NIS-2 Beratung zur Netz- und Informationssicherheit
Das BSI-Gesetz gilt seit Dezember 2025. Die Registrierungsfrist ist abgelaufen, mehrere Tausend Einrichtungen fehlen noch. Ich kläre Ihre Betroffenheit und bringe Sie auf den geforderten Stand.
NIS-2 ist geltendes Recht, keine Vorbereitung mehr
Das BSI-Gesetz gilt seit dem 6. Dezember 2025. Die Registrierungsfrist endete am 6. März 2026, die Nachfrist des BSI am 31. Juli 2026.
Der Gesetzgeber rechnete mit rund 29.500 betroffenen Einrichtungen. Registriert waren zum 30. Juni 2026 nach der amtlichen Statistik des BSI 17.945. Es fehlen mehrere Tausend Unternehmen.
Viele davon wissen bis heute nicht, dass sie dazugehören. Maschinenbau, Medizinprodukte, Chemie und Lebensmittel fallen erstmals darunter.
Ich kläre Ihre Betroffenheit, hole die Registrierung nach und bringe Ihre Maßnahmen auf den Stand, den das Gesetz verlangt.
Das verlangt das Gesetz von Ihnen
Fünf Paragrafen des BSI-Gesetzes entscheiden über Ihre Pflichten. In jedem davon prüft die Aufsicht nicht nur, ob Sie etwas tun, sondern ob Sie es belegen können.
Sind Sie betroffen?
Die Betroffenheit hängt an drei Fragen.
Erstens: Fällt Ihre Tätigkeit unter Anlage 1 oder Anlage 2 des BSIG? Dort stehen Energie, Verkehr, Banken, Gesundheit und digitale Infrastruktur, aber auch Chemie, Lebensmittel und das verarbeitende Gewerbe.
Zweitens: Erreichen Sie die Größenschwelle? Als wichtige Einrichtung gelten Sie ab 50 Beschäftigten oder ab 10 Mio. € Umsatz und Bilanzsumme. Als besonders wichtige Einrichtung ab 250 Beschäftigten oder ab 50 Mio. € Umsatz.
Drittens: Greift eine Sonderregelung? Betreiber kritischer Anlagen und Telekommunikationsanbieter fallen ohne Schwelle darunter.
Eine Behörde teilt Ihnen das nicht mit. Sie müssen sich selbst einstufen und die Einstufung begründen können.
Registrierung nachholen
Die Frist ist abgelaufen, die Pflicht bleibt. Eine verspätete Anmeldung ist deutlich besser als keine.
Wichtig ist die Reihenfolge. Prüfen Sie zuerst Ihre Einstufung, dann registrieren Sie sich. Eine falsche Einstufung im Portal korrigieren Sie später nur mit Aufwand, und sie bestimmt, welche Pflichten die Aufsicht bei Ihnen ansetzt.
Danach erfassen Sie Ihren Umsetzungsstand ehrlich und leiten daraus einen Plan mit Terminen ab. Wer erkennbar arbeitet, wird von der Aufsicht anders behandelt als wer nichts vorweisen kann.
Risikomanagement nach § 30 BSIG
Das Gesetz verlangt geeignete, verhältnismäßige und wirksame Maßnahmen und nennt dazu einen festen Katalog. Er reicht von Risikoanalyse und Vorfallsbehandlung über Business Continuity und Lieferkettensicherheit bis zu Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung.
Zwei Punkte werden unterschätzt. Die Wirksamkeit Ihrer Maßnahmen müssen Sie messen, nicht behaupten. Und Ihre Dienstleister müssen Sie bewerten und vertraglich binden.
Der Maßstab ist Verhältnismäßigkeit. Ein Betrieb mit 60 Beschäftigten braucht nicht die Struktur eines Konzerns, aber eine begründete Entscheidung, warum sein Niveau angemessen ist.
Meldepflichten einhalten
Bei einem erheblichen Sicherheitsvorfall läuft eine dreistufige Kette: Erstmeldung nach 24 Stunden, Folgemeldung nach 72 Stunden, Abschlussmeldung nach einem Monat.
Die Uhr läuft ab Kenntnis des Vorfalls, nicht ab abgeschlossener Analyse. 24 Stunden reichen nicht, um Zuständigkeiten erst zu klären.
Ich lege Meldewege, Rollen und Eskalation fest und erstelle Vorlagen für alle drei Stufen. Danach üben wir den Ernstfall.
Die Geschäftsleitung haftet persönlich
Das BSIG nimmt die Leitung direkt in die Pflicht. Sie muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen.
Diese Pflicht lässt sich nicht delegieren. Ein Informationssicherheitsbeauftragter bereitet vor und berät, die Verantwortung bleibt oben.
Der Bußgeldrahmen reicht bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Auch die unterlassene Registrierung ist ein eigener Bußgeldtatbestand.
Nachweise führen
Das Gesetz verlangt einen Beleg. Nach § 30 Abs. 1 Satz 3 BSIG ist die Einhaltung durch die Einrichtungen zu dokumentieren. Ohne Dokumentation gilt Ihre Maßnahme in der Prüfung als nicht umgesetzt.
Betreiber kritischer Anlagen trifft zusätzlich eine echte Nachweispflicht. Sie belegen dem BSI die Umsetzung alle drei Jahre durch Audits, Prüfungen oder Zertifizierungen.
Ich bringe Ihre Nachweise in Form und gehe die zu erwartenden Fragen mit Ihnen durch.
