Sicherheit ist kein Bürokratieakt – sie ist Ihr stärkstes Argument.

NIS2 ist eine EU-weite Richtlinie zur Stärkung der Cybersicherheit. In Deutschland betrifft sie schätzungsweise 30.000 Unternehmen. Betroffen sind fast alle Betriebe in kritischen Sektoren (Energie, Gesundheit, Transport) sowie „wichtige“ Sektoren (Abfall, Chemie, Lebensmittel, Maschinenbau) ab einer Größe von 50 Mitarbeitern oder 10 Mio. € Jahresumsatz.

Das deutsche Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Die Frist zur verpflichtenden Registrierung beim BSI endete für die meisten Betriebe am 6. März 2026. Wenn Sie sich noch nicht registriert haben, besteht akuter Handlungsbedarf, um Bußgelder zu vermeiden.

Ja, indirekt. NIS2 verpflichtet betroffene Unternehmen dazu, die Sicherheit ihrer Lieferketten zu prüfen. Das bedeutet: Große Kunden werden künftig von ihren Zulieferern (unabhängig von deren Größe) den Nachweis über IT-Sicherheitsstandards fordern. Ohne NIS2-Konformität riskieren Sie, als Lieferant ausgelistet zu werden.

Unternehmen müssen technische und organisatorische Maßnahmen (TOM) nach dem „Stand der Technik“ umsetzen. Dazu gehören: Risikoanalyse und Sicherheitskonzepte für Informationssysteme, Bewältigung von Sicherheitsvorfällen (Business Continuity Management), Sicherheit der Lieferkette, Kryptografie und Verschlüsselung sowie Multi-Faktor-Authentifizierung (MFA).

Extrem streng. Bei erheblichen Sicherheitsvorfällen gilt eine Dreistufen-Meldung: Innerhalb von 24 Stunden eine erste „Frühwarnung“ an das BSI, innerhalb von 72 Stunden eine ausführliche Meldung mit Bewertung des Vorfalls und nach einem Monat ein abschließender Bericht.

Ja. Eine der wichtigsten Neuerungen ist die persönliche Haftung der Geschäftsleitung (§ 38 BSIG). Geschäftsführer können ihre Verantwortung nicht delegieren. Sie sind verpflichtet, die Maßnahmen zu billigen und zu überwachen. Bei grober Fahrlässigkeit drohen Schadenersatzforderungen und Bußgelder, die nicht durch das Unternehmen übernommen werden dürfen.

Eine ISO 27001 ist das perfekte Fundament und deckt ca. 80–90 % der Anforderungen ab. Allerdings gehen die NIS2-Pflichten in Bereichen wie den spezifischen Meldefristen und der Lieferkettensicherheit teils über den Standard hinaus. Wir helfen Ihnen, diese Lücke (Gap-Analyse) effizient zu schließen.

Die Sanktionen orientieren sich an der DSGVO und sind drakonisch: Wesentliche Einrichtungen: Bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes. Wichtige Einrichtungen: Bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes.

Ja, das Gesetz schreibt regelmäßige Schulungen für die Leitungsebene vor, damit diese die Cyberrisiken und deren Auswirkungen auf den Geschäftsbetrieb fachlich bewerten kann. Das Ignorieren dieser Schulungspflicht gilt im Ernstfall als Haftungsrisiko.