls nötig, begleiten wir die Registrierung beim BSI.
- 02
Gap-Analyse. Wir vergleichen Ihren heutigen Stand mit den Risikomanagementmaßnahmen aus § 30 BSIG. Dazu sprechen wir mit IT, Fachbereichen und Geschäftsleitung und sehen uns vorhandene Unterlagen und Systeme an.
- 03
Maßnahmenplan. Jede Lücke bekommt eine Priorität nach Risiko, eine verantwortliche Person und einen Termin. So sieht die Geschäftsleitung, was bis wann erledigt sein soll.
- 04
Meldekette. Einen erheblichen Sicherheitsvorfall müssen Sie binnen 24 Stunden an das BSI melden. Wir legen fest, wer ihn erkennt, wer entscheidet und wer meldet, und spielen den Ablauf einmal durch.
- 05
Geschäftsleitung einbinden. Wir bereiten die Beschlüsse zur Billigung vor und schulen die Leitung, wie es das Gesetz verlangt.
- 06
Umsetzen und prüfen. Wir begleiten die Umsetzung und prüfen, ob die Maßnahmen wirken.
Ergebnisse
Was Sie am Ende in der Hand haben
Die Unterlagen gehören Ihnen. Wir schreiben sie so, dass Ihr Team ohne uns damit weiterarbeiten kann.
- 01
eine schriftliche Einstufung Ihrer Betroffenheit mit Begründung
- 02
den Bericht zur Gap-Analyse, gegliedert nach den Anforderungen aus § 30 BSIG
- 03
einen priorisierten Maßnahmenplan mit Verantwortlichen und Terminen
- 04
Entwürfe der Richtlinien, die NIS2 verlangt, etwa zu Risikomanagement, Vorfallbehandlung, Notfallplanung und Lieferkette
- 05
die Meldekette mit Vorlagen für Frühwarnung, Meldung und Abschlussbericht
- 06
Beschlussvorlagen für die Geschäftsleitung
02
Abgrenzung
Beratung und Software: wer was übernimmt
Die Beratung klärt, was zu tun ist, und bringt die Umsetzung in Gang. Danach fallen laufend Nachweise an: Schulungsteilnahmen, Prüfberichte, Beschlüsse, Fragebögen von Kunden. Damit diese Nachweise nicht wieder in Ordnern und Postfächern verstreut liegen, gibt es Sightadel.
Sightadel ist unsere Plattform für Informationssicherheit und Compliance. NIS2, ISO 27001 und DORA sind dort als Kataloge hinterlegt, und ein Nachweis lässt sich einmal ablegen und mehreren Anforderungen zuordnen. Für die Beratung brauchen Sie keine Software. Wer Sightadel nutzt, hat die Ergebnisse aber gleich am richtigen Ort.
03
Normen
NIS2 und ISO 27001
Wer bereits ein ISMS nach ISO 27001 betreibt, hat einen großen Teil der Arbeit erledigt, denn die Maßnahmen überschneiden sich weit. Es bleiben Punkte, die die Norm nicht kennt: die Registrierung beim BSI, die gesetzlichen Meldefristen und die Pflichten der Geschäftsleitung. Diese Lücken schließen wir gezielt, ohne Ihr ISMS umzubauen.
Wer noch kein ISMS hat, kann NIS2 zum Anlass nehmen, eines aufzubauen. Das dauert länger, schafft aber eine Grundlage, die auch Kunden und Versicherer anerkennen. Mehr dazu auf der Seite zum ISMS-Aufbau.
Ein offizielles NIS2-Zertifikat gibt es übrigens nicht. Gegenüber dem BSI belegen Sie die Umsetzung mit Ihren eigenen Unterlagen, wenn die Behörde danach fragt.
04
Dauerhaft
Nach dem Projekt
NIS2 verlangt, dass Sie die Wirksamkeit Ihrer Maßnahmen regelmäßig prüfen. Viele Unternehmen haben dafür niemanden im Haus. Unser virtueller CISO übernimmt diese Rolle im Abo, mit einer Mindestlaufzeit von sechs Monaten. Wer eine feste Ansprechperson mit Stundenkontingent bevorzugt, ist beim externen CISO richtig.
Schreiben Sie uns, in welcher Branche Sie tätig sind und wie viele Beschäftigte Sie haben. Im Erstgespräch sagen wir Ihnen dann, ob NIS2 Sie betrifft und womit Sie anfangen sollten.
FAQ
Häufige Fragen
Müssen wir uns beim BSI registrieren?
Ja, wenn Sie unter das Gesetz fallen. Die Registrierung läuft über das Portal des BSI. Für Unternehmen, die schon bei Inkrafttreten betroffen waren, endete die Frist Anfang März 2026. Wer sie versäumt hat, sollte die Registrierung jetzt nachholen. Wer erst später unter das Gesetz fällt, hat ab diesem Zeitpunkt drei Monate Zeit.
Haftet die Geschäftsleitung persönlich?
Ja. Nach § 38 BSIG muss die Geschäftsleitung die Maßnahmen billigen und ihre Umsetzung überwachen. Verletzt sie diese Pflichten, haftet sie gegenüber dem Unternehmen. Außerdem muss sie regelmäßig an Schulungen teilnehmen.
Wie hoch sind die Bußgelder?
Für besonders wichtige Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent.
Reicht unser ISO-27001-Zertifikat?
Es deckt viel ab, aber nicht alles. Registrierung, Meldefristen und die Pflichten der Geschäftsleitung kommen hinzu. In der Gap-Analyse sehen wir, was Ihnen konkret fehlt.
Wir sind nicht betroffen, unser Kunde verlangt trotzdem Nachweise. Was tun?
Das kommt häufig vor. Wir prüfen mit Ihnen, welche Anforderungen des Kunden sich aus NIS2 ergeben und welche darüber hinausgehen, und helfen Ihnen, den Fragebogen belastbar zu beantworten.
Defensive Services
Weitere Leistungen in diesem Bereich
Defensive Services
Stärken Sie die digitale Abwehr mit passgenauen Defensive Services. KI-gestützte Bedrohungserkennung, Quantum-Encryptio…
AnsehenDigitale Forensik
Unsichtbare Spuren sichtbar machen. Hochspezialisierte Analysen, KI-gestützte Verhaltensforensik und AR-Visualisierung …
AnsehenWorkshops
Stärken Sie Ihre IT-Sicherheit mit interaktiven Cybersecurity- und Defense-Workshops. Praxisnahes Training für effektiv…
AnsehenPakete & Abos
Maßgeschneiderte Cybersecurity-Abonnements: von regelmäßigen Pentests bis zum vCISO. Flexible Sicherheitslösungen für a…
AnsehenKontakt
Reputation braucht Jahre. Zerstörung nur Sekunden.
Sprechen Sie mit uns, bevor es jemand anderes tut. Erstgespräch kostenlos, Rückmeldung am selben Werktag.