Seit dem 6. Dezember 2025 gilt das neue BSI-Gesetz — ohne Übergangsfrist. Wir klären rechtssicher, ob Ihr Unternehmen betroffen ist, übernehmen die Registrierung beim BSI und bauen ein Informationssicherheitssystem auf, das zu einem mittelständischen Betrieb passt. Zum Festpreis, mit persönlichem Ansprechpartner.
Unverbindlich und kostenfrei · Antwort in der Regel innerhalb eines Werktages
Die gesetzliche Frist zur Registrierung endete am 6. März 2026. Die vom Bundesamt für Sicherheit in der Informationstechnik eingeräumte Nachfrist lief am 31. Juli 2026 aus. Nach Angaben der Behörde waren Ende Mai 2026 rund 18.500 von etwa 29.500 betroffenen Einrichtungen registriert.
Wenn Ihr Unternehmen noch nicht registriert ist, bleibt die Pflicht bestehen. Die Registrierung nachzuholen ist weiterhin der richtige erste Schritt — sie zeigt der Aufsicht, dass Sie handeln. Wir übernehmen das für Sie, gemeinsam mit einer sachlichen Dokumentation der Verzögerung.
NIS2 ist die europäische Richtlinie über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union — Richtlinie (EU) 2022/2555. Für Ihr Unternehmen ist sie aber nicht unmittelbar maßgeblich. Entscheidend ist das deutsche Gesetz, mit dem sie umgesetzt wurde: das NIS2-Umsetzungsgesetz, das seit dem 6. Dezember 2025 gilt und das BSI-Gesetz vollständig neu gefasst hat.
Praktisch heißt das: Wenn Sie nachlesen wollen, was Sie tun müssen, finden Sie die Antwort im BSI-Gesetz, nicht in der EU-Richtlinie. Wir arbeiten deshalb durchgängig mit den Paragrafen des BSIG.
Der Kreis der verpflichteten Unternehmen ist mit dem neuen Gesetz von rund 4.500 auf etwa 29.500 gewachsen. Erfasst sind jetzt 18 Wirtschaftssektoren — darunter Transport und Verkehr, Chemie, Abfallbewirtschaftung, Lebensmittel und weite Teile des verarbeitenden Gewerbes. Viele der betroffenen Unternehmen hatten mit Cybersicherheitsregulierung bis dahin nie zu tun. Eine Übergangsfrist gibt es nicht.
Betroffene Unternehmen müssen sich innerhalb von drei Monaten beim BSI registrieren. Der Zugang läuft über „Mein Unternehmenskonto“ mit einem ELSTER-Organisationszertifikat. Anzugeben sind Stammdaten, Sektor, Einstufung, eine Kontaktstelle und die öffentlichen IP-Adressbereiche. Änderungen sind innerhalb von zwei Wochen nachzumelden, die Daten jährlich zu bestätigen.
Das Gesetz benennt zehn Maßnahmenbereiche: Risikoanalyse und Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs mit Backup und Krisenmanagement, Sicherheit der Lieferkette, Sicherheit bei Beschaffung und Wartung, Bewertung der Wirksamkeit, Cyberhygiene und Schulungen, Kryptografie, Personalsicherheit und Zugriffskontrolle sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation. Die Umsetzung ist zu dokumentieren — ohne Dokumentation gilt sie im Zweifel als nicht erfolgt.
Ein gestuftes Verfahren: Frühwarnung innerhalb von 24 Stunden ab Kenntnis, Vorfallmeldung innerhalb von 72 Stunden, Abschlussmeldung innerhalb eines Monats. Sind personenbezogene Daten betroffen, kommt die Meldung an die Datenschutzaufsicht innerhalb von 72 Stunden hinzu.
Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und selbst regelmäßig an Schulungen teilnehmen. Verletzt sie diese Pflichten, kann das Unternehmen Ersatzansprüche gegen sie geltend machen — und ein Verzicht darauf ist gesetzlich unwirksam. Diese Verantwortung lässt sich nicht auf die IT-Abteilung übertragen.
Besonders wichtige Einrichtungen müssen die Wirksamkeit ihrer Maßnahmen innerhalb von drei Jahren nach Inkrafttreten nachweisen. Bei wichtigen Einrichtungen prüft die Aufsicht anlassbezogen und in Stichproben.
Ob Sie unter das Gesetz fallen, entscheiden zwei Größen: Ihre Branche und Ihre Unternehmensgröße. Beides muss zutreffen.
Das Gesetz unterscheidet Sektoren hoher Kritikalität (Anlage 1) und sonstige kritische Sektoren (Anlage 2). Für mittelständische Unternehmen sind diese besonders häufig einschlägig:
Speditionen, Logistikdienstleister, Fuhrparkbetreiber, Umschlag- und Hafenbetriebe, Kurierdienste
Entsorgungsfachbetriebe, Recyclingunternehmen, Sonderabfallsammler, kommunale Betriebe
Hersteller, Chemiehandel, Lohnabfüller, Betreiber von Gefahrstofflagern
Produktion, Verarbeitung, Kühllogistik, Großhandel
Maschinenbau, Kraftfahrzeuge und Teile, Elektro- und Optikindustrie, Medizinprodukte, pharmazeutische Erzeugnisse
Stadtwerke, Netzbetreiber, Wasserverbände, Rechenzentren, Managed Service Provider
Wichtige Einrichtung: ab 50 Beschäftigten oder ab 10 Mio. € Jahresumsatz und 10 Mio. € Bilanzsumme.
Besonders wichtige Einrichtung: ab 250 Beschäftigten oder über 50 Mio. € Jahresumsatz und über 43 Mio. € Bilanzsumme.
Achten Sie auf das kleine Wort dazwischen: Bei den Beschäftigten steht ein „oder“, bei den Finanzkennzahlen ein „und“. Ein Betrieb mit 55 Mitarbeitern und vier Millionen Euro Umsatz ist betroffen. Ein Betrieb mit 30 Mitarbeitern und 40 Millionen Euro Umsatz, aber nur fünf Millionen Bilanzsumme, ist es nicht. Diese Asymmetrie wird in der Praxis regelmäßig falsch gerechnet.
Beteiligungen zählen mit. Die Größenberechnung folgt der KMU-Definition der Europäischen Union. Gehört Ihr Unternehmen zu mehr als 50 Prozent zu einer Gruppe, werden deren Werte vollständig hinzugerechnet; bei Beteiligungen zwischen 25 und 50 Prozent anteilig.
Das führt zu Ergebnissen, die auf den ersten Blick überraschen: Ein Betrieb mit 40 Mitarbeitern kann betroffen sein, weil Holding und Schwestergesellschaft mitgezählt werden. Wer nur die eigene Personalliste ansieht, kommt zum falschen Ergebnis — und zwar in beide Richtungen.
Selbst wenn Sie die Schwellen nicht erreichen, kann das Thema Sie erreichen. Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette gewährleisten (§ 30 Abs. 2 Nr. 4 BSIG). Sie geben diese Anforderung an ihre Dienstleister und Lieferanten weiter — mit Fragebögen, Vertragsklauseln und Nachweisverlangen. Für viele kleinere Betriebe ist das der erste Kontakt mit dem Thema, und er kommt nicht von der Behörde, sondern vom größten Kunden.
Sie können die Frage in wenigen Minuten grob selbst beantworten. Gehen Sie die Schritte der Reihe nach durch.
Schritt 1 — Betreiben Sie eine kritische Anlage? Damit ist eine Anlage gemeint, die oberhalb der KRITIS-Schwellenwerte liegt und in der Regel mehr als 500.000 Menschen versorgt. Trifft das zu, sind Sie Betreiber einer kritischen Anlage und zugleich besonders wichtige Einrichtung — mit zusätzlichen Pflichten aus § 31 BSIG. Für die allermeisten mittelständischen Betriebe trifft das nicht zu.
Schritt 2 — Fallen Sie unter eine Sonderregel? Bestimmte Anbieter sind unabhängig von ihrer Größe erfasst: qualifizierte Vertrauensdiensteanbieter, Betreiber von DNS-Diensten und Top-Level-Domain-Registries sowie Anbieter öffentlicher Telekommunikationsnetze und -dienste.
Schritt 3 — Liegt Ihre Tätigkeit in einem der 18 Sektoren? Maßgeblich ist die tatsächliche Erbringung von Diensten, nicht der Schwerpunkt Ihres Unternehmens. Ein Betrieb, der überwiegend Metall verarbeitet und nebenbei eine eigene Spedition führt, berührt zwei Sektoren.
Schritt 4 — Rechnen Sie Ihre Größe korrekt zusammen. Erfassen Sie Beschäftigte in Jahresarbeitseinheiten — Teilzeitkräfte anteilig, Leiharbeitnehmer ab sechs Monaten mitzählen, Auszubildende nicht. Nehmen Sie Umsatz und Bilanzsumme aus dem letzten und dem vorletzten Jahresabschluss. Rechnen Sie anschließend Partnerunternehmen anteilig und verbundene Unternehmen vollständig hinzu.
Schritt 5 — Vergleichen Sie mit den Schwellen. Eine Über- oder Unterschreitung wird erst maßgeblich, wenn sie in zwei aufeinanderfolgenden Geschäftsjahren vorliegt.
Schritt 6 — Prüfen Sie die mittelbare Betroffenheit. Fordert ein Kunde Nachweise zur Informationssicherheit? Enthalten Ihre Verträge entsprechende Klauseln? Dann sind Sie zwar nicht gesetzlich verpflichtet, aber vertraglich gefordert.
Dann sind Sie nicht betroffen — und genau das sollten Sie schriftlich festhalten. Eine dokumentierte Feststellung der Nicht-Betroffenheit ist das, was Sie vorlegen können, wenn ein Kunde, Ihre Bank, Ihr Versicherer oder die Aufsicht danach fragt. Wir erstellen diese Feststellung mit derselben Sorgfalt wie eine positive.
Die Selbsteinschätzung bringt Ihnen eine Richtung. Was sie nicht bringt, ist ein Dokument, das Sie vorlegen können. Genau das ist unsere Leistung.
Am Tag Ihrer Beauftragung erhalten Sie eine Unterlagenliste und einen strukturierten Fragebogen. Parallel stoßen wir die Beantragung des ELSTER-Organisationszertifikats an, weil dessen Ausstellung mehrere Werktage dauert und sonst zum Engpass wird. Offene Punkte klären wir telefonisch, nicht per E-Mail-Schleife. Anschließend werten wir aus, rechnen die Größenkriterien nach und dokumentieren jeden Prüfschritt mit Begründung. Jede Prüfung durchläuft bei uns ein Vier-Augen-Prinzip, bevor sie das Haus verlässt.
Ein unterzeichnetes Betroffenheitstestat: die Einstufung, die Begründung je Prüfschritt, die nachvollziehbare Größenberechnung mit Quellenangabe, die geprüften Ausnahmen und der zugrunde gelegte Rechtsstand. Dazu ein Ergebnisgespräch, in dem wir Ihnen sagen, was daraus folgt.
Dieses Testat ist das Dokument, das Sie einer Behörde, einem Kunden oder Ihrem Versicherer vorlegen. Und es ist das Dokument, das belegt, dass Sie sorgfältig gehandelt haben — auch dann, wenn sich die Rechtslage später anders darstellt.
Dauer: 10 Werktage ab Vollständigkeit der Unterlagen.
Sobald Sie als wichtige oder besonders wichtige Einrichtung gelten. Die Frist beträgt drei Monate ab dem Zeitpunkt, zu dem Sie erstmals oder erneut als solche gelten. Für Unternehmen, die bereits am 6. Dezember 2025 betroffen waren, endete sie am 6. März 2026. Wer erst später in den Anwendungsbereich wächst — durch Neueinstellungen, einen Zukauf oder ein neues Geschäftsfeld — hat ab diesem Zeitpunkt drei Monate.
Ein häufiges Missverständnis: Auch Finanzunternehmen, die unter die DORA-Verordnung fallen und deshalb von den Risikomanagementpflichten des § 30 BSIG ausgenommen sind, bleiben zur Registrierung verpflichtet.
Wir bereiten sämtliche Angaben auf, begleiten die Beantragung des ELSTER-Organisationszertifikats, klären die IP-Bereiche mit Ihrem Provider und richten die Kontaktstelle so ein, dass sie auch im Urlaubs- oder Krankheitsfall erreichbar bleibt: ein Funktionspostfach statt einer Personenadresse, mindestens zwei berechtigte Personen.
Die Registrierung selbst führen wir erst nach Ihrer schriftlichen Freigabe der Daten durch. Sie erhalten die Einrichtungsnummer, eine vollständige Dokumentation aller Eingaben und eine Wiedervorlage für die jährliche Bestätigung.
Die Pflicht bleibt bestehen, und die Versäumnis entfällt durch das Nachholen nicht rückwirkend. Die Nachholung wirkt aber als kooperatives Verhalten. Wir gehen dabei strukturiert vor: Wir stellen datiert fest, wann die Betroffenheit eingetreten ist, erstellen eine sachliche Chronologie der Verzögerung und legen einen Sofortmaßnahmenplan mit Terminen bei. Das ist der Unterschied zwischen einer verspäteten Anmeldung und einem nachvollziehbar handelnden Unternehmen.
Sie ist kein Nachweis von Compliance, keine Genehmigung und keine Prüfung. Im Gegenteil: Nach der Registrierung weiß die Behörde, dass es Ihr Unternehmen gibt und in welche Kategorie es fällt. Es sollte also auch etwas hinter der Anmeldung stehen.
Weil § 30 BSIG nicht nur Maßnahmen verlangt, sondern deren Dokumentation und die Bewertung ihrer Wirksamkeit. Ein gut gesicherter Betrieb ohne Dokumentation steht gegenüber der Aufsicht schlechter da als ein durchschnittlich gesicherter mit sauberer Nachweisführung. Das ist keine Bürokratiekritik, sondern die Funktionsweise von Aufsichtsrecht.
Weil das Gesetz keine Zertifizierung verlangt. Eine ISO-27001-Zertifizierung kann als Nachweis dienen, deckt aber drei NIS2-Pflichten gar nicht ab: die Registrierung, das gestufte Meldeverfahren und die Pflichten der Geschäftsleitung. Und sie kostet in einem Betrieb mit 100 Mitarbeitern ein Vielfaches dessen, was gesetzlich nötig wäre.
Unser ISMS-Light deckt die zehn Maßnahmenbereiche des § 30 vollständig ab — nicht mehr, aber auch nicht weniger. Jedes Dokument trägt eine Zuordnung zu § 30 BSIG und zu ISO/IEC 27001:2022. Wenn Sie in drei Jahren zertifizieren wollen, ist das die Vorstufe, kein Rückschritt.
Vierzehn Dokumente, zusammen etwa 40 bis 60 Seiten. Ein vollständiger ISO-27001-Satz umfasst typischerweise ein Vielfaches davon.
Vorfallbewältigung und Meldung — mit klaren Fristen, benannten Verantwortlichen und einer Vertretungsregelung. Dazu eine laminierte Notfallkarte für Disposition, Serverraum und Geschäftsführung: wer wann zu informieren ist, welche fünf Schritte zuerst kommen und was ausdrücklich zu unterlassen ist.
Berechtigungsvergabe und Offboarding — aktive Konten ausgeschiedener Mitarbeiter gehören zu den häufigsten Befunden überhaupt.
Wiederherstellung — mit einem dokumentierten Test. Fast jeder Betrieb hat Backups. Kaum einer hat je geprüft, ob und wie lange die Wiederherstellung tatsächlich dauert.
Patch- und Schwachstellenmanagement — mit Fristen nach Kritikalität und einer Regelung für Systeme ohne Herstellerunterstützung.
Lieferantenbewertung — Verzeichnis, Kritikalitätsklassen, Sicherheitsanforderungen und Vertragsklauseln zur Meldepflicht Ihrer Dienstleister.
Das BSI-Gesetz schreibt privaten Unternehmen keinen Informationssicherheitsbeauftragten vor. Faktisch braucht die Rolle trotzdem jemanden. Wir legen sie in einer Rollenmatrix fest — intern besetzt oder von uns als externe Rolle übernommen, so wie Sie es vom externen Gefahrgutbeauftragten kennen.
Zwei Formate, beide mit Teilnahmenachweis: eine Awareness-Grundschulung für alle Beschäftigten und eine gesonderte Schulung der Geschäftsführung. Letztere ist keine Formalie, sondern erfüllt die persönliche Schulungspflicht nach § 38 Abs. 3 BSIG.
Am Ende der Gap-Analyse steht kein Gutachten, sondern eine Arbeitsliste: jede Lücke mit Maßnahme, Verantwortlichem, Termin und Priorität. Nach Risiko und Aufwand sortiert, damit Sie mit dem beginnen, was am meisten bringt.
1 · Erstgespräch — 30 Minuten, kostenfrei. Wir klären Ihre Eckdaten, geben eine erste Einschätzung und sagen Ihnen, was wir empfehlen. Auch dann, wenn daraus kein Auftrag wird.
2 · Prüfung — Unterlagen, Fragebogen, Größenberechnung, Entscheidungsbaum. Vier-Augen-Prinzip vor der Freigabe. Dauer: 10 Werktage.
3 · Dokumentation — Betroffenheitstestat mit Begründung je Prüfschritt, Ergebnisgespräch, Weichenstellung.
4 · Registrierung — Daten aufbereiten, ELSTER klären, Kontaktstelle einrichten, Registrierung nach Ihrer Freigabe durchführen, Einrichtungsnummer dokumentieren. Dauer: ein bis zwei Wochen.
5 · ISMS-Light — Vor-Ort-Termin, Gap-Analyse über alle zehn Bereiche, drei Workshops, vierzehn Dokumente, Schulungen, interne Prüfung. Dauer: acht bis zehn Wochen.
6 · Laufende Betreuung — Quartalsgespräche, jährliche Prüfung, Managementbewertung, Schulungen, Unterstützung im Meldefall.
Ihr eigener Aufwand über das Gesamtprojekt: etwa 25 bis 35 Stunden, verteilt über vier Monate. Wir sagen Ihnen das vorher, weil eine geschönte Zahl im Projekt zum Problem wird.
Wenn eine IT-Sicherheitsberatung eine Asset-Liste für eine Spedition erstellt, stehen dort Server, Notebooks und Firewalls. Bei uns steht dort auch das Telematiksystem, das Auslesearchiv der digitalen Tachografen, das Transportmanagementsystem, die EDI-Schnittstelle zum Verlader, die Zollanbindung und die Temperaturüberwachung der Kühlkette. Bei Chemie- und Entsorgungsbetrieben zusätzlich die Prozessleit- und Wägetechnik, das Gefahrstoffkataster und die Systeme der Entsorgungsnachweisführung.
Wir betreuen Speditionen, Chemiebetriebe und Entsorger seit Jahren im Gefahrgutrecht. Wir kennen den Unterschied zwischen einem Rechenzentrum und einer Disposition — und wir wissen, wie ein Betrieb 48 Stunden ohne IT weiterläuft.
Externer Gefahrgutbeauftragter, Abfallbeauftragter, Datenschutzbeauftragter, Compliance-Beauftragter, Gefahrstoffbeauftragter, Energiemanagementbeauftragter, Verkehrsleiter, Ombudsmann nach dem Hinweisgeberschutzgesetz. Informationssicherheit fügt sich in eine Struktur ein, die bei uns seit Jahren funktioniert — und bei Ihnen vielleicht schon läuft.
Wir schreiben Dokumente, die Ihre Mitarbeiter lesen können. Ein gelebtes System auf 50 Seiten ist mehr wert als ein perfektes auf 500, das niemand öffnet.
Wir konfigurieren keine Firewalls, führen keine Penetrationstests durch und betreiben keine IT. Das bleibt bei Ihrem Systemhaus — mit dem wir gerne zusammenarbeiten. Und wir leisten keine Rechtsberatung im Einzelfall: Was wir geben, ist eine fachliche Einschätzung auf Grundlage der Rechtslage und Ihrer Angaben. Diese Abgrenzung ist ehrlicher als das Gegenteil und schützt Sie im Zweifel mehr.
Die folgenden Beispiele sind keine Kundenreferenzen, sondern typische Konstellationen, wie sie das BSI-Gesetz in mittelständischen Betrieben erzeugt. Sie zeigen, worauf es bei der Prüfung ankommt.
Spedition, 140 Mitarbeiter, Nordrhein-Westfalen. Die Geschäftsführung ging von Nicht-Betroffenheit aus, weil die operative Gesellschaft nur 40 Beschäftigte hat. Die Prüfung der Gesellschafterstruktur ergab eine Holding mit zwei weiteren Gesellschaften. Nach Zurechnung der verbundenen Unternehmen: 140 Jahresarbeitseinheiten und damit wichtige Einrichtung im Sektor Transport und Verkehr. Die Betroffenheit entschied sich nicht am Betrieb, sondern am Handelsregister.
Entsorgungsfachbetrieb, 85 Mitarbeiter. Registrierung war erfolgt, danach passierte nichts. Die Gap-Analyse zeigte einen Reifegrad zwischen 1 und 2 in sieben von zehn Maßnahmenbereichen. Kritischster Befund: tägliche Backups, aber kein einziger dokumentierter Wiederherstellungstest — und keine Offline-Kopie. Die Registrierung ist der erste Schritt, nicht der Abschluss.
Chemiehändler, 60 Mitarbeiter, zwei Standorte. Ein Großkunde forderte einen Sicherheitsnachweis mit 90 Fragen und Rückmeldefrist von vier Wochen. Nach Aufbau des ISMS-Light konnte der Fragebogen mit Verweis auf vorhandene Dokumente beantwortet werden. Der Druck kommt oft vom Kunden, nicht von der Behörde.
Maschinenbauer, 310 Mitarbeiter. Einstufung als besonders wichtige Einrichtung im verarbeitenden Gewerbe. Vorhanden war eine ISO 9001, aber kein Informationssicherheitssystem. Das ISMS-Light wurde an die bestehende Dokumentenlenkung und die vorhandene Managementbewertung angedockt, statt ein zweites System aufzubauen. Wer bereits ein Managementsystem hat, muss kein zweites betreiben.
Lebensmittelbetrieb mit eigener Kühllogistik, 120 Mitarbeiter. Der Notfallplan der IT deckte Server und Arbeitsplätze ab, nicht aber die Temperaturüberwachung der Kühlkette und die Anbindung an den Handelspartner. Beide Systeme wurden als Assets erfasst und in den Wiederanlaufplan aufgenommen. Die kritischen Systeme eines Betriebs stehen selten im IT-Inventar.
Kleiner Frachtführer, 22 Mitarbeiter. Nicht betroffen — die Prüfung ergab ein eindeutiges Ergebnis. Ausgestellt wurde ein Testat über die Nicht-Betroffenheit, das seither bei Ausschreibungen und gegenüber Auftraggebern verwendet wird. Auch ein Nein ist ein verwertbares Ergebnis.
Speditionen und Logistik — Telematik, digitale Tachografen, Transportmanagement, EDI zum Verlader, Zollanbindung, Maut- und Tankkartensysteme. Der Notbetrieb der Disposition ohne IT gehört bei uns in den Notfallplan, nicht in eine Fußnote. Passend dazu: externer Verkehrsleiter und Unterweisung Lenk- und Ruhezeiten.
Entsorgung und Abfallwirtschaft — Wägetechnik, Betriebsdatenerfassung, elektronisches Nachweisverfahren. Kombinierbar mit dem externen Abfallbeauftragten.
Chemie und Gefahrstoffe — Prozessleittechnik, Abfüllsteuerung, Gefahrstoffkataster, Sicherheitsdatenblattverwaltung. Kombinierbar mit externem Gefahrstoffbeauftragten, Katastererstellung und Substitutionsprüfung nach TRGS 600.
Industrie und Maschinenbau — Produktionsnetze, Fernwartungszugänge der Anlagenhersteller, Konstruktionsdaten. Besonders relevant: die Trennung von Büro-IT und Produktionsnetz.
Lebensmittelindustrie — Kühlkettenüberwachung, Chargenrückverfolgung, Handelspartneranbindung. Anschlussfähig an bestehende IFS- und HACCP-Strukturen.
Energie und Wasser — Fernwirktechnik und Leitsysteme. Hier ist vorab zu klären, ob und wieweit das Fachrecht vorgeht.
IT-Dienstleister und Rechenzentren — teilweise größenunabhängig erfasst. Zusätzlich relevant: Sie sind für viele Ihrer Kunden derjenige, dessen Sicherheitsnachweis verlangt wird.
Unternehmen mit kritischen Lieferketten — Sie sind nicht selbst verpflichtet, werden aber vertraglich gefordert. Für diesen Fall gibt es ein reduziertes Nachweispaket.
Unternehmensgruppen ab drei Gesellschaften erhalten ein Angebot mit konsolidierter Gruppenbetrachtung — Preis auf Anfrage.
Laufende Betreuung ab 290 € monatlich. Als externer Informationssicherheitsbeauftragter übernehmen wir Quartalsgespräche, die jährliche interne Prüfung, die Managementbewertung, Schulungen und die Unterstützung im Meldefall. So, wie Sie es vom Gefahrgutbeauftragten kennen.
Im Bündel mit Ihren übrigen Beauftragtenmandaten gewähren wir 12 Prozent auf die Summe der Einzelleistungen.
Alle Preise zzgl. gesetzlicher Umsatzsteuer. Fahrtkosten innerhalb von 100 km um Leverkusen enthalten.
Unternehmen in einem der 18 Sektoren der Anlagen 1 und 2 zum BSI-Gesetz ab 50 Beschäftigten oder ab 10 Millionen Euro Jahresumsatz und 10 Millionen Euro Bilanzsumme. Ab 250 Beschäftigten oder über 50 Millionen Euro Umsatz und über 43 Millionen Euro Bilanzsumme gilt die strengere Kategorie „besonders wichtige Einrichtung“.
Seit dem 6. Dezember 2025. Das NIS2-Umsetzungsgesetz wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet und trat am Folgetag in Kraft — ohne Übergangsfrist.
Transport und Verkehr ist ein Sektor hoher Kritikalität. Eine Spedition ab 50 Beschäftigten oder ab 10 Millionen Euro Umsatz und Bilanzsumme ist in der Regel wichtige Einrichtung. Zu prüfen ist zusätzlich die Zurechnung verbundener Unternehmen.
Ab 50 Beschäftigten in Jahresarbeitseinheiten, sofern Ihr Unternehmen in einem der 18 Sektoren tätig ist. Teilzeitkräfte zählen anteilig, Leiharbeitnehmer ab sechs Monaten mit, Auszubildende nicht.
Ja. Bei Beteiligungen über 50 Prozent werden die Werte der Gruppe vollständig hinzugerechnet, zwischen 25 und 50 Prozent anteilig. Das ist der häufigste Fehler bei der Selbsteinschätzung.
KRITIS knüpft an einzelne Anlagen oberhalb festgelegter Schwellenwerte an, NIS2 an das gesamte Unternehmen nach Sektor und Größe. Jeder Betreiber einer kritischen Anlage ist zugleich besonders wichtige Einrichtung — umgekehrt gilt das nicht. Die meisten mittelständischen Betriebe sind wichtige Einrichtung und nicht KRITIS.
Das BSI kann Auskunft verlangen, vor Ort prüfen, verbindliche Anweisungen erteilen und Bußgelder verhängen. Der gesetzliche Rahmen ist nach Schwere und Umständen gestaffelt. Hinzu kommt die persönliche Verantwortung der Geschäftsleitung nach § 38 BSIG.
Registrieren Sie sich trotzdem, und zwar zügig. Die Pflicht bleibt bestehen, das Versäumnis entfällt durch das Nachholen nicht rückwirkend — die Nachholung wirkt aber als kooperatives Verhalten und ist bei der Bemessung relevant.
Über das Meldeportal des BSI, Zugang ausschließlich über „Mein Unternehmenskonto“ mit einem ELSTER-Organisationszertifikat. Hinterlegt werden Stammdaten, Sektor, Einstufung, Kontaktstelle und die öffentlichen IP-Adressbereiche. Am Ende steht die Einrichtungsnummer.
Mehrere Werktage, weil der Aktivierungscode per Post kommt. Das ist regelmäßig der Engpass im Projekt. Deshalb stoßen wir die Beantragung am ersten Tag an.
Nein. Das Gesetz verlangt wirksame und dokumentierte Maßnahmen, keine Zertifizierung. Eine ISO 27001 kann als Nachweis dienen, deckt aber Registrierung, Meldeverfahren und Geschäftsleitungspflichten nicht ab.
In der Regel drei Dinge: die Registrierung beim BSI, das gestufte Meldeverfahren nach § 32 und die dokumentierten Pflichten der Geschäftsleitung nach § 38. Dafür gibt es ein reduziertes Delta-Paket.
Ein Informationssicherheitsmanagementsystem — der geordnete Rahmen, in dem ein Unternehmen Risiken für seine Informationen erkennt, Maßnahmen festlegt, Verantwortlichkeiten regelt und die Wirksamkeit überprüft.
Ein schlankes System, das die zehn Maßnahmenbereiche des § 30 BSIG vollständig abdeckt, ohne den Formalismus einer Zertifizierung. Bei uns vierzehn Dokumente auf etwa 40 bis 60 Seiten.
Zehn Bereiche: Risikoanalyse und Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen, Betriebskontinuität mit Backup und Krisenmanagement, Sicherheit der Lieferkette, Sicherheit bei Beschaffung und Wartung, Bewertung der Wirksamkeit, Cyberhygiene und Schulungen, Kryptografie, Personalsicherheit und Zugriffskontrolle sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation.
Innerhalb von 24 Stunden ab Kenntnis erfolgt die Frühwarnung, innerhalb von 72 Stunden die Vorfallmeldung, innerhalb eines Monats die Abschlussmeldung. Sind personenbezogene Daten betroffen, kommt eine Meldung an die Datenschutzaufsicht innerhalb von 72 Stunden hinzu.
Mit der Kenntnis vom Vorfall, nicht mit der Feststellung seines Ausmaßes. Wer am Samstagmorgen Ransomware entdeckt, muss bis Sonntagmorgen gemeldet haben.
§ 38 BSIG verpflichtet die Geschäftsleitung, die Maßnahmen zu billigen, ihre Umsetzung zu überwachen und selbst an Schulungen teilzunehmen. Bei Pflichtverletzung kann das Unternehmen Ersatzansprüche geltend machen; ein Verzicht darauf oder ein Vergleich darüber ist unwirksam.
Die Umsetzung ja, die Verantwortung nicht. Billigung, Überwachung und die eigene Schulung bleiben bei der Geschäftsleitung.
Nicht unmittelbar. Betroffene Unternehmen müssen aber die Sicherheit ihrer Lieferkette gewährleisten und geben die Anforderung vertraglich weiter. Viele kleinere Betriebe erhalten deshalb Sicherheitsfragebögen ihrer Auftraggeber.
Bei uns: Betroffenheitsprüfung mit Testat und Registrierung 1.490 €, mit Gap-Analyse und Maßnahmenplan 4.900 €, vollständiges ISMS-Light 12.900 €. Jeweils Festpreis. Laufende Betreuung ab 290 € monatlich.
Betroffenheitsprüfung und Registrierung sind in zwei bis vier Wochen abgeschlossen. Ein vollständiges ISMS-Light benötigt je nach Reifegrad und Unternehmensgröße 14 bis 16 Wochen.
Etwa 25 bis 35 Stunden über vier Monate, verteilt auf Unterlagenbereitstellung, einen Vor-Ort-Tag, drei Workshops und die Schulungen.
Ja. Prüfung, Registrierung und Dokumentation erfolgen digital und damit deutschlandweit. Vor-Ort-Termine für Gap-Analyse und Workshops vereinbaren wir bundesweit; innerhalb von 100 Kilometern um Leverkusen sind die Fahrtkosten in den Paketpreisen enthalten.
Zweierlei ist sinnvoll: die Nicht-Betroffenheit dokumentieren, um sie gegenüber Kunden, Behörden und Versicherern belegen zu können — und die Betroffenheit erneut prüfen, sobald Ihr Unternehmen wächst oder zukauft.
Nicht vollständig. Eine Rechtsverordnung des Bundesinnenministeriums soll die Maßnahmen des § 30 BSIG weiter konkretisieren und lag zum Stand dieser Seite noch nicht abschließend vor. Auch die Verwaltungspraxis des BSI entwickelt sich. Unsere Dokumente sind deshalb modular aufgebaut, und wir halten den Rechtsstand für unsere Mandanten nach.
Dreißig Minuten am Telefon, kostenfrei und unverbindlich. Danach wissen Sie, ob Sie betroffen sind, was zu tun ist und was es kosten würde. Sie gehen mit mindestens einer konkreten Empfehlung aus dem Gespräch — auch dann, wenn wir nicht zusammenarbeiten.
Rückmeldung in der Regel innerhalb eines Werktages. Bei abgelaufenen Fristen am selben Tag.
Seit über 10 Jahren beraten wir Unternehmen bundesweit zu Gefahrgut, Transport-Compliance und Arbeitssicherheit – persönlich, verlässlich und zu transparenten Pauschalpreisen.
Hinterlassen Sie uns Ihre Kontaktdaten – wir melden uns bei Ihnen.
Rechtsstand: 1. August 2026. Diese Seite gibt die Rechtslage allgemein wieder und ersetzt keine Rechtsberatung im Einzelfall. Die Rechtsverordnung nach § 57 BSIG zur Konkretisierung der Maßnahmen lag zum Redaktionsschluss noch nicht abschließend vor; Anforderungen können sich dadurch ändern.
Sind Sie von NIS2 betroffen? Kostenlos prüfen lassen 0214 403 9597
Sie sehen gerade einen Platzhalterinhalt von Vimeo. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Instagram. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von X. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen