Sie führen das Unternehmen und tragen die Verantwortung für die Cybersicherheit. NIS2 macht das ausdrücklich: Die Geschäftsleitung billigt die Maßnahmen, überwacht die Umsetzung und haftet. Complass zeigt Ihnen den Stand verständlich, ohne dass Sie jede Anforderung selbst kennen müssen.
Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen § 38 BSIG§ 38 BSIGUmsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. (2) Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung …Stand: 26.09.2026 · Quelle: gesetze-im-internet.deOriginal öffnen (gesetze-im-internet.de) ↗
Für Pflichtverletzungen haftet die Geschäftsleitung gegenüber der Einrichtung § 38 BSIG§ 38 BSIGUmsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. (2) Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung …Stand: 26.09.2026 · Quelle: gesetze-im-internet.deOriginal öffnen (gesetze-im-internet.de) ↗
Regelmäßig an Schulungen teilnehmen, um Risiken und Maßnahmen beurteilen zu können § 38 BSIG§ 38 BSIGUmsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. (2) Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung …Stand: 26.09.2026 · Quelle: gesetze-im-internet.deOriginal öffnen (gesetze-im-internet.de) ↗
Angemessene technische und organisatorische Maßnahmen treffen, vom Risikomanagement bis zur Lieferkette § 30 BSIG§ 30 BSIGRisikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …Stand: 26.09.2026 · Quelle: gesetze-im-internet.deOriginal öffnen (gesetze-im-internet.de) ↗
Erhebliche Sicherheitsvorfälle fristgerecht an das BSI melden § 32 BSIG§ 32 BSIGMeldepflichten(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, folgende Informationen an eine vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete gemeinsame Meldestelle zu melden: - 1. unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der …Stand: 26.09.2026 · Quelle: gesetze-im-internet.deOriginal öffnen (gesetze-im-internet.de) ↗
Kosten, Aufwand und Dauer: nur Berater, Berater mit Complass oder eigene Umsetzung mit Complass? Compliance-Kostenrechner öffnen
Allgemeine Information, keine Rechtsberatung. Diese Seite fasst die Rechtslage vereinfacht zusammen und ersetzt keine Prüfung Ihres Einzelfalls. Maßgeblich ist der Wortlaut der Gesetze und Normen.
So unterstützt Complass
Stand auf einen Blick
Fortschritt je Regelwerk, offene Maßnahmen und Fristen in einer Übersicht, verständlich auch ohne Fachwissen.
Die erste Auswahl deckt die Pflichten in Complass ab, wenn sie für Sie gelten. Ob das so ist, zeigt der kostenlose Betroffenheits-Check. Zum Betroffenheits-Check
Was Sie mindestens brauchen
Wenn Ihr Unternehmen unter NIS2 fällt: Diese Auswahl deckt die Pflichten daraus in Complass ab. Sie ist vorausgewählt, wenn Sie testen oder bestellen.
Portalgröße Start
NIS2: Risikomanagement-Maßnahmen und Meldepflichten; Meldungen bereiten Sie im Incident-Management vor (inklusive). (§§ 30, 32 BSIG (öffnet in neuem Tab))
Geschäftsleitungs-Cockpit: Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. (§ 38 BSIG (öffnet in neuem Tab)) (inklusive)
Incident-Management: inklusive
DSGVO, KI-Verordnung und Hinweisgeberschutz (HinSchG) (Basisschutz): inklusive
Preis der Mindestauswahl
Position
Preis netto pro Monat
Start S
179 €
NIS2
enthalten
DSGVO, KI-Verordnung und Hinweisgeberschutz (HinSchG) (Basisschutz)
enthalten
Zusammen
179 € netto/Monat
Bei jährlicher Zahlung, 12 Monate Mindestlaufzeit. Monatliche Zahlung mit 15 % Aufschlag. Alle Preise netto zzgl. USt., Stand 16.10.2026.
Gut zu wissen: Die Pflichten können Sie auch ohne Complass erfüllen. Complass unterstützt Sie bei Umsetzung und Nachweis, ersetzt aber keine Rechtsberatung. Rechtliche Hinweise
Weitere Pakete
Für den Einstieg reicht oft ein Regelwerk. ISO 27001 und BSI IT-Grundschutz decken einen großen Teil der NIS2-Maßnahmen ab und sind als Nachweis bei Kunden anerkannt.
buchbar
Regelwerk ISO/IEC 27001
Vom Projektauftrag zum zertifizierungsreifen ISMS
Erklärung zur Anwendbarkeit und alle Pflichtdokumente
Maßnahmen einmal dokumentieren, für mehrere Regelwerke nutzen
ab 179 € pro Monat zzgl. USt. im Paket Start, Größe S, bei jährlicher Zahlung
Alle Preise gelten für Unternehmen, nicht für Verbraucher. Sie verstehen sich netto zzgl. USt. bei jährlicher Zahlung; bei monatlicher Zahlung gilt ein Aufschlag von 15 %. Stand 16.10.2026. Enterprise und Unternehmensgruppen auf Anfrage.
Häufige Fragen
Müssen wir als Geschäftsleitung Fachwissen haben?+
Sie müssen Risiken und Maßnahmen beurteilen können, deshalb verlangt das Gesetz regelmäßige Schulungen. Die Umsetzung im Detail übernehmen Informationssicherheit und IT; Complass bereitet den Stand für Sie verständlich auf.
Gilt das auch, wenn wir nicht unter NIS2 fallen?+
Die Pflichten nach § 38 BSIG gelten für Einrichtungen unter NIS2. Unabhängig davon verlangen Kunden, Versicherer und Banken zunehmend Nachweise. Ob NIS2 für Sie gilt, zeigt der kostenlose Betroffenheitscheck.
Wer hilft uns beim Einstieg?+
Complass bietet selbst Beratung an, von der Einordnung bis zum ersten Maßnahmenplan. Sprechen Sie uns an.
Legen Sie Ihren Testzugang selbst an, auf Wunsch mit einem Beispielprojekt je Regelwerk. Wenn Sie Complass lieber erst gezeigt bekommen, fragen Sie eine Demo an.
