NIS2-Beratung: IT-Sicherheit ist Chefsache
Seit Dezember 2025 gilt das NIS2-Umsetzungsgesetz. Es verlangt mehr IT-Sicherheit, klare Meldewege und eine aktive Rolle der Geschäftsführung. Wir prüfen, ob Ihr Unternehmen betroffen ist, und setzen die nötigen Maßnahmen Schritt für Schritt um.
Was ist NIS2?
NIS2 ist eine EU-weite Vorgabe zum Schutz vor Cyberangriffen. Sie verpflichtet Unternehmen zu höheren IT-Sicherheitsstandards, strengeren Meldepflichten und einer klaren Verantwortung der Geschäftsführung.
In Deutschland wurde sie mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) umgesetzt, das seit dem 6. Dezember 2025 in Kraft ist. Die Pflichten stehen im neu gefassten BSI-Gesetz (BSIG).
- In Kraft seit
- 6. Dezember 2025
- Betroffen
- rund 29.500 Unternehmen in Deutschland
- Verantwortlich
- die Geschäftsleitung (§ 38 BSIG)
- Aufsicht
- Bundesamt für Sicherheit in der Informationstechnik (BSI)
Wen betrifft NIS2 konkret?
Betroffen sind „besonders wichtige“ und „wichtige“ Einrichtungen. Auch Zulieferer und Dienstleister sind oft indirekt betroffen – Stichwort Sicherheit der Lieferkette.
Was NIS2 von Unternehmen verlangt
NIS2 fordert ein angemessenes IT-Sicherheitsniveau nach dem Stand der Technik. Dazu gehören unter anderem:
Risikoanalysen
Regelmäßig prüfen, welche Systeme und Abläufe gefährdet sind und wie kritisch ein Ausfall wäre.
Notfall- und Wiederherstellungspläne
Festlegen, wie Vorfälle behandelt werden und wie der Betrieb schnell wieder anläuft – inklusive Backup-Management.
Sichere Lieferkette
IT-Dienstleister und Zulieferer auf ihre Sicherheit prüfen und Anforderungen vertraglich festhalten.
Technische Maßnahmen
Mehrfaktor-Anmeldung, Zugriffskontrollen und Verschlüsselung nach dem Stand der Technik.
Schulungen
Regelmäßige Schulungen für Mitarbeitende – und verpflichtend für die Geschäftsleitung.
Dokumentation
Maßnahmen, Entscheidungen und Vorfälle nachvollziehbar dokumentieren.
Wenn es passiert: klare Fristen
Erhebliche Sicherheitsvorfälle müssen in drei Stufen an das BSI gemeldet werden. Meldepflichtig ist ein Vorfall unter anderem, wenn Dienste erheblich gestört sind oder finanzielle Schäden drohen.
- 24 StundenFrühwarnung
- 72 StundenMeldung mit erster Bewertung
- 1 MonatAbschlussbericht
Wer im Ernstfall erst klären muss, wer was meldet, verliert wertvolle Zeit. Deshalb gehört der Meldeweg in jeden Notfallplan.
IT-Sicherheit ist Chefsache
- Die Geschäftsleitung billigt die Sicherheitsmaßnahmen und überwacht ihre Umsetzung.
- Sie muss regelmäßig an Cybersicherheits-Schulungen teilnehmen.
- Bei Pflichtverletzungen droht eine persönliche Haftung.
Rechtsgrundlage: § 38 BSIG
Was bei Verstößen droht
- Besonders wichtige Einrichtungen: Bußgelder bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes
- Wichtige Einrichtungen: bis 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes
- Dazu kommen Reputationsschäden und das Risiko, als Zulieferer großer Unternehmen nicht mehr infrage zu kommen.
Rechtsgrundlage: § 65 BSIG – maßgeblich ist jeweils der höhere Betrag.
Die Lage in Deutschland
Quellen: 1 Plusserver-Studie, Juli 2026 · 2 PwC Digital Trust Insights 2027 · 3 Bitkom/IDC, Oktober 2024
Komplexität ist zum Risiko geworden
Viele IT-Landschaften sind über Jahre gewachsen – nach der Logik „Skalierung durch Erweiterung“. Resilienz war dabei selten das leitende Prinzip.
Mehr Systeme, mehr Schnittstellen und mehr Zuständigkeiten vergrößern die Angriffsfläche und verlängern Ausfallzeiten. NIS2 ist der richtige Moment, IT als System zu planen: mit weniger Komplexität und einer Wiederherstellung, die sich präzise steuern lässt. Wie terraXaler dabei hilft →
So werden Sie NIS2-konform
- SCHRITT 1
Betroffenheitsanalyse
Der NIS2-Check klärt, ob und wie Ihr Unternehmen betroffen ist.
- SCHRITT 2
Risikobewertung
Risikoanalyse und Business-Impact-Analyse: Was ist kritisch, wie lange darf es ausfallen?
- SCHRITT 3
Umsetzung
Technische und organisatorische Maßnahmen – priorisiert nach Risiko.
- SCHRITT 4
Schulung & Verbesserung
Schulungen für Team und Geschäftsleitung, regelmäßige Überprüfung und Dokumentation.
So unterstützen wir Sie
Fragen sind da – und Antworten haben wir: technisch, organisatorisch und verständlich.
NIS2-Check
Betroffenheitsanalyse: Fällt Ihr Unternehmen unter NIS2 – und wenn ja, als wichtige oder besonders wichtige Einrichtung?
Mehr erfahren →Remote Monitoring & Management
Automatische Überwachung rund um die Uhr, Patch-Management, vollständige IT-Inventarisierung und schnelle Reaktion auf Vorfälle.
Mehr erfahren →terraXaler
Weniger Systeme, weniger Schnittstellen, schnelle Wiederherstellung – Hochverfügbarkeit made in Germany.
Mehr erfahren →Backup & Disaster Recovery
Geprüfte Sicherungen mit Acronis und dokumentierte Wiederherstellungstests.
Mehr erfahren →Schulungen
Awareness-Training für Mitarbeitende und kompakte Schulungen für die Geschäftsleitung.
Mehr erfahren →Notfallplan & Business Continuity
Notfall- und Wiederanlaufpläne, die im Ernstfall wirklich helfen.
Mehr erfahren →Häufige Fragen zu NIS2
Ist unser Unternehmen von NIS2 betroffen?
Das hängt vom Sektor und von der Größe ab. Als wichtige Einrichtung gelten in den betroffenen Sektoren in der Regel Unternehmen ab 50 Beschäftigten oder mit mehr als 10 Mio. € Jahresumsatz und Bilanzsumme; als besonders wichtige Einrichtung Unternehmen ab 250 Beschäftigten oder mit mehr als 50 Mio. € Umsatz und 43 Mio. € Bilanzsumme. Im NIS2-Check gehen wir die Kriterien gemeinsam durch.
Müssen wir uns beim BSI registrieren?
Ja, betroffene Einrichtungen müssen sich selbst beim BSI registrieren. Wir unterstützen Sie dabei, die nötigen Angaben zusammenzustellen.
Wir fallen nicht unter NIS2 – betrifft uns das trotzdem?
Häufig ja: Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette prüfen und stellen Anforderungen an ihre Zulieferer und IT-Dienstleister. Ein nachweisbarer Sicherheitsstand ist deshalb auch für viele kleinere Betriebe ein Wettbewerbsvorteil.
Muss die Geschäftsführung selbst etwas tun?
Ja. Die Geschäftsleitung muss die Risikomanagement-Maßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen (§ 38 BSIG). Bei Pflichtverletzungen kann sie persönlich haften.
Ersetzt Ihre Beratung eine Rechtsberatung?
Nein. Wir kümmern uns um die technische und organisatorische Umsetzung. Für die verbindliche rechtliche Einordnung empfehlen wir eine Rechtsberatung.
Stand: November 2026. Die Informationen ersetzen keine Rechtsberatung.
Sprechen wir über Ihre IT.
Wir hören zu, sehen uns Ihre Abläufe an und machen Ihnen ein Angebot, das zu Ihrem Betrieb passt. Erreichbar Mo–Do 08:00–12:00 und 13:00–17:00 Uhr, Fr 08:00–14:00 Uhr.