Compliance & Sicherheit · NIS2-Umsetzung
NIS2-Umsetzung
Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) verpflichtet seit Dezember 2025 rund 29.500 Unternehmen in Deutschland zu Risikomanagementmaßnahmen, Meldepflichten und einer Registrierung beim BSI. Hier finden Sie, wer betroffen ist, welche Fristen gelten und was bei einem Verstoß droht – dazu sechs Berater, die bei der Umsetzung unterstützen. Ein zertifiziertes Informationssicherheits-Managementsystem ist dabei ein möglicher, aber kein einziger Weg, die Pflichten zu erfüllen.
Stand: September 2026, Gesetzestext BGBl. 2025 I Nr. 301. Dieser Text ist eine inhaltliche Einordnung und keine Rechtsberatung.
Wie diese Liste entstanden ist
Ausgewählt: Aufgenommen haben wir Beratungshäuser, die zur Umsetzung des NIS2UmsuCG eine erkennbare Leistung mit auffindbarem Impressum anbieten – von der eigenständigen NIS2-Beratungsseite bis zur Begleitung im Rahmen einer breiteren ISMS- oder KRITIS-Beratung. Große Prüfungs- und Beratungskonzerne lassen wir bewusst außen vor.
Bezahlt hat niemand: Kein Anbieter hat für die Aufnahme oder die Reihenfolge in dieser Liste bezahlt. Sollte sich das ändern, kennzeichnen wir eine bezahlte Platzierung unmittelbar am Eintrag als „Anzeige“.
Geprüft im Monat September 2026: Rechtslage, Firmierung und Leistungsbeschreibung wurden im September 2026 gegen das Bundesgesetzblatt, BSI-Mitteilungen und die Websites der Anbieter geprüft. Wo eine Angabe – etwa ein Preis – nicht öffentlich auffindbar war, steht das so auf der Seite, statt geschätzt zu werden.
Womit PontoIt Geld verdienen soll: Wir planen, künftig gekennzeichnete Anzeigenplätze und eine Vergütung für vermittelte Anfragen anzubieten. Beides läuft heute noch nicht. Details stehen auf der Seite Transparenz.
Betroffenheit, Fristen und Pflichten im Überblick
- Besonders wichtige Einrichtungen (§ 28 Abs. 1 BSIG n. F.): Großunternehmen ab 250 Beschäftigten oder mehr als 50 Millionen Euro Jahresumsatz und mehr als 43 Millionen Euro Bilanzsumme, dazu größenunabhängig unter anderem qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries, DNS-Diensteanbieter und Betreiber kritischer Anlagen.
- Wichtige Einrichtungen (§ 28 Abs. 2): ab 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz und mehr als 10 Millionen Euro Bilanzsumme, sofern das Unternehmen einem der im Gesetz benannten Sektoren angehört – etwa Energie, Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur oder Weltraum.
- Risikomanagementmaßnahmen (§ 30): geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, unter anderem Risikoanalyse und ISMS, Vorfallsmanagement, Business-Continuity-Planung, Absicherung der Lieferkette, sichere Systementwicklung, Multi-Faktor-Authentifizierung sowie Schulung der Beschäftigten.
- Meldefristen (§ 32): Erstmeldung unverzüglich, spätestens binnen 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls; Folgemeldung binnen 72 Stunden; Abschlussmeldung binnen einem Monat.
- Registrierung beim BSI: Betroffene Einrichtungen mussten sich zunächst über „Mein Unternehmenskonto“ registrieren, seit dem 6. Januar 2026 läuft die Registrierung über das eigene BSI-Meldeportal. Wer erst später als besonders wichtige oder wichtige Einrichtung identifiziert wird, muss sich laufend innerhalb von drei Monaten nach der Identifizierung registrieren.
- Bußgelder (§ 65): bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes bei besonders wichtigen Einrichtungen, bis zu 7 Millionen Euro oder 1,4 Prozent bei wichtigen Einrichtungen – für einzelne Pflichtverstöße gelten niedrigere, gestaffelte Bußgeldrahmen.
Quelle: NIS2UmsuCG, BGBl. 2025 I Nr. 301, verkündet 5.12.2025, in Kraft seit 6.12.2025; BSI-Pressemitteilung vom 5.12.2025. Abgerufen im September 2026. Für Betreiber kritischer Anlagen gilt zusätzlich eine Nachweispflicht alle drei Jahre, frühestens ab 2027.
NIS2, NIS2UmsuCG und BSIG – was hier gemeint ist
NIS2 ist zunächst eine EU-Richtlinie zur Netz- und Informationssicherheit. Richtlinien gelten nicht unmittelbar, sondern müssen von jedem Mitgliedstaat in nationales Recht umgesetzt werden. In Deutschland ist das mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz geschehen, kurz NIS2UmsuCG. Dieses Gesetz ändert vor allem das bestehende BSI-Gesetz (BSIG), das die Aufgaben des Bundesamts für Sicherheit in der Informationstechnik regelt – die konkreten Pflichten, um die es auf dieser Seite geht, stehen also im novellierten BSIG, nicht in einem eigenständigen NIS2-Gesetzbuch.
Von den Pflichten aus dem NIS2UmsuCG zu unterscheiden sind benachbarte Rechtsgebiete, die auf anderen Seiten von PontoIt behandelt werden: Die Bestellung eines Datenschutzbeauftragten folgt aus der DSGVO, nicht aus NIS2 – dazu mehr unter Externer Datenschutzbeauftragter. Pflichten für Hochrisiko-KI-Systeme kommen aus der EU-KI-Verordnung, ebenfalls ein eigenes Rechtsgebiet, siehe Hochrisiko-KI-System. Und ISO 27001 ist keine gesetzliche Pflicht, sondern eine freiwillige internationale Norm für Informationssicherheits-Managementsysteme – ein zertifiziertes ISMS kann aber als Nachweis für die Risikomanagementmaßnahmen aus § 30 NIS2UmsuCG dienen. Wie diese Zertifizierung abläuft und was sie kostet, steht unter ISO 27001 Beratung.
Was die Beratung leistet
- Betroffenheitsanalyse. Klärt, ob und als welcher Einrichtungstyp ein Unternehmen unter das NIS2UmsuCG fällt.
- GAP-Analyse. Abgleich der heutigen Sicherheitsorganisation mit den Anforderungen aus § 30.
- Aufbau des Risikomanagements. Prozesse, Rollen, Dokumentation – oft im Rahmen eines ISMS.
- Meldeprozesse. Wer im Ernstfall was innerhalb welcher Frist an das BSI meldet.
- Schulung der Verantwortlichen und Beschäftigten. Damit die Prozesse im Alltag tatsächlich greifen.
- Registrierung und Auditbegleitung. Unterstützung bei der BSI-Registrierung und bei Nachweis- oder Stichprobenprüfungen.
Fragen, die vor der Beauftragung zu klären sind
- Sind wir überhaupt betroffen? Die Schwellenwerte hängen von Beschäftigtenzahl, Umsatz, Bilanzsumme und Sektor ab. Eine seriöse Beratung beginnt mit dieser Prüfung, nicht mit dem Verkauf eines fertigen Pakets.
- Was ist im Angebot enthalten? Manche Anbieter begleiten den gesamten Weg von der Betroffenheitsanalyse bis zur BSI-Registrierung, andere behandeln NIS2 nur als Teil einer breiteren ISMS-Beratung. Das sollte vor Vertragsabschluss feststehen.
- Bauen wir ein zertifiziertes ISMS auf, oder reicht ein schlankeres Risikomanagement? Eine ISO-27001-Zertifizierung ist ein anerkannter Nachweisweg, aber nicht die einzige Möglichkeit, § 30 zu erfüllen – mehr dazu unter ISO 27001 Beratung.
- Wer übernimmt im Ernstfall die Meldung? Die 24-Stunden-Frist für die Erstmeldung ist knapp. Klären Sie, ob der Berater beim Aufbau des Meldeprozesses hilft oder im akuten Vorfall selbst erreichbar ist.
- Was passiert nach der Erstumsetzung? NIS2-Pflichten sind keine einmalige Aufgabe, sondern eine laufende Verpflichtung mit Nachweis- und Registrierungspflichten. Fragen Sie, ob und zu welchen Konditionen der Berater diese Begleitung fortsetzt.
Was den Preis bestimmt
Der größte Kostenfaktor ist der Abstand zwischen der heutigen Sicherheitsorganisation und den Anforderungen aus § 30: Ein Unternehmen mit dokumentiertem Risikomanagement und einer IT-Abteilung, die Vorfälle bereits systematisch erfasst, braucht deutlich weniger Beratungsaufwand als eines, das bei null anfängt. Dazu kommt der Einrichtungstyp – eine besonders wichtige Einrichtung mit mehreren Standorten hat einen größeren Prüfungsumfang als eine einzelne wichtige Einrichtung. Ein dritter Faktor ist der Zuschnitt des Auftrags: Manche Anbieter kalkulieren einen Festpreis für die gesamte Strecke bis zur Registrierung, andere rechnen einzelne Teilschritte gesondert ab.
Von den sechs hier gelisteten Anbietern veröffentlicht einer, die QAS-Company AG, eine konkrete Preisstaffel nach Unternehmensgröße: rund 7.000 bis 16.000 Euro bei bis zu 50 Beschäftigten, 16.000 bis 25.000 Euro bei 50 bis 250 Beschäftigten, und ab etwa 25.000 Euro bei größeren Unternehmen – dieselbe Staffel, die der Anbieter auch für seine ISO-27001-Beratung nennt. Die übrigen fünf Anbieter kalkulieren nach eigener Aussage individuell nach einem kostenlosen Erstgespräch und veröffentlichen keine Zahl.
Angaben laut den Websites der Anbieter. Links und Preisangaben zuletzt geprüft: 09/2026. Die Reihenfolge ist alphabetisch und keine Rangfolge. Kein Anbieter bezahlt für seinen Eintrag, und wir erhalten derzeit auch keine Vergütung für vermittelte Anfragen. Beides kann sich ändern – bezahlte Platzierungen kennzeichnen wir dann unmittelbar am Eintrag als „Anzeige“, eine Vermittlungsvergütung weisen wir an dieser Stelle aus. Wie wir uns finanzieren, steht auf Transparenz.
| Anbieter | Sitz | Schwerpunkt | Zusatzleistung | Preis veröffentlicht |
|---|---|---|---|---|
| abat AG (abat protect) | Bremen | NIS2 im Rahmen der ISMS-/KRITIS-Beratung | Externer Informationssicherheitsbeauftragter | Nein |
| BWS Consulting Group GmbH | Wolfsburg | Eigenständige NIS2-Beratung mit BSI-Registrierung | ISO 27001, TISAX, Pentests | Nein |
| Hopp + Flaig PartG mbB | Stuttgart | Eigenständige NIS2-Beratung, mehrere Standorte | ISO 27001, TISAX | Nein |
| MTG Consulting GmbH (MTG Wirtschaftskanzlei) | Regensburg | NIS2 als Fachthema im Kanzleiverbund | ISO 27001, TISAX | Nein |
| QAS-Company AG | München | Fünfphasige NIS2-Beratung inkl. BSI-Registrierung | ISO 27001, TISAX | Ja, ab 7.000 € |
| Schönbrunn TASC GmbH | Leonberg | Eigenständige NIS2-Beratung mit Training | ISO 27001, TISAX, Pentests | Nein |
abat AG (abat protect)
Sitz Bremen · NIS2 im Rahmen der ISMS- und KRITIS-Beratung · eigenes zertifiziertes Managementsystem
Die abat AG mit Sitz in Bremen berät unter der Marke abat protect zu Informationssicherheit, unter anderem im Rahmen ihrer KRITIS-Beratung. Nach Anbieterangabe deckt die Analyse der aktuellen Sicherheitslage dort ausdrücklich den NIS2-Kontext nach dem aktuellen BSI-Gesetz mit ab. Eine eigenständige, gesondert benannte NIS2-Beratung wie bei anderen hier gelisteten Häusern lag bei der Prüfung nicht vor – die Einordnung von NIS2 erfolgt bei abat protect innerhalb der bestehenden ISMS- und KRITIS-Leistungen. Zusätzlich erklärt das Unternehmen die Pflichten aus dem NIS2UmsuCG in einem eigenen Fachbeitrag auf seiner Website.
Passt, wenn Sie NIS2 im Zug einer umfassenderen ISMS- oder KRITIS-Beratung mitbehandeln lassen wollen, nicht als eigenständiges Projekt · Preis: lag bei der Prüfung nicht vor
BWS Consulting Group GmbH
Sitz Wolfsburg · eigenständige NIS2-Beratung mit BSI-Registrierung · kostenlose Erstberatung
Die BWS Consulting Group GmbH mit Sitz in Wolfsburg führt eine eigene NIS2-Beratungsseite, getrennt von ihrem ISO-27001-Angebot. Nach Anbieterangabe beginnt der Ablauf mit einer Betroffenheitsanalyse und einem NIS2-Mapping, gefolgt von Risikoanalyse, einem zeitlich strukturierten Maßnahmenplan sowie der Implementierung und Dokumentation eines ISMS. Am Ende steht laut Website eine Prüfungsvorbereitung für die behördliche Kontrolle. Das Unternehmen kombiniert diese Leistung nach eigener Aussage mit Informationssicherheit, Datenschutz und Penetrationstests aus einer Hand und verweist auf 15 Jahre Erfahrung in der Informationssicherheit.
Passt, wenn Sie neben NIS2 auch Datenschutz- oder Pentest-Themen bei einem Anbieter bündeln möchten · Preis: lag bei der Prüfung nicht vor
Hopp + Flaig PartG mbB
Sitz Stuttgart · sieben Standorte · nennt die gesetzlichen Schwellenwerte selbst
Die Hopp + Flaig PartG mbB, ein Ingenieurbüro mit Hauptsitz in Stuttgart und weiteren Standorten in Düsseldorf, Hannover, Karlsruhe, Donaueschingen, Nördlingen und München, führt eine eigene NIS2-Beratungsseite. Nach Anbieterangabe gehören eine GAP-Analyse, die Entwicklung von Sicherheitsrichtlinien und Risikomanagementprozessen, interne Audits, Schulungen, die Begleitung externer Audits und die normgerechte Dokumentation zum Leistungsumfang. Die Website benennt die gesetzliche Betroffenheitsschwelle selbst – ab 50 Beschäftigten und mehr als 10 Millionen Euro Umsatz. Ansprechpartner für Informationssicherheit ist laut Website Jürgen Hornberger.
Passt, wenn Sie ein Unternehmen mit mehreren Standorten in Süddeutschland sind und ISO 27001 und NIS2 beim selben Berater prüfen lassen möchten · Preis: lag bei der Prüfung nicht vor
MTG Consulting GmbH (MTG Wirtschaftskanzlei)
Sitz Regensburg · Teil einer Kanzleigruppe · NIS2 als Fachthema, nicht als eigenes Produkt
Die MTG Consulting GmbH mit Sitz in Regensburg gehört zur MTG-Unternehmensgruppe, die unter der Marke „MTG Wirtschaftskanzlei“ an mehreren bayerischen Standorten auch Steuer- und Rechtsberatung anbietet. Die Leistungsseite „Informationssicherheit“ nennt nach Anbieterangabe Cyber Security, Datenschutz und IT-Consulting, ohne NIS2 dort als eigenes benanntes Leistungspaket zu führen. In einem Fachbeitrag vom Februar 2026 erklärt die Kanzlei die NIS2-Pflichten für Stadtwerke und Kommunen im Detail – das ist ein Erklärstück, kein gesondert buchbares Angebot. Für die praktische Begleitung verweist die Website auf die allgemeine Informationssicherheitsberatung.
Passt, wenn Sie NIS2-Fragen im selben Haus wie Steuer- oder Rechtsberatung klären möchten und keine eigenständige NIS2-Projektleistung suchen · Preis: lag bei der Prüfung nicht vor
QAS-Company AG
Sitz München · fünfphasige NIS2-Beratung inklusive BSI-Registrierung · einziger Anbieter mit veröffentlichter Preisstaffel
Die QAS-Company AG mit Sitz in München führt eine eigene, fünfphasige NIS2-Beratung: Betroffenheits- und GAP-Analyse, Vorbereitung mit Meilensteinplanung, die eigentliche Beratung mit Prozessanalyse und ISMS-Dokumentation, eine Wirksamkeitsprüfung und zuletzt Compliance-Unterstützung inklusive BSI-Registrierung und Vorbereitung auf Stichprobenprüfungen. Nach Anbieterangabe ist die vollständige NIS2-Dokumentation im Leistungsumfang enthalten. Die veröffentlichte Preisstaffel entspricht zahlengleich der auf der ISO-27001-Seite desselben Anbieters – ein Hinweis darauf, dass QAS beide Vorhaben im selben Projektrahmen kalkuliert, nicht auf einen Fehler in einer der beiden Angaben.
Passt, wenn Sie vor der Beauftragung eine grobe Preisorientierung nach Unternehmensgröße möchten · Preis: ca. 7.000–16.000 € (bis 50 Beschäftigte), 16.000–25.000 € (50–250 Beschäftigte), ab ca. 25.000 € (über 250 Beschäftigte)
Schönbrunn TASC GmbH
Sitz Leonberg · eigenständige NIS2-Beratung mit Schulungsangebot · zusätzliches TRECCERT-Training
Die Schönbrunn TASC GmbH mit Sitz in Leonberg führt eine eigene NIS2-Beratungsseite. Nach Anbieterangabe umfasst sie eine Analyse der aktuellen Sicherheitslage und der einschlägigen NIS2-Pflichten, einen individuellen NIS2-Maßnahmenplan, den Aufbau von Prozessen und Zuständigkeiten für das Risikomanagement, Schulungen für Führungskräfte und Verantwortliche sowie die Begleitung interner und externer Audits. Zusätzlich bietet das Unternehmen laut Website ein zertifiziertes TRECCERT-Training „NIS2 Essentials“ an. Neben dem deutschen Standort betreibt Schönbrunn TASC nach eigener Aussage ein Büro in Tunesien.
Passt, wenn Sie neben der Beratung auch ein zertifiziertes Schulungsformat für Verantwortliche suchen · Preis: lag bei der Prüfung nicht vor
Häufige Fragen
Wer ist nach dem NIS2UmsuCG betroffen?
Grob gesagt Unternehmen ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz in einem der im Gesetz benannten Sektoren – etwa Energie, Verkehr, Finanzwesen, Gesundheit, Wasser oder digitale Infrastruktur. Ab 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz gelten strengere Pflichten als „besonders wichtige Einrichtung“. Einige Rollen wie Vertrauensdiensteanbieter sind unabhängig von der Größe betroffen.
Welche Fristen gelten bei einem Sicherheitsvorfall?
Eine Erstmeldung an das BSI muss unverzüglich erfolgen, spätestens innerhalb von 24 Stunden nach Kenntnis. Eine Folgemeldung mit einer ersten Bewertung folgt binnen 72 Stunden, eine Abschlussmeldung binnen einem Monat.
Was droht bei einem Verstoß?
Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes bei besonders wichtigen Einrichtungen, bis zu 7 Millionen Euro oder 1,4 Prozent bei wichtigen Einrichtungen. Für einzelne Pflichtverstöße gelten niedrigere, gestaffelte Rahmen. Das BSI kann außerdem Prüfungen anordnen und Nachweise verlangen.
Reicht eine ISO-27001-Zertifizierung, um die NIS2-Pflichten zu erfüllen?
Ein zertifiziertes ISMS nach ISO 27001 kann als Nachweis für die Risikomanagementmaßnahmen aus § 30 dienen, deckt die NIS2-Pflichten aber nicht vollständig ab – die Meldepflichten bei Sicherheitsvorfällen und die Registrierung beim BSI sind eigenständig geregelt und bleiben unabhängig von einer Zertifizierung bestehen.
Müssen wir uns beim BSI registrieren, auch wenn schon länger nichts passiert ist?
Ja. Die Registrierung ist unabhängig davon, ob es bereits einen Sicherheitsvorfall gab, verpflichtend. Wer erst nach der ursprünglichen Umstellung Anfang 2026 als betroffene Einrichtung identifiziert wird, muss sich innerhalb von drei Monaten nach dieser Identifizierung registrieren.
Passenden Anbieter anfragen
Sagen Sie uns kurz, wie groß Ihr Unternehmen ist und ob bereits klar ist, ob Sie als wichtige oder besonders wichtige Einrichtung gelten. Wir sehen uns Ihre Anfrage an und geben sie an die Anbieter aus dem Verzeichnis weiter, die fachlich dazu passen – es können sich also mehrere bei Ihnen melden. Kostenlos und unverbindlich.
Vielen Dank für deine Antwort. ✨
Wie wir mit Ihren Daten umgehen, steht in unserer Datenschutzerklärung.
Weitere Themen: ISO 27001 Beratung · Externer Datenschutzbeauftragter · Hochrisiko-KI-System