IT-Sicherheitskonzepte und NIS2-Nachweise
Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz. Nach Schätzungen des BSI fallen rund 29.500 Einrichtungen darunter, darunter viele Unternehmen, die sich bisher kaum mit Pflichten zur Cybersicherheit beschäftigen mussten. Als grobe Regel gilt: Wer in einem der betroffenen Sektoren tätig ist und mehr als 50 Mitarbeitende oder mehr als 10 Millionen Euro Jahresumsatz hat, sollte prüfen, ob er betroffen ist. Die Fristen für die Registrierung beim BSI sind inzwischen abgelaufen. Wer noch nicht registriert ist, sollte das jetzt nachholen, denn bei Verstößen haftet auch die Geschäftsführung persönlich.
Auch die Cyberversicherer fragen genauer nach. Nach aktuellen Marktdaten scheitert etwa jeder dritte Antrag an fehlenden Sicherheitsnachweisen. Meist entscheiden zwei Punkte: die Anmeldung mit mehreren Faktoren und Backups, die getestet sind und getrennt vom Netzwerk liegen. Ohne Multi-Faktor-Anmeldung bekommen viele Unternehmen heute gar keine Police mehr.
Was dazugehört
Risikoanalyse
Wir erfassen, welche Systeme und Daten für Ihr Unternehmen kritisch sind, wo die größten Risiken liegen und was davon heute schon abgesichert ist.
Konzept und Maßnahmen
Daraus entsteht ein Sicherheitskonzept mit klaren Zuständigkeiten für den Ernstfall, mit Backup- und Notfallabläufen und den technischen Maßnahmen, etwa Multi-Faktor-Anmeldung und Backups, die getrennt vom Netzwerk liegen. Auf Wunsch setzen wir diese Maßnahmen selbst um.
Prüfbare Nachweise
Alles ist so dokumentiert, dass es einer Prüfung standhält, ob durch das BSI, Ihre Cyberversicherung oder Ihre eigene Revision. Aus dem Hosting regulierter IT für Banken wissen wir, dass sich eine saubere Dokumentation nicht kurz vor der Prüfung nachholen lässt. Sie entsteht im laufenden Betrieb, oder sie fehlt.
Wann Sie handeln sollten
Wenn Sie nicht sicher sind, ob NIS2 für Sie gilt, wenn die Cyberversicherung verlängert werden soll oder ein großer Kunde Sicherheitsnachweise von Ihnen verlangt. Spätestens nach einem Vorfall zeigt sich, ob die Notfallabläufe funktionieren. Angenehmer ist es, das vorher zu wissen.
So läuft es ab
- Erstgespräch. Wir klären kostenlos, ob NIS2 für Sie gilt und welche Anforderungen auf Sie zukommen.
- Risikoanalyse. Wir sehen uns Ihre Systeme, Abläufe und bestehenden Maßnahmen an.
- Konzept und Umsetzung. Sie bekommen das Sicherheitskonzept schriftlich. Die Maßnahmen setzen wir auf Wunsch um.
- Nachweise. Sie erhalten die vollständige Dokumentation für BSI, Versicherung und Revision.
Fragen zu Sicherheitskonzept und NIS2
Brauchen wir eine ISO-27001-Zertifizierung?
Das NIS2-Umsetzungsgesetz schreibt keine bestimmte Zertifizierung vor. Verlangt werden Maßnahmen zum Risikomanagement, die dem Stand der Technik entsprechen, und dass Sie diese nachweisen können. ISO 27001 oder der IT-Grundschutz des BSI sind dafür ein bewährter Rahmen. Ob sich eine Zertifizierung für Sie lohnt, hängt oft mehr an Ihren Kunden als am Gesetz, weil manche Auftraggeber sie verlangen.
Übernehmen Sie auch die Registrierung beim BSI?
Die Registrierung läuft über das Portal des BSI und das Unternehmenskonto Ihrer Firma. Wir klären mit Ihnen vorher, ob und als welche Art von Einrichtung Sie betroffen sind, und bereiten die Angaben vor, die dort verlangt werden.
Setzen Sie die Maßnahmen auch selbst um?
Auf Wunsch ja. Wir richten zum Beispiel die Anmeldung mit mehreren Faktoren ein, bauen Backups auf, die getrennt vom Netzwerk liegen, und testen die Wiederherstellung. Setzt Ihr eigenes Team oder ein anderer Dienstleister um, begleiten wir das und prüfen, ob das Ergebnis zum Konzept passt.
Wie bleibt das Konzept aktuell?
Ein Sicherheitskonzept veraltet mit jeder Änderung an der IT. Deshalb legen wir fest, wer es pflegt und wann es überprüft wird, etwa einmal im Jahr und zusätzlich nach jeder größeren Änderung. Wenn Sie möchten, übernehmen wir diese Überprüfung.
Was passiert bei einem Sicherheitsvorfall?
Dann zählt, was vorher im Notfallplan steht: wer entscheidet, wer informiert wird und welche Systeme zuerst wieder laufen müssen. Für Einrichtungen, die unter NIS2 fallen, gelten außerdem Meldefristen gegenüber dem BSI. Die Abläufe dafür gehören ins Konzept, damit im Ernstfall niemand erst nachlesen muss, was zu tun ist.
Was kostet ein Sicherheitskonzept?
Das Erstgespräch, in dem wir klären, ob NIS2 für Sie gilt, ist kostenlos. Den Aufwand für Risikoanalyse und Konzept bestimmen vor allem die Zahl der Standorte und Systeme und wie viel schon dokumentiert ist. Dafür bekommen Sie ein Angebot, bevor wir anfangen. Die Umsetzung der Maßnahmen vereinbaren wir getrennt, damit Sie frei entscheiden können, wer sie übernimmt.
Ein Sicherheitskonzept berührt fast jeden Teil der IT. Viele Maßnahmen betreffen die Arbeitsplätze mit Microsoft 365, etwa Rechte und Anmeldung. Damit Backups und Updates auch nach dem Projekt zuverlässig laufen, gibt es unsere Managed Services. Und wenn Sie vor einer größeren Entscheidung eine unabhängige Einschätzung brauchen, hilft eine IT-Beratung oder Zweitmeinung. Alle Themen finden Sie in der Übersicht unserer Leistungen.
Im kostenlosen Erstgespräch klären wir mit Ihnen, ob NIS2 für Sie gilt und wo Ihre IT-Sicherheit heute steht.