NIS-2 ist Gesetz. Ihre Haftung beginnt jetzt.
Rund 29.500 Unternehmen in Deutschland sind seit dem 6. Dezember 2025 unmittelbar verpflichtet – ohne Übergangsfrist. Die Geschäftsführung trägt nach § 38 BSIG persönliche Verantwortung. Wir bringen Sie in einen verteidigungsfähigen Zustand, bevor die erste BSI-Anfrage, der erste Vorfall oder der erste Auditor an die Tür klopft.
Geschäftsführung in der Pflicht
§ 38 BSIG verpflichtet die Leitungsebene persönlich zur Billigung und Überwachung der Risikomanagementmaßnahmen – nicht delegierbar.
Pflichten gelten seit 6. Dezember 2025
Die gesetzliche Registrierungsfrist (6. März 2026) ist abgelaufen. Das BSI hat eine letzte Nachfrist bis 31. Juli 2026 gesetzt – danach drohen Bußgelder.
Bis 10 Mio. € oder 2 % Umsatz
Für besonders wichtige Einrichtungen; wichtige Einrichtungen bis 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes.
BSI setzt letzte Frist: NIS-2-Registrierung bis 31. Juli 2026
Die gesetzliche Registrierungsfrist (6. März 2026) ist bereits abgelaufen. Das BSI gewährt eine letzte Nachfrist bis 31. Juli 2026 – danach drohen Bußgelder bis 500.000 Euro. Noch nicht registriert? Wir bringen Sie fristgerecht beim BSI an.
Die Grundlagen
NIS-2 ist kein IT-Thema mehr.
Es ist ein Vorstands-, Geschäftsführungs- und Aufsichtsratsthema. Wer Risikomanagement nicht aktiv steuert, haftet persönlich.
Die NIS-2-Richtlinie (EU) 2022/2555 und das deutsche Umsetzungsgesetz (NIS2UmsuCG) reformieren das BSI-Gesetz grundlegend. Aus rund 4.500 bislang regulierten Organisationen werden rund 29.500 – aus weichen Empfehlungen werden harte Pflichten mit Sanktionsbewehrung.
-
Reichweite
-
18 Sektoren statt zuvor rund 10. Aus dem KRITIS-Thema wird ein Wirtschaftsthema, das den Mittelstand erstmals umfassend trifft.
-
Verantwortung
-
Cyber-Sicherheit ist Chefsache – gesetzlich verankert nach § 38 BSIG, nicht nur kulturell gewünscht.
-
Sanktion
-
Bußgeldrahmen auf DSGVO-Niveau, dazu die persönliche Verantwortung der Leitungsebene.
-
Geschwindigkeit
-
24-Stunden-Frühwarnung bei erheblichen Vorfällen, 72-Stunden-Meldung, Abschlussbericht nach einem Monat.
Kernpflichten nach § 30 BSIG
Diese Maßnahmen müssen Sie nicht nur umsetzen, sondern jederzeit nachweisen können.
- Risikoanalyse & Sicherheitskonzept – Kein einmaliges Dokument, sondern ein gelebter Prozess mit Versionierung, Reviews und Freigabe durch die Geschäftsleitung.
- Bewältigung von Sicherheitsvorfällen – Mit Eskalationspfaden, klaren Rollen und gestufter Meldekette zum BSI.
- Business Continuity & Krisenmanagement – Backup-Strategie, getestete Wiederanlaufzeiten und ein Krisenstab, der auch ohne E-Mail funktioniert.
- Lieferkettensicherheit – Ihre Verantwortung endet nicht am Werkstor: Dienstleister müssen bewertet und gesteuert werden.
- Sicherheit in Beschaffung, Entwicklung & Wartung – Security by Design ist nicht mehr optional, sondern dokumentationspflichtig.
- Wirksamkeitsprüfung – Sie müssen messen können, ob Ihre Maßnahmen tatsächlich wirken – nicht nur, ob sie existieren.
- Cyberhygiene & Schulungen – Für alle Mitarbeitenden, regelmäßig und dokumentiert.
- Kryptografie & Verschlüsselung – Mit dokumentierten Schlüsselmanagement-Prozessen.
- Personalsicherheit, Zugriffskontrolle & Asset-Management – Nachweislich geregelt, nicht nur „macht die IT“.
- Multi-Faktor-Authentifizierung & gesicherte Kommunikation – Für privilegierte Zugänge nicht verhandelbar.
Geschäftsleitungspflichten nach § 38 BSIG: Billigung der Maßnahmen, Überwachung der Umsetzung und regelmäßige Pflichtschulungen für die Leitungsebene.
Betroffene Sektoren
Wenn Sie ab 50 Mitarbeitende oder über 10 Mio. € Umsatz in einem der 18 Sektoren tätig sind, lautet die Frage nicht mehr „ob“, sondern „in welcher Kategorie“.
Energie
Strom, Gas, Öl, Wärme, Wasserstoff
Verkehr
Luft, Schiene, Wasser, Straße
Bankwesen
Kreditinstitute
Finanzmarkt
Handelsplätze & Infrastrukturen
Gesundheit
Kliniken, Labore, Hersteller
Trinkwasser
Wasserversorgung
Abwasser
Sammlung & Entsorgung
Digitale Infrastruktur
IXP, DNS, Cloud, Rechenzentren
IKT-Dienste
Managed (Security) Services B2B
Öffentliche Verwaltung
Einrichtungen von Bund & Ländern
Weltraum
Betreiber von Bodeninfrastruktur
Post & Kurier
Post- und Zustelldienste
Abfall
Abfallbewirtschaftung
Chemie
Herstellung & Handel
Lebensmittel
Produktion, Verarbeitung, Vertrieb
Industrie
Verarbeitendes Gewerbe
Digitale Anbieter
Marktplätze, Suchmaschinen, soziale Netzwerke
Forschung
Forschungseinrichtungen
Ihre Einstufung entscheidet, welche Pflichten gelten.
Status im Gespräch klärenNIS-2-Status-Check
Wo stehen Sie heute – betroffen, registriert, umsetzungsfähig, prüfungssicher? Der DLAU-Status-Check macht in wenigen Minuten transparent, wo Ihre größten Lücken liegen und welches Risiko bei einer BSI-Prüfung oder einem Vorfall realistisch wäre.
Rechtlicher Hinweis (Disclaimer)
Der NIS2-Quickcheck stellt keine Rechtsberatung dar und ist nicht rechtsverbindlich. Er dient ausschließlich einer unverbindlichen Ersteinschätzung und ersetzt keine individuelle rechtliche, organisatorische oder technische Prüfung. Aus den Ergebnissen können keine Ansprüche oder Verpflichtungen abgeleitet werden. Die Verantwortung für die NIS2-Konformität liegt ausschließlich beim jeweiligen Unternehmen.
Vom Status quo zur Verteidigungsfähigkeit
Wir bringen Sie in einen verteidigungsfähigen Zustand.
Die meisten Unternehmen, mit denen wir 2026 sprechen, sind nicht in der Vorbereitung – sie sind in der Nachholphase. Genau dafür ist unser Vorgehen gebaut: priorisiert, belastbar, audit- und vorfallserprobt. Wir setzen auf Strukturen, die unter Druck halten.
Lage-Check & Gap-Analyse
Schonungslose Bestandsaufnahme: Was ist vorhanden, was fehlt, was würde im Ernstfall versagen?
- Vollständige Bestandsaufnahme
- Priorisierte Maßnahmenliste
- Risiko-Heatmap
BSI-Registrierung & Pflicht-Setup
Wir bringen Sie registriert und mit den Mindestnachweisen, die das BSI im Ernstfall sehen will.
- Registrierung über die BSI-Meldestelle
- Benennung der Kontaktstelle
- Mindestnachweise dokumentieren
ISMS-Aufbau & NIS-2-Spezifika
ISO-27001-orientierter Kern plus die NIS-2-spezifischen Ergänzungen aus dem BSIG.
- ISMS-Kern nach ISO 27001
- § 30-Maßnahmenkatalog
- § 32-Meldekette & § 38-Pflichten
Incident- & Meldepflicht-Readiness
Wer die Meldekette erst im Vorfall übt, hat verloren. Wir bauen sie, üben sie, dokumentieren sie.
- Meldekette zum BSI (24h/72h/1 Monat)
- Notfallübungen
- Prüfungssichere Dokumentation
Lieferkettensicherheit
Der unterschätzteste Hebel – und häufigster Befund in BSI-Prüfungen.
- Dienstleisterbewertung
- Vertragsklauseln
- Lieferanten-Audits
Geschäftsleitungs-Briefings & Schulungen
§ 38 BSIG verlangt nachweisbare Schulungen. Wir liefern sie auf Leitungsebene – mit Entscheidungsklarheit.
- § 38-konforme Schulungen
- Management-Briefings
- Nachweisdokumentation
Warum DLAU für Ihre NIS-2-Umsetzung?
Wir sind keine Generalisten
Unser Kern ist ISMS-Architektur nach BSI IT-Grundschutz und ISO 27001, dazu die deutsche Compliance-Lage: NIS-2, KRITIS, DORA, IT-Grundschutz.
Wir bauen, was hält
Unsere Konzepte funktionieren auch, wenn der Hauptansprechpartner kündigt oder der erste Vorfall eintritt. Personenunabhängig, dokumentenfest, audit-stabil.
Wir reden mit der Geschäftsführung
Wir übersetzen Risiko in Euro, Maßnahmen in Quartale und Compliance in Vorstandsvorlagen – damit Ihre Leitungsebene ihre § 38-Pflichten erfüllen kann.
Wir bleiben, wenn das Zertifikat hängt
Compliance ist ein Prozess, kein Projekt. Wir begleiten Sie operativ – mit wiederkehrenden Audits und Anpassung an neue BSI-Rechtsverordnungen.
Der Weg zur Verteidigungsfähigkeit
In drei Phasen zur Verteidigungsfähigkeit
Niemand wird in zwölf Wochen vollständig NIS-2-konform. Aber in zwölf Wochen lässt sich aus akutem Haftungsrisiko ein geordneter, dokumentierter und verteidigungsfähiger Zustand erreichen.
Lagebild
Bestandsaufnahme, Gap-Analyse, BSI-Registrierungsstatus und Priorisierung der Maßnahmen. Am Ende wissen Sie genau, wo Sie stehen, was eine Prüfung heute bedeuten würde und welche fünf Maßnahmen den größten Risikohebel haben.
Stabilisierung
Aufbau der nicht verhandelbaren Mindeststrukturen: ISMS-Kern, Meldekette, Notfallmanagement, Lieferkettensteuerung und Geschäftsleitungs-Setup. Ziel: prüfungssicher und vorfallsfähig.
Reife & Nachweis
Wirksamkeitsprüfungen, interne Audits, Zertifizierungsbegleitung (ISO 27001 / BSI IT-Grundschutz) sowie kontinuierliche Anpassung an neue BSI-Rechtsverordnungen und sektorale Mindestanforderungen.
Häufige Fragen
NIS 2 kurz erklärt
Was ist die NIS 2 Richtlinie?
Die NIS 2 Richtlinie (EU) 2022/2555 ist eine EU-weite Cybersicherheitsrichtlinie, die den Schutz kritischer Infrastrukturen und wichtiger Einrichtungen stärkt. In Deutschland wird sie durch das NIS-2-Umsetzungsgesetz (NIS2UmsuCG) umgesetzt, das das BSI-Gesetz reformiert.
Wer ist von NIS 2 betroffen?
NIS 2 betrifft Unternehmen und Organisationen in 18 Sektoren – darunter Energie, Verkehr, Gesundheit, digitale Infrastruktur, Finanzwesen und öffentliche Verwaltung. Betroffen sind in der Regel Einrichtungen ab 50 Mitarbeitenden oder über 10 Mio. € Umsatz; sie werden als besonders wichtige oder wichtige Einrichtungen eingestuft.
Welche Strafen drohen bei Nicht-Einhaltung?
Für besonders wichtige Einrichtungen drohen Bußgelder bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis 7 Mio. € oder 1,4 %. Hinzu kommt die persönliche Verantwortung der Geschäftsleitung nach § 38 BSIG.
Wo stehen Sie heute – und was kostet Sie ein Vorfall morgen?
Ein 30-minütiges Statusgespräch genügt meist, um die größten Risiken zu identifizieren und einen Weg aus dem akuten Haftungsbereich zu skizzieren. Vertraulich, unverbindlich, auf Geschäftsführungsniveau.
Weiterführend: Standards & Compliance · Grundschutz++ · Unsere Leistungen