You run the company and are responsible for cybersecurity. NIS2 makes this explicit: management approves the measures, supervises their implementation and is liable. Complass shows you the status in plain terms, without you having to know every requirement yourself.
Approve risk management measures and supervise their implementation Section 38 BSIG§ 38 BSIGUmsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. (2) Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung …As of: 26.09.2026 · Source: gesetze-im-internet.deOpen original (gesetze-im-internet.de) ↗
Management is liable to the entity for breaches of these duties Section 38 BSIG§ 38 BSIGUmsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. (2) Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung …As of: 26.09.2026 · Source: gesetze-im-internet.deOpen original (gesetze-im-internet.de) ↗
Attend training regularly in order to be able to assess risks and measures Section 38 BSIG§ 38 BSIGUmsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. (2) Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung …As of: 26.09.2026 · Source: gesetze-im-internet.deOpen original (gesetze-im-internet.de) ↗
Take appropriate technical and organisational measures, from risk management to the supply chain Section 30 BSIG§ 30 BSIGRisikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …As of: 26.09.2026 · Source: gesetze-im-internet.deOpen original (gesetze-im-internet.de) ↗
Report significant security incidents to the BSI on time Section 32 BSIG§ 32 BSIGMeldepflichten(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, folgende Informationen an eine vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete gemeinsame Meldestelle zu melden: - 1. unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der …As of: 26.09.2026 · Source: gesetze-im-internet.deOpen original (gesetze-im-internet.de) ↗
General information, not legal advice. This page summarises the legal position in simplified form and does not replace an assessment of your individual case. The wording of the laws and standards is authoritative.
How Complass helps
Status at a glance
Progress per framework, open measures and deadlines in one overview, understandable without specialist knowledge.
The first selection covers the obligations in Complass if they apply to you. The free applicability check shows whether they do. To the applicability check
What you need at a minimum
If your company falls under NIS2: this selection covers the resulting obligations in Complass. It is preselected when you start a trial or order.
Portal size Start
NIS2: Risk management measures and reporting duties; you prepare notifications in incident management (included). (§§ 30, 32 BSIG (opens in a new tab))
Management cockpit: Management must implement the risk management measures, monitor their implementation and attend training regularly. (§ 38 BSIG (opens in a new tab)) (included)
Incident management: included
GDPR, AI Act and Whistleblower protection (HinSchG) (baseline protection): included
Price of the minimum selection
Item
Net price per month
Start S
€179
NIS2
included
GDPR, AI Act and Whistleblower protection (HinSchG) (baseline protection)
included
Total
€179 net/month
With annual payment, 12 months minimum term. Monthly payment with a 15 % surcharge. All prices net plus VAT, as of 16 October 2026.
Good to know: You can also meet the obligations without Complass. Complass supports you with implementation and evidence but does not replace legal advice. Legal information
Further packages
One framework is often enough to start. ISO 27001 and BSI IT-Grundschutz cover a large part of the NIS2 measures and are recognised as evidence by customers.
available
Framework ISO/IEC 27001
From project mandate to a certification-ready ISMS
Statement of Applicability and all mandatory documents
Document measures once, use them for several frameworks
from €179 per month plus VAT in the Start package, size S, annual payment
All prices are for businesses, not for consumers. They are net plus VAT with annual payment; monthly payment carries a surcharge of 15 %. As of 16 October 2026. Enterprise and groups of companies on request.
Frequently asked questions
Do we as management need specialist knowledge?+
You need to be able to assess risks and measures, which is why the law requires regular training. Information security and IT handle the detailed implementation; Complass presents the status to you in plain terms.
Does this also apply if we do not fall under NIS2?+
The duties under Section 38 BSIG apply to entities under NIS2. Regardless of this, customers, insurers and banks increasingly ask for evidence. The free check shows whether NIS2 applies to you.
Who helps us get started?+
Complass offers consulting itself, from the assessment to the first action plan. Get in touch with us.
