Sie haben Fragen?
Das NIS2-Umsetzungsgesetz ist geltendes Recht. Wir klären in wenigen Tagen, ob und wie Ihre Organisation betroffen ist, wo Sie gegenüber den zehn Maßnahmenbereichen nach §30 BSIG stehen und welche Schritte in welcher Reihenfolge wirklich anstehen.
Kein Papier-Audit: Sie erhalten einen priorisierten Umsetzungsfahrplan mit Budgetindikation, den Ihre Organisation sofort abarbeiten kann. Teil unseres Cyber-Security-Portfolios.
Mit dem NIS2-Umsetzungsgesetz unterscheidet das BSI-Gesetz zwischen besonders wichtigen und wichtigen Einrichtungen. Als Faustregel gilt: ab 250 Beschäftigten oder 50 Mio. € Umsatz in elf Sektoren beziehungsweise ab 50 Beschäftigten oder 10 Mio. € Umsatz in sieben weiteren Sektoren, dazu Sonderfälle unabhängig von der Größe, etwa Teile der öffentlichen Verwaltung. Betroffene müssen sich beim BSI registrieren, ein Risikomanagement über zehn Maßnahmenbereiche nachweisen und Sicherheitsvorfälle in gestuften Fristen melden: 24 Stunden, 72 Stunden, ein Monat.
Die Geschäftsleitung haftet für die Umsetzung persönlich, diese Verantwortung ist nicht delegierbar. Die Bußgelder reichen bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes. Aus unseren Projekten wissen wir: Die größte Hürde ist selten der Wille, sondern die Frage, wo man bei begrenztem Budget und Personal anfängt.
Tipp: Eine erste Orientierung zur Betroffenheit liefert die kostenlose NIS-2-Betroffenheitsprüfung des BSI. Wir setzen darauf auf und übernehmen die belastbare Einstufung inklusive Dokumentation für Ihre Leitung.
§30 BSIG verlangt Risikomanagement in diesen Feldern. Im Gap-Workshop bekommt jeder Bereich einen belegten Reifegrad und konkrete Lücken.
Kompakt statt monatelanger Analyse: Vergleichbare Gap-Analysen am Markt starten bei wenigen Personentagen, und genau so schlank halten wir es auch.
Wir prüfen entlang des BSI-Entscheidungsbaums und Ihrer Unternehmensstruktur, ob Ihre Organisation als besonders wichtige oder wichtige Einrichtung gilt, welche Standorte und Tochtergesellschaften erfasst sind und was das für Registrierung und Nachweispflichten bedeutet.
Gemeinsam mit IT, Fachbereichen und Leitung bewerten wir Ihren Ist-Stand gegen die zehn Maßnahmenbereiche nach §30 BSIG: von Risikomanagement und Backup über Lieferkettensicherheit bis MFA und Kryptografie. Ehrlich, belegbar, ohne Schönfärberei.
Sie erhalten einen Maßnahmenplan, der Quick Wins von Projekten trennt, Abhängigkeiten auflöst und eine Budgetindikation je Maßnahme enthält. Damit kann Ihre Leitung entscheiden und Ihre Organisation sofort loslegen.
Auf Wunsch begleiten wir die Umsetzung: Meldeprozesse für die 24h/72h-Fristen aufsetzen und üben, Richtlinien nachziehen und für Maßnahmen, die Sie einkaufen müssen, liefern wir die kuratierte Anbieter-Vorauswahl gleich mit: die passenden Kandidaten statt 100+ Anbieter vergleichen.
Teile der öffentlichen Verwaltung fallen größenunabhängig unter NIS2, Länder regeln ergänzend nach. Wir klären die Einstufung, übersetzen die Pflichten in Verwaltungsstrukturen und liefern für notwendige Beschaffungen die vergabekonformen Unterlagen gleich mit.
Krankenhäuser, Energie- und Wasserversorger tragen die strengsten Pflichten und die höchsten Bußgeldrahmen. Wir verbinden das Gap Assessment mit Ihren bestehenden KRITIS-Nachweisen, damit keine Doppelarbeit entsteht.
Viele wichtige Einrichtungen ab 50 Beschäftigten wissen noch nicht, dass sie betroffen sind, und Zulieferer bekommen NIS2 über die Lieferkette ihrer Kunden ins Haus. Das kompakte Assessment schafft in wenigen Tagen Klarheit, bevor Kunden oder Aufsicht fragen.
Wir bewerten nicht nur, wir haben die Gegenseite erlebt: aus der Begleitung realer Ransomware-Großlagen wissen wir, welche der zehn Maßnahmenbereiche im Ernstfall wirklich tragen. Und weil viele NIS2-Maßnahmen auf Beschaffungen hinauslaufen, denken wir Vergabe von Anfang an mit: vom Anforderungskatalog bis zur kuratierten Anbieter-Vorauswahl. Diese Kombination aus Vorfalls-Praxis und Vergabe-Expertise finden Sie bei klassischen Auditoren nicht.
Vom Kick-off bis zum beschlossenen Fahrplan vergehen bei uns Wochen, nicht Quartale. So läuft es typischerweise ab:
Viele NIS2-Maßnahmen laufen auf Einkauf hinaus: SOC- oder MDR-Dienste, Backup-Härtung, Awareness, IR-Retainer. Genau dafür kennen wir die Anbieterlandschaft je Maßnahme und fragen gezielt die passenden für Sie an.
Aus fachlich geleiteten Ausschreibungen, hunderten Anbietergesprächen und eigenen Marktstudien wissen wir, wer in welchem Feld wirklich liefert. Dieses Wissen halten wir aktuell, mit jedem Projekt und jedem Anbietergespräch.
Für jeden Maßnahmenbereich kennen wir die passenden Anbieter: statt 100+ Anbieter zu vergleichen, starten Sie mit den Top-Kandidaten, die zu Größe, Branche und Budget passen, vom MDR-Dienst bis zum Awareness-Programm.
Wir sind an keinen festen Partner gebunden und fragen bei Bedarf jeden Anbieter am Markt an: gemeinsam mit Ihnen, nicht als Vermittler dazwischen. Wir sitzen zusammen in den Anbietergesprächen, Sie entscheiden, und jede Empfehlung ist in einer nachvollziehbaren Wertungsmatrix begründet, die auch Gremien, Rechnungsprüfung und Vergabekammern überzeugt.
Im kostenlosen Erstgespräch klären wir Betroffenheit und Umfang: danach entscheiden Sie, ob das Gap Assessment für Sie passt.
Sie haben Fragen?
Quellen