.svg)
NIS2 ist in Deutschland seit dem 6. Dezember 2025 nationales Recht, umgesetzt durch das NIS2-Umsetzungsgesetz, und zwar ohne Übergangsfrist. Rund 29.500 Unternehmen fallen in den Anwendungsbereich. Die erste konkrete Pflicht war die Registrierung beim BSI. Gesetzlich fällig war sie am 6. März 2026; danach gewährte das BSI eine Vollzugskulanz, die am 31. Juli 2026 endete. Anfang August 2026 waren nach zwei unabhängigen Erhebungen noch rund 11.000 Unternehmen nicht registriert.
Das BSIG schreibt keine Software vor. Es schreibt Risikomanagementmaßnahmen vor (§ 30 Abs. 2), Meldungen innerhalb fester Fristen (§ 32), eine Registrierung mit laufender Aktualisierung (§ 33) und Pflichten der Geschäftsleitung (§ 38). Wer diese Pflichten in Tabellen und geteilten Laufwerken abbildet, scheitert selten am ersten Nachweis, sondern am zwölften Monat: Der Stand von damals lässt sich nicht mehr rekonstruieren, die Meldefristen hängen an einer Person und niemand kann belegen, wann eine Maßnahme wirksam wurde.
Dieser Leitfaden bewertet keine Anbieter. Er zeigt, welche vier Wege zur NIS2-Umsetzung es gibt, welche Funktionen für die Nachweisführung nach BSIG tatsächlich zählen, welche Kriterien Sie in der Auswahl anwenden sollten und wann der Einstieg sich lohnt. Den regulatorischen Überblick liefert unser vollständiger Leitfaden zur NIS2-Richtlinie.
Was NIS2-Software leistet, und was nicht
NIS2-Software bündelt die Arbeit, die das BSIG verlangt, in einem System: die zehn Risikomanagementmaßnahmen aus § 30 Abs. 2 mit den zugehörigen Nachweisen, den Meldeprozess nach § 32 samt Fristenuhr, den Registrierungsstand nach § 33 in versionierter Form, ein Verzeichnis der Lieferanten und Dienstleister sowie den Nachweis, dass die Geschäftsleitung die nach § 38 Abs. 3 vorgeschriebene Schulung absolviert hat.
Der Nutzen liegt weniger in der Dokumentenablage als in der Fortschreibung. NIS2 ist kein Projekt mit Enddatum. Das BSIG verlangt Maßnahmen, die wirksam sind und wirksam bleiben, und nach § 30 Abs. 2 Nr. 6 ausdrücklich auch Verfahren, mit denen Sie diese Wirksamkeit selbst bewerten. Eine Software, die Nachweise fortlaufend erhebt, beantwortet diese Frage jederzeit. Eine Ablage beantwortet sie zum Zeitpunkt der letzten Bearbeitung.
Drei Dinge übernimmt keine Software. Die Einstufung als besonders wichtige oder wichtige Einrichtung ist eine Rechtsfrage nach § 28 BSIG, die von Sektor, Mitarbeiterzahl und Finanzkennzahlen abhängt und bei Konzernstrukturen konsolidiert betrachtet werden muss. Die Bewertung, ob Ihre Maßnahmen dem Stand der Technik und dem Risiko angemessen sind, ist ein Fachurteil. Und die Verantwortung nach § 38 Abs. 1 bleibt bei der Geschäftsleitung, die die Maßnahmen umsetzen und ihre Umsetzung überwachen muss.
Wichtig für die Anbieterauswahl: NIS2 kennt keine Zertifizierung. Weder für Unternehmen noch für Software. Artikel 24 der Richtlinie erlaubt es den Mitgliedstaaten lediglich, für bestimmte Fälle zertifizierte IKT-Produkte nach der Verordnung (EU) 2019/881 zu verlangen. Ein Anbieter, der ein NIS2-Zertifikat oder ein NIS2-Siegel in Aussicht stellt, verkauft etwas, das es nicht gibt.
Warum die Tool-Frage jetzt entschieden werden muss
Die Pflichten gelten, ohne Übergangsfrist
Das NIS2-Umsetzungsgesetz wurde am 5. Dezember 2025 verkündet und trat am Tag darauf in Kraft. Eine Schonfrist, wie sie viele Unternehmen erwartet hatten, gibt es nicht. Wer heute mit der Umsetzung beginnt, holt einen Rückstand auf und startet nicht in eine Vorbereitungsphase.
Für die Tool-Auswahl folgt daraus eine praktische Konsequenz. Eine Lösung, die erst nach einer sechsmonatigen Einführung Nachweise erzeugt, verlängert den Rückstand. Entscheidend ist, wie schnell Sie einen belastbaren Stand herstellen und ab wann jede weitere Änderung automatisch dokumentiert wird.
Registrierung: gesetzliche Frist abgelaufen, Kulanz beendet
§ 33 Abs. 1 BSIG gibt betroffenen Einrichtungen spätestens drei Monate Zeit, sich zu registrieren. Für alle Unternehmen, die bereits am 6. Dezember 2025 in den Anwendungsbereich fielen, lief diese Frist am 6. März 2026 ab. Registriert waren zu diesem Zeitpunkt rund 11.500 von etwa 29.500 erwarteten Einrichtungen.
Das BSI gewährte anschließend eine Vollzugskulanz bis zum 31. Juli 2026. Das war behördliche Nachsicht bei der Durchsetzung und keine Änderung der gesetzlichen Frist; jede Registrierung nach dem 6. März 2026 ist rechtlich verspätet. Eine weitere Verlängerung wurde nicht angekündigt. Was Unternehmen jetzt tun sollten, haben wir im Beitrag zur abgelaufenen NIS2-Frist zusammengefasst.
Die Registrierung ist zudem keine Einmalhandlung. Änderungen sind nach § 33 Abs. 5 innerhalb von zwei Wochen mitzuteilen. Eine Software sollte deshalb den gemeldeten Stand versioniert halten, statt ihn nur einmal zu erfassen.
Die Geschäftsleitung haftet nach § 38 BSIG
§ 38 BSIG hat drei Absätze und jeder erzeugt Dokumentationsbedarf. Absatz 1 verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. Absatz 2 regelt die Innenhaftung: Für schuldhaft verursachten Schaden haftet die Geschäftsleitung dem Unternehmen nach dem jeweils anwendbaren Gesellschaftsrecht, also etwa § 43 GmbHG oder § 93 AktG. Absatz 3 verlangt regelmäßige Schulungen, und zwar für die Geschäftsleitung. Die Sensibilisierung der Beschäftigten ist eine andere Pflicht und steht in § 30 Abs. 2 Nr. 7.
Zwei verbreitete Missverständnisse lohnen die Klarstellung. Eine förmliche Billigung oder Genehmigung der Maßnahmen kennt das deutsche Gesetz nicht; die Billigungspflicht steht in Artikel 20 der Richtlinie, nicht im BSIG. Und § 38 Abs. 2 begründet keine persönliche Geldbuße und keine Haftung gegenüber Dritten. Welche Pflichten die Geschäftsleitung im Einzelnen treffen, zeigt unsere Checkliste für Geschäftsführer.
Für die Softwareauswahl heißt das: Sie brauchen einen prüfbaren Nachweis darüber, wer wann welche Maßnahme überwacht hat, und einen Schulungsnachweis für die Geschäftsleitung. Beides ist in einem geteilten Laufwerk schwer belastbar zu führen.
Bußgelder nach § 65, und wo sie wirklich ansetzen
Der Rahmen nach § 65 BSIG liegt bei 10 Millionen Euro für besonders wichtige und 7 Millionen Euro für wichtige Einrichtungen, jeweils für Verstöße gegen §§ 30 und 32. Die häufig zitierten Prozentgrenzen von 2 beziehungsweise 1,4 Prozent des weltweiten Gesamtumsatzes greifen erst oberhalb von 500 Millionen Euro Gesamtumsatz.
Der Punkt, den fast jede Darstellung falsch wiedergibt: Ein Verstoß gegen die Registrierungspflicht ist auf 500.000 Euro begrenzt. Die 10-Millionen-Grenze gehört nicht an die Registrierung. Sie gehört an die Risikomanagementmaßnahmen und an die Meldepflichten, also genau an die beiden Bereiche, deren Nachweis eine Software tragen muss.
Ergänzend gilt § 61 Abs. 9 BSIG, und auch hier lohnt die Präzision. Die Aufsicht kann eine fachrechtliche Genehmigung aussetzen, nicht eine Zertifizierung. Das BSI kann Ihnen kein ISO-27001-Zertifikat entziehen. Die Vorschrift betrifft ausschließlich besonders wichtige Einrichtungen.
Die vier Wege zur NIS2-Umsetzung im Vergleich
Bevor Sie ein konkretes Tool wählen, entscheiden Sie den grundsätzlichen Ansatz. Es gibt vier gängige Wege, die NIS2-Pflichten umzusetzen und nachweisfähig zu halten. Sie unterscheiden sich vor allem im Aufwand, der im eigenen Team bleibt, in der Zeit bis zum ersten belastbaren Stand und in den Gesamtkosten (Stand: August 2026).
Der eigentliche Kompromiss steckt in der zweiten und der letzten Spalte. Tabellen sparen Lizenzkosten und kosten die meiste interne Zeit, und sie brechen genau dann, wenn die Aufsicht einen historischen Stand sehen will. Klassische Beratung nimmt Arbeit ab, ist teuer und lässt das Wissen beim Externen. Reine Software ist schnell, überlässt Ihnen aber die fachliche Bewertung, ob Ihre Maßnahmen ausreichen. Der hybride Ansatz verbindet die Automatisierung der Plattform mit der Führung durch Fachleute. Kertos arbeitet nach diesem Modell und kombiniert die Plattform mit zertifizierten Experten, die auch Mandate als externer CISO oder Datenschutzbeauftragter übernehmen.
Kernfunktionen, die wirksame NIS2-Software auszeichnen
Nicht jedes Tool, das NIS2 im Namen trägt, trägt auch die Nachweisführung. Die folgenden fünf Funktionen entscheiden in der Praxis darüber, ob eine Software die Pflichten aus dem BSIG abbildet oder nur eine Checkliste digitalisiert.
Vollständige Abdeckung der zehn Maßnahmen aus § 30 Abs. 2
§ 30 Abs. 2 BSIG nennt zehn Risikomanagementmaßnahmen. Sie sind der inhaltliche Kern der Pflichten und gleichzeitig die brauchbarste Prüfliste für eine Software. Fragen Sie für jede Zeile, welchen Nachweis das System selbst erzeugt und welchen Sie weiterhin manuell pflegen.
Die Formulierungen in der Tabelle sind verkürzt und geben den Gesetzestext nicht wörtlich wieder. Maßgeblich ist der Wortlaut von § 30 Abs. 2 BSIG. Wie sich die Anforderungen im Detail lesen, haben wir in unserem Beitrag zu den NIS2-Anforderungen aufgeschlüsselt.
Der Meldeprozess nach § 32 als Workflow mit Fristenuhr
Der Meldeprozess ist die Pflicht, die am häufigsten falsch dargestellt wird. § 32 BSIG beschreibt keinen dreistufigen Ablauf, sondern bis zu fünf Meldungen, und sie gehen an eine gemeinsame Meldestelle von BSI und BBK, nicht an das BSI allein.
Für Betreiber kritischer Anlagen kommen nach § 32 Abs. 3 zusätzliche Angaben hinzu, für die es kein europäisches Gegenstück gibt. Details dazu finden Sie in unserem Implementierungsleitfaden für KRITIS-Betreiber.
Eine Software sollte diesen Ablauf als Workflow führen, mit einer Uhr, die im Moment der Erkennung startet, mit hinterlegten Befugnissen und mit einem Protokoll, das später belegt, wann welche Meldung abgesetzt wurde. Ein Formular allein reicht nicht, weil die ersten 24 Stunden keine Dokumentationsaufgabe sind, sondern eine Entscheidungsaufgabe. Wie ein belastbarer Ablauf aussieht, beschreibt unser Leitfaden zur NIS2-Notfallplanung.
Lieferkettensicherheit als Verzeichnis, nicht als Fragebogenordner
Die Sicherheit der Lieferkette gehört zu den zehn Maßnahmen und ist gleichzeitig die Anforderung, an der die meisten Programme hängen. Verlangt wird nicht ein einmalig ausgefüllter Fragebogen, sondern eine laufende Bewertung der Beziehungen zu unmittelbaren Anbietern und Dienstleistern.
Prüfen Sie, ob die Software ein Lieferantenverzeichnis mit Kritikalitätsbewertung führt, Wiedervorlagen setzt, Fragebögen versendet und die Antworten mit den betroffenen Maßnahmen verknüpft. Ein Tool, das Fragebögen nur erzeugt und als PDF ablegt, verschiebt die Arbeit, statt sie zu übernehmen.
Nachweisführung, die zwölf Monate später noch trägt
Die Aufsicht fragt nicht nach dem heutigen Stand, sondern nach dem Stand zum Zeitpunkt eines Vorfalls oder einer Prüfung. Damit wird die Historie zur eigentlichen Funktion. Achten Sie auf unveränderliche Protokolle mit Zeitstempel und Verantwortlichem, auf versionierte Richtlinien und auf die Möglichkeit, den Stand eines beliebigen Datums zu rekonstruieren.
Ein zweiter Punkt betrifft den Ausstieg. Prüfen Sie, ob Sie alle Nachweise vollständig und in einem nutzbaren Format exportieren können. Nachweise, die nur innerhalb einer Plattform lesbar sind, binden Sie an den Anbieter und werden zum Problem, sobald Sie wechseln oder eine Prüfung außerhalb des Systems beantworten müssen.
Ein Kontrollsatz für NIS2 und ISO 27001
Ein Informationssicherheits-Managementsystem nach ISO/IEC 27001 deckt einen großen Teil der Sicherheitsanforderungen aus § 30 Abs. 2 ab. Was es nicht abdeckt, sind die NIS2-spezifischen Pflichten: die Registrierung nach § 33, die Meldefristen nach § 32 und die Nachweise zur Geschäftsleitung nach § 38.
Wirksame Software bildet beide Ebenen in einem Kontrollsatz ab, statt zwei Systeme parallel zu pflegen. Eine Zugriffskontrolle, die für ISO 27001 umgesetzt und geprüft wird, sollte automatisch auch die entsprechende NIS2-Maßnahme belegen. Wo genau sich die beiden Regelwerke überschneiden, haben wir in NIS2 und ISO 27001 gegenübergestellt.
Kertos bildet NIS2, ISO 27001, die DSGVO, SOC 2, TISAX und den EU AI Act in einem gemeinsamen Kontrollsatz ab. Über mehr als 100 Integrationen zieht die Plattform Nachweise aus den Systemen, die Ihre Teams schon nutzen, und ordnet sie den betroffenen Maßnahmen zu. Kunden reduzieren den manuellen Compliance-Aufwand damit um rund 80 Prozent.
Wie Sie die richtige NIS2-Software auswählen
Die Auswahl entscheidet sich selten an der Funktionsliste. Fünf Fragen tragen in der Praxis den größten Teil der Entscheidung.
Betroffenheit und Einstufung klären, bevor Sie Tools vergleichen
Ohne belastbare Einstufung vergleichen Sie Tools für einen Umfang, den Sie nicht kennen. § 28 BSIG unterscheidet zwei Stufen. Besonders wichtige Einrichtungen sind Unternehmen aus Anlage 1 mit mindestens 250 Mitarbeitern oder einem Jahresumsatz über 50 Millionen Euro und zudem einer Jahresbilanzsumme über 43 Millionen Euro. Wichtige Einrichtungen sind Unternehmen aus Anlage 1 und Anlage 2 mit mindestens 50 Mitarbeitern oder einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Millionen Euro.
Zwei Fallstricke sind verbreitet. Erstens gilt eine Reihe von Einrichtungen unabhängig von der Größe als betroffen, darunter Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, DNS-Diensteanbieter und Registries für Top-Level-Domains. Zweitens werden Konzerndaten konsolidiert betrachtet, weil § 28 Abs. 4 BSIG nur die Regel zur öffentlichen Beteiligung ausnimmt, nicht die Zusammenrechnung verbundener Unternehmen.
Anlage 1 umfasst sieben Sektoren, Anlage 2 ebenfalls sieben. Die häufig genannte Zahl von 18 Sektoren gehört zur europäischen Richtlinie, nicht zum BSIG. Einen vollständigen Überblick über den Anwendungsbereich gibt unsere Framework-Seite zu NIS2.
Prüfen, ob die Software das BSIG abbildet oder nur die EU-Richtlinie
Viele Tools sind auf die Richtlinie hin gebaut und nennen deren Artikel. Für ein deutsches Unternehmen ist das zu wenig, weil die Pflichten aus dem BSIG folgen und in Details abweichen. Die Meldung geht an die gemeinsame Meldestelle von BSI und BBK. Die Registrierung folgt § 33 mit eigener Frist. Die Pflichten der Geschäftsleitung stehen in § 38 und kennen keine Billigung. Und ein Verstoß gegen die Registrierungspflicht ist eigenständig mit 500.000 Euro bedroht.
Eine belastbare Prüffrage lautet: Nennt die Software die Paragrafen des BSIG, oder nur die Artikel der Richtlinie? Wenn Ihr Unternehmen zusätzlich Standorte in anderen Mitgliedstaaten hat, brauchen Sie beides, weil dort das jeweilige nationale Recht gilt.
Datenhaltung und Kontrolle über den Anbieter bewerten
Eine NIS2-Plattform enthält die Beschreibung Ihrer Schwachstellen: offene Maßnahmen, Risikobewertungen, Vorfallakten, Lieferantenbewertungen. Das ist der sensibelste Datenbestand, den ein Unternehmen an einen Dienstleister gibt.
Prüfen Sie nicht nur den Serverstandort, sondern auch, wer das Unternehmen kontrolliert, das die Daten hält. Der Unterschied wird in Ausschreibungen regulierter Kunden regelmäßig abgefragt. Bewerten Sie außerdem, ob die Plattform für europäische Regelwerke entwickelt wurde oder eine nachträgliche Erweiterung eines Produkts ist, das für einen anderen Markt gebaut wurde. Kertos speichert die Daten in Deutschland und wurde von Beginn an für europäische Anforderungen entwickelt, mit deutschsprachiger Unterstützung als Ausgangspunkt und nicht als Ergänzung.
Klären, wer die inhaltliche Bewertung übernimmt
NIS2 verlangt Maßnahmen, die dem Risiko angemessen sind. Diese Angemessenheit ist ein Urteil, und Software liefert es nicht. Reine Self-Service-Tools geben Ihnen Struktur und Automatisierung; die Entscheidung, ob Ihre Zugriffskontrolle für Ihr Risikoprofil ausreicht, bleibt bei Ihnen.
Klären Sie deshalb vor der Auswahl, wo diese Kompetenz sitzt. Wenn Sie einen CISO und ein eingespieltes Security-Team haben, ist reine Software effizient. Wenn nicht, brauchen Sie entweder Beratung zusätzlich zur Software oder eine Plattform, in der die Fachleute enthalten sind. Kertos verbindet die Plattform mit zertifizierten Experten für Informationssicherheit und Datenschutz, die die Bewertung gemeinsam mit Ihnen durchführen und Mandate als externer CISO oder Datenschutzbeauftragter übernehmen können.
Gesamtkosten statt Lizenzpreis vergleichen
Der Lizenzpreis ist der kleinere Teil der Rechnung. Rechnen Sie die Einführung hinzu, die interne Zeit für Pflege und Nachweissammlung, den Aufwand für die Vorbereitung von Prüfungen und die Kosten für externe Unterstützung, die die Software nicht abdeckt.
Eine teurere Plattform, die Nachweise automatisch erhebt, ist in der Summe häufig günstiger als eine preiswerte Lösung, die weiterhin Handarbeit verlangt. Vergleichen Sie außerdem gegen die Alternative der klassischen Beratung, deren Aufwand im Mittelstand regelmäßig sechsstellig ausfällt. Achten Sie darauf, welche Leistungen im Preis enthalten sind und welche als Projekt hinzukommen.
Wann der Einstieg in eine NIS2-Software sinnvoll ist
Wenn die Registrierung noch offen ist
Rund 11.000 Unternehmen waren Anfang August 2026 nicht registriert, obwohl die gesetzliche Frist am 6. März 2026 ablief und die Kulanz des BSI am 31. Juli endete. In dieser Lage ist die Registrierung der erste Schritt und nicht das Ziel, denn mit ihr wird das Unternehmen für die Aufsicht sichtbar. Sinnvoll ist deshalb, die Nachweisführung parallel aufzusetzen, statt sie auf später zu verschieben.
Wenn Sie ISO 27001 schon betreiben
Ein bestehendes ISMS ist der günstigste Ausgangspunkt, den es gibt. Die Arbeit reduziert sich darauf, den Anwendungsbereich und die Einstufung zu bestätigen, die Lücken gegen die zehn Maßnahmen zu schließen, den Meldeprozess aufzusetzen und die Nachweise zur Geschäftsleitung zu ergänzen. Wer diese Schritte in derselben Plattform abbildet, in der das ISMS läuft, spart die doppelte Pflege.
Wenn Kunden Nachweise in der Lieferkette verlangen
Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette bewerten, also die Sicherheit ihrer Anbieter. Das erzeugt einen Kaskadeneffekt: Wer an ein betroffenes Unternehmen liefert, wird nach Nachweisen gefragt, unabhängig davon, ob NIS2 direkt gilt. Häufen sich diese Anfragen, lohnt eine Plattform allein deshalb, weil Antworten wiederverwendbar werden.
Wenn der Meldeprozess an einer Person hängt
Ein Meldeprozess, der davon abhängt, dass eine bestimmte Person erreichbar ist, hält keinem Vorfall stand. Das ist der belastbarste Auslöser für einen Tool-Wechsel, denn die Fristen aus § 32 laufen ab Erkennung und nicht ab Verfügbarkeit. Sobald die Frage "Wer darf innerhalb von 24 Stunden melden?" keine dokumentierte Antwort hat, ist der Prozess das dringendere Problem als die Software.
Häufige Fragen zu NIS2-Software
Braucht man für NIS2 überhaupt eine Software?
Gesetzlich nicht. Das BSIG schreibt Maßnahmen und Nachweise vor, aber kein Tool. In der Praxis wird die Nachweisführung ohne System ab einer bestimmten Unternehmensgröße schwer aufrechtzuerhalten, weil NIS2 eine fortlaufende Dokumentation verlangt und nicht einen Stand zum Stichtag. Der Bruch entsteht meist nicht bei der Einführung, sondern beim ersten Rückblick auf einen älteren Stand.
Was kostet eine NIS2-Software?
Der Preis hängt von der Unternehmensgröße, der Zahl der Frameworks, der Nutzerzahl und dem Umfang der enthaltenen Expertenunterstützung ab. Aussagekräftiger als der Lizenzpreis sind die Gesamtkosten aus Einführung, laufender interner Arbeit und Prüfungsvorbereitung. Vergleichen Sie zusätzlich gegen die Kosten einer rein beratergestützten Umsetzung, die im Mittelstand regelmäßig sechsstellig ausfällt.
Reicht ein ISO-27001-Tool für NIS2 aus?
Teilweise. Ein ISMS nach ISO/IEC 27001 deckt einen großen Teil der Sicherheitsanforderungen aus § 30 Abs. 2 BSIG ab. Es deckt nicht die NIS2-spezifischen Pflichten ab, also die Registrierung nach § 33, die Meldefristen nach § 32 und die Nachweise zur Geschäftsleitung nach § 38. Wählen Sie ein Tool, das beide Ebenen in einem Kontrollsatz abbildet.
Gibt es eine NIS2-Zertifizierung für Software oder Unternehmen?
Nein. NIS2 schafft keine Zertifizierung. Artikel 24 der Richtlinie erlaubt den Mitgliedstaaten lediglich, für bestimmte Fälle IKT-Produkte und -Dienste zu verlangen, die nach einem Schema der Verordnung (EU) 2019/881 zertifiziert sind. Ein NIS2-Zertifikat für Ihr Unternehmen oder ein NIS2-zertifiziertes Tool existiert nicht.
Wir haben ein SIEM und ein Ticketsystem. Brauchen wir zusätzlich eine NIS2-Plattform?
In der Regel ja, weil die Tools unterschiedliche Aufgaben haben. Ein SIEM erkennt Vorfälle, ein Ticketsystem organisiert die Bearbeitung. Was beide nicht liefern, ist der strukturierte Nachweis, dass die zehn Maßnahmen umgesetzt sind, dass die Meldefristen eingehalten wurden und dass die Geschäftsleitung ihre Pflichten erfüllt hat. Eine NIS2-Plattform sollte an diese Systeme angebunden werden, statt sie zu ersetzen.
Wie schnell lässt sich NIS2 nachweisfähig umsetzen?
Das hängt vor allem davon ab, ob ein Managementsystem schon existiert. Mit einem bestehenden ISMS geht es um Wochen, weil die Arbeit auf Einstufung, Lückenschluss, Meldeprozess und Dokumentation der Geschäftsleitung begrenzt ist. Ohne Managementsystem ist der Aufbau der Kern der Arbeit. Als Anhaltspunkt: AskUI erreichte mit Kertos die ISO-27001-Zertifizierung in 8 bis 10 Wochen ohne externe Berater.
Fazit: NIS2 ist ein laufendes Programm, kein Projekt
Die Softwarefrage bei NIS2 ist nicht die Frage nach dem größten Funktionsumfang. Sie ist die Frage, ob Ihr Nachweis in zwölf Monaten noch trägt, ob die Meldefristen aus § 32 an einem Prozess hängen und nicht an einer Person, und ob die Pflichten aus dem BSIG abgebildet sind und nicht nur die Artikel der Richtlinie.
Der Rest folgt aus Ihrer Ausgangslage. Wer ein ISMS betreibt, braucht eine Plattform, die NIS2 als Erweiterung desselben Kontrollsatzes führt. Wer keine eigene Security-Rolle hat, braucht die fachliche Bewertung mitgeliefert, weil Software das Urteil über Angemessenheit nicht ersetzt. Und wer noch nicht registriert ist, braucht vor allem Tempo, weil die gesetzliche Frist im März 2026 ablief und die Kulanz Ende Juli endete.
Kertos verbindet die Plattform mit zertifizierten Experten, bildet NIS2 und ISO 27001 in einem Kontrollsatz ab und hält bei Kunden eine Erfolgsquote von 100 Prozent in externen Audits.
Sehen Sie sich an, wie sich Ihre NIS2-Nachweise automatisieren lassen. Fordern Sie eine Demo an und wir gehen Ihren Anwendungsbereich gemeinsam durch.
