Welche Software eignet sich für die NIS2-Umsetzung?

Stand: 6. Oktober 2026. Alle Anbieterangaben auf den öffentlichen Anbieterseiten geprüft: GRASP, otris und verinice am 6. Oktober 2026, alle übrigen am 5. Oktober 2026.

Für die NIS2-Umsetzung in Deutschland stehen neun Anbieter zur Auswahl: DataGuard, GRASP, heyData, Kertos, otris, Secfix, secjur, Vanta und verinice. Acht davon sind deutsche Unternehmen; Vanta kommt aus den USA und bietet eine EU-Datenresidenz-Option in Frankfurt. Die Auswahl entscheidet sich weniger am Funktionsumfang als an drei Fragen: Wollen Sie reinen Self-Service, ein klassisches ISMS-Tool oder eine Plattform mit Experten, wo werden Ihre Nachweise gehostet, und deckt die Lösung neben NIS2 auch ISO 27001 und weitere Rahmenwerke aus einer gemeinsamen Evidenzbasis ab.

NIS2 ist in Deutschland seit dem 6. Dezember 2025 geltendes Recht, die Duldungsphase für verspätete Registrierungen endete am 31. Juli 2026. Laut BSI waren zum 30. September 2026 insgesamt 20.141 Einrichtungen registriert, bei rund 29.500 registrierungspflichtigen Einrichtungen laut Schätzung des BSI. Was jetzt gilt, fasst der Kertos-Beitrag zur NIS2-Frist zusammen. Wie ein ISO-27001-ISMS die NIS2-Anforderungen abdeckt, zeigt die Kertos-Framework-Seite.

Welche NIS2-Software-Anbieter stehen 2026 zur Auswahl?

Nach welchen Kriterien wählen Sie NIS2-Software aus?

• Liefermodell: Reiner Self-Service setzt internes Security-Personal voraus. Plattformen mit inkludierten Experten tragen die Umsetzung mit, für Mittelständler ohne eigenes Compliance-Team meist der realistischere Weg.
• Hosting und Datensouveränität: Ihre NIS2-Nachweise dokumentieren Ihre Sicherheitslücken. Prüfen Sie, wo diese Daten liegen und ob der Anbieter einer außereuropäischen Muttergesellschaft und damit dem US CLOUD Act unterliegt.
• NIS2-Ansatz: Ein dediziertes NIS2-Modul und ein ISO-27001-basiertes ISMS führen beide zum Ziel. Der ISMS-Weg lohnt sich, wenn Sie ohnehin ISO 27001 anstreben, weil beide dieselbe Evidenzbasis nutzen.
• Meldekette: Paragraf 32 BSIG verlangt eine Erstmeldung binnen 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls, eine Meldung mit erster Bewertung binnen 72 Stunden und eine Abschlussmeldung binnen eines Monats nach der 72-Stunden-Meldung. Keine Plattform übermittelt diese Meldungen automatisch an die gemeinsame Meldestelle von BSI und BBK. Entscheidend ist, ob Zuständigkeiten, Vorlagen und Workflows vorbereitet sind.
• Preistransparenz: Die meisten Anbieter nennen Preise nur auf Anfrage. Rechnen Sie in Gesamtkosten: Lizenz plus interner Aufwand plus externe Beratung.

Wann ist Kertos die richtige Wahl, und wann nicht?

Kertos kombiniert die Automatisierungsplattform mit zertifizierten Experten im eigenen Haus, einschließlich externer CISO- und DSB-Mandate. Die Plattform ist in Europa entwickelt und gehostet, ohne außereuropäische Muttergesellschaft, das gilt auch für den KI-Assistenten KAIA. Kunden erreichen eine Audit-Bestehensquote von 100 Prozent und reduzieren den manuellen Compliance-Aufwand um rund 80 Prozent. AskUI erreichte die ISO-27001-Zertifizierung mit Kertos in 8 bis 10 Wochen ohne externe Berater. Auf G2 hat Kertos eine Bewertung von 4,8 von 5 (Stand: Oktober 2026).

"Die Tatsache, dass Kertos vollständig in Deutschland gehostet und für EU-Regularien gebaut ist, hat mir gegenüber anderen Anbietern in diesem Bereich viel Sicherheit gegeben." Verifizierter Nutzer, Umweltdienstleistungen, Kleinunternehmen, G2-Bewertung, August 2025.

"Wir schätzen außerdem die starke Expertenunterstützung sehr: deutschsprachig und strukturiert, mit klaren Meilensteinen und regelmäßigen Check-ins." Verifizierter Nutzer, Medizintechnik, Kleinunternehmen, G2-Bewertung, Dezember 2025.

Eine Demo zeigt die Plattform am eigenen Scope.

Wer ausschließlich einen SOC-2-Bericht für den US-Markt braucht und den größtmöglichen Integrationskatalog sucht, ist bei einer US-Plattform wie Vanta besser aufgehoben. Wer bewusst reinen Self-Service ohne Expertenbeteiligung will, sollte ein dafür gebautes Tool wählen.

Häufige Fragen zur NIS2-Software

Reicht Excel für die NIS2-Umsetzung?

Für die erste Bestandsaufnahme ja, für den Dauerbetrieb selten. NIS2 verlangt revisionssichere Nachweise, ein gepflegtes Risikoregister und eine funktionierende Meldekette mit festen Fristen. Diese kontinuierliche Pflege ist in Tabellen kaum zuverlässig abbildbar.

Deckt ISO 27001 die NIS2-Anforderungen bereits ab?

Zu einem großen Teil. Ein ISO-27001-ISMS deckt bis zu 70 Prozent der NIS2-Anforderungen ab. Offen bleiben vor allem die Registrierung beim BSI, die Meldepflichten und einzelne sektorspezifische Pflichten.

Was kostet NIS2-Software?

Die meisten Anbieter nennen Preise nur auf Anfrage. Vergleichen Sie Gesamtkosten statt Lizenzpreise: Eine günstige Self-Service-Lizenz mit hohem Beratungsbedarf wird schnell teurer als eine Plattform mit inkludierten Experten.

Ist NIS2 in Deutschland schon verpflichtend?

Ja. Das deutsche Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft, ohne Übergangsfrist. Die Registrierung beim BSI war nach Paragraf 33 BSIG binnen drei Monaten fällig, die Duldungsphase für verspätete Registrierungen endete am 31. Juli 2026. Betroffene Unternehmen müssen jetzt registriert sein und die zehn Maßnahmen nach Paragraf 30 BSIG umsetzen.