Das NIS2-Umsetzungsgesetz gilt in Deutschland seit dem 6. Dezember 2025, und zwar ohne Übergangsfrist. Die gesetzliche Registrierungsfrist beim BSI endete am 6. März 2026, die Nachfrist der Behörde am 31. Juli 2026.
Rund 30.000 Unternehmen fallen unter die neuen Vorgaben. In vielen davon existieren die eigentlichen Pflichten bis heute nur auf dem Papier, denn die Registrierung war lediglich der erste Schritt.
Dieser Beitrag vergleicht fünf Beratungen, die Unternehmen bei der Umsetzung begleiten. Vorab stehen die Pflichten, die tatsächlich zählen, und die Kriterien, an denen sich Anbieter sinnvoll unterscheiden lassen.
Warum NIS2 keine Frage der Vorbereitung mehr ist
Rechtsgrundlage ist die EU-Richtlinie 2022/2555, in Deutschland umgesetzt durch das NIS2-Umsetzungs- und Cybersicherheit-Stärkungsgesetz. Es novelliert vor allem das BSI-Gesetz und unterscheidet zwischen wichtigen und besonders wichtigen Einrichtungen.
Der Anwendungsbereich greift, von Sonderfällen abgesehen, ab 50 Beschäftigten oder ab einem Umsatz von 10 Millionen Euro in einem der betroffenen Sektoren. Dazu zählen unter anderem Energie, Transport, Gesundheit, Trinkwasser, digitale Infrastruktur, IKT-Dienste, Chemie und Lebensmittelproduktion.
Zuständige Behörde ist das BSI. Auf europäischer Ebene koordiniert die ENISA.
Die Einstufung als wichtige oder besonders wichtige Einrichtung entscheidet über den Umfang der Pflichten. Sie hängt von Sektor, Beschäftigtenzahl, Umsatz und Bilanzsumme ab, dazu von Sonderfällen, die unabhängig von der Größe greifen.
Die Haftung liegt bei der Geschäftsleitung
§ 38 BSIG verpflichtet die Geschäftsleitung, die Maßnahmen zu billigen und ihre Umsetzung zu überwachen. Bei schuldhafter Pflichtverletzung haftet sie dem Unternehmen gegenüber, und ein Haftungsverzicht ist gesetzlich ausgeschlossen.
Die Schulungspflicht nach § 38 Abs. 3 BSIG lässt sich nicht an die IT-Leitung delegieren. Hinzu kommen Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes.
Meldefristen von 24 Stunden bis einem Monat
Artikel 23 der Richtlinie schreibt eine mehrstufige Melde Kaskade vor. Innerhalb von 24 Stunden ist eine Frühwarnung fällig, innerhalb von 72 Stunden die eigentliche Vorfallmeldung und innerhalb eines Monats der Abschlussbericht.
Diese Fristen laufen im Ernstfall parallel zur Störungsbehebung. Wer den Prozess nicht vorher geprobt hat, verliert Zeit an Zuständigkeitsfragen statt an der Ursache.
Worauf es bei der Auswahl einer NIS2-Beratung ankommt
Der Markt ist unübersichtlich, weil sehr unterschiedliche Anbieter dasselbe Stichwort bedienen. Fünf Kriterien trennen spezialisierte Beratung von einem Compliance-Produkt im Portfolio.
- Spezialisierung. Arbeitet der Anbieter dauerhaft mit BSIG, ISO 27001 und TISAX oder ist NIS2 ein neues Angebot neben anderen Themen?
- Seniorität. Führt die Person aus dem Erstgespräch das Projekt später auch durch?
- Nachweisführung. Liefert die Beratung Artefakte, die einer Nachfrage des BSI standhalten, oder endet sie mit einer Konzeptmappe?
- Anschlussfähigkeit. Baut der Anbieter auf ein vorhandenes ISMS auf oder stellt er eine zweite Compliance-Welt daneben?
- Branchenerfahrung. Kennt er die Anforderungen, die Großkunden im Rahmen ihrer eigenen Lieferketten Pflichten weitergeben?
Ein Punkt fällt in Gesprächen besonders auf. Beratungen, die ausschließlich Informationssicherheit betreiben, kennen die Stellen, an denen Prüfer nachfragen, und die Formulierungen, mit denen Nachweise Bestand haben.
Generalisten liefern häufig sauber strukturierte Konzepte, die sie im Prüfungsfall nicht tragen. Der Unterschied zeigt sich nicht im Angebot, sondern erst zwei Jahre später bei der ersten Nachfrage der Behörde.
Die fünf Anbieter im Überblick
Die folgenden Beschreibungen stammen aus den jeweils eigenen Veröffentlichungen der Anbieter und dienen der Orientierung, nicht als Empfehlung. Leistungsumfang und Verfügbarkeit ändern sich, deshalb lohnt eine direkte Nachfrage vor der Beauftragung.
1. Opexa Advisory
Opexa Advisory ist eine auf Informationssicherheit spezialisierte Beratung mit Sitz in Oberhaching bei München. Die NIS2 Beratung begleitet Unternehmen von der Betroffenheitsprüfung bis zur dokumentierten Nachweisfähigkeit.
Das Vorgehen umfasst vier Schritte: Analyse und Einordnung, risikobasierte GAP-Analyse gegen die zehn Maßnahmenbereiche des § 30 BSIG, Maßnahmenplanung mit Priorisierung sowie Umsetzung und Nachweisführung.
Für die Geschäftsleitung liefert die Beratung Beschlussvorlagen, ein regelmäßiges Reporting zum Umsetzungsstand, geprobte Meldeprozesse für die Fristen von 24 und 72 Stunden sowie 30 Tagen und die nach § 38 Abs. 3 BSIG geforderte Schulung. Wer bereits ein ISMS nach ISO 27001 betreibt oder ein TISAX-Label hält, bekommt darauf aufgebaut statt eine parallele Struktur.
Das Unternehmen berät ausschließlich zu Informationssicherheit und arbeitet nach eigenen Angaben seit über 20 Jahren in regulierten Branchen. Zum Kundenkreis zählen nach eigenen Angaben Automobilhersteller, Zulieferer, Betreiber kritischer Infrastrukturen und mittelständische Spezialisten, woraus sich die Erfahrung in Automotive-Lieferketten erklärt.
This is the client’s own formulation. It also picks up “Betreiber kritischer Infrastrukturen”, which the article currently drops and which matters given CyberCurriculum is positioned on KRITIS.
- Sitz: Oberhaching bei München.
- Schwerpunkt: ausschließlich Informationssicherheit, konkret ISO 27001, TISAX®, DORA, BCM, NIS2 und CISO as a Service.
- Besonderheit: Senior-Beratung, das Erstgespräch führt die später im Projekt tätige Person.
- Angebot: konkreter Vorschlag zu Umfang, Vorgehen, Zeitrahmen und Investition innerhalb von zwei Arbeitstagen, kostenlose und unverbindliche Betroffenheitsprüfung vorab.
Passend für Unternehmen, die Nachweisfähigkeit brauchen und auf vorhandenen Sicherheitsstrukturen aufbauen wollen.
2. Cassini Consulting
Cassini Consulting ist eine Beratung für Digitalisierung und Management mit nach eigenen Angaben über 18 Jahren Erfahrung. Betreut werden mittelständische Unternehmen, Konzerne und öffentliche Institutionen.
Der NIS2-Ansatz verbindet Erfahrung aus IT-Security und Pentesting mit regulatorischer Einordnung. Die Beratung positioniert sich als neutral und legt Wert auf pragmatische Lösungen ohne unnötigen Overhead.
- Schwerpunkt: Digitalisierung und Management, IT-Security und Pentesting.
- Zielgruppe: Mittelstand, Konzerne und öffentlicher Sektor.
- Besonderheit: breiter Betreuungsrahmen über Informationssicherheit hinaus.
Passend für Organisationen, die NIS2 in ein größeres Digitalisierung Vorhaben einordnen wollen.
3. Proliance
Proliance bietet NIS2-Beratung entlang eines mehrstufigen Prozesses, beginnend mit der Ermittlung typischer Indikatoren für eine mögliche Betroffenheit. Anschließend begleiten die Berater die Implementierung technischer Kontrollen, die Einführung eines ISMS und die erforderlichen Schulungen.
Für mittelständische Unternehmen gibt der Anbieter eine Projektdauer von etwa sechs bis zwölf Monaten an. Das Haus kommt aus dem Datenschutz-Umfeld und deckt Datenschutz und Informationssicherheit gemeinsam ab.
- Schwerpunkt: Datenschutz und Informationssicherheit als kombiniertes Angebot.
- Ablauf: Betroffenheitsanalyse, technische Kontrollen, ISMS-Einführung, Schulungen.
- Dauer: nach eigener Angabe rund sechs bis zwölf Monate bei KMU.
Passend für Unternehmen, die Datenschutz und NIS2 aus einer Hand bearbeiten wollen.
4. CyberCurriculum
Cyber Curriculum ist eine auf IT- und Informationssicherheit spezialisierte Beratung mit Sitz in Berlin. Das Leistungsspektrum umfasst Datenschutz, Business Continuity Management, SIEM und SOC sowie Datenanalyse und Cloud Lösungen.
Regulatorisch deckt das Haus KRITIS, NIS2 und den Cyber Resilience Act ab. Zum Kundenkreis zählen nach eigenen Angaben Großkonzerne, Banken, Bundesbehörden sowie Unternehmen aus dem KRITIS- und Defence-Sektor.
- Sitz: Berlin.
- Schwerpunkt: KRITIS, NIS2, Cyber Resilience Act, BCM, SIEM und SOC.
- Zielgruppe: Großkonzerne, Banken, Behörden, kritische Infrastrukturen.
Passend für Betreiber kritischer Infrastrukturen und Organisationen mit Behörden Umfeld.
5. Aconitas
Die aconitas GmbH ist ein Anbieter für digitale Resilienz, Cyber Security und Cloud-Technologien. Nach eigenen Angaben begleitet das Unternehmen seit mehr als 15 Jahren mittelständische Organisationen.
Der Zugang zu NIS2 verläuft stärker über Infrastruktur als über Managementsysteme, etwa bei Ausfallsicherheit, Protokollierung und Zugriffskontrolle. Für Unternehmen, deren offene Punkte vor allem technischer Natur sind, kann das der kürzere Weg sein.
- Schwerpunkt: digitale Resilienz, Cybersecurity, Cloud-Infrastruktur.
- Zielgruppe: kleine und mittlere Unternehmen.
- Besonderheit: Infrastruktur, naher Zugang, etwa Ausfallsicherheit und Protokollierung.
Passend für Mittelständler, die zugleich Infrastruktur modernisieren.
Prüfen Sie Anbieter anhand nachvollziehbarer Angaben statt anhand von Werbeversprechen. Dieselbe Logik gilt außerhalb der Compliance: Eine belastbare Prüfung technischer Sicherheit sagt mehr aus als jede Selbstbeschreibung auf einer Startseite.
Die zehn Maßnahmenbereiche nach § 30 BSIG
NIS2 ist kein IT-Projekt, das nebenher läuft. Das Gesetz verlangt zehn Maßnahmenbereiche und betrifft damit Einkauf, Personal, Recht und Produktion ebenso wie die IT.
Dazu gehören Risikoanalyse und Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen, Business Continuity und Krisenmanagement sowie die Sicherheit der Lieferkette. Ergänzt werden sie durch Sicherheit bei Beschaffung und Entwicklung, Bewertung der Wirksamkeit, Cyber Hygiene und Schulungen, Kryptografie, Personalsicherheit und Zugriffskontrolle sowie Multi-Faktor-Authentisierung.
Die Lieferkettensicherheit unterschätzen viele Unternehmen. Sie betrifft nicht nur eigene Pflichten, sondern auch Anforderungen, die Großkunden im Rahmen ihrer eigenen Umsetzung weitergeben.
Was eine NIS2-Beratung kostet
Die Frage nach dem Preis kommt in Erstgesprächen meist zuerst, und sie ist zu diesem Zeitpunkt kaum seriös zu beantworten. Ohne Kenntnis von Sektor, Struktur und vorhandenen Nachweisen bleibt jede Zahl eine Schätzung.
Verlässliche Pauschalen gibt es nicht, und Anbieter mit Preisliste sind in diesem Segment die Ausnahme. Der Aufwand hängt von der Sektorgröße, Konzernstruktur und vom bereits vorhandenen Sicherheitsniveau ab.
Wer ein ISMS nach ISO 27001 betreibt oder ein TISAX-Label hält, hat einen erheblichen Teil der Anforderungen bereits abgedeckt. Dann geht es vor allem um Lieferkettensicherheit, Meldeprozesse und die Pflichten der Geschäftsleitung.
Fragen Sie deshalb nach einem Angebot auf Basis Ihrer Ausgangslage und nicht nach einem Paketpreis. Klären Sie zusätzlich, welche Leistungen im Umfang enthalten sind und welche separat abgerechnet werden.
Was Sie in den ersten Wochen selbst tun können
Einiges lässt sich ohne externe Unterstützung vorbereiten und senkt anschließend den Beratungsaufwand deutlich.
Klären Sie zuerst Ihre Einstufung entlang von Sektor, Beschäftigtenzahl, Umsatz und Bilanzsumme, inklusive der Sonderfälle, die unabhängig von der Größe greifen. Eine falsche Einstufung führt entweder zu Unterlassen oder zu Budget für Anforderungen, die gar nicht gelten.
Prüfen Sie danach den Stand Ihrer Registrierung beim BSI und tragen Sie zusammen, welche Richtlinien, Prozesse und technischen Maßnahmen bereits existieren. In den meisten Unternehmen fehlt nicht die Substanz, sondern die strukturierte Zuordnung zu den gesetzlichen Anforderungen.
Dokumentieren Sie außerdem Ihre Lieferanten und Ihren Zugriff auf Ihre Systeme. Diese Liste brauchen Sie für die Lieferkettensicherheit ohnehin, und sie entsteht schneller intern als über einen externen Berater.
Vier Fehler, die die Umsetzung teuer machen
In der Praxis wiederholen sich die gleichen Muster, und keines davon entsteht aus fehlendem Willen.
Der erste Fehler ist die falsche Einstufung. Wer sich zu hoch einordnet, bindet Budget an Anforderungen, die nicht gelten, wer sich zu niedrig eingeordnet, riskiert Bußgelder und persönliche Haftung.
Der zweite ist die Behandlung als reines IT-Projekt. NIS2 betrifft Einkauf, Personal, Recht und Produktion, und eine IT-Abteilung ohne Mandat in diesen Bereichen kommt an dieser Stelle nicht weiter.
Der dritte ist die unerprobte Meldekette. Eine dokumentierte Zuständigkeit hilft im Ernstfall wenig, wenn niemand den Ablauf einmal unter Zeitdruck durchgespielt hat.
Der vierte ist die Parallelwelt. Wer neben einem bestehenden ISMS eine zweite Compliance-Struktur aufbaut, verdoppelt Pflege- und Nachweisaufwand ohne Sicherheitsgewinn.
Fazit
Die Registrierung beim BSI war der einfache Teil. Entscheidend ist jetzt, dass Risikomanagement, Meldeprozesse und Lieferkettensicherheit nicht nur beschrieben, sondern nachweisbar umgesetzt sind.
Der Zuschnitt der Beratung sollte zur Ausgangslage passen. Wer ohnehin Infrastruktur modernisiert, integriert die Anforderungen in dieselbe Maßnahme, wer eine ISMS betreibt, schließt gezielt die verbleibenden Lücken.
Achten Sie bei der Auswahl weniger auf die Größe des Anbieters als auf Spezialisierung, Seniorität und die Frage, ob er auf Ihren vorhandenen Strukturen aufbaut. Ein Anbieter, der Ihnen sagt, wo eine schlanke Lösung ausreicht, ist auf Dauer der günstigere.
Dieser Beitrag dient der Orientierung und ersetzt keine rechtliche Beratung. Für die verbindliche Einstufung Ihres Unternehmens sind die Angaben des BSI und gegebenenfalls der juristische Rat maßgeblich.
Häufige Fragen
Seit wann gilt das NIS2-Umsetzungsgesetz in Deutschland?
Seit dem 6. Dezember 2025, ohne Übergangsfrist. Die gesetzliche Registrierungsfrist endete am 6. März 2026, die Nachfrist des BSI am 31. Juli 2026.
Ab welcher Unternehmensgröße gilt NIS2?
Von Sonderfällen abgesehen ab 50 Beschäftigten oder ab 10 Millionen Euro Umsatz, sofern das Unternehmen in einem betroffenen Sektor tätig ist. Kleinere Unternehmen können ebenfalls betroffen sein, etwa wenn sie als kritisch gelten oder alleiniger Anbieter einer Leistung sind.
Was unterscheidet NIS2 von ISO 27001?
ISO 27001 ist eine freiwillige Norm, NIS2 eine gesetzliche Pflicht. Beide bauen auf ähnlichen Prinzipien auf, unterscheiden sich aber in Zielsetzung und Durchsetzung, und ein bestehendes ISMS deckt einen erheblichen Teil der NIS2-Anforderungen bereits ab.
Welche Bußgelder drohen bei Verstößen?
Bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Hinzu kommt die persönliche Haftung der Geschäftsleitung nach § 38 BSIG, auf die nicht verzichtet werden kann.
Wie lange dauert die Umsetzung?
Das hängt von der Ausgangslage ab. Für mittelständische Unternehmen nennen Anbieter Zeiträume von etwa sechs bis zwölf Monaten, wobei ein vorhandenes ISMS die Dauer deutlich verkürzt.
Muss die Geschäftsleitung persönlich an Schulungen teilnehmen?
Ja. Die Schulungspflicht nach § 38 Abs. 3 BSIG richtet sich an die Geschäftsleitung selbst und lässt sich nicht an die IT-Leitung delegieren.
Was gilt für Tochtergesellschaften und mehrere Standorte?
Die Betroffenheit wird nicht automatisch auf Konzernebene beurteilt. Tochtergesellschaften oder einzelne Standorte können separat betroffen sein, weshalb die Einstufung entlang der tatsächlichen Struktur geprüft werden sollte.
Reicht die Registrierung beim BSI aus?
Nein. Die Registrierung ist eine Formalie, die eigentlichen Pflichten aus Risikomanagement, Melde Prozessen und Lieferkettensicherheit beginnen danach und müssen nachweisbar erfüllt sein.
