Informationssicherheit
NIS2‑Beratung und Umsetzung: Pflichten erfüllen, ohne den Betrieb lahmzulegen
Sie wissen, dass Sie unter das BSI‑Gesetz fallen. Jetzt geht es darum, die zehn Pflichtbereiche in Maßnahmen zu übersetzen, die zu Ihrem Unternehmen passen, Ihr Systemhaus damit zu beauftragen und am Ende belegen zu können, dass es wirkt. Wir steuern das, ohne selbst Systeme zu betreiben oder etwas zu verkaufen.
Was NIS2‑Umsetzung bedeutet, und was nicht
Umsetzung heißt: Risiken kennen, Maßnahmen tatsächlich anwenden, ihre Wirksamkeit belegen und die Organisationspflichten erfüllen, also Registrierung, Meldewege und die Schulung der Geschäftsleitung. Das BSI‑Gesetz nennt dafür zehn Bereiche, von der Risikobewertung über die Lieferkette bis zur Mehrfaktoranmeldung. Was davon in welcher Tiefe nötig ist, richtet sich nach Ihrem Risiko, nicht nach einer Checkliste.
Umsetzung heißt nicht: ein Zertifikat kaufen. Ein ISO-27001-Zertifikat ist keine Pflicht und ersetzt den Abgleich mit dem Gesetz nicht. Umsetzung heißt auch nicht, die Verantwortung abzugeben. Ihr Systemhaus kann Aufgaben übernehmen, wir können steuern und prüfen. Die gesetzliche Pflicht, die Maßnahmen umzusetzen und zu überwachen, bleibt bei der Geschäftsleitung.
Die Registrierung beim BSI ist kein Nachweis, und ein Ordner voller Richtlinien ist es auch nicht. Was zählt, ist, ob die Wiederherstellung aus der Sicherung getestet wurde, ob die Meldekette im Ernstfall funktioniert und ob jemand das belegen kann.
Für wen die Umsetzung Pflicht ist, und wer sie trotzdem braucht
Wichtige und besonders wichtige Einrichtungen.
Wer nach der Betroffenheitsprüfung unter das BSI‑Gesetz fällt, muss die zehn Pflichtbereiche umsetzen, sich registrieren und erhebliche Vorfälle melden. Die Pflicht gilt seit Dezember 2025, eine Übergangsfrist gibt es nicht. Ob Sie betroffen sind, klärt die NIS2-Betroffenheitsprüfung.
Unternehmen mit ISMS.
Wer ISO 27001 lebt, hat Risikobewertung, Verantwortlichkeiten und Schulungen schon. Abzugleichen bleiben Geltungsbereich, gesetzliche Meldewege, Registrierung und die Schulung der Geschäftsleitung. Das ist Arbeit von Wochen, nicht von Monaten.
Gesundheit und Sozialwirtschaft.
Krankenhaus, Pflege und Versorgung stehen im Gesetz, Trägerschaft schützt nicht. Dazu kommen viele Standorte, Schichtbetrieb und wenige IT‑Köpfe. Maßnahmen müssen dort funktionieren, wo nachts jemand entscheiden muss.
Zulieferer unter Kundenauflagen.
Wenn Ihr Kunde betroffen ist, muss er seine Lieferkette absichern und verlangt Nachweise von Ihnen. Das macht Sie nicht selbst zum Pflichtadressaten, aber ohne belastbare Antworten verlieren Sie Zeit im Vertrieb.
Das Gesetz kennt kein „Mittelstand“. Es kennt Einrichtungsarten, Größen und Pflichten. Deshalb beginnt jede Umsetzung damit, die Pflichten auf das zu übersetzen, was in Ihrem Betrieb tatsächlich passiert.
Die zehn Pflichtbereiche, übersetzt in Ihren Betrieb
Risikomanagement.
Welche Abläufe dürfen nicht stehen, was passiert, wenn doch? Produktion, Auftragsabwicklung, Versorgung bewerten, Schutzmaßnahmen und Verantwortliche festlegen.
Vorfallsbewältigung.
Meldekette, Vertretungen und Entscheidungsbefugnisse für einen Verschlüsselungsangriff stehen fest, bevor er passiert.
Notbetrieb und Wiederanlauf.
Wiederherstellung aus der Sicherung wird getestet, Ersatzabläufe für Versand oder Versorgung werden geübt.
Lieferkette.
Fernzugriffe des Systemhauses, seine Sicherheitsnachweise und die vertragliche Pflicht, Vorfälle zu melden, werden geprüft.
Beschaffung und Wartung.
Vor dem Kauf wird vereinbart, wie lange ein System Updates bekommt und wer Schwachstellen behebt.
Wirksamkeitsprüfung.
Wiederherstellungen und Berechtigungen werden stichprobenartig geprüft, Mängel nachverfolgt. Das ist der Teil, den die meisten vergessen.
Schulung.
Beschäftigte erkennen verdächtige Nachrichten und melden sie über einen bekannten Weg. Die Geschäftsleitung schult sich selbst, das ist Pflicht.
Verschlüsselung.
Notebooks sind verschlüsselt, Wiederherstellungsschlüssel liegen geschützt und auffindbar.
Personal und Zugriffe.
Rechte werden nachvollziehbar vergeben. Wer geht, verliert Konten, Zugänge und Geräte am selben Tag.
Mehrfaktoranmeldung und sichere Kommunikation.
Fernzugriffe sind zusätzlich abgesichert, und für den IT‑Ausfall gibt es einen Kommunikationsweg, der ohne die IT funktioniert.
Umfang und Tiefe richten sich nach Risiko und Verhältnismäßigkeit. Ein Betrieb mit drei Standorten und Fernwartung durch zwei Dienstleister braucht an anderen Stellen Tiefe als eine Verwaltung mit einem Standort.
Systemhaus allein oder mit unabhängiger Steuerung?
Ihr Systemhaus muss die Technik umsetzen, das steht nicht zur Debatte. Die Frage ist, wer bewertet, ob das Richtige umgesetzt wird.
| Kriterium | Systemhaus allein | Mit unabhängiger Steuerung |
|---|---|---|
| Bewertung | Bewertet die eigene Arbeit | Bewertung und Umsetzung sind getrennt |
| Angebote | Vorschlag und Verkauf aus einer Hand | Angebote werden gegen die Lücke geprüft, nicht gegen den Katalog |
| Prioritäten | Folgen oft dem, was gerade im Angebot ist | Folgen dem Risiko und dem Gesetz |
| Nachweise | Entstehen nebenbei oder gar nicht | Werden geplant, erhoben und für die Geschäftsleitung aufbereitet |
| Aufwand für Sie | Gering, solange nichts passiert | Ein fester Ansprechpartner und regelmäßige Termine |
| Verantwortung | Bleibt bei der Geschäftsleitung | Bleibt bei der Geschäftsleitung, aber mit belastbarer Grundlage |
Das Gesetz verlangt keinen externen Berater, aber es verlangt, dass die Wirksamkeit der Maßnahmen bewertet wird. Wer das von demselben Dienstleister machen lässt, der sie verkauft und betreibt, hat eine Bewertung, die im Zweifel niemand prüft.
Umsetzung
Was die NIS2‑Begleitung von itkomm umfasst
Ein Projekt mit klarem Ende: Lücken schließen, Nachweise erbringen, Verantwortung übergeben. Was danach laufend bleibt, übernimmt Ihre Organisation oder der externe ISB.
Lückenanalyse.
Was ist da, was fehlt, was ist nur auf Papier da? Dokumente, Betriebsrisiken, Leistungen des Systemhauses und vorhandene Nachweise, abgeglichen mit den zehn Pflichtbereichen.
Maßnahmenplan mit Prioritäten.
Jede Maßnahme mit Begründung, Verantwortlichem, Frist und Abnahmekriterium. Zuerst, was das größte Risiko senkt, nicht, was am einfachsten ist.
Vorgaben an Ihr Systemhaus.
Wir formulieren, was technisch umzusetzen ist, prüfen Angebote gegen die Lücke und nehmen Ergebnisse ab. Ihr Systemhaus bleibt Ihr Systemhaus.
Organisation und Meldewege.
Registrierung vorbereiten, Meldekette für die Fristen von 24 Stunden, 72 Stunden und einem Monat festlegen, Schulung der Geschäftsleitung organisieren.
Wirksamkeitsprüfung.
Notfallübung, Wiederherstellungstest, Stichproben bei Berechtigungen. Mängel werden nachverfolgt, bis sie geschlossen sind.
Nachweise und Bericht.
Ein Stand, den die Geschäftsleitung versteht und das BSI akzeptiert: Maßnahmen, Prüfergebnisse, offene Punkte, Zuständigkeiten für den laufenden Betrieb. Wer danach laufend jemanden braucht, findet ihn im externen ISB.
Was nicht enthalten ist: die technische Umsetzung, der Betrieb von Systemen, der Verkauf von Software oder Lizenzen und die Rechtsberatung in Grenzfällen. Dafür steuern wir Ihr Systemhaus und empfehlen bei Bedarf Spezialisten und Kanzleien, ohne Provision.
So läuft die Umsetzung
01
Bestandsaufnahme.
Lückenanalyse und Maßnahmenplan, mit Ihnen und Ihrem Systemhaus. Ergebnis ist eine priorisierte Liste mit Verantwortlichen und Fristen.
02
Umsetzung steuern.
Das Systemhaus setzt Technik um, Sie führen Prozesse und Schulungen ein, wir prüfen Angebote, nehmen ab und halten den Plan aktuell.
03
Nachweis und Übergabe.
Notfallübung, Stichproben, Bericht an die Geschäftsleitung. Danach wissen Sie, wer was laufend macht, und ob Sie dafür einen externen ISB brauchen.
Was kostet die NIS2‑Umsetzung?
Die Begleitung durch itkomm ist ein Projektpreis, den wir nach der Lückenanalyse festlegen. Er hängt davon ab, wie viele Standorte, Systeme und Dienstleister zu steuern sind und wie viel schon vorhanden ist. Davon getrennt kommen die Kosten für die technische Umsetzung durch Ihr Systemhaus und für Anschaffungen, die wir mit Ihnen auf das Nötige begrenzen. Eine Zahl pro Mitarbeitendem gibt es bei uns nicht, weil sie den Ausgangszustand ignoriert.
Wer die Umsetzung bei itkomm steuert
Oliver Bajunovic ist persönlich nach ISO 27001 zertifiziert und war Führungskraft in der Industrie und im Großhandel, bevor er itkomm gegründet hat. Heute arbeitet er für Industriebetriebe, Mittelständler und Träger der Sozialwirtschaft im Umkreis von rund 100 Kilometern um Fulda und darüber hinaus.
Mehr über itkommHäufige Fragen zur NIS2‑Umsetzung
Kann ich die Verantwortung an das Systemhaus abgeben?
Aufgaben ja, die Pflicht nicht. Das BSI‑Gesetz legt die Umsetzung und Überwachung der Maßnahmen bei der Geschäftsleitung fest. Wer bei einem Verstoß schuldhaft einen Schaden verursacht, haftet nach Gesellschaftsrecht persönlich. Ein Angriff allein löst das nicht aus, Untätigkeit kann es.
Muss ich als Geschäftsführer selbst geschult werden?
Ja. Geschäftsleitungen müssen regelmäßig an Schulungen teilnehmen, einen festen Turnus nennt das Gesetz nicht. Delegieren an die IT geht nicht.
Reicht unser ISO-27001-Zertifikat?
Nicht allein. Es hilft erheblich, aber Geltungsbereich, gesetzliche Meldewege, Registrierung und Geschäftsleitungsschulung müssen abgeglichen werden. Umgekehrt ist ein Zertifikat keine Pflicht.
Müssen wir jede Störung melden?
Nein, erhebliche Sicherheitsvorfälle. Dafür brauchen Sie einen Prozess, der schnell bewertet, ob ein Vorfall erheblich ist: Erstmeldung spätestens nach 24 Stunden, Vorfallmeldung nach 72 Stunden, Abschlussmeldung einen Monat später.
Welche Bußgelder drohen?
Für zentrale Verstöße bis zu 10 Millionen Euro bei besonders wichtigen und bis zu 7 Millionen Euro bei wichtigen Einrichtungen, bei sehr großen Unternehmen umsatzbezogen. Das sind Höchstbeträge, keine automatischen Strafen. Bei wichtigen Einrichtungen prüft das BSI anlassbezogen.
Brauchen wir neue Sicherheitssoftware?
Nicht zwangsläufig. Anschaffungen folgen aus den tatsächlichen Lücken, nicht aus dem Katalog des Anbieters. Oft fehlen Prozesse und Nachweise, nicht Technik.
Wie lange dauert das?
Das hängt vom Ausgangszustand ab. Mit bestehendem ISMS Wochen, ohne Vorarbeiten und mit mehreren Standorten eher Monate. Eine Übergangsfrist gibt es nicht, die Pflicht gilt bereits.
Wann sind wir fertig?
Der Aufbau hat ein Ende, die Pflicht nicht. Prüfen, anpassen und nachweisen bleiben laufende Aufgaben. Wer dafür intern niemanden hat, kann das an einen externen ISB geben.
Sprechen wir über Ihre Situation
Rufen Sie an oder schreiben Sie kurz, worum es geht. Sie erhalten innerhalb eines Werktags eine Antwort.