NIS2-Betroffenheitsprüfung und Umsetzungsbegleitung

Von der Betroffenheit zur NIS2-Umsetzung

Klarheit. Registrierung. Umsetzung

Das NIS2-Umsetzungsgesetz gilt seit Dezember 2025. Rund 29.500 Unternehmen in 18 Sektoren sind betroffen und viele wissen es noch nicht. Wir prüfen Ihre Betroffenheit im persönlichen Gespräch und begleiten Sie durch alle Schritte.

Was ist NIS2 und wen betrifft es?

NIS2 steht für die EU-Richtlinie zur Netzwerk- und Informationssicherheit in der zweiten Version. In Deutschland gilt sie seit dem 6. Dezember 2025 als NIS2-Umsetzungsgesetz (NIS2UmsuCG). Sie verpflichtet rund 29.500 Unternehmen in 18 Sektoren zu konkreten Maßnahmen in der Informationssicherheit.

Betroffen sind Unternehmen ab 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz in bestimmten Sektoren. Dazu gehören unter anderem Energie, Wasser, Gesundheit, Transport, Ernährung, digitale Infrastruktur, Maschinenbau, Chemie und Logistik. Wer als „wesentliche“ oder „wichtige“ Einrichtung gilt, hängt von Sektor, Größe und Bedeutung ab.

NIS2 und KRITIS ergänzen sich, sind aber unterschiedliche Regelwerke. KRITIS betrifft die physische Resilienz kritischer Anlagen. NIS2 betrifft die Informationssicherheit und Cybersicherheit von Unternehmen in bestimmten Sektoren. Viele Unternehmen müssen beide erfüllen.

Wichtige Fristen des NIS2 Umsetzungsgesetzes

BSI-Registrierung: war fällig bis 6. März 2026 und wurde bis Ende Juli 2026 verlängert
Risikomanagementmaßnahmen (§30 BSIG): ab Inkrafttreten umzusetzen
Verstoß gegen Pflichten zur Umsetzung: persönliche Haftung der Geschäftsleitung für die Erfüllung der Pflichten (§38 BSIG)
Bußgelder: bis 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes

Sind Sie unsicher, ob Sie von NIS2 betroffen sind oder nicht?

Frau tippt auf Sicherheitsschloss symbolisiert KRITIS Sicherheit

Viele Unternehmen stehen bei NIS2 vor derselben Frage: Sind wir überhaupt betroffen oder nicht? Auf den ersten Blick scheint die Antwort einfach zu sein. Unternehmensgröße, Branche, Umsatz, Anzahl der Mitarbeitenden und Tätigkeit werden geprüft, anschließend ergibt sich eine Einordnung. In der Praxis ist es aber häufig komplexer.

Das BSI-Online-Tool kann ein hilfreicher erster Anhaltspunkt sein. Es unterstützt dabei, sich grundsätzlich mit den Kriterien auseinanderzusetzen und eine erste Orientierung zu gewinnen. Für viele Unternehmen reicht diese Selbsteinschätzung jedoch nicht aus, um wirklich belastbar entscheiden zu können. Gerade bei Mischunternehmen, Unternehmensgruppen, mehreren Tätigkeitsbereichen, indirekten Lieferbeziehungen oder unklaren Sektorzuordnungen bleiben nach der Nutzung des Tools oft Fragen offen.

Hinzu kommt: Eine NIS2-Betroffenheit ist nicht nur eine formale Frage. Sie hat unmittelbare Auswirkungen auf Organisation, Geschäftsleitung, Risikomanagement, Meldewege, Dokumentation und gegebenenfalls die Zusammenarbeit mit IT-Dienstleistern. Wer sich vorschnell als „nicht betroffen“ einordnet, übersieht möglicherweise notwendige nächste Schritte. Wer sich vorschnell als „betroffen“ einordnet, erzeugt unter Umständen unnötigen Aufwand. Beides ist für Geschäftsführung und Organisation nicht ideal.

Deshalb prüfen wir Ihre mögliche Betroffenheit nicht nur anhand einzelner Kriterien, sondern im persönlichen Gespräch. Wir betrachten gemeinsam, in welchem Sektor Ihr Unternehmen tätig ist, welche Leistungen Sie erbringen, welche Größenmerkmale relevant sind und ob direkte oder indirekte Anforderungen aus Kundenbeziehungen eine Rolle spielen. Am Ende steht eine nachvollziehbare Einschätzung, mit der Sie intern weiterarbeiten können.

Wir blicken auf Ihre organisatorischen Anforderungen: Zuständigkeiten, Prozesse, Dokumentation, Meldewege, Schnittstellen und Managementverantwortung. IT- und Cybersicherheitsthemen binden wir gemeinsam mit einem erfahrenen IT-Dienstleister ein. So erhalten Sie keine pauschale Tool-Auswertung, sondern eine pragmatische Einordnung mit klaren nächsten Schritten.

Wir schätzen Ihren Status ein. Nehmen Sie gerne Kontakt auf.

Für wen ist die NIS2-Betroffenheitsprüfung sinnvoll?

Unsere NIS2-Betroffenheitsprüfung richtet sich an Unternehmen, die noch nicht wissen, ob und in welchem Umfang sie von NIS2 betroffen sind. Und an Unternehmen, die bereits registriert sind, aber bei der Umsetzung Unterstützung benötigen.

Unternehmen ab 50 Mitarbeitenden oder 10 Millionen Euro Umsatz bzw. 10 Millionen Euro Jahresbilanzsumme in NIS2-relevanten Sektoren. Das betrifft wichtige Einrichtungen
Unternehmen ab 250 Mitarbeitenden oder 50 Millionen Euro Umsatz bzw. 43 Millionen Euro Jahresbilanzsumme in NIS2-relevanten Sektoren. Das betrifft besonders wichtige Einrichtungen
KRITIS-Betreiber, die Unterstützung bei der Umsetzung der Maßnahmen benötigen
KRITIS-Zulieferer, die direkt unter NIS2 fallen könnten
Unternehmen, die das BSI-Online-Tool genutzt haben, aber kein klares Ergebnis erhalten haben
Unternehmen, die die Registrierungspflicht versäumt haben und jetzt handeln müssen

Unsere NIS2-Leistungen und Vorgehen im Überblick

Wir begleiten Sie von der ersten Orientierung bis zur nachweisbaren Umsetzung. Dabei übernehmen wir alle Schritte, die im organisatorischen und betrieblichen Bereich liegen. Für tiefgreifende IT-technische Themen arbeiten wir mit einem spezialisierten IT-Sicherheitspartner zusammen, damit Sie alle zehn Maßnahmen nach §30 BSIG aus einer koordinierten Beratung heraus umsetzen können.

Erstgespräch
Wir klären Ihre Ausgangssituation und ob eine NIS2-Betroffenheitsprüfung sinnvoll ist.
NIS2-Betroffenheitsprüfung
Wir klären gemeinsam mit Ihnen, ob Ihr Unternehmen von NIS2 betroffen ist und wenn ja, als welche Einrichtungsart („wesentlich“ oder „wichtig“) Sie sind. Wir dokumentieren das Ergebnis und begründen dies nachvollziehbar. Es handelt sich nicht um ein Online-Tool, sondern um ein validiertes Gespräch.
BSI-Registrierung
Wir begleiten Sie bei der Registrierung über das MUK-Portal des BSI. Die Frist vom 6. März 2026 ist abgelaufen, eine Nachregistrierung ist jedoch weiterhin möglich und dringend empfohlen, um Bußgeldrisiken vorzubeugen.
Briefing der Geschäftsleitung nach §38 BSIG
Die Geschäftsleitung haftet persönlich für die Erfüllung der NIS2-Pflichten. Wir informieren Ihre Geschäftsführung strukturiert über Pflichten, Haftungsrisiken und notwendige Entscheidungen. Das Briefing ist dokumentiert und gibt der Geschäftsführung eine belastbare Grundlage.
Ist-Analyse zur Informationssicherheit
Wir erheben gemeinsam mit Ihnen den aktuellen Stand Ihrer Informationssicherheit. Welche Maßnahmen nach §30 BSIG sind bereits umgesetzt? Wo bestehen Lücken? Das Ergebnis ist eine priorisierte Gap-Analyse als Grundlage für die Umsetzungsplanung.
Risikoanalyse nach §30 BSIG
NIS2 fordert ein strukturiertes Risikomanagement. Wir entwickeln gemeinsam mit Ihnen eine Risikoanalyse, die den gesetzlichen Anforderungen entspricht und als Nachweis gegenüber dem BSI verwendet werden kann.
Umsetzung der Maßnahmen nach §30 BISG
Wir unterstützen Sie bei der Umsetzung aller zehn Sicherheitsmaßnahmen, die §30 BSIG fordert.

Vereinbaren Sie jetzt Ihr Erstgespräch.

Häufige Fragen – NIS2

Was ist der Unterschied zwischen NIS2 und KRITIS?

KRITIS betrifft die physische Resilienz kritischer Infrastrukturen. NIS2 betrifft die Informationssicherheit und Cybersicherheit in 18 Sektoren. Beide Regelwerke ergänzen. securo consulting berät sowohl im physischen KRITIS-Bereich als auch bei der NIS2-Betroffenheitsprüfung und Umsetzungsbegleitung.

Die BSI-Registrierungsfrist ist abgelaufen – was jetzt?

Die Frist für die Erstregistrierung beim BSI war der 6. März 2026. Wer sich nicht fristgerecht registriert hat, befindet sich in einer Compliance-Verletzung. Eine Nachregistrierung ist jedoch weiterhin möglich und dringend empfohlen. Wir begleiten Sie dabei und helfen Ihnen, die Vorgaben umzusetzen.

Haftet die Geschäftsführung persönlich?

Ja. §38 BSIG sieht eine persönliche Haftung der Geschäftsleitung für die Erfüllung der NIS2-Pflichten vor. Geschäftsführer und Vorstände müssen NIS2-Maßnahmen billigen, überwachen und können bei Verstößen persönlich haftbar gemacht werden. Unser GF-Briefing informiert Ihre Geschäftsführung strukturiert über diese Anforderungen.

Was kostet eine NIS2-Betroffenheitsprüfung?

Das Erstgespräch ist kostenlos. Den genauen Umfang und Preis einer vollständigen Betroffenheitsprüfung und weiterer Leistungen klären wir im Gespräch, abhängig von Ihrer Unternehmensgröße und Ausgangssituation.

Können wir NIS2 und KRITIS gleichzeitig angehen?

Ja. Wenn Ihr Unternehmen sowohl KRITIS-Betreiber als auch NIS2-pflichtig oder Zulieferer in beiden Bereichen ist, lassen sich viele Schritte kombinieren. Wir koordinieren beide Regelwerke und vermeiden Doppelarbeit. So sparen Sie Zeit und Aufwand.

Was sind die 10 Maßnahmen nach §30 BSIG?

Die zehn Sicherheitsmaßnahmen umfassen unter anderem: Risikoanalyse und Informationssicherheitsrichtlinien, Business Continuity und Krisenmanagement, Lieferkettensicherheit, Schwachstellenmanagement, Schulungen und Awareness, Kryptographie, Zugangskontrollen sowie Multi-Faktor-Authentifizierung.

NIS2-Betroffenheitsprüfung