NIS2
Was NIS2 für Ihre Organisation konkret bedeutet
Das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025, die Registrierungsfrist beim BSI ist am 6. März 2026 abgelaufen. Fachartikel, Vorlagen und ein Checker helfen bei der Einordnung, die rechtliche Bewertung bleibt bei Ihrer Organisation.
Womit Sie anfangen
01
Wissensdatenbank
Fachartikel zu Scope, Pflichten, Verantwortlichkeiten und praktischer Umsetzung.
Zu den Artikeln02
Vorlagenbibliothek
49 anpassbare Word- und Excel-Ausgangspunkte für Richtlinien, Register, Meldeformulare und Lieferantenprüfungen.
Vorlagen herunterladen03
NIS2-Compliance-Checker
Strukturierte Fragen zu Scope und Reifegrad mit einem Orientierungsbericht per E-Mail.
Checker starten04
Für Energieversorger
Wie Energieversorger NIS2, § 30 BSIG und den IT-Sicherheitskatalog der BNetzA in einem System umsetzen, IT und OT eingeschlossen.
Zur BranchenseiteWas Sie zuerst klären sollten
- Nach § 28 BSIG sind Sie wichtige Einrichtung ab 50 Beschäftigten oder über 10 Millionen Euro Jahresumsatz und Bilanzsumme, besonders wichtige Einrichtung ab 250 Beschäftigten oder über 50 Millionen Euro Umsatz zusammen mit über 43 Millionen Euro Bilanzsumme. Für Betreiber öffentlicher Telekommunikationsnetze gelten die niedrigeren Werte schon in der oberen Kategorie.
- Die Registrierung beim BSI war nach § 33 Abs. 1 BSIG am 6. März 2026 fällig, drei Monate nach Inkrafttreten. Wer bis heute nicht registriert ist, holt das als Erstes nach.
- Die zehn Mindestmaßnahmen stehen in § 30 BSIG, die Meldekaskade mit 24 Stunden, 72 Stunden und 30 Tagen in § 32, die persönliche Pflicht der Geschäftsleitung in § 38.
- Diese Seite ist Orientierung und keine Rechtsberatung. Die verbindliche Einordnung Ihrer Einrichtung nehmen Sie mit fachlicher und rechtlicher Prüfung vor.
Rechtslage
Der Rahmen hat sich verschoben. Der Zertifikatsordner nicht.
Die Leitung billigt, überwacht und haftet.
Geschäftsleitungen wesentlicher und wichtiger Einrichtungen müssen die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und können für Verstöße haftbar gemacht werden. Für die Leitung selbst gilt eine Schulungspflicht.
Meldefristen laufen in Stunden, nicht in Wochen.
Frühwarnung binnen 24 Stunden nach Kenntnis, Meldung des Sicherheitsvorfalls binnen 72 Stunden, Abschlussbericht binnen eines Monats. Wer die Zahlen erst im Vorfall zusammensucht, hält die Frist nicht.
Kontinuität steht im selben Pflichtenkatalog wie Kryptografie.
Business Continuity, Backup-Management, Wiederherstellung nach Notfällen und Krisenmanagement sind Teil der Mindestmaßnahmen, nicht ein Anhang für später.
KI-Kompetenz ist seit Februar 2025 Pflicht.
Anbieter und Betreiber von KI-Systemen müssen für ein ausreichendes Maß an KI-Kompetenz ihres Personals sorgen. Die Pflicht gilt unabhängig von der Risikoklasse des Systems.
Betroffenheit geklärt, und dann?
Wenn die Einordnung steht, beginnt die Arbeit: zehn Maßnahmen nach § 30 BSIG, Meldewege, Lieferkette und der Nachweis gegenüber dem BSI. Wir gehen Ihren Fall durch und sagen Ihnen, was davon offen ist.