Das NIS2-Umsetzungsgesetz ist geltendes Recht. Wir ermitteln in wenigen Tagen, wo Ihre technischen und organisatorischen Sicherheitsmaßnahmen gegenüber den zehn Maßnahmenbereichen nach §30 BSIG stehen und welche Schritte in welcher Reihenfolge wirklich anstehen. Ob und wie Sie betroffen sind, klären Sie mit Ihrer Rechtsberatung.
Kein Papier-Audit: Sie erhalten einen priorisierten Umsetzungsfahrplan mit Budgetindikation, den Ihre Organisation sofort abarbeiten kann. Teil unseres Cyber-Security-Portfolios.
Mit dem NIS2-Umsetzungsgesetz unterscheidet das BSI-Gesetz zwischen besonders wichtigen und wichtigen Einrichtungen. Als Faustregel gilt: ab 250 Beschäftigten oder 50 Mio. € Umsatz in elf Sektoren beziehungsweise ab 50 Beschäftigten oder 10 Mio. € Umsatz in sieben weiteren Sektoren, dazu Sonderfälle unabhängig von der Größe, etwa Teile der öffentlichen Verwaltung. Betroffene müssen sich beim BSI registrieren, ein Risikomanagement über zehn Maßnahmenbereiche nachweisen und Sicherheitsvorfälle in gestuften Fristen melden: 24 Stunden, 72 Stunden, ein Monat.
Die Geschäftsleitung haftet für die Umsetzung persönlich, diese Verantwortung ist nicht delegierbar. Die Bußgelder reichen bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes. Aus unseren Projekten wissen wir: Die größte Hürde ist selten der Wille, sondern die Frage, wo man bei begrenztem Budget und Personal anfängt.
Tipp: Eine erste Orientierung zur Betroffenheit liefert die kostenlose NIS-2-Betroffenheitsprüfung des BSI. Die rechtliche Einstufung nimmt Ihre Rechtsberatung vor. Wir setzen danach mit der technischen Bestandsaufnahme an.
§30 BSIG verlangt Risikomanagement in diesen Feldern. Im Gap-Workshop bekommt jeder Bereich einen technisch-organisatorischen Reifegrad und konkrete Lücken. Ob gesetzliche Pflichten erfüllt sind, beurteilen wir nicht.
Kompakt statt monatelanger Analyse: Vergleichbare Gap-Analysen am Markt starten bei wenigen Personentagen, und genau so schlank halten wir es auch.
Wir erfassen Unternehmensstruktur, Standorte, Tochtergesellschaften und vorhandene Sicherheitsdokumente und richten den Workshop auf die Bereiche aus, die für Sie zählen. Einstufung und Registrierung klären Sie mit Ihrer Rechtsberatung.
Gemeinsam mit IT, Fachbereichen und Leitung bewerten wir Ihre technischen und organisatorischen Maßnahmen entlang der zehn Maßnahmenbereiche nach §30 BSIG: von Risikomanagement und Backup über Lieferkettensicherheit bis MFA und Kryptografie. Ehrlich, belegbar, ohne Schönfärberei.
Sie erhalten einen Maßnahmenplan, der Quick Wins von Projekten trennt, Abhängigkeiten auflöst und eine Budgetindikation je Maßnahme enthält. Damit kann Ihre Leitung entscheiden und Ihre Organisation sofort loslegen.
Auf Wunsch begleiten wir die Umsetzung: Meldeprozesse für die 24h/72h-Fristen aufsetzen und üben, Richtlinien nachziehen und für Maßnahmen, die Sie einkaufen müssen, liefern wir die kuratierte Anbieter-Vorauswahl gleich mit: die passenden Kandidaten statt 100+ Anbieter vergleichen.
Teile der öffentlichen Verwaltung fallen größenunabhängig unter NIS2, Länder regeln ergänzend nach. Wir übersetzen die Maßnahmenbereiche in Verwaltungsstrukturen und liefern für notwendige Beschaffungen die technischen Anforderungen gleich mit. Einstufung und Vergabeverfahren verantworten Ihre Rechtsberatung und Ihre Vergabestelle.
Krankenhäuser, Energie- und Wasserversorger tragen die strengsten Pflichten und die höchsten Bußgeldrahmen. Wir verbinden das Gap Assessment mit Ihren bestehenden KRITIS-Nachweisen, damit keine Doppelarbeit entsteht.
Viele wichtige Einrichtungen ab 50 Beschäftigten wissen noch nicht, dass sie betroffen sind, und Zulieferer bekommen NIS2 über die Lieferkette ihrer Kunden ins Haus. Das kompakte Assessment zeigt in wenigen Tagen, wo Sie technisch und organisatorisch stehen, bevor Kunden oder Aufsicht fragen.
Wir bewerten nicht nur, wir haben die Gegenseite erlebt: aus der Begleitung realer Ransomware-Großlagen wissen wir, welche der zehn Maßnahmenbereiche im Ernstfall wirklich tragen. Und weil viele NIS2-Maßnahmen auf Beschaffungen hinauslaufen, liefern wir auf Wunsch die technischen Anforderungen dafür.
Vom Kick-off bis zum beschlossenen Fahrplan vergehen bei uns Wochen, nicht Quartale. So läuft es typischerweise ab:
Viele NIS2-Maßnahmen laufen auf Einkauf hinaus: SOC- oder MDR-Dienste, Backup-Härtung, Awareness, IR-Retainer. Genau dafür kennen wir die Anbieterlandschaft je Maßnahme und fragen gezielt die passenden für Sie an.
Aus der technischen Mitarbeit an Ausschreibungen, hunderten Anbietergesprächen und eigenen Marktstudien wissen wir, wer in welchem Feld wirklich liefert. Dieses Wissen halten wir aktuell, mit jedem Projekt und jedem Anbietergespräch.
Für jeden Maßnahmenbereich kennen wir die passenden Anbieter: statt 100+ Anbieter zu vergleichen, starten Sie mit den Top-Kandidaten, die zu Größe, Branche und Budget passen, vom MDR-Dienst bis zum Awareness-Programm.
Wir sind an keinen festen Partner gebunden und fragen bei Bedarf jeden Anbieter am Markt an: gemeinsam mit Ihnen, nicht als Vermittler dazwischen. Wir sitzen zusammen in den Anbietergesprächen, Sie entscheiden, und jede Empfehlung begründen wir mit einem nachvollziehbaren technischen Vergleich. Kriterien und Wertung in einem Vergabeverfahren legt Ihre Vergabestelle fest.
Im kostenlosen Erstgespräch klären wir Ausgangslage und Umfang: danach entscheiden Sie, ob das Gap Assessment für Sie passt.
Sie haben Fragen?
Quellen