- Start
- Compliance
- NIS2-Umsetzung
NIS2-Umsetzung
NIS2 gilt in Deutschland. Die Schonfrist ist vorbei.
Arbeiten Sie in einem erfassten Sektor und haben mehr als 50 Beschäftigte oder mehr als 10 Millionen Euro Umsatz, sind Sie sehr wahrscheinlich betroffen. Deutschland hat die Richtlinie mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) umgesetzt, in Kraft seit Dezember 2025. Zuständig ist das BSI.
Die Bußgelder reichen bis 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes. Und die Geschäftsleitung haftet persönlich, nicht nur die IT. Genau diese Änderung gegenüber NIS1 ist in vielen Chefetagen noch nicht angekommen.
Seit 2004 vertrauen uns öffentliche Hand, Energiewirtschaft und Schwerindustrie, also Kunden, die ihre Lieferanten prüfen, bevor sie unterschreiben. Zu den Fallstudien.
Prüfen Sie den aktuellen Gesetzestext, bevor Sie sich auf Fristen verlassen. Schwellenwerte, Verordnungen und Fristen ändern sich. Diese Seite erklärt, wie die Regeln funktionieren, und ist keine Rechtsberatung. Wir arbeiten mit dem Stand zum Projektzeitpunkt und, wo Auslegung nötig ist, gemeinsam mit Ihrer Rechtsberatung.
Was jetzt fällig ist
- Registrierung beim BSI: Pflicht für jede betroffene Einrichtung. Die Frist ist abgelaufen, und eine fehlende Registrierung ist selbst bußgeldbewehrt.
- Risikomanagement: dokumentierte technische und organisatorische Maßnahmen, angemessen zu Ihrem Risiko.
- Geschäftsleitung: muss die Maßnahmen billigen, ihre Umsetzung überwachen und sich regelmäßig schulen lassen.
- Lieferkette: Sicherheitsanforderungen an Ihre Dienstleister und Lieferanten.
Einen Vorfall melden
- 24 Stunden: Frühwarnung
- 72 Stunden: Meldung mit erster Bewertung
- Ein Monat: Abschlussbericht
Diese Fristen schaffen Sie nur, wenn vorher feststeht, wer entscheidet.
Selbst betroffen oder Lieferant eines Betroffenen
Sie sind selbst betroffen
Sektor und Größe machen Sie zu einer besonders wichtigen oder wichtigen Einrichtung. Sie schulden die Registrierung beim BSI, Risikomanagement, Meldung von Vorfällen, Business Continuity, Prüfung der Lieferkette und die Verantwortung der Geschäftsleitung.
Sie beliefern ein betroffenes Unternehmen
Sie fallen vielleicht nicht selbst unter NIS2 und spüren es trotzdem, weil Ihre Kunden ihre Lieferanten bewerten müssen. Das kommt als Sicherheitsfragebogen, als neue Vertragsklausel und als Auditrecht.
Sie nutzen KI? Dann gehört sie dazu
Ein KI-Agent mit Zugriff auf Ihre Systeme ist rechtlich keine eigene Kategorie. Unter NIS2 ist er ein weiteres System in Ihrer Angriffsfläche und meist ein weiterer Lieferant in Ihrer Kette. Er gehört ins Inventar, braucht eine Risikobewertung und einen Platz in Ihren Meldeprozessen.
Deshalb bauen wir unsere Agenten vom ersten Tag an mit Audit-Logs und Systemdokumentation.
Warum wir und keine reine Beratung
Die meisten NIS2-Beratungen schreiben Dokumente. Wir bauen die Systeme, die die Nachweise erzeugen. Wir haben Software für Organisationen gebaut, die streng geprüft werden: einen staatlichen Energieerzeuger, eine Grenzpolizei, eine regionale Entwicklungsagentur.
Was wir nicht tun: Wir sind keine Kanzlei, geben keine Rechtsgutachten ab und sind keine Zertifizierungsstelle. Wo Auslegung nötig ist, arbeiten wir mit Ihrer Rechtsberatung zusammen.
Die erste Frage beantworten wir kostenlos
Die meisten Unternehmen wissen nicht, ob sie betroffen sind. Ein kurzes Gespräch klärt das: Sektor, Mitarbeiterzahl, Umsatz. Wir sagen Ihnen, wo Sie stehen und was es kosten würde, die Lücken zu schließen. Steht KI ebenfalls auf Ihrer Agenda, deckt der Readiness-Check beides in einem Projekt ab.
Häufige Fragen
Gilt NIS2 für mein Unternehmen?
Das hängt von Sektor und Größe ab. Erfasst sind die Sektoren aus den Anhängen I und II der Richtlinie. In Deutschland legt das NIS2UmsuCG die Details fest. Die Betroffenheit zu klären, ist der erste Schritt jeder Analyse.
Was hat NIS2 mit KI zu tun?
Ein KI-Agent mit Zugriff auf Ihre Systeme wird Teil Ihrer Angriffsfläche und Ihrer Lieferkette. Er muss inventarisiert, im Risiko bewertet und in die Meldeprozesse aufgenommen werden, genau wie jedes andere System.
Was droht, wenn wir nichts tun?
Die Richtlinie sieht erhebliche Bußgelder vor und nimmt die Geschäftsleitung in die Verantwortung. Genaue Beträge und Verfahren ergeben sich aus dem deutschen Umsetzungsgesetz. Prüfen Sie die zum Zeitpunkt Ihrer Analyse geltende Fassung.
In 30 Minuten wissen, ob es sich lohnt.
Erzählen Sie uns von einem Prozess, der Ihrem Team die Woche raubt. Wir sagen Ihnen noch im Gespräch, ob ein Agent ihn übernehmen kann, was das ungefähr kostet und was es spart. Passt es nicht, sagen wir das auch.