Leistung
NIS2- und BSIG-Beratung
Das NIS-2-Umsetzungsgesetz schafft in Deutschland den bislang schärfsten rechtlichen Rahmen für Cybersicherheit. Die SL PROJECTS & COMPLIANCE GmbH begleitet betroffene Unternehmen und KRITIS-Betreiber dabei, ihre Betroffenheit und konkreten Pflichten zu klären, erforderliche Registrierungen durchzuführen bzw. nachzuholen und die Anforderungen des BSIG praxistauglich umzusetzen.
Markus Sittig begleitet Sie dabei als Geschäftsführer und persönlicher Ansprechpartner.
- Markus Sittig als persönlicher Ansprechpartner
- Fachanwalt für IT-Recht
- Bundesweite Betreuung
Geschäftsführer · Rechtsanwalt · Fachanwalt für IT-Recht
- Markus Sittig als persönlicher Ansprechpartner
- Fachanwalt für IT-Recht
- Zertifizierte Datenschutzbeauftragte im Unternehmen
- Hauptsitz in Hamburg
- Markus Sittig als persönlicher Ansprechpartner
- Fachanwalt für IT-Recht
- Zertifizierte Datenschutzbeauftragte im Unternehmen
- Hauptsitz in Hamburg
Warum NIS2 und BSIG jetzt akut sind
Das Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG) wurde durch das NIS-2-Umsetzungsgesetz grundlegend überarbeitet und ist seit dem 6. Dezember 2025 in Kraft. Damit ist die europäische NIS-2-Richtlinie ohne weitere Übergangsfrist in deutsches Recht umgesetzt. Rund 29.500 Unternehmen aus 18 Sektoren gelten als unmittelbar betroffen, von der Energie- und Wasserwirtschaft über verarbeitendes Gewerbe und Maschinenbau bis hin zu Logistik und Digitaldiensten.
Betroffene Unternehmen mussten sich bis zum 6. März 2026 im BSI-Portal registrieren. Diese Frist ist inzwischen abgelaufen. Die Registrierungspflicht bleibt jedoch bestehen: Wer die Registrierung bislang versäumt hat, ist weiterhin verpflichtet, dies nachzuholen, und riskiert bei fortgesetztem Verstoß Bußgelder.
Neben der Registrierung verlangt das BSIG konkrete Risikomanagementmaßnahmen nach § 30 BSIG. Für Betreiber kritischer Anlagen (KRITIS) gelten darüber hinaus besondere Anforderungen, darunter Nachweispflichten gegenüber dem BSI nach § 39 BSIG.
Klarheit darüber, ob Ihr Unternehmen unter das NIS-2-Umsetzungsgesetz fällt
Nachholen einer versäumten BSI-Registrierung
Umsetzung der Risikomanagementmaßnahmen nach § 30 BSIG
Begleitung von KRITIS-Betreibern bei den Nachweispflichten nach § 39 BSIG
Einbindung von Lieferanten und Dienstleistern in das Risikomanagement
Reduzierung des Haftungsrisikos für die Geschäftsleitung
- Klarheit darüber, ob Ihr Unternehmen unter das NIS-2-Umsetzungsgesetz fällt
- Nachholen einer versäumten BSI-Registrierung
- Umsetzung der Risikomanagementmaßnahmen nach § 30 BSIG
- Begleitung von KRITIS-Betreibern bei den Nachweispflichten nach § 39 BSIG
- Einbindung von Lieferanten und Dienstleistern in das Risikomanagement
- Reduzierung des Haftungsrisikos für die Geschäftsleitung
Geschäftsführer · Rechtsanwalt · Fachanwalt für IT-Recht
Wer ist von NIS2 und BSIG betroffen?
Das NIS-2-Umsetzungsgesetz erfasst Einrichtungen aus 18 Sektoren, die je nach Größe und Sektor als „besonders wichtige“ oder „wichtige“ Einrichtungen eingestuft werden. Als grobe Orientierung gelten Unternehmen ab 50 Beschäftigten oder mit mehr als 10 Millionen Euro Jahresumsatz beziehungsweise Bilanzsumme in einem betroffenen Sektor regelmäßig als erfasst, wobei einzelne Sektoren eigene, teils abweichende Kriterien vorsehen.
Zentrale Pflichten:
- Registrierungspflicht: Betroffene Einrichtungen müssen sich im BSI-Portal registrieren. Die ursprüngliche Frist lief am 6. März 2026 ab; eine Nachregistrierung bleibt verpflichtend.
- Risikomanagementmaßnahmen nach § 30 BSIG: Betroffene Einrichtungen müssen angemessene technische und organisatorische Maßnahmen zum Schutz ihrer Netz- und Informationssysteme umsetzen.
- Meldepflichten: Bei erheblichen Sicherheitsvorfällen gilt ein gestuftes Meldeverfahren: Betroffene Einrichtungen müssen grundsätzlich spätestens innerhalb von 24 Stunden eine frühe Erstmeldung und spätestens innerhalb von 72 Stunden eine weitere Meldung abgeben. Im Anschluss ist grundsätzlich innerhalb eines Monats eine Abschlussmeldung erforderlich.
- Nachweispflichten für KRITIS-Betreiber nach § 39 BSIG: Betreiber kritischer Anlagen müssen die Umsetzung der für ihre kritischen Anlagen geltenden Risikomanagementmaßnahmen durch Sicherheitsaudits, Prüfungen oder Zertifizierungen gegenüber dem BSI nachweisen. Der Nachweis ist zu einem vom BSI festgelegten Zeitpunkt und anschließend grundsätzlich alle drei Jahre zu erbringen.
Das Bundesministerium des Innern arbeitet zudem an einer Rechtsverordnung, die die Anforderungen aus § 30 BSIG branchenspezifisch weiter konkretisieren soll und sich voraussichtlich an etablierten Standards wie dem BSI-IT-Grundschutz und ISO 27001 orientieren wird. Bis zu ihrem Inkrafttreten gilt der Maßnahmenkatalog aus § 30 BSIG als Orientierungsrahmen.
Info
Bußgelder und persönliche Haftung
Verstöße gegen das NIS-2-Umsetzungsgesetz können für besonders wichtige Einrichtungen mit Bußgeldern von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes geahndet werden. Mitglieder der Geschäftsleitung haften für die Umsetzung der Risikomanagementmaßnahmen individuell.
Wir führen eine Betroffenheitsprüfung durch und klären, welche Pflichten für Ihr Unternehmen konkret gelten.
Datenschutzbeauftragten für Ihr Unternehmen finden
Sie möchten klären, ob Ihr Unternehmen einen Datenschutzbeauftragten benötigt und welcher Betreuungsumfang sinnvoll ist? Sprechen Sie mit Markus Sittig.
Markus Sittig
+49 40 808 125 550
info@datacompliance.solutions
Martinistraße 11 · 20251 Hamburg
Leistungen im Bereich NIS2 und BSIG
01
Wir beraten Unternehmen bei der Einordnung, ob und in welchem Umfang sie von den Anforderungen des NIS2-Umsetzungsgesetzes und des BSIG betroffen sind.
02
Wir beraten zur Registrierung im BSI-Portal und zeigen auf, welche Schritte bei einer noch ausstehenden Registrierung erforderlich sind.
03
Wir analysieren bestehende Maßnahmen anhand der Anforderungen des § 30 BSIG und zeigen bestehenden Handlungsbedarf auf.
04
Wir beraten bei der Konzeption und Weiterentwicklung technischer und organisatorischer Maßnahmen zum Schutz der Netz- und Informationssysteme.
05
Wir beraten zum Aufbau geeigneter interner Prozesse, um die Meldepflichten bei erheblichen Sicherheitsvorfällen nach § 32 BSIG fristgerecht erfüllen zu können.
§ 32 sieht dabei ein gestuftes Meldeverfahren vor.
06
Wir beraten Betreiber kritischer Anlagen bei der Vorbereitung auf die Nachweispflichten nach § 39 BSIG, insbesondere im Hinblick auf Sicherheitsaudits, Prüfungen oder Zertifizierungen.
07
Wir beraten dazu, welche Anforderungen eine bestehende oder geplante ISO-27001-Zertifizierung bereits abdeckt und wo NIS2-spezifische Ergänzungen erforderlich sind.
08
Wir vermitteln Geschäftsleitungen die für sie relevanten Anforderungen des BSIG und unterstützen dabei, die daraus resultierenden organisatorischen Pflichten im Unternehmen einzuordnen.
09
10
11
12
13
14
15
So läuft die NIS2-/BSIG-Beratung ab
Schritt 01
Erstgespräch & Betroffenheitsprüfung
Wir klären, ob und in welcher Kategorie Ihr Unternehmen vom NIS-2-Umsetzungsgesetz erfasst wird. Markus Sittig begleitet diesen Prozess als Ihr persönlicher Ansprechpartner.
Schritt 02
Gap-Analyse & Maßnahmenplan
Wir gleichen den Ist-Zustand mit den Anforderungen aus § 30 BSIG ab und erarbeiten einen priorisierten Maßnahmenplan.
Schritt 03
Umsetzung & laufende Betreuung
Wir begleiten die Umsetzung der Maßnahmen, die Registrierung und die Vorbereitung auf künftige Nachweispflichten.
Vorteile einer spezialisierten NIS2-/BSIG-Beratung
Praxisnähe statt reiner Theorie
Wir kennen den Ablauf von Sicherheitsvorfällen aus eigener Erfahrung mit Data Breaches und Cybercrime-Fällen.
Rechtliche und technische Perspektive zugleich
Wir betrachten NIS2 und BSIG nicht isoliert, sondern im Zusammenhang mit Verträgen, Datenschutz und bestehenden Managementsystemen.
Planbarer Betreuungsaufwand
Der Leistungsumfang orientiert sich an Größe, Sektor und Ausgangslage Ihres Unternehmens.
Vermeidung persönlicher Haftungsrisiken
Eine saubere Umsetzung schützt nicht nur das Unternehmen, sondern auch die persönliche Haftung der Geschäftsleitung.
Persönlicher Ansprechpartner
Mit Markus Sittig haben Sie einen klar benannten persönlichen Ansprechpartner.
Datenschutz im Gesundheitswesen ist Dauerarbeit – wir übernehmen sie
Erstgespräch mit Markus Sittig: Ausgangssituation, Benennungspflicht und Betreuungsumfang in einem Termin geklärt.
Was kostet eine NIS2-/BSIG-Beratung?
Die Kosten hängen von Größe, Sektor und dem aktuellen Stand Ihrer Informationssicherheit ab. Ein Unternehmen mit bestehendem ISMS benötigt einen anderen Aufwand als ein Unternehmen, das erstmals strukturierte Sicherheitsmaßnahmen aufbaut.
Für die Kalkulation spielen insbesondere folgende Faktoren eine Rolle:
Nach einer ersten Bestandsaufnahme erstellen wir Ihnen ein transparentes Angebot für die weitere Begleitung.
Faktoren
Wie NIS2 mit ISO 27001 zusammenwirkt
Im Detail
NIS2, BSIG und bestehende Managementsysteme
Eine bestehende oder geplante ISO-27001-Zertifizierung kann als wichtiger Baustein für den Nachweis nach § 39 BSIG dienen. Sie deckt jedoch nicht automatisch alle NIS2-spezifischen Anforderungen ab: Insbesondere das gesetzliche Meldeverfahren für Sicherheitsvorfälle und die persönlichen Pflichten der Geschäftsleitung sind in ISO 27001 nicht abgebildet und müssen ergänzend aufgebaut werden.
Wer die NIS2-Umsetzung als Ausgangspunkt für ein dauerhaftes Informationssicherheits-Managementsystem nutzt, schafft eine Struktur, die auch künftigen Regulierungsvorhaben wie DORA, dem Cyber Resilience Act oder dem KRITIS-Dachgesetz standhält, statt als einmaliges Projekt in der Schublade zu verschwinden.
NIS2, BSIG und bestehende Managementsysteme
Eine bestehende oder geplante ISO-27001-Zertifizierung kann als wichtiger Baustein für den Nachweis nach § 39 BSIG dienen. Sie deckt jedoch nicht automatisch alle NIS2-spezifischen Anforderungen ab: Insbesondere das gesetzliche Meldeverfahren für Sicherheitsvorfälle und die persönlichen Pflichten der Geschäftsleitung sind in ISO 27001 nicht abgebildet und müssen ergänzend aufgebaut werden.
Wer die NIS2-Umsetzung als Ausgangspunkt für ein dauerhaftes Informationssicherheits-Managementsystem nutzt, schafft eine Struktur, die auch künftigen Regulierungsvorhaben wie DORA, dem Cyber Resilience Act oder dem KRITIS-Dachgesetz standhält, statt als einmaliges Projekt in der Schublade zu verschwinden.
Weiterlesen
NIS2- und BSIG-Beratung in Hamburg – bundesweit erreichbar
Die SL Data Compliance GmbH hat ihren Hauptsitz in Hamburg und berät Unternehmen aus Hamburg und der Region auch persönlich vor Ort. Gleichzeitig lässt sich NIS2-/BSIG-Beratung in vielen Fällen effizient online organisieren, sodass wir Unternehmen bundesweit unterstützen können.
Warum SL Projects & Compliance?
Rechtliche Expertise trifft zertifizierte Datenschutzpraxis
Persönliche Betreuung durch Markus Sittig
Markus Sittig begleitet Sie als Geschäftsführer und persönlicher Ansprechpartner der SL PROJECTS & COMPLIANCE GmbH.
Fachanwaltliche Expertise im IT-Recht
Markus Sittig ist seit 2012 Fachanwalt für IT-Recht. Datenschutzrechtliche Fragestellungen können dadurch auch im Zusammenhang mit Software, digitalen Geschäftsmodellen, IT-Verträgen und weiteren technologiebezogenen Anforderungen betrachtet werden.
Zertifizierte Datenschutzexpertise
Die fachliche Umsetzung der Datenschutzleistungen erfolgt durch eine zertifizierte Datenschutzbeauftragte im Unternehmen.
Recht und Technik zusammendenken
Wir betrachten nicht ausschließlich Datenschutzdokumente, sondern auch die Systeme, Prozesse und Datenflüsse, in denen personenbezogene Daten tatsächlich verarbeitet werden.
Laufende statt isolierte Betreuung
Datenschutz verändert sich mit Ihrem Unternehmen. Neue Systeme, Dienstleister und Projekte können deshalb unmittelbar in die bestehende Datenschutzorganisation eingeordnet werden.
Klare persönliche Zuständigkeit
Sie kommunizieren mit einem festen persönlichen Ansprechpartner statt mit einer anonymen Beratungsstruktur.
Ihre Frage ist nicht dabei?
Häufige Fragen zu NIS2 und BSIG
Seit wann gilt das NIS-2-Umsetzungsgesetz?
Das überarbeitete BSIG ist seit dem 6. Dezember 2025 in Kraft und setzt die europäische NIS-2-Richtlinie ohne weitere Übergangsfrist in deutsches Recht um.
Ist die Registrierungsfrist nicht schon abgelaufen?
Ja, die ursprüngliche Frist zur Registrierung im BSI-Portal endete am 6. März 2026. Wer sich bislang nicht registriert hat, bleibt jedoch verpflichtet, dies nachzuholen, und sollte dies umgehend tun.
Woran erkenne ich, ob mein Unternehmen betroffen ist?
Maßgeblich sind Sektor, Größe und Umsatz beziehungsweise Bilanzsumme Ihres Unternehmens. Eine erste Einschätzung liefert die NIS2-Betroffenheitsprüfung des BSI, eine verbindliche Einordnung nehmen wir im Rahmen eines Erstgesprächs vor.
Was passiert, wenn wir die Anforderungen nicht umsetzen?
Es drohen Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen sowie eine persönliche Haftung der Geschäftsleitung.
Reicht eine bestehende ISO-27001-Zertifizierung aus?
Eine ISO-27001-Zertifizierung deckt viele, aber nicht alle NIS2-Anforderungen ab. Insbesondere das Meldeverfahren und die persönlichen Pflichten der Geschäftsleitung müssen ergänzend aufgebaut werden.
Was bedeutet die Nachweispflicht nach § 39 BSIG?
Betreiber kritischer Anlagen müssen dem BSI die Umsetzung der vorgeschriebenen Risikomanagementmaßnahmen durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachweisen. Der Zeitpunkt wird vom BSI festgelegt; anschließend ist der Nachweis grundsätzlich alle drei Jahre zu erbringen.
Betrifft NIS2 auch unsere Lieferanten?
Mittelbar ja. Betroffene Einrichtungen müssen Cybersicherheitsrisiken in ihrer Lieferkette berücksichtigen und entsprechende Anforderungen in Verträgen verankern.
Was kostet eine NIS2-/BSIG-Beratung?
Das hängt von Größe, Sektor und dem aktuellen Stand Ihrer Informationssicherheit ab. Nach einer ersten Gap-Analyse erstellen wir ein individuelles Angebot.