NIS-2 pragmatisch umsetzen
Erfahre alles zu den Anforderungen, Maßnahmen und Pflichten für NIS-2 relevante Unternehmen. Wir beraten, analysieren bestehende Sicherheitsstrukturen, identifizieren Lücken und leiten konkrete Maßnahmen ab.
Was ist NIS-2 kurz erklärt?
Die NIS-2-Richtlinie (Network and Information Security Directive 2) ist seit dem 6. Dezember 2025 in Deutschland in Kraft getreten und bringt einen grundlegenden Wandel in der europäischen Cybersicherheitsregulierung. Ziel ist die Verbesserung des Cyber-Schutzniveaus in Europa und Bekämpfung der steigenden Bedrohungslage. Als neue IT-Sicherheitsrichtlinie betrifft sie knapp 29.000 Unternehmen in Deutschland und nimmt einen großen Teil des Mittelstands verbindlich in die Verantwortung: Cybersicherheit ist nicht länger nur ein IT-Thema, sondern eine unternehmerische Pflicht mit direkter Haftung für die Geschäftsleitung. Sie verpflichtet Unternehmen und Organisationen in kritischen Sektoren zu strengeren Sicherheitsmaßnahmen, Meldepflichten bei Sicherheitsvorfällen und nimmt die Geschäftsführung stärker in die Haftung.
Welche Anforderungen stellt die NIS-2 Richtlinie an Unternehmen?
NIS-2 schreibt kein einzelnes Tool vor, sondern einen systematischen, risikobasierten Ansatz zur IT- und Informationssicherheit. Unternehmen müssen unter anderem:
- Risiken für ihre IT-Systeme regelmäßig bewerten
- angemessene technische und organisatorische Sicherheitsmaßnahmen umsetzen
- Sicherheitsvorfälle erkennen, bewerten und fristgerecht melden
- Maßnahmen, Prozesse und Entscheidungen nachvollziehbar dokumentieren
Ziel ist eine nachweisbare, gelebte Sicherheitsorganisation – nicht ein rein formales Regelwerk.
Wer muss NIS-2 umsetzen?
Betroffenheit prüfen: Sektoren wie Industrie, Energie, Transport, Gesundheit, Banken, IT-Dienstleister, Ernährung und viele mehr. Maßgeblich sind Unternehmensgröße, Branche und Rolle in der Lieferkette. (Schwellenwerte: meist ab 50 Mitarbeitern oder 10 Mio. € Umsatz). Wichtig: Auch Unternehmen, die sich bislang nicht als „kritisch“ eingestuft haben, können betroffen sein.
Unternehmen müssen selbständig prüfen, ob die NIS2-Richtlinie für sie relevant ist und für sie die diese neuen gesetzlichen Pflichten in der IT-Sicherheit gelten. Wir unterstützen Unternehmen, die unsicher sind, ob sie von NIS-2 betroffen sind.
Registrierungspflicht für NIS-2 Unternehmen
Wann tritt NIS-2 in Deutschland in Kraft und was ist zu tun? Das Gesetz ist am 06. Dezember 2025 in Kraft getreten. Unternehmen, die von NIS-2 betroffen sind, mussten sich bis zum 06.03.2026 im BSI-Portal registrieren.
Betroffene Unternehmen, die die Anmeldung verpasst haben, müssen diese umgehend nachholen, um mögliche Bußgelder zu vermeiden. Der Prozess erfolgt in zwei Schritten:
ELSTER-Organisationszertifikat beantragen und die Registrierung im neuen BSI-Portal. Wir geben eine ausführliche Registrierungsanleitung zur Vorgehensweise.
Wichtiger Hinweis: Plane etwa zwei Wochen für den Postweg ein. Der postalische Aktivierungsbrief ist neben der E-Mail zwingend notwendig, um das Zertifikat freizuschalten.
Meldepflichtige Vorfälle und Fristen
Das BSI-Portal dient als Meldestelle für schwerwiegende Sicherheitsvorfälle. Nach Kenntniserlangung gelten 24 Stunden für die frühe Erstmeldung, 72 Stunden für eine Meldung und 30 Tage für eine Abschlussmeldung/Folgemeldung. Die Meldung beinhaltet eine Bewertung des Vorfalls inkl. Schweregrad, Auswirkungen, Kompromittierungsindikatoren sowie Kontaktinformationen. Bei Verstößen gegen die NIS-2-Pflichten drohen Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes und eine mögliche Haftung der Geschäftsführung.
NIS-2 Anforderungen an das Risikomanagement
Einführung und vollständige Dokumentation angemessener Sicherheits- und Risikomanagementmaßnahmen:
Unternehmen sind nach NIS-2 verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen zu ergreifen und zu dokumentieren. Die Bemessung der Verhältnismäßigkeit richtet sich nach dem Ausmaß der Risikoexposition, Größe der Einrichtung, Kosten, Eintrittswahrscheinlichkeit, Schwere und Folgen von Sicherheitsvorfällen. Die Maßnahmen sollen Störungen der Verfügbarkeit, Integrität und Vertraulichkeit vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst geringhalten. Das Risikomanagement muss alle informationstechnischen Systeme, Komponenten und Prozesse, die Unternehmen für die Erbringung ihrer Dienste nutzen, adressieren. Maßnahmen sollen den Stand der Technik einhalten, einschlägige europäischen und internationale Normen berücksichtigen und müssen auf einem gefahrenübergreifenden Ansatz beruhen. Die Risikomanagementmaßnahmen umfassen mindestens folgende zehn Maßnahmen (vgl. § 30 Absatz 2 BSIG):
Risikoanalyse
Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik
Incident Response
Strukturierte Prozesse und technische Maßnahmen zur Erkennung, Eindämmung und Bewältigung von Sicherheitsvorfällen
Business Continuity Management
Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall sowie Krisenmanagement
Sicherheit der Lieferkette
Einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern
IT-Sicherheitsmaßnahmen
bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen und Prozessen, inkl. Management und Offenlegung von Schwachstellen
Risikomanagement Maßnahmen bewerten
Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik
Schulungen und Awareness
Grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik
Kryptographie
Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren
Asset Management
Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen
Authentifizierung & gesicherte Kommunikation
Multi-Faktor-Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation, ggf. gesicherte Notfallkommunikationssysteme
NIS-2 ist ein Thema der Geschäftsführung
Ein zentraler Punkt von NIS-2: Die Verantwortung liegt ausdrücklich bei der Unternehmensleitung. Personen mit Leitungsbefugnis müssen Sicherheitsmaßnahmen genehmigen, deren Umsetzung überwachen und sich regelmäßig schulen lassen. Cybersicherheit kann damit nicht mehr vollständig delegiert werden – sie wird zur Führungsaufgabe.
Welche Schulungspflichten gibt es gemäß der NIS-2 Richtlinie?
Mit unserer NIS-2 Geschäftsleitungsschulung befähigen wir Geschäftsleitungen, Cyberrisiken als strategische Geschäftsrisiken zu erkennen, zu bewerten und in Managemententscheidungen einzubeziehen sowie Risikomanagementpraktiken zu beurteilen.
NIS-2 ist ein sehr abstraktes und oft schwer greifbares Thema – umso mehr hat uns die Schulung überzeugt, da die Inhalte klar, verständlich und anschaulich vermittelt wurden.
Insgesamt eine sehr wertvolle Schulung mit klarem Praxisnutzen.
Das Information Security Assessment von pco mit Fokus auf NIS-2 hat unsere Erwartungen voll erfüllt. Die Analyse war strukturiert, praxisnah und auf unsere Unternehmenssituation zugeschnitten. Besonders wertvoll waren die klare Darstellung unseres aktuellen Reifegrads sowie die konkreten Handlungsempfehlungen zur Erfüllung der NIS-2-Anforderungen. Das Assessment hat uns eine solide Grundlage für die weitere Umsetzung unserer Informationssicherheitsstrategie gegeben. Wir schätzten die hohe fachliche Kompetenz, die transparente Kommunikation und den lösungsorientierten Ansatz des Teams der pco sehr.
Beratung und Unterstützung bei der Umsetzung von NIS-2
Welche IT-Sicherheitslösungen und Cyber Security Services helfen bei der Einhaltung von NIS-2 in deutschen Unternehmen?
NIS-2 ist kein Tool-Projekt, sondern ein Management- und Sicherheitsframework. Die NIS-2-Richtlinie verlangt somit kein einzelnes Tool, sondern ein ganzheitliches Sicherheitsniveau aus Technik, Prozessen und Governance. Für deutsche Unternehmen bedeutet das: Man braucht kombinierte IT-Sicherheitslösungen und Cyber Security Services, die die regulatorischen Pflichtbereiche abdecken.
Wir liefern Lösungen und Services, die konkret bei der Erreichung von NIS-2-Compliance helfen.
ISA-Check: Information Security Assessment
Mit dem ISA-Check nehmen wir die technischen und organisatorischen Maßnahmen zur Informationssicherheit auf und bewerten sie, inklusive Abgleich mit Anforderungen aus NIS-2.
Externe Informationsicherheitsbeauftragte ISB
Unsere externen Informationssicherheitsbeauftragten haben das Sicherheitsniveau Deines Unternehmens dauerhaft im Blick und bieten eine praxisbezogene Beratung für alle Aspekte der Informationssicherheit.
Fokus-Workshop IT-Notfallmanagement
Du lernst, Dein Unternehmen richtig auf IT-Notfälle vorzubereiten. Mit gut strukturierten IT-Notfallmanagement lassen sich Auswirkungen von IT-Ausfällen und Angriffen eindämmen und ein Wiederanlauf von kritischen Geschäftsprozessen beschleunigen.
Planspiel zur Bewertung des IT-Notfallmanagements
Unser Planspiel hilft Deinem Unternehmen dabei, die Wirksamkeit des IT-Notfallmanagements praxisnah zu validieren, Erkenntnisse für die Weiterentwicklung zu sammeln und zu dokumentieren sowie Routinen zu entwickeln.
Informationen erhalten
Fordere weiterführende Infos an, vereinbare einen unverbindlichen Beratungstermin, oder schreibe uns einfach eine Anfrage mit Deinem Anliegen. Nach Eingang Deiner Nachricht werden sich unsere Expert:innen zeitnah bei Dir melden.
Unsere Zertifizierungen
IT-Grundschutzberater und ISO 27001-Auditteamleiter
Unsere Berater arbeiten je nach Anforderung auf Basis verschiedener Rahmenwerke, wie ITIL 4, ISO 27001, ISO 9001, TISAX, BSIG/KRITIS, BSI 200-4 und halten entsprechende Zertifizierungen.
Qualifizierter APT-Response-Dienstleister im Sinne § 3 BSIG
Wir sind qualifizierter APT-Response Dienstleister im Sinne des § 3 BSIG. Wir unterstützen unter anderem Betreiber kritischer Infrastrukturen bei der Abwehr und der Bewältigung von Cyber Angriffen (Advanced Persistent Threat, APT). Seit März 2023 sind wir in der vom deutschen Bundesamt für Sicherheit in der Informationstechnik (BSI) veröffentlichten Übersicht geprüfter Cyber Security Dienstleister geführt.
Wir beantworten Deine Fragen
Kontaktiere uns
pco GmbH & Co. KG
+49 (0) 541 – 9632 5200
info@pco-online.de