Nicht nur die Mitarbeiterzahl entscheidet
Neben Größenwerten spielen Branche, konkrete Tätigkeit, Einrichtungsart sowie Konzern- und Sonderregeln eine Rolle.
- Sektor und Tätigkeit
- Schwellenwerte
- Sonder- und Ausnahmeregeln
NIS2 & Compliance
Von der Betroffenheitsprüfung zum belastbaren Maßnahmenplan.
TM-Connect hilft Unternehmen, den eigenen NIS2-Bezug strukturiert einzuordnen, Verantwortlichkeiten sichtbar zu machen und technische wie organisatorische nächste Schritte vorzubereiten.
Aktuelle Einordnung
NIS2 ist in Deutschland geltendes Recht.
Das NIS-2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Das neu gefasste BSI-Gesetz unterscheidet besonders wichtige und wichtige Einrichtungen und verbindet die Einordnung unter anderem mit Sektor, Tätigkeit, Größe und Sonderregeln.
Organisation und Technik greifen ineinander
Risikomanagement, Meldewege, Registrierung, Lieferkette, Schulung und Dokumentation müssen zusammen betrachtet werden.
- Risikomanagementmaßnahmen
- Melde- und Registrierungsprozesse
- Nachweisbare Verantwortlichkeiten
Geschäftsleitungen sind ausdrücklich einbezogen
Das BSIG weist Geschäftsleitungen Umsetzungs-, Überwachungs- und Schulungspflichten zu. Die konkrete rechtliche Bewertung gehört in qualifizierte Rechtsberatung.
- Steuerung
- Überwachung
- Regelmäßige Schulung
Betroffenheitsorientierung
Sechs Fragen für die erste Betroffenheitsorientierung
Der Fragenblock schafft eine belastbare Gesprächsgrundlage. Er liefert keine automatische Rechtsbewertung.
In welchem Sektor arbeitet Ihre Organisation?
Prüfen Sie die Sektoren und Einrichtungsarten der Anlagen 1 und 2 des BSIG sowie mögliche Sonderkategorien.
Welche konkrete Tätigkeit oder Dienstleistung erbringen Sie?
Nicht die Branchenbezeichnung allein, sondern die gesetzlich beschriebene Tätigkeit ist für die Einordnung maßgeblich.
Welche Größenwerte werden erreicht?
Mitarbeitende, Jahresumsatz und Jahresbilanzsumme werden je nach Einrichtungsart unterschiedlich kombiniert.
Gibt es verbundene oder Partnerunternehmen?
Die Berücksichtigung verbundener Unternehmen folgt besonderen Regeln und kann eine individuelle Prüfung erfordern.
Greifen Sonderregeln oder sektorale Ausnahmen?
Unter anderem Telekommunikation, Vertrauensdienste, öffentliche Verwaltung und DORA-nahe Unternehmen können abweichend behandelt werden.
Welche Rolle spielt Ihre Organisation in kritischen Lieferketten?
Auch ohne eigene Einstufung können Kunden Anforderungen an Sicherheit, Nachweise und Vorfallkommunikation weitergeben.
Diese Orientierung ersetzt keine individuelle rechtliche Prüfung. Für eine belastbare Einstufung sind der aktuelle Gesetzesstand, die konkrete Tätigkeit und die Organisationsstruktur gemeinsam zu prüfen.
Organisation
Was Unternehmen organisatorisch vorbereiten sollten
NIS2 ist kein einzelnes IT-Produkt. Gefordert ist ein nachvollziehbares Zusammenspiel aus Steuerung, Prozessen, Technik und Dokumentation.
Governance und Verantwortlichkeiten
Entscheidungswege, Rollen, Eskalation und Berichtslinien nachvollziehbar festlegen.
Risikomanagement
Risiken für Netz- und Informationssysteme systematisch erfassen, bewerten und behandeln.
Technische und organisatorische Maßnahmen
Schutzmaßnahmen passend zu Risiko, Größe, Stand der Technik und Umsetzungsaufwand planen.
Meldewege und Notfallmanagement
Früherkennung, interne Eskalation, externe Meldungen, Wiederanlauf und Krisenkommunikation vorbereiten.
Lieferkettensicherheit
Abhängigkeiten, Dienstleister und sicherheitsbezogene Anforderungen in der Lieferkette dokumentieren.
Dokumentation und Schulung
Entscheidungen, Maßnahmen, Wirksamkeit und regelmäßige Schulungen nachvollziehbar belegen.
Kontinuierliche Verbesserung
Maßnahmen nicht als Einmalprojekt, sondern als überprüfbaren Betriebsprozess etablieren.
Vorgehensmodell
Ein Vorgehen, das Entscheidungen und Ergebnisse sichtbar macht
Jede Phase klärt, wer beteiligt ist, was konkret geschieht und welches Ergebnis für die nächste Entscheidung vorliegt.
Einordnung und Scope
Organisation, Tätigkeiten, Standorte und offene Einstufungsfragen werden abgegrenzt.
- Beteiligte
- Geschäftsleitung, Compliance, IT und bei Bedarf Rechtsberatung
- Ergebnis
- Dokumentierter Prüfumfang und Liste offener Rechtsfragen
- Ihr Nutzen
- Klarheit darüber, was bewertet wird und welche Expertise noch benötigt wird
Ist-Aufnahme
Systeme, Dienste, Verantwortlichkeiten, Dienstleister und bestehende Sicherheitsprozesse werden strukturiert erfasst.
- Beteiligte
- IT, Informationssicherheit, Fachbereiche und Einkauf
- Ergebnis
- Lagebild mit Systemen, Rollen, Abhängigkeiten und vorhandenen Nachweisen
- Ihr Nutzen
- Eine gemeinsame Faktenbasis statt verteilter Einzelinformationen
Gap- und Risikoanalyse
Der dokumentierte Ist-Stand wird gegen relevante Anforderungen und Risiken gespiegelt.
- Beteiligte
- IT, Informationssicherheit, Compliance und betroffene Fachbereiche
- Ergebnis
- Priorisierte Lücken, Risiken und Klärungspunkte
- Ihr Nutzen
- Handlungsdruck wird nachvollziehbar statt pauschal bewertet
Maßnahmen-Roadmap
Organisatorische und technische Maßnahmen werden nach Wirkung, Dringlichkeit, Abhängigkeit und Aufwand geordnet.
- Beteiligte
- Entscheidungsträger, IT, Einkauf und Projektverantwortliche
- Ergebnis
- Abgestimmte Roadmap mit Verantwortlichen und Entscheidungszeitpunkten
- Ihr Nutzen
- Investitionen und interne Kapazitäten lassen sich planbarer steuern
Umsetzung koordinieren
Interne Teams, spezialisierte Dienstleister sowie passende Security- und Connectivity-Lösungen werden zusammengeführt.
- Beteiligte
- Projektleitung, IT, Dienstleister und Anbieter
- Ergebnis
- Koordinierte Arbeitspakete mit dokumentiertem Fortschritt
- Ihr Nutzen
- Weniger Reibungsverluste zwischen Organisation, Technik und Lieferanten
Nachweis, Betrieb und Weiterentwicklung
Nachweise, Wirksamkeitskontrollen, Schulung, Meldewege und wiederkehrende Reviews werden in den Betrieb überführt.
- Beteiligte
- Geschäftsleitung, Informationssicherheit, IT und Prozessverantwortliche
- Ergebnis
- Pflegbarer Nachweis- und Verbesserungsprozess
- Ihr Nutzen
- Der erreichte Stand bleibt überprüfbar und kann weiterentwickelt werden
TM-Connect
Wobei TM-Connect unterstützen kann
Der Leistungsrahmen verbindet Orientierung, Projektstruktur und technische Infrastruktur. Rechtsberatung und Compliance-Garantien sind ausdrücklich nicht Teil der Darstellung.
Ausgangslage und Handlungsfelder strukturieren
Wir bringen Systeme, Verantwortlichkeiten, Abhängigkeiten und offene Fragen in ein gemeinsames Lagebild.
Maßnahmen und Beteiligte koordinieren
Wir strukturieren Arbeitspakete, unterstützen die Auswahl geeigneter Lösungen und koordinieren beteiligte Umsetzungspartner.
Security und Connectivity zusammendenken
Netzwerksicherheit, Endpunkte, Standorte, Ausfallsicherheit und Kommunikation werden als verbundene Infrastrukturthemen betrachtet.
Vom Erstgespräch bis zum Ausbaupfad
Wir begleiten Entscheidungen, Umsetzung und nächste Entwicklungsschritte persönlich und verständlich.
Lösungsfelder
Technische Lösungsfelder für die Maßnahmenplanung
Welche Lösungen passen, ergibt sich aus Risiko, Bestand, Betriebsmodell und freigegebenem Leistungsumfang. Kein einzelnes Produkt stellt NIS2-Konformität her.
Netzwerksicherheit und Firewall
Zugänge, Segmentierung, Datenverkehr und Schutzmechanismen passend zur Infrastruktur bewerten.
Endpoint und mobile Sicherheit
Geräte, Identitäten, Aktualisierung und sichere mobile Nutzung in das Schutzkonzept einbeziehen.
SD-WAN und Standortvernetzung
Verteilte Standorte sicher, steuerbar und mit nachvollziehbaren Abhängigkeiten verbinden.
Backup und Wiederanlauf
Sicherungen, Wiederherstellung, Redundanz und Notfallabläufe als zusammenhängenden Prozess planen.
Cloud- und Microsoft-365-Sicherheit
Identitäten, Berechtigungen, Konfiguration, Daten und Wiederherstellung strukturiert betrachten.
Managed Security
Betriebs- und Überwachungsmodelle nur nach bestätigter Verfügbarkeit und konkreter Leistungsabgrenzung auswählen.
Governance
Geschäftsleitung: Verantwortung steuerbar machen
Nach § 38 BSIG müssen Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen die Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen; außerdem sind regelmäßige Schulungen vorgesehen. Wie diese Pflichten im Einzelfall rechtlich wirken, muss qualifiziert geprüft werden. Praktisch braucht die Leitung verlässliche Berichtswege, dokumentierte Entscheidungen und einen verständlichen Überblick über wesentliche Risiken und Maßnahmen.
Branchen
Typische Ausgangslagen nach Branche
Versorgung, TI und sensible Daten
Kliniken, medizinische Einrichtungen und andere Organisationen müssen regulatorische, technische und betriebliche Abhängigkeiten gemeinsam betrachten.
Dezentrale Abläufe und begrenzte Ressourcen
Mehrere Einrichtungen, mobile Arbeit und Dienstleister erfordern klare Zuständigkeiten und praktikable Melde- und Notfallwege.
Gewachsene Systeme und viele Schnittstellen
Die erste Aufgabe ist häufig, Zuständigkeiten, Lieferanten und prioritäre Risiken über Standorte hinweg sichtbar zu machen.
Standorte, Dienstleister und digitale Prozesse
Verwaltung, technische Infrastruktur und externe Partner bilden eine Liefer- und Leistungskette mit unterschiedlichen Schutzbedarfen.
Hohe Verfügbarkeits- und Nachweiserwartungen
Auch außerhalb einer formalen KRITIS-Einstufung können Kunden, Träger oder Lieferketten belastbare Sicherheitsnachweise erwarten.
Vertrauen
Persönliche Begleitung mit gewachsener Telekommunikationsnähe
TM-Connect verbindet die Einordnung von Sicherheits- und Compliance-Themen mit Erfahrung in Telekommunikation und digitaler Infrastruktur. Anbieterbeziehungen werden sachlich benannt; TM-Connect bleibt als eigenständiges Beratungs- und Umsetzungsunternehmen erkennbar.
- Vodafone Business-Partner seit 17 Jahren
- Telekom-Partner
- 1&1-Versatel-Partner
Die Angaben beschreiben freigegebene Partnerbeziehungen. Sie begründen keine Exklusivität, Zertifizierung, Beauftragung oder Compliance-Garantie.
Fragen & Antworten
Häufige Fragen zu NIS2 und dem nächsten Schritt
Ist mein Unternehmen automatisch von NIS2 betroffen?
Nein. Die Einordnung hängt unter anderem von Einrichtungsart, Tätigkeit, Sektor, Größe sowie Sonder- und Konzernregeln ab. Eine individuelle Prüfung bleibt erforderlich.
Seit wann gelten die deutschen NIS2-Regeln?
Das NIS-2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Für Entscheidungen ist stets der aktuelle Gesetzesstand zu prüfen.
Was sind besonders wichtige und wichtige Einrichtungen?
Das BSIG ordnet Einrichtungen anhand gesetzlicher Kategorien und Schwellenwerte ein. Daraus folgen unterschiedliche Aufsichts- und Sanktionsrahmen.
Welche Größenwerte spielen eine Rolle?
Je nach Kategorie werden Beschäftigtenzahl, Jahresumsatz und Jahresbilanzsumme herangezogen. Bestimmte Einrichtungsarten fallen unabhängig oder mit abweichenden Schwellen in den Anwendungsbereich.
Welche Maßnahmen verlangt das BSIG?
§ 30 nennt verhältnismäßige technische und organisatorische Risikomanagementmaßnahmen, darunter Risikoanalyse, Vorfallbehandlung, Notfallmanagement, Lieferkettensicherheit, Wirksamkeitskontrolle, Schulung, Kryptografie und Zugriffssicherheit.
Welche Meldefristen gelten bei erheblichen Sicherheitsvorfällen?
§ 32 sieht grundsätzlich eine frühe Warnung innerhalb von 24 Stunden, eine Vorfallmeldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats vor. Details und Beginn der Verpflichtung müssen aktuell geprüft werden.
Müssen sich betroffene Einrichtungen registrieren?
Für betroffene Einrichtungen bestehen Registrierungspflichten. Das BSI stellt dafür das BSI-Portal bereit; Fristen und Sonderwege hängen von der Einrichtungsart ab.
Welche Rolle hat die Geschäftsleitung?
Das BSIG weist Geschäftsleitungen Umsetzungs-, Überwachungs- und Schulungspflichten zu. Die konkrete Haftungs- und Rechtslage gehört in juristische Beratung.
Macht eine Firewall ein Unternehmen NIS2-konform?
Nein. NIS2 betrifft Governance, Prozesse, Menschen, Lieferketten, Dokumentation und Technik. Einzelne Produkte können nur Bestandteile eines angemessenen Maßnahmenpakets sein.
Ist TM-Connect eine Rechtsberatung?
Nein. TM-Connect unterstützt bei Orientierung, Projektstruktur, technischer Einordnung und Umsetzung. Rechtliche Einstufungen und Rechtsfragen müssen qualifiziert juristisch geprüft werden.
Was ist ein sinnvoller erster Schritt?
Ein abgegrenztes Erstgespräch mit Angaben zu Tätigkeit, Größe, Standorten, Systemen, Verantwortlichkeiten und offenen Fragen schafft eine tragfähige Grundlage für die weitere Prüfung.
Anschlusslösungen
Erstgespräch
NIS2-Handlungsbedarf strukturiert besprechen.
Im Erstgespräch klären wir Ausgangslage, offene Einstufungsfragen und den sinnvollsten nächsten Arbeitsschritt. Das Gespräch ersetzt keine Rechtsberatung.