Klärung
Eine Einordnung, kein Gutachten
Wir ordnen Ihr Unternehmen fachlich ein. Für eine verbindliche Bewertung, besonders im Grenzfall, gehört Ihre Rechtsberatung dazu.
HÖLL IT-Sicherheit
NIS2-Prüfung: Betroffen oder nicht? In 30 Minuten geklärt
Ob NIS2 für Ihr Unternehmen gilt, hängt an drei Dingen: Sektor, Beschäftigtenzahl und Umsatz. Wir gehen die Kriterien mit Ihnen durch und sagen Ihnen auch, wenn Sie nicht betroffen sind. Die Prüfung ist eine fachliche Einordnung, keine Rechtsberatung.
Die Prüfung
- SektorAnlage 1 oder 2 BSIGgeprüft
- BeschäftigteGröße des Unternehmensgeprüft
- Umsatzund Bilanzsummegeprüft
Fachliche Einordnung, keine Rechtsberatung
Darum lohnt sich die Prüfung — für alle im Unternehmen
Die Prüfung beantwortet Fragen, die an verschiedenen Schreibtischen liegen: bei der Geschäftsleitung, in der IT und bei Ihren Kunden.
Für die Geschäftsleitung
Klarheit
ob NIS2 gilt und was § 38 BSIG von der Geschäftsleitung verlangt
Für die IT
Reihenfolge
welche Anforderungen aus § 30 BSIG erfüllt sind, als Ampel mit Reihenfolge
Für die Dokumentation
Schriftlich
Analyse, Konzept, Restore-Protokolle und Schulungsnachweise liegen vor
Für Zulieferer
Belegbar
wer von Kunden nach NIS2 gefragt wird, bekommt zusammengestellt, was sich belegen lässt
Für Nicht-Betroffene
Ehrlich
wenn NIS2 nicht gilt, sagen wir das, statt Ihnen trotzdem etwas zu verkaufen
Zuerst die Frage, ob es Sie betrifft. Danach erst, was zu tun ist.
NIS2 ist in Deutschland geltendes Recht, aber nicht jedes Unternehmen fällt darunter: Es zählen Sektor, Beschäftigtenzahl und Umsatz. Auf die meisten Mittelständler trifft NIS2 nicht zu.
Sind Sie betroffen, zeigt die IST-Analyse, welche Anforderungen aus § 30 BSIG schon erfüllt sind. Meistens geht es nicht darum, Neues zu kaufen, sondern Vorhandenes zu ordnen und zu belegen. Die Bausteine dafür stehen unter IT-Sicherheit.
Eingeordnet. Ehrlich.
- Wichtige Einrichtung: Sektor nach Anlage 1 oder 2 BSIG und ab 50 Beschäftigten oder über 10 Mio. € Umsatz und Bilanzsumme.
- Besonders wichtige Einrichtung: Sektor nach Anlage 1 BSIG und ab 250 Beschäftigten oder über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme.
- Nicht betroffen: kein Sektor der Anlagen 1 und 2 oder Schwellenwerte nicht erreicht, dann gibt es aus NIS2 keine Registrierungs- und keine Meldepflicht.
- Ein einzelnes Kriterium genügt nicht: Sektor und Größe müssen zusammen zutreffen.
Mögliche Ergebnisse
- Wichtige Einrichtungbetroffen
- Besonders wichtigebetroffen
- Nicht betroffenkeine NIS2-Pflicht
Grenzfall
Wir sagen offen, wenn wir einen sehen
Zugeordnet. Belegt.
- Risikoanalyse und Sicherheitskonzept entstehen aus der IST-Analyse nach DIN SPEC 27076, als schriftliches Konzept.
- Firewall, Geräteschutz und Backup sichern Netz und Systeme ab, der Restore wird geprüft.
- Zugriffskontrolle läuft über das Passwortmanagement statt über Listen und E-Mails.
- Nachweise liegen schriftlich vor: Analyse, Konzept, Restore-Protokolle und Schulungsnachweise.
Anforderung und Leistung
- RisikoanalyseIST-Analyseaktiv
- Netz und SystemeFirewall, Endpoint
- ZugriffPasswortmanagement
- SchulungAwareness
Nachweis
Analyse, Konzept, Protokolle · schriftlich abgelegt
Meldewege
wer wird informiert · wer entscheidet
Chefsache. Geschult.
- Die Geschäftsleitung billigt die Risikomanagementmaßnahmen (§ 38 BSIG).
- Sie überwacht ihre Umsetzung. Die operative Arbeit kann an die IT gehen, die Verantwortung nicht.
- Sie nimmt selbst an Schulungen teil. Diese Pflicht ist nicht delegierbar, kein IT-Leiter erfüllt sie stellvertretend.
- Dafür gibt es ein eigenes, kürzeres Format, ausgerichtet auf Verantwortung statt auf Technik.
Pflichten nach § 38 BSIG
- BilligenGeschäftsleitung
- ÜberwachenGeschäftsleitung
- SchulungGeschäftsleitung
- UmsetzungIT
Schulung Geschäftsleitung
kürzer · Verantwortung statt Technik
-
-
Einstufung
Nicht betroffen · keine Registrierung
KlärungKeine Pflicht, keine Registrierung
Wer nicht in den Anwendungsbereich fällt, muss sich auch nicht registrieren. Sicherheit bleibt sinnvoll, dann freiwillig und in Ihrem Tempo.
-
Klärung
Kein NIS2-Zertifikat
NIS2 kennt keine Zertifizierungspflicht. Verlangt werden umgesetzte Maßnahmen und der Nachweis darüber.
-
Umsetzung
Meist kein neues Produkt
Wo Firewall, Backup, Endpoint Protection und Schulungen schon laufen, ist der Aufwand meist gering.
-
UmsetzungMeldewege vor dem Vorfall
Wer wird wann informiert, wer entscheidet, wie läuft der Wiederanlauf? Umgesetzt über das IT-Krisenmanagement.
Vorher: Zuständigkeiten erst im Ernstfall geklärt
-
Kundenanfrage
NIS2-Nachweise gewünscht
KundenKunde fragt nach NIS2
Betroffene Unternehmen müssen ihre Lieferkette berücksichtigen und fragen deshalb bei Zulieferern nach. Wir stellen zusammen, was Sie belegen können.
Vorher: Fragebogen ohne Nachweise
-
Umsetzung
Ampel mit Reihenfolge
Die IST-Analyse zeigt, welche Anforderungen aus § 30 BSIG schon erfüllt sind. Ergebnis ist eine Ampelbewertung mit Reihenfolge.
-
Kunden
Unser Zugriff, dokumentiert
Die Anforderungen gelten auch für Dienstleister mit Zugriff auf Ihre Systeme. Als Ihr IT-Dienstleister dokumentieren wir, was wir tun und wie wir zugreifen.
Was NIS2 verlangt — und was wir übernehmen
Die meisten Anforderungen aus § 30 BSIG sind keine neuen Produkte, sondern Leistungen, die HÖLL ohnehin erbringt.
Vorhandenes ordnen und belegen
Firewall, Endpoint Protection, Backup mit geprüftem Restore, Passwortverwaltung und Schulungen decken einen großen Teil von § 30 BSIG ab.
IT-Sicherheit-
Wir gehen Sektor, Beschäftigtenzahl und Umsatz mit Ihnen durch und ordnen Ihr Unternehmen fachlich ein. Ergebnis kann sein, dass NIS2 für Sie nicht gilt.
-
Der Ausgangspunkt jeder NIS2-Umsetzung. Wir erheben den Stand über die IST-Analyse nach DIN SPEC 27076 und leiten daraus ein schriftliches Konzept ab.
-
Wer wird wann informiert, wer entscheidet, wie läuft der Wiederanlauf. Umgesetzt über das IT-Krisenmanagement.
-
Gesicherte Daten allein reichen nicht — es zählt der belegte Wiederanlauf. Deshalb ist der geprüfte Restore Teil der Datensicherung.
-
Abgesicherter Netzübergang über die Managed Firewall und Schutz auf dem Gerät über Endpoint Protection.
-
Wer darf worauf, und womit weist er sich aus. Zugänge liegen zentral verwaltet im Passwortmanagement statt in Listen und E-Mails.
-
NIS2 verlangt Schulung ausdrücklich — für die Belegschaft und, nach § 38 BSIG, für die Geschäftsleitung selbst. Abgedeckt über die Awareness-Schulungen.
-
Die Anforderungen gelten auch für Dienstleister mit Zugriff auf Ihre Systeme. Als Ihr IT-Dienstleister dokumentieren wir, was wir tun und wie wir zugreifen.
-
Ohne Unterlagen ist eine Maßnahme im Zweifel nicht erfolgt. Analyse, Konzept, Restore-Protokolle und Schulungsnachweise liegen schriftlich vor.
Unternehmen, die auf HÖLL setzen
Über 2.000 aktive Vertragskunden in der Region arbeiten mit HÖLL. Eine Auswahl.
So gehen wir NIS2 an
Zuerst die Frage, ob es Sie betrifft. Danach erst, was zu tun ist.
-
Wir gehen Sektor, Beschäftigtenzahl und Umsatz durch und ordnen Ihr Unternehmen ein.
-
Sind Sie betroffen, prüfen wir über die IST-Analyse nach DIN SPEC 27076, welche Anforderungen aus § 30 BSIG schon erfüllt sind und welche nicht. Ergebnis ist eine Ampelbewertung mit Reihenfolge.
-
Wir schließen die Lücken mit den Leistungen, die Sie ohnehin brauchen, und dokumentieren sie so, dass die Geschäftsleitung ihrer Nachweispflicht nachkommen kann.
Eine gute NIS2-Umsetzung beginnt mit der Frage, ob sie nötig ist.
Sie bekommen eine Einordnung und, falls Sie betroffen sind, eine Reihenfolge — keine Angebotsmappe.
Mit wem Sie arbeiten.
Ihre Frage war nicht dabei?
Rufen Sie an oder schreiben Sie uns: 07221 9556-0, info@hoell.de.
Fragen zu NIS2
Wo steht NIS2 gerade?
Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz gilt in Deutschland seit dem 6. Dezember 2025, ohne Übergangsfrist. Betroffene Einrichtungen mussten sich bis zum 6. März 2026 beim BSI registrieren; die Kulanzfrist des BSI endete am 31. Juli 2026. Von rund 29.500 betroffenen Einrichtungen war zu diesem Zeitpunkt etwa ein Drittel nicht registriert. Für eine unterlassene Registrierung sieht § 65 BSIG ein Bußgeld von bis zu 500.000 € vor.
Eine verspätete Registrierung ist weiterhin möglich und sinnvoll — sie beendet den laufenden Verstoß. Der erste Schritt ist aber nicht das BSI-Portal, sondern die Frage, ob Sie überhaupt in den Anwendungsbereich fallen. Genau die klären wir mit Ihnen in einem 30-Minuten-Gespräch, kostenfrei.
Seit wann gilt NIS2 in Deutschland?
Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz ist am 6. Dezember 2025 in Kraft getreten, ohne Übergangsfristen. Es setzt die EU-Richtlinie 2022/2555 in deutsches Recht um und ändert dafür vor allem das BSI-Gesetz.
Wir haben die Registrierungsfrist verpasst. Was jetzt?
Die gesetzliche Frist endete am 6. März 2026, die Kulanzfrist des BSI am 31. Juli 2026. Nachholen ist weiterhin möglich und ratsam: Die Registrierung beendet den laufenden Verstoß und zeigt, dass Sie reagiert haben. Rückwirkend heilen kann sie ihn nicht — § 65 BSIG sieht für die unterlassene Registrierung bis zu 500.000 € vor. Der erste Schritt bleibt trotzdem die Betroffenheitsprüfung: Wer nicht in den Anwendungsbereich fällt, muss sich auch nicht registrieren.
Woran erkenne ich, ob wir betroffen sind?
An drei Dingen gleichzeitig: der Sektor muss in Anlage 1 oder 2 des BSIG stehen, und das Unternehmen muss die Größenkriterien erreichen — ab 50 Beschäftigten oder über 10 Mio. € Umsatz und Bilanzsumme für wichtige Einrichtungen, ab 250 Beschäftigten oder über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme für besonders wichtige. Ein einzelnes Kriterium genügt nicht.
Ist das eine Rechtsberatung?
Nein. Wir gehen die Kriterien mit Ihnen durch und ordnen Ihr Unternehmen fachlich ein — das ist die Grundlage für Ihre Entscheidung, nicht ihre rechtliche Absicherung. Für eine verbindliche Bewertung, besonders in Grenzfällen, gehört Ihre Rechtsberatung dazu. Wir sagen Ihnen offen, wenn wir einen Grenzfall sehen.
Kann ich das an unsere IT delegieren?
Die operative Arbeit ja, die Verantwortung nicht. § 38 BSIG verlangt von der Geschäftsleitung, die Maßnahmen zu billigen, ihre Umsetzung zu überwachen und selbst an Schulungen teilzunehmen. Besonders die Schulungspflicht ist nicht übertragbar — sie erfüllt kein IT-Leiter stellvertretend.
Was kostet die NIS2-Umsetzung?
Das Erstgespräch zur Betroffenheit ist kostenfrei. Was danach kommt, hängt davon ab, wie viele Anforderungen schon erfüllt sind. Bei Kunden mit bestehender Betreuung ist der Aufwand meist gering, weil Firewall, Backup, Endpoint Protection und Schulungen bereits laufen.
Wir sind nicht betroffen, aber unser Kunde fragt nach NIS2.
Das kommt häufig vor: NIS2 verlangt von betroffenen Unternehmen auch, die Sicherheit ihrer Lieferkette zu berücksichtigen. Dadurch erreichen die Anforderungen Zulieferer und Dienstleister, die selbst nicht unter das Gesetz fallen. Für diesen Fall stellen wir zusammen, was Sie belegen können.
Bekommen wir am Ende ein NIS2-Zertifikat?
Ein solches Zertifikat gibt es nicht. NIS2 kennt keine Zertifizierungspflicht — verlangt werden umgesetzte Maßnahmen und der Nachweis darüber. Genau deshalb liegt der Schwerpunkt bei uns auf der Dokumentation: Analyse, Konzept, Protokolle, Schulungsnachweise.
