Complass – Navigate compliance Complass – Navigate compliance
Sprache DE
Deutsch English Français Italiano Español Nederlands Polski Português
Kostenlos testen

Regelwerk

NIS2 und NIS2UmsuCG

Das BSI-Gesetz in der Fassung des NIS2UmsuCG gilt seit dem 6. Dezember 2025. Complass führt von der Einstufung über die zehn Mindestmaßnahmen bis zu Meldewesen und Nachweisen.

Kostenlos testen Demo anfragen
Standbild aus dem Kurzfilm „Compliance-Management in 20 Sekunden“
Compliance-Management in 20 Sekunden Projekt, nächster Schritt, Checkliste, Erklärung zur Anwendbarkeit, Audit-Paket. Beispieldaten der Demo-Firma.

Was ist NIS2?

NIS2 ist die EU-Richtlinie (EU) 2022/2555 für ein hohes gemeinsames Cybersicherheitsniveau. In Deutschland setzt das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) sie um, vor allem über das BSI-Gesetz: Betroffene Einrichtungen müssen sich registrieren, Risikomanagementmaßnahmen umsetzen und erhebliche Sicherheitsvorfälle melden; die Geschäftsleitung ist verantwortlich.

Stand der Inhalte:

Bin ich betroffen?

Betroffen sind Unternehmen, die einer der Einrichtungsarten in Anlage 1 oder 2 des BSIG angehören und bestimmte Größen erreichen. Vereinfacht: besonders wichtige Einrichtungen ab 250 Beschäftigten oder mehr als 50 Mio. Euro Jahresumsatz und 43 Mio. Euro Bilanzsumme (Anlage 1), wichtige Einrichtungen ab 50 Beschäftigten oder mehr als 10 Mio. Euro Umsatz und Bilanzsumme (Anlage 1 und 2). Betreiber kritischer Anlagen sind unabhängig von der Größe erfasst.

Die erste Phase im Modul führt durch Zuordnung, Größenschwellen, Konzernstrukturen und Sonderregime, mit Begründung für Ihre Dokumentation.

Diese Übersicht ersetzt keine Rechtsberatung. Maßgeblich ist der Gesetzes- bzw. Normtext; in Complass prüfen Sie die Betroffenheit geführt anhand der Verweise.

Rechtsgrundlagen

  • § 28 BSIG§ 28 BSIG Besonders wichtige Einrichtungen und wichtige Einrichtungen(1) Als besonders wichtige Einrichtung gelten - 1. Betreiber kritischer Anlagen, - 2. qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries oder DNS-Diensteanbieter, - 3. Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze, die - a) mindestens 50 Mitarbeiter beschäftigen oder - b) einen Jahresumsatz und eine Jahresbilanzsumme von jeweils …Stand: 26.09.2026 · Quelle: gesetze-im-internet.deOriginal öffnen (gesetze-im-internet.de) ↗Besonders wichtige und wichtige Einrichtungen
  • § 2 BSIG§ 2 BSIG BegriffsbestimmungenIm Sinne dieses Gesetzes ist oder sind - 1. „Beinahevorfall“ ein Ereignis, das die Verfügbarkeit, Integrität oder Vertraulichkeit gespeicherter, übermittelter oder verarbeiteter Daten oder der Dienste, die über informationstechnische Systeme, Komponenten und Prozesse angeboten werden oder zugänglich sind, beeinträchtigt haben könnte, dessen Eintritt jedoch erfolgreich verhindert worden ist oder aus anderen Gründen …Stand: 26.09.2026 · Quelle: gesetze-im-internet.deOriginal öffnen (gesetze-im-internet.de) ↗Begriffsbestimmungen
  • Art. 2 NIS2-RichtlinieArtikel 2 NIS2-Richtlinie Anwendungsbereich(1) Diese Richtlinie gilt für öffentliche oder private Einrichtungen der in den Anhang I oder II genannten Art, die nach Artikel 2 des Anhangs der Empfehlung 2003/361/EG als mittlere Unternehmen gelten oder die Schwellenwerte für mittlere Unternehmen nach Absatz 1 jenes Artikels überschreiten und ihre Dienste in der Union erbringen oder ihre Tätigkeiten dort ausüben. Artikel 3 Absatz 4 des Anhangs dieser Empfehlung …Stand: 26.09.2026 · Quelle: EUR-LexOriginal öffnen (EUR-Lex) ↗Anwendungsbereich
  • Art. 3 NIS2-RichtlinieArtikel 3 NIS2-Richtlinie Wesentliche und wichtige Einrichtungen(1) Für die Zwecke dieser Richtlinie gelten als wesentliche Einrichtungen: - a) Einrichtungen der in Anhang I aufgeführten Art, die die in Artikel 2 Absatz 1 des Anhangs der Empfehlung 2003/361/EG genannten Schwellenwerte für mittlere Unternehmen überschreiten; - b) qualifizierte Vertrauensdiensteanbieter und Domänennamenregister der Domäne oberster Stufe sowie DNS-Diensteanbieter, unabhängig von ihrer Größe; - c) …Stand: 26.09.2026 · Quelle: EUR-LexOriginal öffnen (EUR-Lex) ↗Wesentliche und wichtige Einrichtungen

Wichtige Fristen

  1. BSIG in der Fassung des NIS2UmsuCG gilt
  2. Innerhalb von drei Monaten Registrierung beim BSI, nachdem ein Unternehmen erstmals oder erneut als Einrichtung gilt · § 33 BSIG§ 33 BSIG Registrierungspflicht(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sowie Domain-Name-Registry-Dienstleister sind verpflichtet, spätestens drei Monate, nachdem sie erstmals oder erneut als eine der vorgenannten Einrichtungen gelten oder Domain-Name-Registry-Dienste anbieten, dem Bundesamt über eine gemeinsam vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete …Stand: 26.09.2026 · Quelle: gesetze-im-internet.deOriginal öffnen (gesetze-im-internet.de) ↗
  3. 24 Stunden / 72 Stunden / ein Monat Frühe Erstmeldung, Meldung und Abschlussmeldung erheblicher Sicherheitsvorfälle · § 32 BSIG§ 32 BSIG Meldepflichten(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, folgende Informationen an eine vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete gemeinsame Meldestelle zu melden: - 1. unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der …Stand: 26.09.2026 · Quelle: gesetze-im-internet.deOriginal öffnen (gesetze-im-internet.de) ↗
  4. Regelmäßig Schulungen der Geschäftsleitung; Umsetzung der Maßnahmen verantworten und überwachen · § 38 BSIG§ 38 BSIG Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. (2) Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung …Stand: 26.09.2026 · Quelle: gesetze-im-internet.deOriginal öffnen (gesetze-im-internet.de) ↗

Wie Complass hilft

  • 8Phasen
  • 29geführte Schritte
  • 19Dokumentvorlagen
  • 64Anforderungen im Katalog

  • Geführt von der Einstufung bis zum Nachweis

    Acht Phasen: Betroffenheit, Registrierung, Governance, Risiko- und Gap-Analyse, Maßnahmen, Meldewesen und Wirksamkeit.

  • Katalog zu § 30 BSIG / Art. 21 NIS2

    Jede Mindestmaßnahme mit Anwendbarkeit, Status und Nachweis, verknüpfbar mit ISO 27001 und IEC 62443.

  • Meldungen mit Fristen

    Vorfälle nach § 32 BSIG mit Prüffragen, Meldestufen und Countdown im Incident-Management.

  • Für die Geschäftsleitung

    Geschäftsleitungs-Cockpit: Maßnahmen beschließen, Umsetzung je Quartal überwachen und Schulungen nachweisen, jedes Mitglied bestätigt persönlich; dazu der Management-Bericht als PDF.

Die Phasen im Modul

  1. Betroffenheitsprüfung und Einstufung
  2. Registrierung beim BSI und Behördenkommunikation
  3. Governance und Pflichten der Geschäftsleitung
  4. Risikoanalyse und Gap-Analyse
  5. Maßnahmenumsetzung I: Organisation und Resilienz
  6. Maßnahmenumsetzung II: Technik, Menschen und Zugänge
  7. Meldepflichten für erhebliche Sicherheitsvorfälle
  8. Wirksamkeit, Nachweise und kontinuierliche Verbesserung

Katalog: Art. 21 Abs. 2 NIS2 / § 30 Abs. 2 BSIG – Mindestmaßnahmen

Passende Bausteine

Compliance-Management

Regelwerke geführt umsetzen: Phasen, Vorlagen, Dokumentenpyramide, Kataloge, Gap-Analyse, Ziele und Maßnahmenplan bis zur Prüfung im Prüferportal.

Mehr erfahren

Incident-Management

Vorfälle erfassen, Meldepflicht nach NIS2, CRA und DSGVO prüfen und die Meldefristen mit Countdown verfolgen.

Mehr erfahren

Asset-Management

IT- und OT-Assets an einem Ort, agentless erfasst, mit SBOM, Herstellerhinweisen, Support-Ende, Lizenzabgleich, Identitäten, Zusammenhängen und Zonen nach IEC 62443-3-2.

Mehr erfahren

NIS2 in Complass: was Sie mindestens brauchen

Die erste Auswahl deckt die Pflichten in Complass ab, wenn sie für Sie gelten. Ob das so ist, zeigt der kostenlose Betroffenheits-Check. Zum Betroffenheits-Check

Was Sie mindestens brauchen

Wenn NIS2 für Sie gilt: Diese Auswahl deckt die Pflichten daraus in Complass ab. Sie ist vorausgewählt, wenn Sie testen oder bestellen.

Portalgröße Start

  • NIS2: Risikomanagement-Maßnahmen und Meldepflichten; Meldungen bereiten Sie im Incident-Management vor (inklusive). (§§ 30, 32 BSIG (öffnet in neuem Tab))
  • Geschäftsleitungs-Cockpit: Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. (§ 38 BSIG (öffnet in neuem Tab)) (inklusive)
  • Incident-Management: inklusive
  • DSGVO, KI-Verordnung und Hinweisgeberschutz (HinSchG) (Basisschutz): inklusive
Preis der Mindestauswahl
PositionPreis netto pro Monat
Start S179 €
NIS2enthalten
DSGVO, KI-Verordnung und Hinweisgeberschutz (HinSchG) (Basisschutz)enthalten
Zusammen179 € netto/Monat

Bei jährlicher Zahlung, 12 Monate Mindestlaufzeit. Monatliche Zahlung mit 15 % Aufschlag. Alle Preise netto zzgl. USt., Stand 16.10.2026.

14 Tage kostenlos testen: Mindestauswahl NIS2 Bestellen: Mindestauswahl NIS2

Auswahl in der Preisübersicht anpassen: Mindestauswahl NIS2

Empfohlen für mehr Wirkung Angebot, keine Pflicht

Business mit Lieferantenmanagement

Mehr Wirkung mit Risk-Management, Lieferantenmanagement und Notfallmanagement (BCM), Platz für 10 Nutzer und 2 Regelwerke.

548 € netto/Monat, 369 € mehr als die Mindestauswahl.

Bei jährlicher Zahlung, 12 Monate Mindestlaufzeit. Monatliche Zahlung mit 15 % Aufschlag. Alle Preise netto zzgl. USt., Stand 16.10.2026.

Mit Business testen: Mindestauswahl NIS2

In der Preisübersicht ansehen: Mindestauswahl NIS2

Gut zu wissen: Die Pflichten können Sie auch ohne Complass erfüllen. Complass unterstützt Sie bei Umsetzung und Nachweis, ersetzt aber keine Rechtsberatung. Rechtliche Hinweise

Häufige Fragen

Wir sind Zulieferer eines betroffenen Unternehmens. Betrifft uns NIS2?

Nicht unmittelbar, wenn Sie selbst nicht unter § 28 BSIG fallen. Ihre Kunden müssen aber die Sicherheit ihrer Lieferkette berücksichtigen und fragen deshalb oft Nachweise an. Diese können Sie mit Complass, z. B. über ISO 27001, strukturiert erbringen.

Brauche ich zusätzlich ISO 27001?

Das BSIG schreibt keine Zertifizierung vor. ISO/IEC 27001 ist aber ein bewährter Rahmen; in Complass verknüpfen Sie beide Kataloge, sodass Nachweise für beide gelten.

Complass mit Ihren eigenen Daten testen

Legen Sie Ihren Testzugang selbst an, auf Wunsch mit einem Beispielprojekt je Regelwerk. Wenn Sie Complass lieber erst gezeigt bekommen, fragen Sie eine Demo an.

Kostenlos testen Demo anfragen