NIS2 Beratung: Betroffenheit prüfen, Pflichten umsetzen, Nachweise schaffen

Betroffenheitsanalyse mit eigenen Juristen, Umsetzung der Pflichten nach § 30 BSIG und ISMS nach ISO 27001: so unterstützt die SDG bei NIS2.

Seit dem 6. Dezember 2025 gelten das NIS2-Umsetzungsgesetz und das neu gefasste BSI-Gesetz (BSIG), ohne Übergangsfrist. Betroffen sind Unternehmen aus den Sektoren der Anlagen 1 und 2 BSIG, in der Regel ab 50 Beschäftigten oder ab jeweils mehr als 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme. Die Süddeutsche Datenschutzgesellschaft mbH (SDG) klärt mit Juristen aus unserem Team, ob Sie betroffen sind, und setzt die Pflichten mit Ihnen um.

Ob Ihr Unternehmen darunter fällt, zeigt unser Beitrag NIS2-Betroffenheit prüfen. Für betroffene Unternehmen steht einiges auf dem Spiel. Sie müssen sich beim BSI registrieren, Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und dokumentieren und erhebliche Sicherheitsvorfälle fristgerecht melden. Die Geschäftsleitung muss die Maßnahmen umsetzen und überwachen und haftet bei schuldhaften Pflichtverletzungen (§ 38 BSIG). Verstöße können mit Bußgeldern von bis zu 10 Mio. Euro geahndet werden, bei sehr großen Unternehmen auch umsatzabhängig (§ 65 BSIG, mehr dazu im Beitrag NIS2 und die Geschäftsleitung). Wer die Registrierung noch nicht erledigt hat, sollte sie unverzüglich nachholen: Für bereits betroffene Unternehmen ist die Frist am 6. März 2026 abgelaufen (Anleitung zur NIS2-Registrierung).

Unser Ziel ist ein Informationssicherheitsmanagement, das im Alltag funktioniert und bei einer Nachfrage des BSI belastbar ist. Bestehende Strukturen, etwa ein Datenschutzmanagement oder ein teilweise vorhandenes ISMS, bauen wir ein, statt sie zu ersetzen.

So setzen wir NIS2 mit Ihnen um

  1. Betroffenheit klären Juristen und IT-Spezialisten aus unserem Team prüfen gemeinsam Sektorzuordnung, Größenschwellen und Konzernstruktur. Online-Tools wie die Betroffenheitsprüfung des BSI sind ein guter erster Indikator. Sicherer ist unser Kurzgutachten, das Ihren Prüfweg auch bei späteren Nachfragen einer Behörde belegt.
  2. Registrierung begleiten Falls Sie betroffen sind, unterstützen wir Sie bei der Registrierung über Mein Unternehmenskonto (MUK) und im BSI-Portal.
  3. Gap-Analyse Wir bewerten Ihren Ist-Stand gegen § 30 BSIG und ISO/IEC 27001 und priorisieren die Lücken nach Risiko. Danach erhalten Sie eine seriöse Aufwandsschätzung.
  4. ISMS aufbauen In den meisten Fällen empfehlen wir ein ISMS nach ISO/IEC 27001, auf das wir die NIS2-Anforderungen abbilden. Nach unserer Erfahrung deckt das in der Regel 90 bis 95 % der Anforderungen ab, die offenen Punkte arbeiten wir danach gezielt ab (mehr zu NIS2 und ISO 27001). Den Geltungsbereich legen wir gleich zu Beginn sauber fest.
  5. Meldeprozess und Schulung Wir legen Rollen, Bewertungskriterien und Vorlagen für die Meldung erheblicher Sicherheitsvorfälle fest und schulen Ihre Geschäftsleitung nach § 38 Abs. 3 BSIG, im Format, das zu Ihnen passt.
  6. Dauerhaft betreuen Als externer Informationssicherheitsbeauftragter (ISB) entwickeln wir Ihr ISMS weiter und berichten an die Geschäftsleitung. Das jährliche interne Audit übernimmt ein ISMS-Berater der SDG, der nicht Ihr ISB ist.

Warum wir bei NIS2 immer einen ISB empfehlen: Das Gesetz nennt ihn meist nicht beim Namen, verlangt aber eine verantwortliche Steuerung, die ohne ISB nicht zu leisten ist. Ergänzend prüfen wir die Wirksamkeit Ihrer Maßnahmen mit Penetrationstests Ihrer Webanwendungen, APIs und Cloud-Umgebungen und schulen Ihre Beschäftigten.

Warum die SDG

Technik und Recht aus einer Hand

  • Juristen im eigenen TeamOb Sie betroffen sind, prüfen Juristen und IT-Spezialisten gemeinsam. Rechtliche Einordnung und technische Umsetzung fallen nicht auseinander.
  • Erfahrung aus der PraxisWir haben mehrere hundert Audits bei kleinen und mittleren Unternehmen durchgeführt und kennen die typischen Lücken.
  • Datenschutz und Informationssicherheit verzahntAuf Wunsch stellen wir auch Ihren externen Datenschutzbeauftragten. Beide Rollen übernehmen verschiedene Personen.

Die Beratung zu NIS2 verantwortet Sebastian Baier, Leiter Informationssicherheit, zertifizierter IT-Sicherheitsbeauftragter und BCM-Beauftragter. Wir betreuen unter anderem Einrichtungen des Gesundheitswesens, Hersteller digitaler Gesundheitsanwendungen und mittelständische Unternehmen, von Regensburg aus in ganz Deutschland und international.

Wissen

NIS2 im Detail

Fristen, Schwellenwerte und Pflichten erklären wir ausführlich in unserem Blog.

NIS2-Meldepflichten

Fristen, Inhalte und Meldeweg bei erheblichen Sicherheitsvorfällen.

NIS2 und ISO 27001

Wie weit ein ISMS nach ISO 27001 trägt und welche Lücken bleiben.

KRITIS und NIS2

Der Unterschied zwischen kritischen Anlagen und wichtigen Einrichtungen.

Häufige Fragen zur NIS2-Beratung

Was kostet die NIS2-Umsetzung mit der SDG?

Das hängt vor allem vom Geltungsbereich und vom Stand Ihrer Informationssicherheit ab. Pauschalpreise nennen wir deshalb nicht. Nach einem kostenfreien Erstgespräch und in der Regel einer Gap-Analyse erhalten Sie eine seriöse Aufwandsschätzung.

Übernimmt die SDG die NIS2-Umsetzung komplett für uns?

Für das ISMS nach ISO 27001 können Sie zwischen einem Rundum-sorglos-Paket, bei dem wir uns um alles kümmern, und klassischem Consulting wählen, bei dem Ihr Team selbst arbeitet und wir unterstützen. Ihre Mitwirkung bleibt in beiden Fällen nötig, etwa bei Geschäftsprozessen und der Abstimmung von Richtlinien. Die Verantwortung bleibt nach dem BSIG bei der Geschäftsleitung.

Wir haben schon ein Datenschutzmanagement oder Teile eines ISMS. Fangen wir von vorn an?

Nein. In der Gap-Analyse prüfen wir, was bereits vorhanden ist, und bauen darauf auf. Bestehende Richtlinien, Verzeichnisse und Prozesse übernehmen wir, wo sie passen, und ergänzen nur, was für NIS2 fehlt.

Kann die SDG ISB und Datenschutzbeauftragten zugleich stellen?

Ja. Wir übernehmen beide Rollen, besetzen sie aber mit verschiedenen Personen. So bleiben beide Rollen getrennt und trotzdem eng aufeinander abgestimmt.

Hinweis: Diese Seite dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.