NIS2 Compliance Kit

Nach § 28 BSIG: 'Wesentliche Einrichtungen' sind Großunternehmen (≥250 MA oder ≥50 Mio. EUR Umsatz) in 11 Hochkritikalitäts-Sektoren (Energie, Transport, Bank, Gesundheit, etc.). 'Wichtige Einrichtungen' sind mittlere Unternehmen (50-249 MA, ≤50 Mio. EUR Umsatz) in 18 Sektoren. Ausnahme: Kommunen, KRITIS sind unabhängig von der Größe wesentlich.

Größtenteils ja, aber Vorsicht: Sektor-Sonderregeln greifen unabhängig von Größe (z. B. öffentl. Verwaltung, einige TK-Anbieter, Vertrauensdiensteanbieter). Außerdem: Konzernzugehörigkeit (§28 Abs. 4) kann verbundene Unternehmen einbeziehen. Praxis-Tipp: vollständige Scope-Analyse statt Bauchgefühl.

Nicht automatisch, aber bei Konzern-Konsolidierung: Die Mitarbeiter- und Umsatzschwellen gelten konzernweit (§ 28 Abs. 4). Ergebnis: viele Tochter-GmbHs sind 'wichtige Einrichtungen', auch wenn sie isoliert <50 MA hätten. Eigene BSI-Registrierung pro betroffener Einheit erforderlich.

Sofort nachholen über das 'Mein Unternehmenskonto'-Portal. Stand 2026-05: nach BSI-Mitteilungen waren nur ca. 11.500 von rund 29.500 registrierungspflichtigen Einrichtungen formal angemeldet (~38 %) — 61,5 % sind säumig. Das BSI verfolgt aktuell vorrangig systematische Verstöße; verspätete Registrierung wird in der Regel nicht als eigenständiger Verstoß sanktioniert, fehlende Registrierung sehr wohl. Sanktionsrahmen: bis 7-10 Mio. EUR / 1,4-2 % Umsatz.

Größtenteils ja, mit Lücken. ISO 27001 deckt 70-80 % der § 30 BSIG-Anforderungen ab. Lücken: NIS2-Meldepflichten 24h/72h/30d (§ 32), Lieferketten-Sorgfalt (§ 30 Abs. 2 Nr. 5), § 38 BSIG-Geschäftsleitungsbillung. Mapping-Workbook + Ergänzungen im NIS2-Kit schließen die Lücken.

Ja, faktisch. § 30 Abs. 2 Nr. 10 BSIG verlangt 'Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung'. BSI-Empfehlung: alle Admin-Konten + alle externen Zugänge (VPN, Cloud) mit MFA. Bei reiner Mitarbeiter-Office-Nutzung (kein remote/elevated): risikobasiert begründbar.

Nach § 38 Abs. 1 BSIG: die Geschäftsleitung selbst — Umsetzungs- und Überwachungspflicht für die § 30-Risikomaßnahmen ist nicht delegierbar. § 38 Abs. 2 BSIG verweist für die Innenhaftung auf die Regeln des Gesellschaftsrechts (§ 43 GmbHG bzw. § 93 AktG); danach ist ein Verzicht/Vergleich u. a. erst nach Ablauf von 3 Jahren möglich. Externe Bußgelder treffen die Einrichtung; Innenausgleich gegen GF-Privatvermögen ist nach Gesellschaftsrecht möglich.

Das BSIG nennt keine Frequenz. BSI-Empfehlung (Handreichung Geschäftsleitung 2024): bei Antritt + jährliche Auffrischung. Praxis-Standard: Halbjährlich für GL wesentlicher Einrichtungen, jährlich für wichtige. Online-Schulung mit Wissenstest und Zertifikat erfüllt die Anforderung.

Eingangsbestätigung beim BSI über das 'Mein Unternehmenskonto'-Portal binnen 24h ab Kenntnis eines signifikanten Vorfalls. Inhalt: erste Bewertung, kein vollständiger Bericht. Die Definition 'signifikanter Vorfall' ist in der EU-DurchführungsVO 2024/2690 technisch definiert (Anzahl betroffener Nutzer, Schaden, etc.).

Ja. Der Auftraggeber bleibt vollumfänglich verantwortlich. Pflicht: Lieferketten-Sicherheit nach § 30 Abs. 2 Nr. 5 BSIG — Vertragsklauseln zu Cybersecurity, Vorfallsmeldung des Dienstleisters an Auftraggeber, Right-to-Audit. Cloud-Anbieter sind separat NIS2-pflichtig (eigene Registrierung).

Mindestens: Information bei Vorfällen (24h-Pflicht weitergegeben), Recht auf Audit/Pentest, Sicherheits-Mindeststandards, Right-to-Audit, Notfall-Schnittstelle. BSI hat Muster-Klauseln in der NIS2-Handreichung 'Cybersicherheit in der Lieferkette' veröffentlicht.

Drei verschiedene Welten: NIS2 ist gesetzliche Pflicht (BSIG); ISO 27001 ist freiwillige Zertifizierung (intern. Standard); TISAX ist Automotive-Spezialstandard. Überlappung: ISO 27001 und TISAX decken viele NIS2-Anforderungen ab. Mapping: NIS2-Kit liefert Crosswalk-Tabelle.

DORA (Digital Operational Resilience Act, Verordnung (EU) 2022/2554) ist lex specialis für Finanzentitäten. Wer unter DORA fällt, ist von NIS2 ausgenommen (Art. 4 NIS2-RL). Praxis: Banken, Versicherungen, Zahlungsdienstleister → DORA. Nicht-Finanz-Töchter eines Bank-Konzerns → ggf. NIS2.

Ja, möglich. Bußgeldbewehrt sind Pflichtverstöße — fehlende Risikomaßnahmen nach § 30 BSIG, fehlende Geschäftsleitungs-Billigung nach § 38, fehlende Registrierung. Auch ohne konkreten Schaden. BSI-Aufsicht prüft anlassunabhängig.

Bußgelder treffen die Einrichtung. ABER: § 38 Abs. 2 BSIG verweist für die persönliche Innenhaftung der Geschäftsleitung gegenüber der Einrichtung auf die Regeln des Gesellschaftsrechts (§ 43 GmbHG / § 93 AktG). Wenn das Unternehmen ein Bußgeld zahlt und die Pflichtverletzung der GF anzulasten ist, kann das Unternehmen den GF nach Gesellschaftsrecht persönlich in Regress nehmen. D&O-Versicherung greift bei grober Fahrlässigkeit nicht zwingend.

§ 30 BSIG verlangt 'Konzepte zur Beurteilung der Wirksamkeit'. Eine externe Audit-Zertifizierung ist nicht zwingend, aber praktisch hilfreich. ISO 27001-Zertifizierung deckt einen Großteil ab. Pentest-Anforderung explizit nicht im Gesetz, aber BSI-Empfehlung.

Das BSIG nennt keine konkrete Aufbewahrungsfrist. Branchen-Standard: mindestens 12 Monate, bei Vorfällen 36 Monate. DSGVO-Konflikt beachten: Logs mit personenbezogenen Daten unterliegen Art. 5 Abs. 1 lit. e (Speicherbegrenzung). Anonymisierung/Pseudonymisierung bei langfristiger Aufbewahrung empfohlen.

Die NIS2-Richtlinie (EU 2022/2555) ist das EU-Recht. NIS2UmsuCG ist das deutsche Umsetzungsgesetz, in Kraft seit 06.12.2025. Es novelliert das BSIG. Ab dem Inkrafttreten gelten in Deutschland §§ 28-60 BSIG-neu — auf diese paragrafen sollten Verträge, Policies und Schulungsmaterialien Bezug nehmen.

Ja. Nach dem Kauf erhalten Sie einen Download-Link mit allen personalisierten professionelle Vorlagen. Die Dateien gehören Ihnen vollständig — Sie können sie speichern, in Ihre Compliance-Infrastruktur integrieren, intern weiterbearbeiten, archivieren. Es gibt keine Cloud-Abhängigkeit, keine Lizenz-Aktivierung pro Gerät, keine Internet-Verbindung für die Nutzung erforderlich.

Sie erhalten alle Updates des Kits, solange das Kit in seiner aktuellen Major-Version geführt wird. Updates kommen bei Behörden-Auslegungsänderungen, neuer Rechtsprechung und bekannten Folge-Phasen einer Verordnung. Bei substantiell neuer Verordnung 50% Bestandskunden-Rabatt.

Bei rechtlich nachweisbar falschem Inhalt erstatten wir den Kaufpreis. Frist 60 Tage ab Lieferdatum. Beweis durch anwaltliches Schreiben oder Behörden-Stellungnahme. Details siehe AGB § 8.