Sicherheit und Resilienz · Schwerpunkt
NIS2 und Cybersicherheit
Von Redaktion techport.ai, IT-Beratung · Zuletzt aktualisiert am
Mit dem NIS2-Umsetzungsgesetz hat sich der Kreis der Unternehmen, die zu Cybersicherheit verpflichtet sind, in Deutschland deutlich erweitert. Betroffen sind längst nicht mehr nur Betreiber kritischer Infrastrukturen, sondern viele mittelständische Unternehmen aus Sektoren wie Produktion, Logistik, Abfallwirtschaft, Lebensmittel, Chemie, Maschinenbau und digitale Dienste, in der Regel ab fünfzig Beschäftigten oder ab zehn Millionen Euro Umsatz und Bilanzsumme.
Die Pflicht trifft das Unternehmen unabhängig davon, ob es sich registriert hat, und sie trifft die Geschäftsleitung persönlich. Wer die Betroffenheit nicht geprüft hat, hat sie nicht widerlegt.
Woran Sie es merken
- Es ist unklar, ob das Unternehmen unter die neuen Pflichten fällt, und es gibt keine dokumentierte Prüfung.
- Kunden fragen im Rahmen ihrer eigenen Lieferkettenpflichten nach Nachweisen zur Informationssicherheit.
- Es gibt Sicherheitsmaßnahmen, aber keine Dokumentation, die einer Prüfung standhält.
- Niemand weiß, wer im Fall eines erheblichen Vorfalls innerhalb von vierundzwanzig Stunden meldet.
Warum das passiert
Die Anforderungen sind neu, sie stehen in einem Gesetz, das nicht selbsterklärend ist, und die Zuordnung zu einem Sektor ist im Einzelfall nicht offensichtlich. Viele Unternehmen warten deshalb auf eine Benachrichtigung, die nicht kommt: Die Einordnung ist eine Selbsteinschätzung. Dazu kommt, dass Sicherheit im Mittelstand lange als technische Aufgabe der IT galt, während das Gesetz sie ausdrücklich der Leitung zuweist, samt Pflicht zur Überwachung und zur Schulung.
So gehen wir vor
- Betroffenheit dokumentiert prüfen. Wir prüfen anhand von Sektor, Tätigkeit, Beschäftigtenzahl und Umsatz, ob Ihr Unternehmen als besonders wichtige oder als wichtige Einrichtung gilt, und halten das Ergebnis mit Begründung fest. Auch ein Nein gehört dokumentiert.
- Lücken gegen die Pflichten ermitteln. Wir gleichen Ihren Ist-Zustand mit den geforderten Risikomanagementmaßnahmen ab: Risikoanalyse, Vorfallbehandlung, Notfallmanagement, Lieferkette, Zugriffskontrolle, Kryptografie, Schulung, Bewertung der Wirksamkeit. Ergebnis ist eine priorisierte Maßnahmenliste mit Aufwand.
- Umsetzen und nachweisbar machen. Wir setzen die Maßnahmen um und sorgen dafür, dass jede von ihnen einen Nachweis erzeugt: Richtlinie, Protokoll, Testbericht, Schulungsnachweis. Was nicht dokumentiert ist, gilt bei einer Prüfung als nicht vorhanden.
- Melde- und Registrierungspflichten einrichten. Wir richten den Meldeweg an das BSI ein, mit Zuständigkeiten, Vorlagen und Fristen, und üben ihn. Registrierung und Meldung dürfen nicht davon abhängen, wer gerade im Haus ist.
Was Sie davon haben
- Eine belastbare Aussage darüber, ob und wie Sie betroffen sind.
- Nachweise, die Sie Kunden und Behörden vorlegen können.
- Eine Sicherheitslage, die nicht nur der Pflicht genügt, sondern das Risiko tatsächlich senkt.
Aus unseren Projekten
Die meisten Unternehmen unterschätzen die Lieferkette. Auch wer selbst nicht betroffen ist, bekommt die Anforderungen über Kunden weitergereicht, weil betroffene Unternehmen die Sicherheit ihrer Lieferanten in ihr Risikomanagement einbeziehen müssen. In der Praxis heißt das: Fragebögen, Nachweise und teilweise Vertragsklauseln. Wer vorbereitet ist, beantwortet sie in Tagen, wer nicht vorbereitet ist, in Wochen, und im Zweifel entscheidet das über einen Auftrag. Der zweite regelmäßige Befund betrifft die Dokumentation: Fast alle Unternehmen tun bereits mehr für ihre Sicherheit, als sie belegen können. Der erste Schritt ist deshalb oft kein technischer, sondern das Aufschreiben dessen, was ohnehin geschieht.
Gut zu wissen
Das NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Die Pflichten gelten seither unmittelbar für Unternehmen, die die Schwellen erreichen, unabhängig von einer Registrierung. Das Registrierungsportal des BSI ist seit Januar 2026 verfügbar, die reguläre Frist ist abgelaufen, die Pflicht zur Nachholung besteht fort. Zentral sind die Risikomanagementmaßnahmen nach § 30 BSIG, die Meldepflichten nach § 32 BSIG mit einer Erstmeldung innerhalb von vierundzwanzig Stunden, einer Folgemeldung nach zweiundsiebzig Stunden und einem Abschlussbericht nach einem Monat, sowie die Registrierungspflicht nach § 33 BSIG. Die Geschäftsleitung muss die Maßnahmen billigen und ihre Umsetzung überwachen, sie ist zur Schulung verpflichtet und haftet für Verstöße. Diese Verantwortung ist nicht delegierbar, die Durchführung schon.
Häufige Fragen
Wie finden wir heraus, ob wir betroffen sind?
Über drei Fragen: Fällt Ihre Tätigkeit unter einen der in den Anlagen des BSI-Gesetzes genannten Sektoren, erreichen Sie die Schwellen bei Beschäftigten oder Umsatz und Bilanzsumme, und gibt es Sonderregelungen für Ihre Branche. Die Einordnung ist eine Selbsteinschätzung des Unternehmens. Sie sollte schriftlich vorliegen, mit Datum und Begründung, und bei Wachstum oder Geschäftsänderung überprüft werden.
Reicht eine Zertifizierung nach ISO 27001 aus?
Sie deckt einen großen Teil der geforderten Maßnahmen ab und erleichtert den Nachweis erheblich, ersetzt die gesetzliche Prüfung aber nicht. Insbesondere Melde- und Registrierungspflichten sowie die Pflichten der Geschäftsleitung sind eigenständig zu erfüllen. Umgekehrt ist eine Zertifizierung keine Voraussetzung: Auch ein angemessenes Managementsystem ohne Zertifikat kann die Anforderungen erfüllen, wenn es dokumentiert und wirksam ist.
Sprechen wir über NIS2 und Cybersicherheit
Im Erstgespräch klären wir in dreißig Minuten, wo bei Ihnen der größte Hebel liegt und ob wir die Richtigen dafür sind.
Weiterführend
Zurück zum Feld Sicherheit und Resilienz