Wir unterstützen Sie bei der Umsetzung der NIS-2-Richtlinie
- Zertifizierte und erfahrene ISMS-Berater
- Umsetzung des risikobasierten Ansatzes für Cybersicherheit
- Etablierung von Sicherheit in der Lieferkette
- Schulung und Sensibilisierung Ihrer Mitarbeiter und Führungskräfte
- Vorbereitung und Begleitung zu einer ISMS-Zertifizierung, bspw. ISO 27001 oder IT-Grundschutz
- ISMS-Software EDIRA als Unterstützungstool

Mit unserer NIS-2 Betroffenheitsanalyse erhalten Sie in wenigen Schritten eine erste Einschätzung, ob Sie von der NIS-2-Richtlinie betroffen sind.
Unter die NIS-2-Richtlinie fallen Einrichtungen, die Dienstleistungen in der EU erbringen, in bestimmten Sektoren tätig sind und bestimmte Schwellwerte überschreiten. Dazu gehören die Beschäftigtenzahl, der Jahresumsatz sowie die Bilanzsumme.
Unternehmen, die betroffen sind, müssen sich selbständig identifizieren, gegebenenfalls registrieren und ein entsprechendes Informationssicherheitsniveau aufbauen und betreiben.
Hinweis: Diese NIS-2 Betroffenheitsanalyse basiert auf dem 5. Referentenentwurf des NIS2UmsuCG von Mai 2024. Wir aktualisieren die Betroffenheitsanalyse laufend.
Was ist die NIS-2-Richtlinie?
Die NIS-2-Richtlinie (Richtlinie zur Netz- und Informationssicherheit) ist eine EU-Verordnung, die darauf abzielt, die Cybersicherheit in der Europäischen Union zu verbessern. Sie baut auf der ursprünglichen NIS-Richtlinie (NIS-1) auf und erweitert deren Umfang und Anforderungen. Die NIS-2-Richtlinie wurde im Dezember 2020 von der Europäischen Kommission vorgeschlagen und im Dezember 2022 verabschiedet. Die Mitgliedstaaten müssen die Richtlinie bis Oktober 2024 in nationales Recht umsetzen.
- Erweiterter Anwendungsbereich: NIS-2 umfasst mehr Sektoren und Arten von Einrichtungen als die ursprüngliche NIS-Richtlinie. Dazu gehören nun unter anderem Anbieter von öffentlichen elektronischen Kommunikationsdiensten, digitale Dienste, Energieversorger, Gesundheitsdienste, Wasserversorgung, öffentliche Verwaltung und mehr.
- Stärkere Sicherheitsanforderungen: Die Richtlinie verlangt von den betroffenen Unternehmen und Organisationen, strenge Sicherheitsmaßnahmen zu implementieren. Dies schließt sowohl technische als auch organisatorische Maßnahmen ein, um Netz- und Informationssysteme vor Cyberangriffen zu schützen.
- Verpflichtungen zur Meldung von Sicherheitsvorfällen: Unternehmen und Organisationen müssen signifikante Sicherheitsvorfälle innerhalb einer bestimmten Frist an die zuständigen nationalen Behörden melden. Dies soll eine schnelle Reaktion und Koordination bei Cybervorfällen ermöglichen.
- Verstärkte Aufsicht und Durchsetzung: Die nationalen Behörden erhalten mehr Befugnisse zur Überwachung der Einhaltung der Richtlinie und zur Durchsetzung von Maßnahmen. Dazu gehören Inspektionen, Audits und im Bedarfsfall Sanktionen.
- Besonders wichtige und wichtige Einrichtungen: NIS-2 unterscheidet zwischen "besonders wichtigen" und "wichtigen" Einrichtungen, wobei besonders wichtige Einrichtungen strengeren Anforderungen unterliegen. Diese Klassifikation basiert auf der Größe der Organisation und ihrer Bedeutung für die Wirtschaft und Gesellschaft.
- Internationale Zusammenarbeit: Die Richtlinie fördert die Zusammenarbeit zwischen den EU-Mitgliedstaaten sowie mit Drittstaaten und internationalen Organisationen, um globale Cyberbedrohungen effektiver zu bekämpfen.
Wer ist betroffen?
Die NIS-2-Richtlinie erweitert den Anwendungsbereich deutlich im Vergleich zur ursprünglichen NIS-Richtlinie und betrifft eine breite Palette von Sektoren und Organisationen. Die NIS-2-Richtlinie nennt die betroffenen Einrichtungen in der Anlage 1 und Anlage 2 der Richtlinie.







Wesentliche Einrichtungen
- Betreiber kritischer Anlagen
- Qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries oder DNS Anbieter
- Anbieter öffentlich zugänglicher Telekommunikationsdienste oder öffentliche Telekommunikationsnetze, die
- mindestens 50 Mitarbeiter beschäftigen oder
- einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweisen. - Natürliche oder juristische Personen oder rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft, die anderen natürlichen oder juristischen Personen entgeltlich Waren oder Dienstleistungen anbieten, die einer der in Anlage 1 der NIS-2-Richtlinie bestimmten Einrichtungsarten zuzuordnen ist und die
- mindestens 250 Mitarbeiter beschäftigt oder
- einen Jahresumsatz von über 50 Millionen Euro und zudem eine Jahresbilanzsumme von über 43 Millionen Euro aufweisen.
Ausgenommen sind Einrichtungen der Bundesverwaltung, soweit sie nicht gleichzeitig Betreiber kritischer Anlagen sind.
Wichtige Einrichtungen
- Vertrauensdiensteanbieter
- Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze
- natürliche oder juristische Person oder eine rechtlich unselbstständige Organisationseinheit einer Gebietskörperschaft, die anderen natürlichen oder juristischen Personen entgeltlich Waren oder Dienstleistungen anbietet, die einer der in Anlagen 1 und 2 bestimmten Einrichtungsarten zuzuordnen ist und die
- mindestens 50 Mitarbeiter beschäftigen oder
- einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweist.
Ausgenommen sind besonders wichtige Institutionen und Einrichtungen der Bundesverwaltung.
Sie sind sich nicht sicher, ob Sie betroffen sind?
Prüfen Sie mit unserer Analyse in wenigen Schritten, ob Sie von der NIS-2-Richtlinie betroffen sind.
Unsere Leistungen
- Konzeptionierung eines Informationssicherheits-Managementsystems (ISMS) auf Basis der NIS-2 Anforderungen bzw. ISO 27001
- Unterstützung bei der Implementierung des ISMS
- Unterstützung bei der Dokumentation der ISMS-Richtlinien und -Prozesse
- Unterstützung bei der Durchführung von Risikoanalyse und -bewertung sowie Risikobehandlung
- Bereitstellung von Vorlagen und unseres Dokumentationswerkzeugs EDIRA
- Vorbereitung und Unterstützung bei internen Audits
- Begleitung bei Zertifizierungsmaßnahmen
Preise
Wir besprechen mit Ihnen gerne Ihre individuelle Situation und Unternehmenswerte und machen Ihnen ein faires Angebot.
Prozess einer NIS-2 Umsetzung
Zu Beginn werden unsere Experten in einem Workshop mit Ihnen gemeinsam die Ist-Situation in Ihrem Unternehmen analysieren. Wir unterstützen Sie bei der Konzeption, Festlegung und Beschreibung Ihrer Informationssicherheitsanforderungen und der dafür zu implementierenden Prozesse und sonstigen Maßnahmen zu deren Sicherstellung. Hierfür steht unser Tool EDIRA mit seinen integrierten Vorlagen zur Verfügung.
Notwendige Dokumentationen und Anweisungen für das ISMS können anhand von Vorlagen in EDIRA erstellt und gepflegt werden. Nach Etablierung der ISMS-Organisation und einer gewissen Umsetzungszeit werden Nachweise dokumentiert und die Wirksamkeit des ISMS überprüft.
Im Anschluss daran kann die Durchführung eines internen Audits die Folge sein. Gemeinsam mit Ihnen prüfen wir, ob alle Nachweise und Unterlagen auditfähig sind.
Auf Ihren Wunsch und Bedarf stehen wir Ihnen während und bis zu Ihrem Zertifizierungsaudit bspw. nach ISO 27001 mit Rat und Tat zur Seite. Mit Abschluss des Zertifizierungsaudits nach ISO 27001 erhalten Sie ein nach internationalen Standards etabliertes ISMS mit einem Zertifikat.
Als optionale Unterstützung und Erleichterung des Projektes stellen wir Ihnen unser Informationssicherheitsmanagementsystem EDIRA zur Verfügung. Mit EDIRA können Sie Risikobewertungen vornehmen und die geforderte ISMS-Dokumenation auf Basis von umfangreichen Vorlagen erstellen. Sie erhalten einen Überblick über das Fortschreiten Ihres Projektes und Ihre Umsetzungsaufgaben. Dies erleichtert Ihnen die Nachweisbarkeit bei Audits und liefert Ihnen bessere Ergebnisse innerhalb des Managementprozesses.
Ihre Vorteile
- Erfüllung der geforderten, gesetzlichen NIS-2-Anforderungen
- Nachhaltige und dokumentierte IT-Sicherheit in Ihrem Unternehmen
- Schutz von Informationen durch auf den Stand der Technik beruhenden Maßnahmen (Schutz von internen Daten, Konstruktionsunterlagen, Produktions- und Verfahrenstechniken usw.)
- Verbesserte Cyberresilienz und Reduzierung von Einfallstoren für Ransomware, Phishing und andere Cyberbedrohungen
- Reduzierung von Ausfallzeiten und -kosten durch geplante Krisenreaktion und Prävention
- Positive Außenwirkung gegenüber Kunden, Lieferanten, Investoren und anderen Stakeholdern und damit Umsatz- und Gewinnsteigerung durch höheres Vertrauen
- Erfüllung der Voraussetzung für die Gewinnung von Neukunden
- Haftungsrechtliche Absicherung des Managements
NIS2UmsuCG - Was ist das?
Das NIS2UmsuCG steht für das "Gesetz zur Umsetzung der Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union (NIS-2-Richtlinie)".
Das NIS2UmsuCG ist das deutsche Gesetz, das die NIS-2-Richtlinie in nationales Recht umsetzt. Dies ist ein wichtiger Schritt zur Stärkung der Cybersicherheit in Deutschland, das das Gesetz die europäischen Vorgaben der NIS-2-Richtlinie in nationales Recht überführt und deren Umsetzung sicherstellt. Das NIS2UmsuCG trägt dazu bei, ein hohes und einheitliches Sicherheitsniveau für Netz- und Informationssysteme zu gewährleisten und die Widerstandsfähigkeit gegenüber Cyberbedrohungen zu erhöhen.
- Anwendungsbereich: Das Gesetz definiert, welche Sektoren und Organisationen den Anforderungen der NIS-2-Richtlinie unterliegen. Dazu gehören unter anderem kritische Infrastrukturen, Anbieter digitaler Dienste und die öffentliche Verwaltung.
- Sicherheitsanforderungen: Es legt fest, welche technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit von Netz- und Informationssystemen getroffen werden müssen.
- Meldepflichten: Organisationen müssen signifikante Sicherheitsvorfälle an die zuständigen Behörden melden. Das Gesetz spezifiziert die Fristen und den Umfang der Meldungen.
- Aufsicht und Durchsetzung: Nationale Behörden erhalten erweiterte Befugnisse zur Überwachung der Einhaltung der Sicherheitsanforderungen und zur Durchsetzung der gesetzlichen Bestimmungen, einschließlich der Möglichkeit, Sanktionen zu verhängen.
Ihr Tool für die Umsetzung der NIS-2-Richtlinie – EDIRA als ISMS-Software

Bei der Etablierung und Umsetzung von NIS2-Anforderungen unterstützt unsere ISMS-Software EDIRA Ihre Strategie optimal. Die ISO 27001 bietet einen robusten Umsetzungsrahmen, der zu unserem Softwarebereich gehört. In EDIRA finden Sie Analyse- und Dokumentations-Funktionen sowie praxisgerechte Dokumentenvorlagen. EDIRA ermöglicht eine effiziente Verwaltung von Assets sowie die Erstellung eines detaillierten Asset-Registers. Dies erleichtert den Überblick und die Compliance.
ISMS im Arbeitsalltag leben – Mitarbeiter schulen
Damit ein ISMS erfolgreich ist, muss dieses von allen Mitarbeitern aktiv gelebt werden. Nur so können die Informationssicherheitsziele Verfügbarkeit, Integrität und Vetraulichkeit vollumfänglich gelebt werden. Dazu gehört die regelmäßige Schulung und Sensibilisierung von Mitarbeitern. Aus diesem Grund bieten wir sowohl vor Ort, per Webkonferenz oder auch über unser Schulungsportal ETES Education Schulungen an.

Häufig gestellte Fragen
Für wesentliche (besonders wichtige) Einrichtungen sind strengere Aufsichts- und Durchsetzungsmaßnahmen vorgesehen als für wichtige Einrichtungen.
(Art. 32, Art. 33)
Für besonders wichtige Unternehmen - bis zu 10 Millionen Euro oder 2 % des gesamten Jahresumsatzes. Für wichtige Unternehmen - bis zu 7 Mio. Euro oder 1,4 % des gesamten Jahresumsatzes.
Die NIS-2 verlangt keine Zertifizierung der wesentlichen und wichtigen Einrichtungen. Die EU-Mitgliedsstaaten können jedoch von betroffenen Einrichtungen die Verwendung von IT-Produkten oder Dienstleistungen verlangen, die nach dem europäischen Zertifizierungsschema für Cybersicherheit gemäß dem Cybersicherheitsgesetz (EU-Verordnung 2019/881) zertifiziert sind.
Je nach Vertrag erhält jeder Kunde die zeitliche Betreuung, die er benötigt. Dies ist abhängig von der Unternehmenssituation und den internen Ressourcen des Unternehmens. Wir betreuen Sie so lange und intensiv, wie notwendig und gewünscht. Auch regelmäßige Jour fixe Termine und einzelne Beratungsgespräche können vereinbart werden.
Die NIS-2-Richtlinie ist eine EU-Richtlinie zur Verbesserung der Cybersicherheit, die darauf abzielt, ein hohes gemeinsames Sicherheitsniveau für Netz- und Informationssysteme in der gesamten Europäischen Union zu gewährleisten. Mit der NIS-2-Richtlinie („The Network and Information Security (NIS) Directive“) wurde im Januar 2023 die im Jahr 2016 eingeführten EU-Vorschriften zur Cybersicherheit aktualisiert. Die neue Richtlinie ist für KRITIS-Unternehmen und Organisationen in der Europäischen Union verbindlich und musste zum 17.10.2024 wirksam umgesetzt werden.
Die NIS-2-Richtlinie dient zur Harmonisierung, Erweiterung und Anpassung der bisherigen Cybersicherheitsanforderungen und Sanktionierung innerhalb der EU-Mitgliedsstaaten und möchte der zunehmenden Digitalisierung und einer wachsenden Bedrohungslandschaft der Cyberkriminalität begegnen. Ziel ist es, das Sicherheitsniveau der EU-Mitgliedsstaaten zu stärken und die Reaktionsfähigkeit, sowie die Resilienz öffentlicher und privater Einrichtungen, zuständiger Behörden und der EU insgesamt zu verbessern. Darüber hinaus erweitert die Richtlinie die Zahl der Unternehmen und Organisationen, die zur kritischen Infrastruktur (KRITIS) gehören.
Mit der Umsetzung des NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) wird die europäische NIS-2-Richtlinie in deutsches Recht überführt.
Weitere Dienstleistungen für Ihre Sicherheit