NIS-2 Beratung für den Mittelstand: von der Betroffenheit bis zum Nachweis
Unsere NIS-2 Beratung führt Sie in einem Festpreis-Paket von der dokumentierten Betroffenheitsfeststellung über die Gap-Analyse gegen § 30 BSIG bis zum prüffähigen Nachweispaket für Geschäftsleitung und BSI. Den Festpreis legen wir nach einer kurzen Einordnung Ihrer Unternehmensgröße und Ausgangslage fest. Das ist dringend: Das NIS2UmsuCG ist seit dem 6. Dezember 2025 ohne Übergangsfrist in Kraft, und die Geschäftsleitung haftet persönlich für die Umsetzung.
Kostenloses Erstgespräch vereinbaren
Im kostenlosen 45-minütigen Erstgespräch klären wir Ihre Betroffenheit, Ihren Ausgangspunkt und den sinnvollen nächsten Schritt.
Für wen ist unsere NIS-2 Beratung gedacht?
Unter NIS-2 fallen Unternehmen aus den Sektoren der Anlagen 1 und 2 BSIG, in der Regel ab 50 Beschäftigten oder mehr als 10 Mio. € Jahresumsatz und Jahresbilanzsumme. Je nach Größe und Sektor gelten sie als wichtige oder besonders wichtige Einrichtung. Welche Pflichten daraus folgen, erklärt unser Artikel zu den NIS-2 Anforderungen.
Typische Ausgangslagen in unseren Projekten:
- Sie haben bereits ein ISMS nach ISO 27001 oder ein TISAX®-Label und möchten wissen, was für NIS-2 noch fehlt.
- Sie haben noch kein ISMS und brauchen einen strukturierten Weg zu den Pflichten aus dem BSIG.
- Sie sind nicht selbst betroffen, aber Ihre Kunden verlangen als Lieferant NIS-2-taugliche Sicherheitsmaßnahmen und Vertragsklauseln.
- Ihre Geschäftsleitung braucht eine belastbare Grundlage für Billigung, Überwachung und Nachweis der Maßnahmen.
Unser Vorgehen in sechs Schritten
- Einordnung und Scoping: Im Erstgespräch und einer kurzen Einordnung erfassen wir Größe, Standorte, Sektor und vorhandene Managementsysteme. Daraus ergibt sich Ihr Festpreis.
- Kick-off-Workshop: Gemeinsam mit Geschäftsleitung und Verantwortlichen legen wir Geltungsbereich, Rollen und Zeitplan fest.
- Betroffenheitsfeststellung und BSI-Registrierung: Wir dokumentieren die Einstufung als wichtige oder besonders wichtige Einrichtung als Nachweis für die Geschäftsleitung und unterstützen Sie bei der Registrierung beim BSI.
- NIS-2 Gap-Analyse: Wir stellen Ihren Ist-Zustand den Maßnahmen aus § 30 BSIG gegenüber und priorisieren die Lücken nach Risiko (Details im nächsten Abschnitt).
- Umsetzungsbegleitung: Wir begleiten die Umsetzung der Delta-Maßnahmen, vom Meldeprozess über die Governance-Dokumentation bis zur Sicherheit der Lieferkette.
- Abschluss und Nachweis: Sie erhalten Bericht, Management-Präsentation und ein prüffähiges Nachweispaket.
Wie ein NIS-2-Projekt grundsätzlich aufgebaut ist und welche Aufgaben intern anfallen, beschreibt unser Leitfaden zur NIS-2-Umsetzung.
NIS-2 Gap-Analyse: wo Sie heute stehen
Die NIS-2 Gap-Analyse ist der Kern unseres Pakets. Sie zeigt, welche Pflichten Sie bereits erfüllen, wo Lücken bestehen und in welcher Reihenfolge Sie diese schließen sollten.
Was die Gap-Analyse abdeckt
- Risikomanagementmaßnahmen nach § 30 BSIG: unter anderem Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Business Continuity, Lieferkette, Zugriffskontrolle, Kryptografie und Schulungen.
- Pflichten über das ISMS hinaus: Registrierung beim BSI, Meldeprozess mit den gesetzlichen Fristen und die Pflichten der Geschäftsleitung nach § 38 BSIG.
- Geltungsbereich: Unter NIS-2 ist er nicht frei wählbar. Wir prüfen, ob alle Systeme erfasst sind, die Sie für Ihre Dienste nutzen, einschließlich Produktions- und Steuerungssystemen.
Mit oder ohne bestehendes ISMS
Haben Sie bereits ein ISMS nach ISO 27001 oder ein TISAX®-Label, führen wir eine Delta-Analyse durch: Wir rechnen an, was schon wirksam betrieben wird, und konzentrieren uns auf das, was NIS-2 zusätzlich verlangt. Ohne bestehendes ISMS bewerten wir den Ist-Zustand gegen die Mindestmaßnahmen und legen fest, welche Grundstrukturen zuerst entstehen müssen. Für den vollständigen Aufbau begleiten wir Sie beim ISMS-Aufbau.
Interne Selbsteinschätzung oder externe Gap-Analyse?
Eine Selbsteinschätzung mit unserer NIS-2-Checkliste ist ein guter Einstieg, um Fragen zu sammeln und Zuständigkeiten zu klären. Sie ersetzt aber keine unabhängige Bewertung: Intern fehlt oft der Vergleichsmaßstab, und vorhandene Regelungen werden leicht mit wirksamen verwechselt. Die externe Gap-Analyse liefert eine nachvollziehbare Reifegradbewertung, die vor Geschäftsleitung, Kunden und Aufsicht besteht.
Das Ergebnis der Gap-Analyse
- Bericht mit Bewertung je Maßnahmenbereich
- priorisierter Maßnahmenplan mit Verantwortlichen und Zeitplan
- Management-Präsentation als Entscheidungsgrundlage für Budget und Ressourcen
Was kostet die NIS-2-GAP-Analyse?
NIS-2-GAP-Analyse: 6.900 € Festpreis bzw. 4.500 € als Delta-Analyse auf einem von 360DT aufgebauten, betreuten oder auditierten ISMS – mit Betroffenheitsprüfung, Abgleich mit den Maßnahmen nach § 30 BSIG, Geschäftsleitungspflichten nach § 38 BSIG, Meldeprozess sowie priorisiertem Maßnahmenplan und Management-Summary; bei Beauftragung des NIS-2-Beratungspakets wird der Preis voll angerechnet.
Für Unternehmensgruppen, mehrere EU-Länder, OT-Umgebungen oder ab 200 Mitarbeitenden erstellen wir ein individuelles Angebot.
Was Sie mit dem Festpreis-Paket „NIS-2-Compliance“ erhalten
| Baustein | Was Sie erhalten |
|---|---|
| Betroffenheitsfeststellung | Dokumentierte Einstufung als wichtige oder besonders wichtige Einrichtung, als Nachweis für die Geschäftsleitung |
| Gap- bzw. Delta-Analyse | Abgleich Ihres ISMS (ISO 27001 / TISAX®) mit den Maßnahmen nach § 30 BSIG oder strukturierter Einstieg ohne bestehendes ISMS |
| BSI-Registrierung | Unterstützung bei der Registrierung beim BSI |
| Meldeprozess | Prozess für Sicherheitsvorfälle, ausgerichtet auf die Fristen 24 Stunden, 72 Stunden und einen Monat |
| Governance-Dokumentation | Unterlagen für die Geschäftsleitung nach § 38 BSIG: Billigung, Überwachung und Nachweis der Maßnahmen |
| Lieferkettensicherheit | Sicherheitsanforderungen an Lieferanten und passende Vertragsklauseln |
| Management-Briefing | Einordnung der Haftung, Compliance-Roadmap und prüffähiges Nachweispaket |
Format: Kick-off-Workshop, Begleitung bei der Umsetzung der Delta-Maßnahmen, Bericht und Management-Präsentation. Preis: Festpreis nach Scoping ab 12.000 €, abhängig von Größe und Komplexität Ihres Unternehmens.
Optionale Bausteine
- Schulung der Geschäftsleitung nach § 38 BSIG: Die regelmäßige Schulung ist gesetzlich vorgeschrieben. Wir bieten sie als E-Learning oder in Präsenz an.
- Laufende NIS-2-Betreuung als vCISO: Nach dem Projekt übernehmen wir als externer CISO die fortlaufende Steuerung und Verbesserung.
Für den Ernstfall
- Tabletop-Übung zur Vorfallbewältigung: Wir spielen einen Sicherheitsvorfall mit Ihren Verantwortlichen durch und prüfen dabei Meldewege und Fristen.
- Technisches Netzwerkaudit: Gemeinsam mit einem Technologiepartner prüfen wir Ihre Netzwerkinfrastruktur auf technische Schwachstellen.
Warum 360DT?
- Erfahrung seit 2019: Wir sind seit 2019 in der Informationssicherheit tätig und haben über 50 Kunden begleitet, vor allem mit ISO 27001 und Beratung zu TISAX®. Genau diese Systeme bilden für die meisten Unternehmen die Basis der NIS-2-Umsetzung.
- Selbst zertifiziert: Die 360 Digitale Transformation GmbH ist seit Juli 2025 nach ISO 27001 zertifiziert (Zertifizierungsstelle: Proks Certification GmbH, Zertifikat DE-IS-20250158). Wie das abgelaufen ist, lesen Sie in unserer ISO 27001 Zertifizierung.
- Auditorenblick: Unser Geschäftsführer Can Adigüzel ist ISO 27001 Lead Auditor mit über 200 Audits. Wir bauen Nachweise so auf, wie Prüfer sie lesen.
- Klare Abgrenzung: Wir ordnen Betroffenheit und Pflichten fachlich ein. Eine juristische Einzelfallprüfung ersetzt das nicht.
NIS-2-Checkliste kostenlos herunterladen
Sie möchten vor dem Gespräch selbst einen ersten Stand erheben? Unsere NIS-2-Checkliste umfasst sieben Hauptkriterien mit Unterpunkten, von Sicherheitsrichtlinien bis zu den Pflichten der Geschäftsleitung. Wählen Sie im Formular „NIS-2-Checkliste“ aus, Sie erhalten den Download-Link per E-Mail. Mehr zum Inhalt der Checkliste finden Sie auf der Seite NIS-2-Checkliste.
Häufige Fragen zur NIS-2 Beratung
Was kostet eine NIS-2 Beratung?
Wir arbeiten mit einem Festpreis nach Scoping, ab 12.000 €. Der Preis hängt von Unternehmensgröße, Anzahl der Standorte, Komplexität der IT- und OT-Landschaft und dem Reifegrad eines vorhandenen ISMS ab. Nach einer kurzen Einordnung erhalten Sie ein verbindliches Angebot ohne versteckte Kosten. Die NIS-2-GAP-Analyse allein kostet 6.900 € Festpreis bzw. 4.500 € als Delta-Analyse auf einem von 360DT aufgebauten, betreuten oder auditierten ISMS; bei Beauftragung des Pakets wird sie voll angerechnet.
Wie lange dauert die Umsetzung von NIS-2?
Je nach Reifegrad und Ausgangslage sollten Sie mit drei bis zwölf Monaten bis zur Nachweisfähigkeit rechnen. Unternehmen mit gelebtem ISMS nach ISO 27001 oder TISAX®-Label sind in der Regel schneller, weil ein großer Teil der Maßnahmen nach § 30 BSIG bereits abgedeckt ist.
Können Sie uns auch ohne bestehendes ISMS unterstützen?
Ja. Ohne ISMS bewerten wir zunächst den Ist-Zustand gegen die Mindestmaßnahmen und legen fest, welche Grundstrukturen zuerst entstehen müssen, etwa Risikomanagement, Meldeprozess und Verantwortlichkeiten. Anschließend begleiten wir den Aufbau Schritt für Schritt.
Haftet die Geschäftsleitung persönlich?
Ja. Nach § 38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Verletzt sie diese Pflichten schuldhaft, haftet sie der Einrichtung für den entstandenen Schaden. Unser Paket enthält deshalb Governance-Dokumentation und ein Management-Briefing zur Haftung.
Was ist der Unterschied zwischen NIS-2-Check und Umsetzung?
Ein Check, ob intern mit Checkliste oder extern als Gap-Analyse, zeigt, wo Sie stehen und was fehlt. Die Umsetzung schließt diese Lücken: Prozesse einführen, Dokumentation erstellen, Verantwortliche schulen und Nachweise sammeln. Unser Paket umfasst beides, beginnend mit der Gap-Analyse.
Wir haben die BSI-Registrierung verpasst. Was jetzt?
Die Registrierungsfrist für die meisten Unternehmen endete am 6. März 2026. Wenn Sie betroffen und noch nicht registriert sind, sollten Sie die Registrierung sofort nachholen, denn Verstöße können mit Bußgeldern geahndet werden. Wir unterstützen Sie dabei und klären parallel, welche weiteren Pflichten bereits offen sind.
Nächster Schritt: Ihre NIS-2-Einordnung
In einem kostenlosen 45-minütigen Erstgespräch klären wir, ob und wie Sie betroffen sind, wo Sie stehen und welcher Umfang für Ihr Festpreis-Angebot sinnvoll ist.