Webinar, Deutschland
NIS2 und NIS2UmsuCG: Compliance für die kritische Infrastruktur
Wie Sie die Anforderungen des BSIG im ISMS-Modell abbilden.
Termine ansehenIn Deutschland gilt das NIS2UmsuCG, in Österreich gilt ab 1. Oktober 2026 das NISG 2026. Beide verlangen im Kern dasselbe: Maßnahmen nach dem Stand der Technik, Meldewege, die innerhalb weniger Stunden greifen, und einen Nachweis, der einer Prüfung standhält. CRISAM® führt Risiken, Maßnahmen und Nachweise in einem System zusammen.
Rechtsstand: 22. September 2026
| Abweichung | Bezug | Einstufung | Status |
|---|---|---|---|
| Sicherheitsanforderungen an Lieferanten fehlen | Art. 21 | offen | |
| Meldeweg am Wochenende ungeklärt | Art. 23 | in Arbeit | |
| Schulung der Leitungsorgane offen | Art. 20 | in Arbeit | |
| Backup-Konzept dokumentiert | § 30 BSIG | erledigt |
NIS2 ist die Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union. Sie verpflichtet Einrichtungen aus 18 Sektoren zu Risikomanagementmaßnahmen nach dem Stand der Technik, zur Meldung erheblicher Sicherheitsvorfälle und zur Registrierung bei der zuständigen Behörde. Als Richtlinie wird sie über nationales Recht umgesetzt: in Deutschland über das NIS2UmsuCG, in Österreich über das NISG 2026.
Neu gegenüber der Vorgängerregelung ist vor allem die Verantwortung an der Spitze. Die Leitungsorgane genehmigen die Risikomanagementmaßnahmen, überwachen deren Umsetzung und müssen selbst an Cybersicherheitsschulungen teilnehmen.
Die Pflichten greifen schrittweise. Die folgenden Termine stehen fest.
Das NIS2UmsuCG tritt in Kraft und fasst das BSIG neu.
Das BSI-Portal für die Registrierung ist freigeschaltet.
Das NISG 2026 tritt in Kraft und löst das NISG 2018 ab.
Registrierungsfrist für betroffene Einrichtungen in Österreich.
Selbstdeklaration in Österreich: Nachweis der umgesetzten Maßnahmen.
Ab diesem Datum sind frühestens Vor-Ort-Prüfungen durch die österreichische Behörde möglich.
Die Behörde nimmt Ihnen diese Prüfung nicht ab, die Einstufung erfolgt durch Selbsteinschätzung. In Deutschland sind rund 29.500 Einrichtungen erfasst, in Österreich rund 4.000 Unternehmen und Einrichtungen ab mittlerer Größe.
Sektoren mit hoher Kritikalität
Sonstige kritische Sektoren
Erfasst sind Unternehmen ab mittlerer Größe: ab 50 Mitarbeitenden oder ab 10 Millionen Euro Jahresumsatz und Bilanzsumme. Als Großunternehmen gilt, wer 250 Mitarbeitende erreicht oder über 50 Millionen Euro Umsatz und über 43 Millionen Euro Bilanzsumme liegt.
Großunternehmen aus den Sektoren mit hoher Kritikalität gelten als wesentliche Einrichtungen. Mittlere Unternehmen daraus sowie große und mittlere Unternehmen aus den sonstigen kritischen Sektoren gelten als wichtige Einrichtungen. Deutschland verwendet dafür die Begriffe besonders wichtige und wichtige Einrichtungen. Die Einstufung bestimmt, wie intensiv geprüft wird und wie hoch der Sanktionsrahmen liegt.
Auch dann können Sie über die Lieferkette betroffen sein. Wesentliche und wichtige Einrichtungen müssen die Sicherheit ihrer Lieferanten berücksichtigen und fordern deshalb entsprechende Nachweise an.
Fünf davon sind dauerhafte Aufgaben, nur die Registrierung ist ein einmaliger Schritt.
| Pflicht | Rechtsgrundlage | Was verlangt wird | So bilden Sie es in CRISAM® ab |
|---|---|---|---|
| Risikomanagementmaßnahmen | Art. 21 NIS2, § 30 BSIG, NISG 2026 | Zehn Maßnahmenbereiche nach dem Stand der Technik: Risikoanalyse und Sicherheitspolitik, Bewältigung von Sicherheitsvorfällen, Business Continuity und Backup, Sicherheit der Lieferkette, Sicherheit bei Erwerb und Entwicklung, Bewertung der Wirksamkeit, Schulungen und Cyberhygiene, Kryptografie, Personal- und Zugriffskontrolle, Multi-Faktor-Authentifizierung | Sicherheitsrisiken werden systematisch identifiziert, bewertet und behandelt. Die Maßnahmen werden workflowgestützt geplant, umgesetzt und überwacht, inklusive Verantwortlichkeiten und Fristen. |
| Meldepflicht | Art. 23 NIS2, BSIG, NISG 2026 | Frühwarnung binnen 24 Stunden, vollständige Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats. In Deutschland über das BSI-Portal, in Österreich über die NIS2-Meldeplattform von CERT.at | Sicherheitsrelevante Vorfälle, Maßnahmen und Verantwortlichkeiten werden strukturiert dokumentiert. Dazu kommen Export-Funktionen für Behörden, Auditoren und Stakeholder. |
| Registrierung | BSIG, NISG 2026 | Deutschland: spätestens drei Monate, nachdem eine Einrichtung betroffen ist, über das BSI-Portal. Österreich: bis 31. Dezember 2026 bei der Cybersicherheitsbehörde | Angaben zur Einrichtung, Zuständigkeiten und Kontakte liegen im selben Modell wie die Maßnahmen und stehen für die Registrierung bereit. |
| Governance und Schulung | Art. 20 NIS2 | Die Leitungsorgane genehmigen die Risikomanagementmaßnahmen, überwachen deren Umsetzung und nehmen selbst an Cybersicherheitsschulungen teil | Freigaben, Verantwortlichkeiten und Fristen sind am Objekt hinterlegt. Management-Reports zur regulatorischen Steuerung zeigen den aktuellen Umsetzungsstand für Gremiensitzungen. |
| Sicherheit der Lieferkette | Art. 21 NIS2 | Cybersicherheitsrisiken bei Lieferanten und Dienstleistern sind zu berücksichtigen, einschließlich der Anforderungen an deren Sicherheitsmaßnahmen | Anforderungen an Lieferanten und deren Nachweise werden strukturiert abgebildet und mit den bestehenden ISMS-Elementen verknüpft. |
| Nachweis und Prüfung | BSIG, NISG 2026 | Österreich: Selbstdeklaration bis 30. September 2027, Vor-Ort-Prüfungen frühestens ab 1. Oktober 2028. Deutschland: Nachweise gegenüber dem BSI | Die Dokumentation ist revisions- und prüfungssicher. Audit- und Compliance-Berichte stehen für interne und externe Prüfungen bereit. |
Von der Einordnung bis zum Nachweis gegenüber der Behörde.
Der Assistent führt Sie anhand von Sektor, Größe und Einstufung durch die Einordnung und dokumentiert das Ergebnis samt Begründung. Es bildet die Grundlage für Registrierung und Selbstdeklaration.
Die Behörde stellt die Betroffenheit nicht fest. Die Einrichtung schätzt sich selbst ein und dokumentiert das Ergebnis.
Wesentlich oder wichtigGroßunternehmen aus Sektoren mit hoher Kritikalität gelten als wesentliche Einrichtungen, die übrigen erfassten als wichtige.
KonzernJede Einrichtung wird einzeln eingeordnet. Die Ergebnisse laufen im Konzernbericht zusammen.
Der Anforderungskatalog gleicht die zehn Maßnahmenbereiche mit dem Ist-Stand ab. So sehen Sie, wo Lücken bestehen: bei welcher Maßnahme, mit welchem Rechtsbezug und wie gravierend.
| Maßnahme | Bezug | Ist | Soll | Schwere |
|---|---|---|---|---|
| Sicherheitsanforderungen an Lieferanten | Art. 21 | 1 | 4 | |
| Schulung der Leitungsorgane | Art. 20 | 1 | 4 | |
| Bewertung der Wirksamkeit | Art. 21 | 2 | 4 | |
| Multi-Faktor-Authentifizierung | § 30 BSIG | 3 | 4 | |
| Kryptografie-Konzept | § 30 BSIG | 3 | 4 |
Für jede Lücke legen Sie eine Maßnahme mit Verantwortlichem und Frist an. Der Fortschritt fließt in dieselbe Auswertung zurück, in der die Lücke sichtbar wurde.
Vorfälle werden strukturiert erfasst. Die Meldekette mit ihren Fristen von 24 Stunden, 72 Stunden und einem Monat ist hinterlegt und zeigt, welche Meldung noch aussteht.
| Meldung | Frist | Status |
|---|---|---|
| Frühwarnung | 24 Stunden ab Kenntnis | |
| Vollständige Meldung | 72 Stunden ab Kenntnis | |
| Abschlussbericht | ein Monat nach der Meldung |
Die Sicherheit der Lieferkette ist ein eigener Maßnahmenbereich. Anforderungen und Nachweise je Lieferant sind mit denselben Kontrollzielen verknüpft wie alle übrigen Maßnahmen.
| Lieferant | Leistung | Kritikalität | Nachweis | Zuletzt geprüft | Status |
|---|---|---|---|---|---|
| Cloud Alpine | Cloud-Infrastruktur | hoch | ISO/IEC 27001 | 14.07.2026 | |
| Nord IT Services | Rechenzentrumsbetrieb | hoch | ISO/IEC 27001 | 02.06.2026 | |
| Sensor Works | Fernwartung Anlagen | hoch | Selbstauskunft | 28.08.2026 | |
| Logistik Ost | Transport und Lager | mittel | Selbstauskunft | 11.05.2026 | |
| Print und Mail Service | Dokumentenversand | gering | offen | 0 | |
| Analytics Partner | Berichtswesen | gering | Selbstauskunft | 03.09.2026 |
| Lieferant | Offener Punkt | Verantwortlich |
|---|---|---|
| Sensor Works | Nachweis zur Zugriffskontrolle fehlt | Einkauf |
| Print und Mail Service | Fragebogen nicht beantwortet | Einkauf |
Am Ende steht ein Bericht, der zeigt, was gefordert ist, was umgesetzt wurde und was noch offen ist. Auf derselben Grundlage bereiten Sie Selbstdeklaration, Audit und Gespräche mit der Aufsicht vor.
| Nachweis | Bezug | Stand | Verantwortlich | Status |
|---|---|---|---|---|
| Sicherheitsleitlinie mit Freigabe | Art. 21 | 18.02.2026 | Vorstand | |
| Risikoanalyse der wesentlichen Dienste | Art. 21 | 30.06.2026 | Risikomanagement | |
| Notfall- und Wiederanlaufplan | § 30 BSIG | 12.05.2026 | BCM | |
| Schulungsnachweis Leitungsorgane | Art. 20 | geplant 12/2026 | Personal | |
| Lieferantenbewertung | Art. 21 | laufend | Einkauf | |
| Bewertung der Wirksamkeit | Art. 21 | geplant 06/2027 | Revision |
Genehmigung der Maßnahmen, Aufsicht über die Umsetzung, eigene Schulung.
Maßnahmen nach dem Stand der Technik, Erkennung, Wiederanlauf.
Einordnung neben ISO/IEC 27001 und KRITIS, Bericht an die Leitung.
Anforderungen an Lieferanten, Nachweise und deren Nachverfolgung.
Wer ein Informationssicherheits-Managementsystem nach ISO/IEC 27001 betreibt, hat einen großen Teil der NIS2-Maßnahmen bereits umgesetzt. CRISAM® bildet Mehrfachanforderungen über das Mapping der Kontrollzielfragen auf die Einzelnormen ab.
Eine beantwortete Kontrollzielfrage gilt zugleich für NIS2, ISO/IEC 27001 und den BSI IT-Grundschutz.
KRITIS-relevante Anforderungen und branchenspezifische Sicherheitsstandards lassen sich strukturiert abbilden und mit den bestehenden ISMS-Elementen verknüpfen.
CRISAM® ergänzt Ihre vorhandenen Systeme und bindet sie über Schnittstellen an.
Durch die Integration mit Business Continuity Management, Datenschutz, IKS und Enterprise Risk Management entsteht ein konsistentes Sicherheits- und Resilienzmanagement.
NIS2 ist eine Richtlinie und gilt deshalb nicht unmittelbar. Was eine Einrichtung konkret tun muss, steht im nationalen Recht: in Deutschland im NIS2UmsuCG und im neu gefassten BSIG, in Österreich im NISG 2026. Die Pflichten sind dieselben, die Fristen und Zuständigkeiten unterscheiden sich.
| Kriterium | Deutschland | Österreich |
|---|---|---|
| Gesetz | NIS2UmsuCG mit neu gefasstem BSIG, in Kraft seit 6. Dezember 2025 | NISG 2026, löst das NISG 2018 ab, in Kraft ab 1. Oktober 2026 |
| Zuständige Behörde | Bundesamt für Sicherheit in der Informationstechnik, BSI | Cybersicherheitsbehörde im Bundesministerium für Inneres |
| Begriffe | Besonders wichtige und wichtige Einrichtungen | Wesentliche und wichtige Einrichtungen |
| Betroffene | Rund 29.500 Einrichtungen, zuvor rund 4.500 | Rund 4.000 Unternehmen und Einrichtungen ab mittlerer Größe |
| Registrierung | Spätestens drei Monate, nachdem eine Einrichtung betroffen ist. Das BSI-Portal ist seit 6. Januar 2026 freigeschaltet | Bis 31. Dezember 2026 bei der Cybersicherheitsbehörde |
| Meldung | Frühe Erstmeldung binnen 24 Stunden, Folgemeldung binnen 72 Stunden, Abschlussmeldung nach einem Monat, über das BSI-Portal | Frühwarnung binnen 24 Stunden, vollständige Meldung binnen 72 Stunden, Abschlussbericht nach einem Monat, über die NIS2-Meldeplattform von CERT.at |
| Nachweis und Prüfung | Nachweise gegenüber dem BSI, Risikomanagementmaßnahmen nach § 30 BSIG sind umzusetzen und zu dokumentieren | Selbstdeklaration bis 30. September 2027, Vor-Ort-Prüfungen frühestens ab 1. Oktober 2028 |
| Sanktionen | Bußgelder nach § 65 BSIG, gestaffelt nach Einstufung | Bis 10 Millionen Euro oder 2 Prozent des weltweiten Umsatzes bei wesentlichen, bis 7 Millionen Euro oder 1,4 Prozent bei wichtigen Einrichtungen. Organisatorische Verstöße bis 50.000 Euro, im Wiederholungsfall bis 100.000 Euro |
Für Finanzunternehmen hat DORA Vorrang. Die Verordnung (EU) 2022/2554 ist für Finanzunternehmen ein sektorspezifischer Rechtsakt und verdrängt die NIS2-Vorgaben zum Cybersicherheitsrisikomanagement und zum Meldewesen. Welche Anforderungen dann gelten, erläutern wir auf der Seite zu DORA. Eine Übersicht aller Regelwerke, die CRISAM® abdeckt, finden Sie unter Normen und Standards.
Zwei Webinare, je eines für die deutsche und die österreichische Rechtslage.
Wie Sie die Anforderungen des BSIG im ISMS-Modell abbilden.
Termine ansehen
Registrierung, Maßnahmen und Selbstdeklaration nach dem NISG 2026.
Termine ansehenWebinare und Schulungen im Überblick, dazu die selbstgesteuerten Kurse der CRISAM® Academy und die Produktunterlagen im Downloadcenter.
AcademyDownloadcenterDer erste Schritt hängt davon ab, wo Sie heute stehen.
Die NIS2-Anforderungen werden nicht isoliert behandelt, sondern direkt in die bestehenden ISMS-, Risiko- und Kontrollstrukturen integriert. Bereits beantwortete Kontrollzielfragen gelten weiter.
Sie beginnen mit dem Managementsystem nach ISO/IEC 27001. CRISAM® ISMS Classic unterstützt Aufbau, Betrieb und kontinuierliche Verbesserung, die NIS2-Maßnahmen bauen darauf auf.
Hinzu kommen KRITIS-Anforderungen und branchenspezifische Sicherheitsstandards. Beide lassen sich strukturiert abbilden und mit den ISMS-Elementen verknüpfen.
Sie benötigen dafür die CRISAM® GRC Plattform und das CRISAM® ISMS Modul. In der Demo besprechen wir Ihre Ausgangslage und zeigen, was davon bei Ihnen bereits vorhanden ist.
NIS2 ist die Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union. Sie verpflichtet Einrichtungen aus 18 Sektoren zu Risikomanagementmaßnahmen nach dem Stand der Technik, zur Meldung erheblicher Sicherheitsvorfälle und zur Registrierung bei der zuständigen Behörde. Als Richtlinie wird sie über nationales Recht umgesetzt: in Deutschland über das NIS2UmsuCG, in Österreich über das NISG 2026.
NIS2 gilt für Einrichtungen aus 18 Sektoren ab mittlerer Größe, also ab 50 Mitarbeitenden oder ab 10 Millionen Euro Jahresumsatz und Bilanzsumme. Großunternehmen aus den Sektoren mit hoher Kritikalität gelten als wesentliche Einrichtungen, mittlere Unternehmen daraus sowie große und mittlere Unternehmen aus den sonstigen kritischen Sektoren als wichtige Einrichtungen. Die Einstufung erfolgt durch Selbsteinschätzung.
In Deutschland ist das NIS2-Umsetzungsgesetz am 6. Dezember 2025 in Kraft getreten und hat das BSIG neu gefasst. In Österreich gilt ab 1. Oktober 2026 das NISG 2026, es löst das NISG 2018 ab.
Die Meldung erfolgt in drei Stufen: eine frühe Erstmeldung oder Frühwarnung binnen 24 Stunden ab Kenntnis, eine vollständige Meldung binnen 72 Stunden und ein Abschlussbericht nach einem Monat. In Deutschland läuft die Meldung über das BSI-Portal, in Österreich über die NIS2-Meldeplattform von CERT.at.
In Deutschland gilt eine Frist von spätestens drei Monaten, nachdem eine Einrichtung erstmals oder erneut betroffen ist. Das BSI-Portal dafür ist seit 6. Januar 2026 freigeschaltet. In Österreich läuft die Registrierungsfrist bis 31. Dezember 2026, die Selbstdeklaration folgt bis 30. September 2027.
Artikel 21 der Richtlinie und § 30 BSIG nennen zehn Bereiche: Risikoanalyse und Sicherheitspolitik, Bewältigung von Sicherheitsvorfällen, Business Continuity und Backup-Management, Sicherheit der Lieferkette, Sicherheit bei Erwerb, Entwicklung und Wartung, Bewertung der Wirksamkeit, Schulungen und Cyberhygiene, Kryptografie, Personalsicherheit mit Zugriffskontrolle und Asset-Management sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation.
Nach Artikel 20 der Richtlinie genehmigen die Leitungsorgane die Risikomanagementmaßnahmen, überwachen deren Umsetzung und müssen selbst an Cybersicherheitsschulungen teilnehmen. Cybersicherheit lässt sich damit nicht vollständig an die IT-Abteilung delegieren, sie wird zur Aufgabe der Unternehmensführung.
ISO/IEC 27001 ist keine gesetzliche Pflicht, deckt aber viele der geforderten Maßnahmenbereiche ab, etwa Risikoanalyse, Sicherheitspolitik, Vorfallsbehandlung, Business Continuity, Lieferantenbeziehungen, Kryptografie und Zugriffskontrolle. Ein bestehendes Managementsystem nach ISO/IEC 27001 ist deshalb eine gute Grundlage. Es ersetzt aber weder die Registrierung noch die Meldepflichten noch den Nachweis gegenüber der Behörde.
Die regulatorischen Angaben auf dieser Seite stammen aus den folgenden Quellen.
Die Angaben geben den Stand der genannten Quellen zum oben angeführten Rechtsstand wieder.
In der Demo gehen wir Ihren Fall durch: Betroffenheit, Gap-Analyse, Meldeweg, Lieferkette und den fertigen Bericht.
Bleiben wir in Kontakt
Telefon
Newsletter
Sie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Instagram. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von X. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen