Betroffenheit ist ungeklärt
Unternehmensstruktur, Sektor, Größe und registrierungspflichtige Einrichtungen sind ohne dokumentierte Bewertung.
Regulatorik · NIS2
NIS2-Maßnahmen in kontrollierbare IT- und Sicherheitsprozesse überführen.
Ob direkt betroffen oder über Kunden und Lieferketten gefordert: Wir unterstützen Sie dabei, Cybersicherheitsmaßnahmen praktisch umzusetzen – mit verknüpften technischen Kontrollen, Verantwortlichkeiten und wiederholbaren Nachweisen.
Stand 04.08.2026
Das deutsche NIS-2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Betroffenheit und konkrete Pflichten richten sich nach dem geltenden deutschen Rechtsrahmen, Unternehmensmerkmalen und Sektor. Eine individuelle Prüfung bleibt erforderlich.
Typische Maßnahmenlücken
Wo Anforderungen im IT-Alltag häufig nicht durchgängig umgesetzt sind.
Risiken bleiben toolzentriert
Befunde aus Scannern und Secure Scores sind nicht mit kritischen Services, Assets und Ownern verbunden.
Zugriffe sind nicht risikoadäquat
MFA, privilegierte Rechte, Offboarding und regelmäßige Reviews sind uneinheitlich.
Die Meldung von Vorfällen ist nicht vorbereitet
Rollen, Eskalation, Meldefristen, Kommunikation und Faktenlage sind nicht geübt.
Lieferketten werden punktuell geprüft
Kritische IT-Dienstleister, technische Außenrisiken und Exit-Abhängigkeiten sind nicht kontinuierlich gesteuert.
Wiederherstellung ist nicht nachgewiesen
Backup, Wiederanlaufziele (RPO/RTO) und Restore-Übungen greifen nicht zusammen.
Ausgewählte Umsetzungsbeiträge
Maßnahmen statt allgemeiner Compliance-Versprechen.
Manche Maßnahmenbereiche setzen wir unmittelbar um, für andere schaffen wir Voraussetzungen oder liefern Beiträge im passenden Kontext.
Risikomanagement
Assets, Bedrohungsszenarien, Kontrollen und Maßnahmen werden nachvollziehbar bewertet.
Primärer BeitragIncident Handling
Erkennung, Rollen, Eskalation, Wiederherstellung, Kommunikation und Nachweise werden verbunden.
Primärer BeitragBusiness Continuity und Backup
Kritische Daten und Services erhalten RPO/RTO, Runbooks und geprüfte Restore-Szenarien.
Primärer BeitragLieferkettensicherheit
Kritische Dienstleister werden inventarisiert, bewertet, überwacht und mit Exit-Szenarien versehen.
Primärer BeitragZugriffskontrolle und MFA
Identitäten, privilegierte Rechte und Authentisierung werden risikobasiert gesteuert.
Primärer BeitragAsset-, Schwachstellen- und Lifecycle-Steuerung
Bestände, Endpunkte, Risiken abgekündigter Systeme (End of Life) und Maßnahmen werden dauerhaft kontrolliert.
UnterstützendTechnische und organisatorische Maßnahmen
Ein verbundenes Umsetzungsmodell.
Produktkonfigurationen wirken erst, wenn Richtlinien, Owner, Freigaben, Kontrollrhythmen und Incident-Wege dieselbe Zielsetzung tragen.
Technische Komponenten
Kontrollen und Plattformfunktionen
- Entra MFA, Conditional Access, PIM und Access Reviews
- Intune, Defender und Security- beziehungsweise Compliance-Signale
- Microsoft- oder AvePoint-Backup für definierte Workloads
- LocateRisk für externe Angriffsflächen- und Vendor-Signale
- Jira Service Management und Assets für Incidents, Changes, CMDB und Maßnahmen
Organisatorische Maßnahmen
Verantwortung und Nachweis
- Betroffenheits- und Scope-Klärung durch zuständige Fach- und Rechtsrollen
- Risikomethode, Risk Owner und Management-Entscheidungen
- Incident-, Eskalations- und Kommunikationsverfahren
- Backup-, Wiederanlauf- und Übungsplanung
- Lieferantenkritikalität, Due Diligence und Exit
- Schulungen, Wirksamkeitsprüfungen und Verbesserungsprozess
Passende Lösungen
Von der NIS2-Anforderung zur umsetzbaren Lösung.
Lösung
Passwortmanagement
Mitarbeitende melden sich sicher an, ohne Zugangsdaten improvisiert verwalten oder weitergeben zu müssen.
LösungMulti-Faktor-Authentifizierung
Je sensibler der Zugriff, desto stärker die Anmeldung – nach Rolle, Gerät und Risiko.
LösungBerechtigungsmanagement
Jeder Zugriff besitzt einen nachvollziehbaren Zweck, eine verantwortliche Freigabe und ein überprüfbares Ende.
LösungUser Lifecycle Management
Ein HR-Ereignis löst eine verantwortete, fristgerechte und überprüfbare Kette technischer und organisatorischer Maßnahmen aus.
LösungAsset-Management
Assets stehen in einem Inventar und sind mit Verantwortung, Kritikalität, Services, Risiken und Lebenszyklus verbunden.
LösungM365 Workspace-Governance
Jeder Workspace besitzt einen erkennbaren Zweck, verantwortliche Owner, passende Schutzregeln und einen definierten Lebenszyklus.
LösungBackup & Cyber Resilience
Kritische Daten und Identitätskonfigurationen lassen sich nach definierten Prioritäten, Rollen und Zeitvorgaben wiederherstellen.
LösungEndpoint Management
Nur geeignete, verwaltete oder angemessen geschützte Geräte greifen auf Unternehmensdaten zu – ohne den Arbeitsalltag unnötig zu blockieren.
LösungIT-Vendormanagement
Kritische IT-Dienstleister werden nach einheitlichen Kriterien ausgewählt, überwacht, gesteuert und bei Bedarf kontrolliert abgelöst.
LösungIT-Risikoanalyse
Risiken sind nachvollziehbar bewertet, einem Verantwortlichen zugeordnet und mit priorisierten Maßnahmen oder dokumentierter Akzeptanz verbunden.
LösungIT-Service-, Incident-, Change-Management
Anfragen, Störungen und Änderungen folgen verständlichen Wegen, nutzen denselben Servicekontext und erzeugen nachweisbare Verbesserungen.
LösungSystem Lifecycle Management
Lebenszyklusrisiken werden frühzeitig sichtbar und in Wartung, Investition, Ablösung oder kontrollierte Stilllegung übersetzt.
Primärquellen
Lesen Sie im Original nach.
- BSI: NIS-2-Umsetzungsgesetz in KraftBundesamt für Sicherheit in der Informationstechnik
- BSI: Fragen und Antworten zu NIS-2Bundesamt für Sicherheit in der Informationstechnik
- Richtlinie (EU) 2022/2555 – NIS2EUR-Lex
Externe Quellen öffnen in einem neuen Tab.
FAQ
Fragen vor dem Start.
Ist jedes Unternehmen mit mehr als 50 Mitarbeitenden automatisch betroffen?
Nein. Größe ist nur ein Teil der Einordnung. Sektor, Tätigkeit, Unternehmensstruktur, Sondertatbestände und der deutsche Rechtsrahmen müssen gemeinsam geprüft werden.
Reicht ein Security Assessment für NIS2?
Nein. Ein Assessment liefert eine Ausgangslage. NIS2-bezogene Cybersicherheit erfordert verantwortete Maßnahmen, Betriebsprozesse, Incident-Fähigkeit, Lieferantensteuerung und wiederholte Wirksamkeitsprüfung.
Kann Microsoft Secure Score die NIS2-Konformität messen?
Nein. Secure Score kann technische Empfehlungen und relative Verbesserungssignale liefern. Er bildet weder den vollständigen gesetzlichen Scope noch organisatorische Prozesse, Risikoakzeptanz oder Unternehmenskontext ab.
Eine Maßnahmenlücke in einen umsetzbaren Auftrag übersetzen.
Sie schildern die Lücke, wir ordnen betroffene Systeme und Verantwortlichkeiten ein – und benennen ein prüfbares Ergebnis.