NIS2-Beratung

NIS2 trifft in Deutschland deutlich mehr Unternehmen als die bisherige KRITIS-Welt — und sie trifft sie spürbarer: nicht nur durch neue Pflichten, sondern durch eine ausdrücklich benannte persönliche Verantwortung der Geschäftsleitung. Mein Anspruch ist eine nüchterne Einordnung und eine pragmatische Umsetzung — ohne Panikmache.

Was ich für Sie tue

• Betroffenheits-Check nach BSIG (§ 28): Fallen Sie in den Anwendungsbereich als wichtige oder besonders wichtige Einrichtung? Inklusive Verbund-Aggregation, wenn Tochtergesellschaften zusammen die Schwellen reißen.
• Gap-Analyse gegen die Risikomanagementpflichten aus § 30 BSIG: Risikomanagement, Sicherheit in der Lieferkette, Vorfallserkennung, Krisenkommunikation, kryptographische Verfahren, Zugangs- und Berechtigungs­konzepte.
• Priorisierte Maßnahmenplanung — was muss vor der nächsten Aufsichts­handlung stehen, was kann iterativ wachsen, was ist überspitzt und kostet nur Geld.
• Aufsetzen des Meldungs-Workflows: Erstmeldung erheblicher Sicherheitsvorfälle binnen 24 Stunden, Folgemeldung binnen 72 Stunden, Abschluss­bericht innerhalb eines Monats — wer entscheidet was, wer meldet wem, wer dokumentiert.
• Verantwortung der Geschäftsleitung dokumentieren: NIS2 macht die Geschäftsleitung persönlich für die Umsetzung verantwortlich (§ 38 BSIG). Dazu gehören Beschluss-Dokumentation, Schulung der Leitung und nachweisbare Überwachung.
• Registrierung beim BSI vorbereiten und durchführen.

Was Sie wirklich klären müssen — und wo der Schuh meistens drückt

NIS2 ist nicht primär eine technische Disziplin, sondern eine Governance-Frage. Erfahrungsgemäß sind das die Punkte, an denen Mittelständler am meisten Zeit verlieren:

• Verbund-Aggregation: Mitarbeitende und Umsatz aller verbundenen Unternehmen zählen zusammen. Ein 35-MA-Mittelständler kann über die Holding-Schwelle kippen.
• Lieferketten-Risikomanagement: Sie müssen die Cyber-Sicherheit Ihrer wesentlichen Dienstleister bewerten — und nachweisen, dass Sie das tun. Das verändert Einkaufsprozesse und Verträge.
• Persönliche Haftung der Geschäftsleitung: Die Geschäftsleitung billigt die Risikomanagement-Maßnahmen, überwacht ihre Umsetzung und schult sich selbst. Das muss dokumentiert sein — nicht nur gemeint.
• 24-Stunden-Meldepflicht: Praxisrealität ist, dass der erste Vorfall fast immer kommt, bevor der Meldungs-Workflow steht. Den Workflow zu haben, ist günstiger als ihn unter Druck zu improvisieren.

Wann das passt

• Sie sind unsicher, ob Ihr Unternehmen (oder Ihre Gruppe) überhaupt unter NIS2 fällt.
• Großkunden, Versicherer oder Wirtschaftsprüfer fragen nach Ihrem NIS2-Status — und Sie brauchen eine belastbare Antwort.
• Sie wissen, dass Sie betroffen sind, und müssen nun die Registrierung nach § 33 BSIG vorbereiten.
• Die Geschäftsleitung möchte eine ehrliche Einschätzung der eigenen Pflichten und Haftungsrisiken — ohne Beratungs-Jargon.

Verhältnis zu KRITIS

Wenn Sie zusätzlich Betreiber einer kritischen Anlage sind (Energie, Wasser, Gesundheit oberhalb der Versorgungs-Schwellenwerte), greifen KRITIS-Pflichten weiter — insbesondere BCMS und physische Sicherheit. Für diese Mandate siehe KRITIS-Beratung. NIS2 und KRITIS lassen sich integriert umsetzen — doppelte Strukturen sind kostspielig und unnötig.