Das NIS2-Umsetzungsgesetz ist seit Dezember 2025 in Kraft. Rund 30.000 Unternehmen in 18 Sektoren sind betroffen, die Registrierung beim BSI ist gelaufen — und in den meisten Unternehmen steht die eigentliche Arbeit noch aus: die zehn geforderten Risikomanagement-Maßnahmen, ein funktionierender Meldeprozess und Nachweise, die einer Prüfung standhalten.
In ein bis zwei Tagen bekommen Sie eine belastbare Standortbestimmung und eine priorisierte Roadmap für die nächsten zwölf Monate — in einer Form, mit der Ihre Geschäftsleitung tatsächlich arbeiten kann.
Die Pflichten aus NIS2 gelten unabhängig davon, ob jemand danach fragt. Die Aufsicht kann prüfen, Bußgelder erreichen je nach Einstufung Millionenhöhe, und — das ist der Punkt, der in Vorstandssitzungen die Aufmerksamkeit ändert — die Geschäftsleitung trägt eine persönliche Verantwortung: Sie muss die Risikomanagement-Maßnahmen billigen, ihre Umsetzung überwachen und sich selbst regelmäßig schulen. Alles drei muss nachweisbar sein.
Die meisten Unternehmen scheitern nicht am Willen, sondern an der Priorisierung: Die zehn Maßnahmenbereiche wirken erschlagend, und ohne eine ehrliche Reifegradbewertung fängt man am falschen Ende an.
Sie erhalten einen strukturierten Fragebogen und eine Liste der Unterlagen, die wir sichten (vorhandene Richtlinien, Notfallkonzepte, Dienstleisterübersicht, IT-Dokumentation). Wir werten das vorab aus, damit die gemeinsame Zeit nicht für Faktensammlung draufgeht.
Sektorzuordnung, Schwellenwerte, Einstufung als besonders wichtige oder wichtige Einrichtung. Wir klären auch die Lieferkettenbetroffenheit: Anforderungen, die Ihre Kunden an Sie weiterreichen, gelten vertraglich, selbst wenn Sie nicht direkt reguliert sind.
Status Ihrer BSI-Registrierung. Anschließend der Meldeprozess entlang der gesetzlichen Fristen: Erstmeldung binnen 24 Stunden, Folgemeldung binnen 72 Stunden, Abschlussmeldung binnen eines Monats. Wir prüfen, ob Ihre Organisation das an einem Freitagabend tatsächlich leisten könnte — Zuständigkeit, Erreichbarkeit, Entscheidungsweg, Vorlagen.
Reifegradbewertung je Bereich mit Begründung und Beleg: Risikoanalyse und Sicherheitskonzepte · Bewältigung von Sicherheitsvorfällen · Aufrechterhaltung des Betriebs · Sicherheit der Lieferkette · Sicherheit in Beschaffung und Wartung · Bewertung der Wirksamkeit · Grundlegende Cyberhygiene und Schulungen · Kryptografie und Verschlüsselung · Personalsicherheit und Asset-Management · Multi-Faktor-Authentifizierung.
Was Billigung, Überwachung und Schulungspflicht praktisch bedeuten — und wie Sie den Nachweis so führen, dass er im Ernstfall trägt.
Gemeinsame Priorisierung der Lücken nach Risiko, Aufwand und Frist. Ergebnis ist eine 12-Monats-Roadmap mit Verantwortlichen und Aufwandsschätzung.
Ergebnisbericht innerhalb von zehn Werktagen, anschließend eine einstündige Ergebnispräsentation — auf Wunsch direkt vor Ihrer Geschäftsleitung.
| Ergebnis | Form |
|---|---|
| Ergebnisbericht — Betroffenheit, Reifegrad je Maßnahmenbereich als Ampel, Lücken mit Begründung, Empfehlungen | PDF, 15–25 Seiten |
| Priorisierte 12-Monats-Roadmap — Maßnahmen nach Risiko und Aufwand, mit Schätzung | PDF + Excel |
| Management-Summary — die haftungsrelevanten Punkte für die Geschäftsleitung | PDF, 2 Seiten |
| Meldeprozess-Kurzkonzept — Zuständigkeiten, Eskalation, Meldevorlagen für 24 h / 72 h / 1 Monat | Word, anpassbar |
| Ihre Maßnahmen als Vorgangsliste — importfähig für Jira, Microsoft Planner/Lists, GRC-Tools oder Excel; wenn Sie das maplee ISMS mit Jira & Confluence nutzen, direkt im Maßnahmenmanagement | CSV / Importdatei |
| Dauer | 1 Tag kompakt (remote) oder 2 Tage erweitert (vor Ort, mit Fachbereichen) |
| Teilnehmer | 3–8 Personen: Geschäftsleitung, IT-Leitung, ISB, ggf. Einkauf und Personal |
| Vorbereitung | ca. 2 Stunden auf Ihrer Seite (Fragebogen, Unterlagen) |
| Preis | 2.900 € zzgl. USt. kompakt · 4.900 € zzgl. USt. erweitert inkl. Reisekosten innerhalb DACH |
| Vorlaufzeit | in der Regel 2–3 Wochen bis zum Termin |
Wir melden uns in der Regel innerhalb eines Werktags.