Seit dem 6. Dezember 2025 gilt in Deutschland das NIS-2-Umsetzungsgesetz. Nach Schätzung der Bundesregierung fallen damit rund 29.500 Einrichtungen unter die Aufsicht des BSI, bisher waren es etwa 4.500. Ein großer Teil davon sind mittelständische Unternehmen, die zum ersten Mal mit Pflichten wie Risikomanagement, Meldewegen und Nachweisen zu tun haben.
Die meisten Geschäftsführungen stellen sich deshalb zwei Fragen: Sind wir betroffen? Und wenn ja, wie weit sind wir eigentlich von dem entfernt, was das Gesetz verlangt? Die erste Frage beantwortet die Betroffenheitsprüfung. Die zweite beantwortet ein NIS2-Check, also eine strukturierte Gap-Analyse mit Reifegradbewertung und Maßnahmenplan.
In diesem Beitrag erfahren Sie, was ein NIS2-Check genau prüft, wie er abläuft, wie Sie sich vorbereiten, was er kostet und wo seine Grenzen liegen.
Was ist ein NIS2-Check?
Ein NIS2-Check ist eine Standortbestimmung. Er vergleicht den heutigen Stand der Informationssicherheit in Ihrem Unternehmen mit den Anforderungen des BSI-Gesetzes in der neuen Fassung. Fachleute sprechen von einer Gap-Analyse oder einem Soll-Ist-Abgleich: Das Soll steht im Gesetz, das Ist ermitteln wir gemeinsam mit Ihnen, und die Lücken dazwischen werden bewertet und in einen Maßnahmenplan übersetzt.
Im Unterschied zu einem reinen Fragebogen geht ein guter NIS2-Check über die Frage hinaus, ob es eine Richtlinie gibt. Entscheidend ist, ob eine Maßnahme im Alltag tatsächlich gelebt wird. Ein Notfallhandbuch, das seit drei Jahren niemand geöffnet hat, ist auf dem Papier vorhanden, im Ernstfall aber wenig wert.
Erst prüfen, ob Sie betroffen sind
Vor jeder Gap-Analyse steht die Frage nach der Betroffenheit. Das Gesetz unterscheidet zwei Gruppen: besonders wichtige Einrichtungen und wichtige Einrichtungen. Maßgeblich sind der Sektor, in dem Ihr Unternehmen tätig ist, und die Größe.
| Kategorie | Typische Schwellenwerte nach § 28 BSIG | Beispiele für Sektoren |
|---|---|---|
| Besonders wichtige Einrichtung | mindestens 250 Beschäftigte oder mehr als 50 Mio. € Umsatz und mehr als 43 Mio. € Bilanzsumme, in Sektoren nach Anlage 1 | Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur |
| Wichtige Einrichtung | mindestens 50 Beschäftigte oder mehr als 10 Mio. € Umsatz und mehr als 10 Mio. € Bilanzsumme, in Sektoren nach Anlage 1 oder 2 | zusätzlich etwa Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste |
Für einige Einrichtungen gelten Sonderregeln unabhängig von der Größe, etwa für Betreiber kritischer Anlagen oder bestimmte Anbieter digitaler Infrastruktur. Das BSI stellt für die Einordnung eine kostenlose NIS-2-Betroffenheitsprüfung bereit. Ausführlich erklären wir die Kriterien im Beitrag Wer ist von NIS2 betroffen?.
Wichtig: Wer betroffen ist, muss sich selbst beim BSI registrieren. Die gesetzliche Frist dafür ist abgelaufen. Das BSI fordert betroffene Einrichtungen, die sich noch nicht registriert haben, auf seiner Informationsseite zu NIS-2 auf, dies umgehend nachzuholen. Die Registrierung ist kein Teil der Gap-Analyse, sollte aber vorher oder parallel erledigt sein.
Was der NIS2-Check prüft: die zehn Pflichtbereiche
Den inhaltlichen Rahmen gibt § 30 BSIG vor. Er verpflichtet betroffene Einrichtungen zu geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Maßnahmen und nennt zehn Bereiche, die mindestens abgedeckt sein müssen. Die Einhaltung ist zu dokumentieren. Im NIS2-Check wird jeder Bereich einzeln betrachtet:
| Nr. | Bereich nach § 30 Abs. 2 BSIG | Typische Prüffragen im Check |
|---|---|---|
| 1 | Risikoanalyse und Sicherheitskonzepte | Gibt es eine dokumentierte Risikoanalyse? Wird sie regelmäßig aktualisiert? |
| 2 | Bewältigung von Sicherheitsvorfällen | Wer erkennt einen Vorfall, wer entscheidet, wer meldet an das BSI? |
| 3 | Aufrechterhaltung des Betriebs | Gibt es Backups, die getestet werden? Ein Notfall- und Krisenmanagement? |
| 4 | Sicherheit der Lieferkette | Werden IT-Dienstleister und Lieferanten nach Sicherheitskriterien ausgewählt und vertraglich verpflichtet? |
| 5 | Sicherheit bei Beschaffung, Entwicklung und Wartung | Wie werden Schwachstellen erkannt und Updates eingespielt? |
| 6 | Bewertung der Wirksamkeit | Wird geprüft, ob die Maßnahmen tatsächlich wirken, zum Beispiel durch Audits oder Tests? |
| 7 | Schulung und Sensibilisierung | Werden Mitarbeitende regelmäßig geschult? Gibt es Nachweise? |
| 8 | Kryptografie | Gibt es Vorgaben, wo und wie verschlüsselt wird? |
| 9 | Personalsicherheit, Zugriffskontrolle, Management der Anlagen | Wer hat welche Rechte? Gibt es ein aktuelles Verzeichnis aller Systeme? |
| 10 | Multi-Faktor-Authentifizierung und gesicherte Kommunikation | Sind kritische Zugänge mit MFA geschützt? Gibt es sichere Notfallkommunikation? |
Hinzu kommen zwei Themen, die nicht in dieser Liste stehen, für die Praxis aber genauso wichtig sind: die Meldepflicht nach § 32 BSIG und die Pflichten der Geschäftsleitung nach § 38 BSIG.
Meldepflichten: Sind Sie in 24 Stunden meldefähig?
Erhebliche Sicherheitsvorfälle müssen in mehreren Stufen an das BSI gemeldet werden. Laut BSI ist eine erste Meldung spätestens 24 Stunden nach Kenntnis fällig, eine Folgemeldung spätestens nach 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach der Meldung. Im NIS2-Check prüfen wir deshalb nicht nur, ob es einen Meldeprozess auf dem Papier gibt, sondern ob er an einem Freitagabend tatsächlich funktionieren würde: Wer hat Zugang zum BSI-Portal? Wer entscheidet, ob ein Vorfall erheblich ist? Wer vertritt diese Person im Urlaub?
Pflichten der Geschäftsleitung
Nach § 38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Bei schuldhafter Pflichtverletzung haftet sie der Einrichtung für den entstandenen Schaden nach den Regeln des jeweiligen Gesellschaftsrechts. Außerdem müssen Geschäftsleiterinnen und Geschäftsleiter regelmäßig an Schulungen teilnehmen, um Risiken in der Informationssicherheit beurteilen zu können. NIS2 ist damit ausdrücklich Chefsache. Ein NIS2-Check gibt der Geschäftsleitung eine belastbare Grundlage, um diese Aufsicht wahrnehmen zu können.
So läuft der NIS2-Check bei der Deutschen Cyberkom ab
Unser NIS2-Check ist für mittelständische Unternehmen gemacht, die schnell Klarheit wollen, ohne gleich ein monatelanges Beratungsprojekt zu starten. Er gliedert sich in fünf Schritte.
1. Auftaktworkshop: Geltungsbereich festlegen
Gemeinsam klären wir, welche Unternehmensteile, Standorte und Dienste unter NIS2 fallen und welche Systeme dafür entscheidend sind. Außerdem legen wir fest, wer auf Ihrer Seite für welche Themen Ansprechpartner ist. Dieser Schritt verhindert, dass später zu viel oder zu wenig geprüft wird.
2. Interviews: 35 Prüfgruppen aus Organisation, Personal, Compliance und Technik
Auf Basis eines eigenen, NIS2-spezifischen Fragenkatalogs führen wir strukturierte Interviews mit den Verantwortlichen, zum Beispiel aus IT, Geschäftsleitung, Personal und Einkauf. Die Fragen sind in 35 Prüfgruppen gegliedert und decken alle Bereiche aus § 30 BSIG ab, dazu Meldewege und Governance. Themen wie Zugriffsmanagement, Notfallplanung, Lieferkette oder Schulungen werden dabei konkret besprochen, nicht nur abgehakt.
3. Dokumentensichtung
Wir sichten die vorhandenen Unterlagen: Richtlinien, Prozessbeschreibungen, Notfallpläne, Verträge mit IT-Dienstleistern, Schulungsnachweise. Dabei zeigt sich oft, dass mehr vorhanden ist als gedacht, nur verstreut und nicht aktuell.
4. Gap-Analyse mit Reifegradbewertung
Die Ergebnisse aus Interviews und Dokumenten fließen in die Gap-Analyse. Für jeden Bereich vergeben wir einen Reifegrad und beschreiben die konkreten Lücken. So sehen Sie auf einen Blick, wo Sie gut aufgestellt sind und wo der größte Handlungsbedarf besteht.
5. Ergebnisbericht und Abschlussworkshop
Sie erhalten einen schriftlichen Bericht mit allen Lücken, ihrer Bewertung und priorisierten Maßnahmenvorschlägen. Im Abschlussworkshop besprechen wir die Ergebnisse mit den Verantwortlichen und, wenn möglich, mit der Geschäftsleitung, und legen gemeinsam einen Fahrplan für die nächsten Monate fest.
Was ein Reifegrad aussagt
Die Reifegradbewertung macht aus vielen Einzelbeobachtungen ein verständliches Bild. Wir arbeiten mit einer fünfstufigen Skala:
| Stufe | Bedeutung | Beispiel aus dem Bereich Backup |
|---|---|---|
| 1: nicht vorhanden | Die Maßnahme fehlt | Backups laufen unregelmäßig, niemand ist zuständig |
| 2: ansatzweise | Es gibt Einzelmaßnahmen ohne Konzept | Backups laufen täglich, eine Rücksicherung wurde nie getestet |
| 3: definiert | Die Maßnahme ist beschrieben und eingeführt | Backupkonzept liegt vor, Zuständigkeiten sind geklärt |
| 4: gesteuert | Die Maßnahme wird überprüft und gemessen | Rücksicherungen werden regelmäßig getestet und protokolliert |
| 5: optimiert | Die Maßnahme wird anhand der Ergebnisse verbessert | Testergebnisse fließen in Anpassungen ein, Wiederanlaufzeiten sind mit dem Betrieb abgestimmt |
Für NIS2 muss nicht jeder Bereich die höchste Stufe erreichen. Das Gesetz verlangt Maßnahmen, die angemessen und verhältnismäßig sind. Bei der Bewertung spielen nach § 30 Abs. 1 BSIG unter anderem die Risikoexposition, die Größe der Einrichtung und die Umsetzungskosten eine Rolle. Als Faustregel gilt: Bereiche auf Stufe 1 oder 2 haben Priorität, besonders wenn sie Meldefähigkeit, Backup oder Zugänge betreffen.
Ein Beispiel aus dem Ergebnisbericht
Wie ein Ergebnis konkret aussieht, zeigt ein typischer Befund aus dem Bereich Lieferkette, wie er bei vielen Mittelständlern vorkommt:
- Befund: Der externe IT-Dienstleister hat einen dauerhaften Fernzugriff mit Administratorrechten. Es gibt keinen Vertrag, der Sicherheitsanforderungen oder Meldepflichten bei Vorfällen regelt. MFA ist für diesen Zugang nicht aktiviert.
- Reifegrad: 2, ansatzweise.
- Risiko: Ein kompromittiertes Konto beim Dienstleister öffnet Angreifern den direkten Weg ins Netzwerk.
- Maßnahmen: MFA für den Fernzugang aktivieren, Zugriff zeitlich begrenzen und protokollieren, Sicherheitsanforderungen und Meldepflichten vertraglich vereinbaren.
- Priorität: hoch, Umsetzung innerhalb von vier Wochen.
- Aufwand: gering bis mittel.
So entsteht für jeden Bereich eine klare Handlungsanweisung, die IT und Geschäftsleitung gleichermaßen verstehen.
NIS2-Check, Audit, ISO 27001: Was ist der Unterschied?
Rund um NIS2 kursieren viele Begriffe. Die folgende Übersicht hilft bei der Einordnung:
| Angebot | Ziel | Ergebnis | Wann sinnvoll |
|---|---|---|---|
| BSI-Betroffenheitsprüfung | Klären, ob NIS2 gilt | Einschätzung zur Betroffenheit | ganz am Anfang, kostenlos online |
| NIS2-Check (Gap-Analyse) | Lücken zu § 30 BSIG erkennen | Reifegrad je Bereich, priorisierter Maßnahmenplan | wenn Sie betroffen sind und wissen wollen, wo Sie stehen |
| IT-Security-Audit | Technische Sicherheit prüfen | Schwachstellen in Systemen und Konfigurationen | ergänzend, oder wenn Sie nicht unter NIS2 fallen |
| ISO 27001-Zertifizierung | Ein Managementsystem für Informationssicherheit nachweisen | Zertifikat nach externem Audit | mittel- bis langfristig, oft von Kunden gefordert |
Ein NIS2-Check ersetzt also weder eine Zertifizierung noch eine Rechtsberatung. Er ist der schnellste Weg zu einer belastbaren Antwort auf die Frage, was als Nächstes zu tun ist. Wer bereits nach ISO 27001 zertifiziert ist, hat viele Anforderungen abgedeckt, sollte aber vor allem Meldewege, Lieferkette und die Pflichten der Geschäftsleitung gezielt prüfen. Unternehmen, die nicht unter NIS2 fallen, aber ihre Sicherheit überprüfen wollen, finden mit unserem IT-Security-Audit zum Festpreis einen passenden Einstieg.
Was kostet ein NIS2-Check?
Die Kosten einer Gap-Analyse hängen vor allem von der Größe des Unternehmens, der Zahl der Standorte und dem vorhandenen Dokumentationsstand ab. Viele Anbieter rechnen nach Tagessätzen ab, was die Gesamtkosten schwer planbar macht.
Wir haben uns für einen Festpreis entschieden:
- Unternehmen bis 500 Mitarbeitende: 2.000 € als Einstiegspreis.
- Größere Unternehmen: individuelles Angebot nach Umfang.
Im Preis enthalten sind Auftaktworkshop, Interviews zu allen 35 Prüfgruppen, Dokumentensichtung, Gap-Analyse mit Reifegradbewertung, Ergebnisbericht mit priorisierten Maßnahmen und der Abschlussworkshop.
Zum Vergleich lohnt ein Blick auf die Gegenseite. Verstöße gegen die Risikomanagement- und Meldepflichten können nach § 65 BSIG mit Bußgeldern von bis zu 10 Mio. € für besonders wichtige und bis zu 7 Mio. € für wichtige Einrichtungen geahndet werden, bei sehr großen Unternehmen auch umsatzabhängig. Wer die Registrierung versäumt, riskiert bis zu 500.000 €. Noch teurer ist meist ein erfolgreicher Angriff, der den Betrieb tagelang lahmlegt.
Wie lange dauert ein NIS2-Check?
Der zeitliche Aufwand für Ihr Team ist überschaubar. Der Auftaktworkshop dauert in der Regel einen halben Tag, die Interviews verteilen sich je nach Unternehmensgröße auf ein bis drei Termine. Den vollständigen Ergebnisbericht erhalten Sie in der Regel innerhalb von einer bis vier Wochen nach Abschluss der Interviews und der Dokumentensichtung. Wie schnell es geht, hängt vor allem davon ab, wie zügig Unterlagen bereitgestellt und Termine vergeben werden können.
So bereiten Sie sich auf den NIS2-Check vor
Je besser die Vorbereitung, desto genauer das Ergebnis. Diese Unterlagen sollten Sie, soweit vorhanden, zusammentragen:
- Organigramm mit Zuständigkeiten für IT und Informationssicherheit
- Übersicht über Standorte, wichtige Systeme und Anwendungen
- vorhandene Richtlinien, etwa zu Passwörtern, Zugriffsrechten oder mobilem Arbeiten
- Notfall- und Wiederanlaufpläne, Backupkonzept
- Verträge mit IT-Dienstleistern, Cloud-Anbietern und Rechenzentren
- Nachweise über Schulungen und Awareness-Maßnahmen
- Ergebnisse früherer Audits, Penetrationstests oder Versicherungsfragebögen
- Ergebnis der BSI-Betroffenheitsprüfung und Nachweis der Registrierung
Fehlen einzelne Dokumente, ist das kein Problem. Auch das gehört zum Ergebnis. Wichtiger ist, dass die richtigen Personen an den Interviews teilnehmen: jemand aus der Geschäftsleitung, die IT-Verantwortlichen und, je nach Thema, Personal, Einkauf und Datenschutz.
Häufige Missverständnisse rund um NIS2
In den Gesprächen mit Unternehmen begegnen uns immer wieder dieselben Annahmen:
- „Wir sind zu klein.“ Schon ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz und Bilanzsumme kann ein Unternehmen in einem der genannten Sektoren betroffen sein. Und auch wer selbst nicht unter NIS2 fällt, wird als Zulieferer häufig von Kunden nach Sicherheitsnachweisen gefragt.
- „Das macht unser IT-Dienstleister.“ Ein Dienstleister kann viel umsetzen, die Verantwortung bleibt nach § 38 BSIG aber bei der Geschäftsleitung.
- „Wir haben eine Firewall und Virenschutz.“ Technik ist nur ein Teil. NIS2 verlangt auch Risikoanalyse, Prozesse, Schulungen, Lieferkettenmanagement und Dokumentation.
- „Wir warten auf die erste Prüfung.“ Das Gesetz gilt ohne Übergangsfrist. Wer im Ernstfall einen Vorfall nicht fristgerecht melden kann, hat sofort ein Problem.
- „Der Bericht ist unser NIS2-Nachweis.“ Der Ergebnisbericht dokumentiert den Ist-Stand und den geplanten Weg. Das ist wertvoll, auch gegenüber dem BSI. Nachweisen müssen Sie aber die umgesetzten Maßnahmen selbst.
Nach dem Check: Wie geht es weiter?
Mit dem Maßnahmenplan beginnt die eigentliche Umsetzung. Typischerweise stehen in den ersten Monaten Themen mit hoher Wirkung und geringem Aufwand im Vordergrund, etwa MFA für kritische Zugänge, ein getesteter Meldeprozess und ein überprüftes Backup. Danach folgen strukturelle Themen wie Risikomanagement, Lieferantensteuerung und regelmäßige Schulungen.
Sie entscheiden, ob Sie die Maßnahmen selbst umsetzen oder Unterstützung möchten. Wir begleiten Sie auf Wunsch mit NIS2-Beratung und Umsetzung, mit Awareness-Trainings, bei der IT-Notfallplanung und mit Lösungen für Governance, Risk und Compliance, die Nachweise und Fristen dauerhaft im Blick behalten. Einen ersten Überblick zum Selbstprüfen bietet unsere NIS2 Checkliste.
Wichtig ist, NIS2 nicht als einmaliges Projekt zu verstehen. § 30 BSIG verlangt auch, die Wirksamkeit der Maßnahmen regelmäßig zu bewerten. Ein erneuter Check nach zwölf Monaten zeigt, wie weit Sie gekommen sind, und liefert gleichzeitig Material für die Berichte an die Geschäftsleitung.
Fazit: Klarheit in wenigen Wochen statt Unsicherheit über Monate
NIS2 gilt, die Registrierungsfrist ist vorbei, und die Geschäftsleitung trägt die Verantwortung. Viele Unternehmen wissen trotzdem nicht genau, wo sie stehen. Ein NIS2-Check schafft diese Klarheit: Er zeigt für alle zehn Pflichtbereiche den Reifegrad, benennt die konkreten Lücken und liefert einen priorisierten Fahrplan. Mit dem Festpreis von 2.000 € für Unternehmen bis 500 Mitarbeitende bleibt der Einstieg planbar.
Sie möchten wissen, wo Ihr Unternehmen bei NIS2 steht? Sprechen Sie mit uns über den NIS2-Check und buchen Sie eine kostenlose Erstberatung.
Quellen
- BSI: NIS-2-regulierte Unternehmen
- BSI: NIS-2-Umsetzungsgesetz ab morgen in Kraft (Pressemitteilung vom 5.12.2025)
- BSI: Infopaket NIS-2-Meldepflicht
- BSI: NIS-2-Betroffenheitsprüfung
- BMI: Bundesregierung bringt neues IT-Sicherheitsgesetz auf den Weg (Juli 2025)
- § 28 BSIG: Besonders wichtige und wichtige Einrichtungen
- § 30 BSIG: Risikomanagementmaßnahmen
- § 38 BSIG: Pflichten der Geschäftsleitung
- § 65 BSIG: Bußgeldvorschriften
