01
NIS2-Betroffenheit & Scope
Wir prüfen Einrichtungsart, Sektor, Größenmerkmale, Konzernbezüge und Sonderregelungen und grenzen den relevanten Anwendungsbereich ab.
Ergebnis: nachvollziehbare Einordnung und klarer Scope.
Informationssicherheit · NIS2 · ISMS
Informationssicherheit & NIS2
klar, belastbar und umsetzbar
Informationssicherheit muss im Unternehmensalltag funktionieren – mit klaren Verantwortlichkeiten, angemessenen Maßnahmen und belastbaren Nachweisen.
Wir prüfen Betroffenheit, Reifegrad und konkrete Lücken und entwickeln daraus einen praktikablen Rahmen für NIS2 und ISMS.
NIS2-Check
ISMS
ISO 27001
Gap-Analyse
Incident Response
ISMS
ISO 27001
Gap-Analyse
Incident Response
Der Ausgangspunkt
NIS2 beginnt mit einer belastbaren Einordnung
Sektor, Einrichtungsart, Unternehmensgröße und Konzernbezüge bestimmen, ob und in welchem Umfang das BSIG für ein Unternehmen relevant ist.
Erst wenn Betroffenheit, Scope und vorhandener Reifegrad geklärt sind, lassen sich Maßnahmen sinnvoll priorisieren.
Unser Ansatz
Bestehende Prozesse nutzen, echte Lücken schließen und nur so viel neue Struktur schaffen, wie für Ihr Unternehmen erforderlich ist.
Fällt das Unternehmen unter eine Einrichtungsart des BSIG?
Welche Größen- und Konzernkriterien sind zu berücksichtigen?
Welche Systeme, Dienste und Prozesse gehören in den Scope?
Sind Verantwortlichkeiten der Geschäftsleitung klar geregelt?
Sind Risikomanagementmaßnahmen wirksam dokumentiert?
Sind Registrierung und Meldewege vorbereitet?
Unsere Leistungen
Informationssicherheit und NIS2 praxisnah umsetzen
Einzelne Module können separat oder als abgestimmter ISMS- und NIS2-Ansatz umgesetzt werden.
02
ISMS & Sicherheitsorganisation
Wir entwickeln oder verbessern Rollen, Governance, Richtlinien und Steuerungsprozesse – auf Wunsch mit Blick auf ISO/IEC 27001.
Ergebnis: tragfähige Verantwortlichkeiten und klare Steuerung.
03
Risikoanalyse & Maßnahmenplan
Wir bewerten Risiken, vorhandene Schutzmaßnahmen und relevante Abhängigkeiten und priorisieren den Handlungsbedarf.
Ergebnis: Risikobild, Gap-Analyse und realistische Roadmap.
04
Richtlinien, Prozesse & Nachweise
Wir strukturieren Sicherheitsvorgaben, Freigaben, Kontrollen und Dokumentation so, dass sie verständlich, pflegbar und prüfbar bleiben.
Ergebnis: belastbare und praxistaugliche Dokumentation.
05
Incident Response, BCM & Lieferkette
Wir entwickeln Melde- und Eskalationswege, Notfall- und Wiederanlaufprozesse sowie angemessene Sicherheitsanforderungen an Dienstleister.
Ergebnis: vorbereitete Reaktion und höhere Resilienz.
06
Schulungen, Reviews & Audits
Wir schulen Geschäftsleitung und Mitarbeitende, prüfen die Wirksamkeit von Maßnahmen und bereiten interne oder externe Prüfungen vor.
Ergebnis: mehr Handlungssicherheit und kontinuierliche Verbesserung.
Aktueller regulatorischer Stand
Das BSIG ist in Kraft – betroffene Unternehmen müssen handeln
Das seit dem 6. Dezember 2025 geltende BSIG setzt NIS2 in Deutschland um. Für erfasste Einrichtungen gelten insbesondere Pflichten zu Risikomanagement, Registrierung, Meldungen und Geschäftsleitungsverantwortung.
Seit 6. Dezember 2025
Das neue BSIG gilt. Besonders wichtige und wichtige Einrichtungen müssen geeignete, verhältnismäßige und wirksame Maßnahmen umsetzen und dokumentieren.
Das neue BSIG gilt. Besonders wichtige und wichtige Einrichtungen müssen geeignete, verhältnismäßige und wirksame Maßnahmen umsetzen und dokumentieren.
Spätestens nach drei Monaten
Erfasste Einrichtungen müssen sich grundsätzlich innerhalb von drei Monaten, nachdem sie erstmals oder erneut als solche gelten, beim BSI registrieren.
Erfasste Einrichtungen müssen sich grundsätzlich innerhalb von drei Monaten, nachdem sie erstmals oder erneut als solche gelten, beim BSI registrieren.
24 h · 72 h · ein Monat
Für erhebliche Sicherheitsvorfälle sieht das BSIG eine frühe Erstmeldung, eine Folgemeldung und grundsätzlich eine Abschlussmeldung vor.
Für erhebliche Sicherheitsvorfälle sieht das BSIG eine frühe Erstmeldung, eine Folgemeldung und grundsätzlich eine Abschlussmeldung vor.
Was jetzt sinnvoll ist
Betroffenheit und Scope klären, Verantwortliche einbinden und die wichtigsten Umsetzungs- und Nachweislücken priorisieren.
Betroffenheit und Scope prüfen
Geschäftsleitung einbinden
Registrierung und Meldewege vorbereiten
Maßnahmen wirksam dokumentieren
Geschäftsleitung einbinden
Registrierung und Meldewege vorbereiten
Maßnahmen wirksam dokumentieren
Typische Ausgangssituationen
Wo benötigen Unternehmen konkrete Unterstützung?
Die NIS2-Betroffenheit ist noch unklar
Branche, Größenmerkmale, Konzernstruktur oder Sonderfälle lassen keine belastbare Einordnung auf den ersten Blick zu.
Ein ISMS besteht, aber NIS2-Lücken bleiben
Vorhandene ISO-, Sicherheits- oder Datenschutzprozesse sollen gezielt mit den relevanten BSIG-Anforderungen abgeglichen werden.
Kunden oder Prüfer verlangen Nachweise
Risikobewertungen, Verantwortlichkeiten und Maßnahmen müssen konsistent dokumentiert und verständlich aufbereitet werden.
Melde- und Notfallprozesse sind nicht erprobt
Eskalationswege, Meldeentscheidungen, Wiederanlauf und interne Kommunikation müssen vor einem Sicherheitsvorfall funktionieren.
Warum DProtected?
Informationssicherheit mit Umsetzungsperspektive
Regulatorik und Praxis verbinden
Wir übersetzen Anforderungen in konkrete Rollen, Prozesse, Maßnahmen und nachvollziehbare Arbeitspakete.
Bestehende Strukturen weiterverwenden
Vorhandene ISO-, Datenschutz-, Qualitäts- und Sicherheitsprozesse werden integriert statt unnötig verdoppelt.
Risikoorientiert priorisieren
Maßnahmen richten sich nach Scope, Risiko, Verhältnismäßigkeit und dem tatsächlichen Reifegrad Ihrer Organisation.
Von der Analyse bis zur Umsetzung
Wir begleiten Betroffenheitsprüfung, Gap-Analyse, Dokumentation, Schulungen, Reviews und konkrete Verbesserungen.
Unser Vorgehen
In sechs Schritten zu belastbarer Informationssicherheit
Erst den Anwendungsbereich verstehen, dann Risiken und Lücken bewerten und daraus passende Maßnahmen ableiten.
Schritt 1
Erstberatung
Wir klären Ausgangslage, Anlass, Ziele und den sinnvollen Umfang der nächsten Schritte.
Ergebnis: klarer Startpunkt
Schritt 2
Betroffenheit & Scope
Einrichtungsart, Größenkriterien, relevante Dienste, Systeme und organisatorische Grenzen werden eingeordnet.
Ergebnis: belastbarer Prüfungsumfang
Schritt 3
Gap- & Risikoanalyse
Wir bewerten den vorhandenen Stand, Risiken, Maßnahmen und dokumentierte Nachweise.
Ergebnis: priorisierte Risikolandkarte
Schritt 4
Zielbild & Maßnahmenplan
Sie erhalten konkrete Aufgaben, Verantwortlichkeiten, Prioritäten und einen realistischen Umsetzungsrahmen.
Ergebnis: umsetzbare Roadmap
Schritt 5
Umsetzung & Befähigung
Wir entwickeln Prozesse und Dokumente weiter und befähigen Verantwortliche und Mitarbeitende.
Ergebnis: wirksame Maßnahmen
Schritt 6
Review & Weiterentwicklung
Wir prüfen den erreichten Stand und etablieren einen praktikablen Verbesserungs- und Review-Prozess.
Ergebnis: dauerhaft belastbares ISMS
Pragmatischer Einstieg
NIS2-Betroffenheit und Reifegrad belastbar einordnen
Ein kompakter NIS2-Check schafft Klarheit, bevor ein umfangreiches Umsetzungsprojekt gestartet wird.
Dabei betrachten wir zunächst vier zentrale Fragen:
Ist Ihr Unternehmen vom BSIG erfasst?
Welche Bereiche und Systeme gehören in den Scope?
Welche Anforderungen sind bereits abgedeckt?
Welche Lücken sollten zuerst geschlossen werden?
Welche Bereiche und Systeme gehören in den Scope?
Welche Anforderungen sind bereits abgedeckt?
Welche Lücken sollten zuerst geschlossen werden?
Auf dieser Grundlage lässt sich der weitere Aufwand realistisch planen und priorisieren.
FAQ
Häufig gestellte Fragen zu NIS2 und ISMS
Was ist NIS2 und was gilt in Deutschland?
NIS2 ist die europäische Richtlinie für ein unionsweit höheres Cybersicherheitsniveau. In Deutschland werden die zentralen Anforderungen seit dem 6. Dezember 2025 insbesondere durch das neue BSI-Gesetz umgesetzt.
Für erfasste Einrichtungen folgen daraus unter anderem Pflichten zu Risikomanagementmaßnahmen, Registrierung, Meldungen erheblicher Sicherheitsvorfälle und zur Einbindung der Geschäftsleitung.
Ist unser Unternehmen von NIS2 beziehungsweise dem BSIG betroffen?
Die Betroffenheit hängt insbesondere von Einrichtungsart, Sektor, Mitarbeiterzahl, Umsatz, Bilanzsumme und möglichen Konzernbezügen ab. Für bestimmte Einrichtungsarten und Sonderfälle gelten abweichende Regeln.
Eine erste Orientierung bietet unser Beitrag „Von NIS2 betroffen? Der Unternehmenscheck“ →. Für eine belastbare Einordnung sollte der konkrete Sachverhalt geprüft werden.
Müssen betroffene Unternehmen zwingend ein formales ISMS einführen?
Das BSIG verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Risikomanagementmaßnahmen sowie deren Dokumentation. Es schreibt jedoch nicht für jede erfasste Einrichtung pauschal ein formal zertifiziertes ISMS vor.
Ein strukturiertes ISMS ist in der Praxis häufig der sinnvollste Rahmen, um Verantwortlichkeiten, Risiken, Maßnahmen, Wirksamkeitskontrollen und Nachweise dauerhaft zu steuern.
Welche Risikomanagementmaßnahmen verlangt das BSIG?
Zu den zentralen Themen gehören unter anderem Risikoanalyse, Behandlung von Sicherheitsvorfällen, Business Continuity und Krisenmanagement, Lieferkettensicherheit, sichere Beschaffung und Entwicklung, Wirksamkeitskontrollen, Schulungen, Kryptografie sowie Zugriffs- und Berechtigungsmanagement.
Welche Maßnahmen angemessen sind, richtet sich nach Risikoexposition, Größe, Umsetzungskosten sowie Eintrittswahrscheinlichkeit und möglichen Auswirkungen von Sicherheitsvorfällen.
Wann muss sich ein betroffenes Unternehmen beim BSI registrieren?
Besonders wichtige und wichtige Einrichtungen müssen sich grundsätzlich spätestens drei Monate, nachdem sie erstmals oder erneut als solche gelten, über die vorgesehene Registrierungsmöglichkeit beim BSI registrieren.
Änderungen der registrierten Angaben müssen grundsätzlich unverzüglich, spätestens innerhalb von zwei Wochen nach Kenntnis, mitgeteilt werden.
Welche Meldefristen gelten bei erheblichen Sicherheitsvorfällen?
Das BSIG sieht für erfasste erhebliche Sicherheitsvorfälle grundsätzlich eine frühe Erstmeldung innerhalb von 24 Stunden nach Kenntniserlangung, eine Meldung innerhalb von 72 Stunden und spätestens einen Monat nach der 72-Stunden-Meldung eine Abschlussmeldung vor.
Damit diese Fristen eingehalten werden können, müssen interne Erkennung, Bewertung, Eskalation und Zuständigkeiten bereits vor einem Vorfall definiert sein.
Welche Verantwortung trägt die Geschäftsleitung?
Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen müssen die erforderlichen Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen. Außerdem bestehen regelmäßige Schulungspflichten.
Vertiefende Informationen finden Sie im Beitrag „NIS2-Haftung: Pflichten für Geschäftsführer und Vorstände“ →.
Reicht eine ISO-27001-Zertifizierung für NIS2 aus?
Eine Zertifizierung nach ISO/IEC 27001 kann eine sehr gute Grundlage bilden, ersetzt aber nicht automatisch die Prüfung der konkreten gesetzlichen Anforderungen, des Anwendungsbereichs und möglicher sektorspezifischer Besonderheiten.
Vorhandene ISO-Strukturen sollten deshalb gezielt mit den einschlägigen BSIG-Pflichten abgeglichen werden.
Sind regelmäßige externe Audits für jedes NIS2-Unternehmen verpflichtend?
Nein, eine pauschale regelmäßige externe Auditpflicht gilt nicht in gleicher Weise für jede erfasste Einrichtung. Besondere Nachweispflichten bestehen insbesondere für Betreiber kritischer Anlagen; daneben kann das BSI im Rahmen seiner Aufsicht Audits, Prüfungen oder Zertifizierungen anordnen.
Unabhängig davon sind regelmäßige interne Überprüfungen sinnvoll, um die Wirksamkeit der Maßnahmen zu bewerten und Verbesserungen nachvollziehbar zu steuern.
Wie starten wir am besten?
Der sinnvollste Einstieg ist meist eine strukturierte Betroffenheits-, Scope- und Reifegradprüfung. Anschließend können Lücken nach Risiko, Dringlichkeit und Umsetzungsaufwand priorisiert werden.
Bereit für belastbare Informationssicherheit?
Wir unterstützen Sie dabei, NIS2-Betroffenheit und Handlungsbedarf einzuordnen und wirksame ISMS-Strukturen pragmatisch aufzubauen.
Hinweis: DProtected unterstützt Unternehmen bei der organisatorischen und operativen Umsetzung von Datenschutz-, Informationssicherheits- und Compliance-Anforderungen. Unsere Leistungen ersetzen keine Rechtsberatung im rechtlichen Einzelfall.