Die Ausgangslage
Was NIS2 konkret verlangt
Die NIS2-Richtlinie (Richtlinie (EU) 2022/2555) löst die erste NIS-Richtlinie ab und weitet den Kreis der verpflichteten Unternehmen deutlich aus. In Deutschland gilt sie seit dem 6. Dezember 2025 über das NIS2-Umsetzungsgesetz und das neu gefasste BSI-Gesetz, in Österreich seit dem 1. Oktober 2026 über das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) – zuständig ist dort das neu geschaffene Bundesamt für Cybersicherheit, eine dem Innenministerium nachgeordnete Behörde. Verlangt werden angemessene technische und organisatorische Maßnahmen: dokumentierte Sicherheitsrichtlinien, regelmäßige Risikoanalysen, Verfahren zur Erkennung und Bewältigung von Vorfällen, Notfall- und Krisenmanagement sowie die Absicherung der Lieferkette. Der Unterschied zur alten Lage ist weniger die Technik als die Nachweisführung: Was nicht dokumentiert ist, gilt gegenüber der Aufsicht als nicht vorhanden.
Unsere Abdeckung
Von der Betroffenheitsanalyse bis zum Nachweis
Wir beginnen mit der Frage, die alles andere bestimmt: Sind Sie überhaupt betroffen, und falls ja, als wesentliche oder als wichtige Einrichtung? Das Ergebnis halten wir schriftlich fest, damit Sie es gegenüber Kunden, Versicherern und der Aufsicht belegen können. Darauf setzen wir auf: Gap-Analyse gegen die zehn Maßnahmenbereiche aus Artikel 21, Asset- und Lieferantenregister, Richtlinien und Verfahren, ein Meldeprozess mit hinterlegten Fristen, Notfall- und Wiederanlaufpläne, Awareness für die Belegschaft und die Pflichtschulung für die Geschäftsleitung. Dokumentiert wird im ISMS Ihrer Wahl – setzen Sie noch keines ein, bringen wir unser CyberSchild Cockpit mit.
Geltungsbereich
Wer betroffen ist – und was für Kleine gilt
NIS2 gilt für wesentliche und wichtige Einrichtungen in 18 Sektoren – von Energie, Verkehr, Banken und Gesundheitswesen über Trinkwasser, Abwasser und digitale Infrastruktur bis zu öffentlicher Verwaltung, Raumfahrt, Post- und Kurierdiensten, Abfallwirtschaft, Chemie, Lebensmittelproduktion und bestimmten industriellen Herstellern. Die Regelschwelle liegt bei 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz beziehungsweise Bilanzsumme. Kleinst- und Kleinunternehmen sind damit meist nicht automatisch erfasst – aber eben nur meist: Wer eine kritische Rolle in einem relevanten Sektor einnimmt, alleiniger Anbieter einer Leistung ist oder von der Behörde ausdrücklich einbezogen wird, fällt trotzdem darunter. Und selbst wer nicht direkt betroffen ist, bekommt die Anforderungen über die Lieferkette auf den Tisch: NIS2-pflichtige Kunden geben ihre Pflichten vertraglich weiter.
Die Pflichten
Meldung in 24 Stunden – und Haftung der Geschäftsleitung
Bei einem erheblichen Sicherheitsvorfall läuft eine dreistufige Uhr: eine Frühwarnung innerhalb von 24 Stunden nach Bekanntwerden, eine formelle Meldung mit erster Bewertung innerhalb von 72 Stunden und ein Abschlussbericht mit Ursachenanalyse und Abhilfemaßnahmen innerhalb eines Monats. In Deutschland geht die Meldung in der Regel an das BSI. Parallel nimmt NIS2 ausdrücklich die Leitungsebene in die Pflicht: Sie muss die Maßnahmen billigen, ihre Umsetzung überwachen und sich schulen lassen – bei schwerwiegenden Verstößen drohen persönliche Haftungsrisiken. Der finanzielle Rahmen ist deutlich: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes für wesentliche, bis zu 7 Millionen Euro oder 1,4 Prozent für wichtige Einrichtungen.
Fristen im Überblick
06.12.2025
Deutschland
NIS2-Umsetzungsgesetz und neu gefasstes BSI-Gesetz in Kraft – die Registrierungsfrist ist bereits abgelaufen.
01.10.2026
Österreich
NISG 2026 in Kraft. Registrierung bei der Cybersicherheitsbehörde innerhalb von drei Monaten, also bis Anfang Januar 2027.
01.10.2027
Österreich · Nachweis
Selbstdeklaration der umgesetzten Maßnahmen nach § 33 Abs. 1 NISG 2026.
Eine Prüfung durch eine unabhängige Stelle kann in Österreich frühestens ab dem 1. Oktober 2028 verlangt werden.
Die Stolperstellen
Woran die meisten Projekte hängen bleiben
Drei Dinge kosten in der Praxis die meiste Zeit. Erstens das Asset-Inventar: Ohne vollständige Übersicht über Systeme und Datenflüsse lässt sich keine Risikoanalyse führen, die einer Prüfung standhält. Zweitens die Lieferkette – Lieferanten bewerten, Verträge nachziehen, Nachweise einsammeln. Drittens die Awareness-Pflicht, die gern als Nebensache behandelt wird und bei der Prüfung dann als Lücke auftaucht. Wir fangen bewusst bei diesen drei an, nicht beim Werkzeug.
Nachvollziehbar
Dieselben Maßnahmen in ISO 27001
NIS2 sagt, was vorhanden sein muss, schreibt aber keine konkrete Maßnahme vor. Wer bereits mit ISO/IEC 27001 arbeitet, hat einen großen Teil der Anforderungen abgedeckt und muss ihn nur zuordnen. Wir mappen die zehn Maßnahmenbereiche aus Artikel 21 auf die Controls aus Anhang A und zeigen in einer Übersicht, was schon steht, was angepasst werden muss und was wirklich fehlt. Das spart doppelte Arbeit – und macht gegenüber Prüfern nachvollziehbar, warum eine Maßnahme als erfüllt gilt.
Nächster Schritt
Betroffenheitsanalyse, Umsetzung und Trainings
Betroffenheitsanalyse mit schriftlichem Ergebnis, Gap-Analyse gegen Artikel 21, Richtlinien und Verfahren, Asset- und Lieferantenregister, Meldeprozess mit hinterlegten Fristen, Notfall- und Wiederanlaufplanung, Awareness für alle Mitarbeitenden und die Pflichtschulung für die Geschäftsleitung – remote oder vor Ort in Deutschland und Österreich. Sprechen wir über Ihren Stand.
Erstgespräch buchen oder Kontakt aufnehmen
Nächster Schritt
30 Minuten, kostenlos und unverbindlich: Wir klären Ihre Betroffenheit nach NIS2, die größten Lücken und wie die Umsetzung bei Ihnen aussehen würde. Hinterlassen Sie hier Ihre Daten – wir melden uns per E-Mail.
Erstellt mit
