Risiken beherrschen
Unternehmen müssen geeignete technische und organisatorische Maßnahmen zum Schutz ihrer IT-Systeme und Prozesse umsetzen.
Deutsches NIS-2-Umsetzungsgesetz seit 6. Dezember 2025 in Kraft
NIS-2 verstehen und technisch vorbereiten
Cybersicherheit wird für viele Unternehmen zur dokumentierten Managementaufgabe.
NIS-2 erweitert die Anforderungen an Informationssicherheit, Risikomanagement und den Umgang mit Sicherheitsvorfällen. Wir helfen Unternehmen dabei, die technischen Handlungsfelder zu verstehen, vorhandene Strukturen zu prüfen und sinnvolle Maßnahmen vorzubereiten.
Orientierung in vier Schritten
Von der möglichen Betroffenheit bis zur technischen Umsetzung.
Was NIS-2 verändert
Informationssicherheit wird verbindlicher, nachvollziehbarer und stärker zur Führungsaufgabe.
NIS-2 richtet den Blick nicht nur auf einzelne Sicherheitsprodukte. Gefordert ist ein angemessenes und wirksames Risikomanagement für die IT-Systeme, Prozesse und Dienste, die für den Betrieb des Unternehmens erforderlich sind.
Wichtig: NIS-2 ist kein einzelnes IT-Projekt.
Die Anforderungen betreffen Technik, Organisation, Verantwortlichkeiten, Lieferanten, Dokumentation, Vorfallmanagement und die Geschäftsleitung.
Risikomanagement
Technische und organisatorische Maßnahmen müssen verhältnismäßig, geeignet und wirksam sein.
Verantwortung der Geschäftsleitung
Die Leitung muss Maßnahmen umsetzen, überwachen und sich regelmäßig zu IT-Risiken schulen.
Meldepflichten
Erhebliche Sicherheitsvorfälle müssen nach einem mehrstufigen Verfahren innerhalb kurzer Fristen gemeldet werden.
Nachvollziehbare Umsetzung
Maßnahmen, Zuständigkeiten und Abläufe sollten dokumentiert und im Betrieb überprüfbar sein.
Mögliche Betroffenheit
Branche, Einrichtungsart und Unternehmensgröße müssen gemeinsam betrachtet werden.
Ob ein Unternehmen als besonders wichtige oder wichtige Einrichtung gilt, lässt sich nicht allein an der Mitarbeiterzahl erkennen. Entscheidend sind auch Tätigkeit, Sektor, Einrichtungsart und mögliche Sonderregelungen.
Eine belastbare rechtliche Einordnung sollte anhand der gesetzlichen Kriterien und bei Bedarf mit qualifizierter Rechtsberatung erfolgen.
1
In welchem Sektor ist das Unternehmen tätig?
Beispielsweise Energie, Transport, Gesundheit, digitale Infrastruktur, IT-Dienste, Produktion, Chemie, Lebensmittel oder Abfallwirtschaft.
2
Welche konkrete Einrichtungsart trifft zu?
Nicht jedes Unternehmen einer Branche fällt automatisch unter dieselbe gesetzliche Kategorie.
3
Wie groß ist das Unternehmen?
Beschäftigtenzahl, Jahresumsatz und Bilanzsumme können für die Einordnung relevant sein.
4
Bestehen besondere Rollen oder Ausnahmen?
Bestimmte Anbieter, Betreiber kritischer Anlagen oder regulierte Einrichtungen können besonderen Regeln unterliegen.
Zentrale Pflichten
NIS-2 verbindet technische Sicherheit mit geregelten Verantwortlichkeiten.
Die konkrete Ausgestaltung richtet sich nach der Einordnung des Unternehmens. Im Mittelpunkt stehen jedoch regelmäßig Risikomanagement, Registrierung, Vorfallmeldung und Verantwortung der Geschäftsleitung.
Beim BSI registrieren
Betroffene Einrichtungen müssen die erforderlichen Unternehmens- und Kontaktdaten über das vorgesehene BSI-Portal registrieren.
Vorfälle rechtzeitig melden
Erhebliche Sicherheitsvorfälle erfordern vorbereitete Meldewege und eine schnelle interne Bewertung.
Leitung einbeziehen
Die Geschäftsleitung muss Maßnahmen veranlassen, deren Umsetzung überwachen und ausreichende Kenntnisse aufbauen.
Technische Handlungsfelder
Viele Anforderungen bauen auf einer gepflegten IT-Grundstruktur auf.
Welche Maßnahmen angemessen sind, hängt von Risiken, Unternehmensgröße, Diensten und vorhandener Infrastruktur ab. Typische technische Handlungsfelder lassen sich dennoch klar benennen.
01 · INVENTAR
Systeme und Abhängigkeiten kennen
Geräte, Server, Anwendungen, Standorte, Dienstleister und geschäftskritische Prozesse müssen nachvollziehbar erfasst sein.
- IT-Asset-Management
- IT-Dokumentation
- Verantwortlichkeiten
02 · SCHUTZ
Endpunkte und Identitäten absichern
Sicherheitssoftware, Multi-Faktor-Authentifizierung, Berechtigungen und Geräteverwaltung bilden wichtige Schutzebenen.
- Endpoint Security
- MFA und Zugriffsschutz
- Endpunktverwaltung
03 · AKTUALITÄT
Schwachstellen reduzieren
Betriebssysteme, Anwendungen, Netzwerkkomponenten und Sicherheitslösungen müssen kontrolliert aktualisiert werden.
- Patch-Management
- Firmware und Herstellerupdates
- Lebenszyklusplanung
04 · NETZWERK
Verbindungen kontrollieren
Firewalls, Segmentierung, sichere Fernzugänge und eine nachvollziehbare Netzwerkarchitektur begrenzen mögliche Schäden.
- Firewall und VPN
- VLAN und Segmentierung
- Netzwerkdokumentation
05 · WIEDERHERSTELLUNG
Betriebsfähigkeit vorbereiten
Sicherungen, Wiederherstellungswege und Notfallabläufe müssen auch dann funktionieren, wenn produktive Systeme ausfallen.
- Backup und Recovery
- Getrennte Sicherungskopien
- Wiederherstellungstests
06 · ERKENNUNG
Auffälligkeiten früh erkennen
Monitoring, Sicherheitsmeldungen und geregelte Eskalationswege unterstützen die schnelle Bewertung von Störungen.
- RMM und Monitoring
- Service-Desk und Tickets
- Vorfall- und Eskalationswege
07 · LIEFERKETTE
Externe Dienstleister einbeziehen
Zuständigkeiten, Zugänge, Verträge und technische Abhängigkeiten zu Lieferanten und Dienstleistern müssen bekannt sein.
- Dienstleisterübersicht
- Administrative Zugänge
- Support- und Vertragsstatus
08 · NACHWEIS
Maßnahmen dokumentieren
Umgesetzte Maßnahmen, Prüfungen, Änderungen und offene Risiken sollten verständlich und nachvollziehbar festgehalten werden.
- Technische Dokumentation
- Änderungsnachweise
- Regelmäßige Überprüfung
09 · SCHULUNG
Menschen und Leitung befähigen
Mitarbeiter und Geschäftsleitung benötigen angemessene Kenntnisse über Risiken, Meldewege und sichere Arbeitsweisen.
- Awareness und Schulung
- Klare Ansprechpartner
- Regelmäßige Aktualisierung
Vorfallmanagement
Kurze Meldefristen verlangen vorbereitete Prozesse.
Im Ernstfall bleibt keine Zeit, Zuständigkeiten, Kontakte und Informationsquellen erst neu zu suchen. Ein vorbereiteter Melde- und Eskalationsprozess ist deshalb ein wesentlicher Bestandteil der Umsetzung.
Spätestens innerhalb von 24 Stunden
Frühe Erstmeldung
Erste Information über einen erheblichen Sicherheitsvorfall und mögliche böswillige oder grenzüberschreitende Auswirkungen.
Spätestens innerhalb von 72 Stunden
Aktualisierte Vorfallmeldung
Erste Bewertung von Schweregrad, Auswirkungen und verfügbaren technischen Erkenntnissen.
Nach gesetzlichem Verfahren
Zwischen- und Abschlussinformationen
Weitere Informationen, Ursachen, Abhilfemaßnahmen und langfristige Folgerungen werden nach den geltenden Vorgaben ergänzt.
Technische Unterstützung durch everIT
Wir übersetzen Anforderungen in konkrete technische Arbeitspakete.
Wir unterstützen Unternehmen bei der technischen Bestandsaufnahme, der Bewertung vorhandener IT-Strukturen und der Umsetzung geeigneter Infrastruktur- und Sicherheitsmaßnahmen.
Technische Bestandsaufnahme
Systeme, Geräte, Netzwerke, Dienste und bestehende Schutzmaßnahmen erfassen.
Schwachstellen priorisieren
Technische Lücken und fehlende Grundlagen nach Bedeutung und Aufwand einordnen.
Maßnahmen umsetzen
Endpunkt-, Netzwerk-, Backup-, Monitoring- und Dokumentationslösungen einführen oder verbessern.
Betrieb begleiten
Wartung, Patch-Management, Monitoring und technische Dokumentation laufend unterstützen.
Ein sinnvoller Einstieg
Schrittweise von der Orientierung zur belastbaren technischen Grundlage.
01
Betroffenheit klären
Branche, Einrichtungsart, Größe und Sonderregelungen werden geprüft. Bei Bedarf werden rechtliche Berater eingebunden.
02
Technischen Stand erfassen
Infrastruktur, Sicherheitsmaßnahmen, Dokumentation, Zuständigkeiten und Dienstleister werden aufgenommen.
03
Maßnahmenplan erstellen
Fehlende Grundlagen und technische Verbesserungen werden nach Risiko, Dringlichkeit und Umsetzbarkeit priorisiert.
04
Umsetzen und weiterentwickeln
Maßnahmen werden umgesetzt, dokumentiert, überprüft und bei Veränderungen der Infrastruktur angepasst.
NIS-2 und Ihre IT-Infrastruktur
Beginnen Sie mit einer verständlichen technischen Bestandsaufnahme.
Wir betrachten gemeinsam Ihre Systeme, Schutzmaßnahmen, Dokumentation und Betriebsprozesse. Daraus entwickeln wir konkrete technische Handlungsfelder und einen realistischen nächsten Schritt.