Häufige Fragen zu NIS2, Schulung und Beratung

Das hängt von Branche und Größe ab. Betroffen ist ein Unternehmen, das gegen Entgelt in einem Sektor aus Anlage 1 oder 2 des BSI-Gesetzes tätig ist und mindestens 50 Beschäftigte hat – oder mehr als 10 Mio. € Jahresumsatz und zugleich mehr als 10 Mio. € Jahresbilanzsumme. Einige Einrichtungen, etwa Betreiber kritischer Anlagen oder DNS-Diensteanbieter, sind unabhängig von der Größe erfasst. Eine erste Einschätzung gibt Ihnen unser NIS2-Check.

Ab 50 Beschäftigten – wenn Ihr Unternehmen in einem erfassten Sektor tätig ist. Gezählt wird in Vollzeitstellen: Teilzeitkräfte zählen anteilig, Auszubildende nicht. Alternativ genügt ein Jahresumsatz von mehr als 10 Mio. €, aber nur zusammen mit einer Jahresbilanzsumme von mehr als 10 Mio. €. Zahlen verbundener und Partnerunternehmen werden grundsätzlich mitgerechnet, und ein Status ändert sich erst nach zwei aufeinanderfolgenden Geschäftsjahren über oder unter der Schwelle.

Das NIS-2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025. Eine allgemeine Übergangsfrist gibt es nicht: Registrierung, Risikomanagement und Meldepflichten gelten seitdem. Rechtsgrundlage für Unternehmen ist das neu gefasste BSI-Gesetz (BSIG).

Nein. Eine eigene Pflicht entsteht nur, wenn Ihr Unternehmen selbst die Voraussetzungen erfüllt. Betroffene Kunden müssen aber die Sicherheit ihrer Lieferkette berücksichtigen; das BSI empfiehlt ihnen, Zulieferer vertraglich zu Sicherheitsmaßnahmen zu verpflichten und sich die Einhaltung nachweisen zu lassen. Deshalb erreichen NIS2-Anforderungen auch Unternehmen, die nicht selbst reguliert sind.

Ja, betroffene Unternehmen müssen sich spätestens drei Monate nach Eintritt der Betroffenheit beim BSI registrieren. Für Unternehmen, die schon am 6. Dezember 2025 betroffen waren, ist diese Frist abgelaufen; eine gesetzliche Verlängerung gab es nicht. Holen Sie die Registrierung umgehend nach, denn eine verspätete Registrierung ist eine Ordnungswidrigkeit. Registrieren muss sich Ihr Unternehmen selbst – über „Mein Unternehmenskonto“ mit ELSTER-Organisationszertifikat und das BSI-Portal. Wir bereiten das mit Ihnen vor.

Einen erheblichen Sicherheitsvorfall melden Sie dem BSI in Stufen: frühe Erstmeldung unverzüglich, spätestens 24 Stunden nach Kenntnis; Meldung spätestens nach 72 Stunden; Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung. Dauert der Vorfall noch an, gibt es stattdessen eine Fortschrittsmeldung. Sind personenbezogene Daten betroffen, kann zusätzlich eine Meldung an die Datenschutzaufsicht nötig sein.

Nicht automatisch. Laut BSI ist eine ISO-27001-Zertifizierung ein gutes Fundament, aber kein Nachweis der NIS2-Konformität; Registrierung, Meldepflichten und die Pflichten der Geschäftsleitung nach § 38 BSIG kommen hinzu. Für ein TISAX®-Label gilt das Gleiche. Ein „NIS2-Zertifikat“ gibt es nicht.

Für Verstöße etwa gegen die Risikomanagement-, Dokumentations- oder Meldepflichten sieht § 65 BSIG Bußgelder bis 10 Mio. € für besonders wichtige und bis 7 Mio. € für wichtige Einrichtungen vor. Bei mehr als 500 Mio. € weltweitem Gesamtumsatz sind bis zu 2 % bzw. 1,4 % dieses Umsatzes möglich. Eine fehlende oder verspätete Registrierung kann bis zu 500.000 € kosten. Die Bußgeldrahmen knüpfen an die Einrichtung an.

Ja, wenn Ihr Unternehmen eine wichtige oder besonders wichtige Einrichtung ist. Nach § 38 Abs. 3 BSIG müssen die Geschäftsleitungen regelmäßig an Schulungen teilnehmen – und zwar jedes Mitglied der Geschäftsleitung. Die Schulung Ihrer IT-Leitung ersetzt Ihre eigene nicht. Ist Ihr Unternehmen nicht betroffen, ist die Schulung freiwillige Vorsorge.

Aufgaben ja, Verantwortung nein. Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Nach der Gesetzesbegründung bleibt sie letztverantwortlich, auch wenn sie Hilfspersonen einschaltet – und auch bei vollständig ausgelagerter IT.

Das ist unter bestimmten Voraussetzungen möglich. Wer als Geschäftsleitung einer betroffenen Einrichtung die Pflichten aus § 38 Abs. 1 BSIG schuldhaft verletzt, haftet der eigenen Gesellschaft für den entstandenen Schaden nach Gesellschaftsrecht – bei der GmbH nach § 43 GmbHG, bei der AG nach § 93 AktG. Diese Organhaftung ist persönlich; sie besteht gegenüber der eigenen Gesellschaft, nicht unmittelbar gegenüber Kunden oder Behörden. Neu ist nicht die Organhaftung, sondern dass die Cybersicherheitspflichten der Geschäftsleitung ausdrücklich im Gesetz stehen. Im Einzelfall beraten Sie Ihr Rechtsanwalt und Ihr Versicherer.

Nein, das kann keine Schulung. Die Haftung nach § 38 Abs. 2 BSIG knüpft an die Pflicht an, Maßnahmen umzusetzen und ihre Umsetzung zu überwachen. Eine gute Schulung befähigt Sie, diese Pflicht informiert wahrzunehmen, Entscheidungen auf angemessener Informationsgrundlage zu treffen und das zu dokumentieren. Das ist ein wichtiger Baustein, aber keine Freistellung.

Geschäftsleitung im Sinne des BSI-Gesetzes sind die Personen, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung berufen sind, also etwa GmbH-Geschäftsführer und Vorstände. Prokuristen und Aufsichtsräte fallen nach dem Wortlaut eher nicht darunter; das ist eine Auslegung. Das BSI empfiehlt aber, Personen einzubeziehen, die der Geschäftsleitung zuarbeiten – deshalb umfasst jedes unserer Pakete neben der Geschäftsleitung bis zu 3 weitere Personen, etwa ISB, IT-Leitung oder Prokura.

Das Gesetz sagt nur „regelmäßig“. Nach der Gesetzesbegründung sind Schulungen mindestens alle drei Jahre gemeint. Das BSI hält dieses Minimum in den seltensten Fällen für ausreichend und empfiehlt eine ausführliche Erstschulung mit regelmäßigen Folgeschulungen, etwa bei einem Wechsel in der Geschäftsleitung. Unsere Pakete laufen deshalb 12 Monate und verlängern sich jährlich; neue Mitglieder der Geschäftsleitung schulen Sie während der Laufzeit ohne Aufpreis mit.

Eine gesetzliche Mindestdauer gibt es nicht. Die oft genannten vier Stunden sind eine Annahme aus der Kostenschätzung des Gesetzentwurfs, keine Vorgabe; das BSI hält vier Stunden in den meisten Fällen nicht für ausreichend und erlaubt, Inhalte auf mehrere Einheiten zu verteilen. Die GEFIM-Schulungsplattform arbeitet mit Lerneinheiten von höchstens 10 Minuten; die Gesamtlernzeit zeigen wir Ihnen in der Demo.

Ja. Das Format ist frei, und das BSI hält interaktive und zeitlich dezentrale Formate ausdrücklich für gut geeignet. Wichtig ist, dass die Inhalte auf Ihr Unternehmen übertragen werden. Diesen Schritt geht Ihre Geschäftsleitung selbst: Unsere Schulung ist ein Selbstlernangebot, und ab Silber helfen der Fragenkatalog für IT, ISB und Dienstleister und die Vorlagen für Beschluss und Roadmap.

Anonym ist unsere Online-Schulung trotzdem nicht: In jeder Lektion führt Marcel Hofmann im Video selbst durch die Folien. Wer unterwegs lernen möchte, startet in derselben Lektion die reine Audiofassung, die direkt unter dem Video steht; sie ist mit einer lizenzierten KI-Stimme vertont.

Nein – und das kann keine Geschäftsleitungsschulung sein. Das BSI zertifiziert oder anerkennt solche Schulungen nicht und empfiehlt keine einzelnen Anbieter. Es hat eine rechtlich unverbindliche Handreichung veröffentlicht (Version 1.0 vom 17.04.2026), an der sich unsere Inhalte orientieren.

Sie belegt Ihre Teilnahme und hängt nicht vom Ergebnis des Wissenstests ab; eine Teilnahmebescheinigung je Person gibt es bei uns ab dem Paket Silber. Das BSI empfiehlt, die Teilnahme intern zu dokumentieren und auf Verlangen vorzulegen – mit Anbieter, Teilnehmenden und deren Rolle, Datum, Uhrzeit, Dauer und den Inhalten mit Bezug zu § 38 Abs. 3 BSIG. Ihre Entscheidungen zu Risiken hält die Geschäftsleitung selbst fest; ab Silber gibt es dafür die Vorlage für den Geschäftsleitungsbeschluss, in Gold zusätzlich den Maßnahmen-Selbstcheck mit Auswertung.

Nein. Eine Prüfung ist weder gesetzlich noch vom BSI vorgeschrieben, und unsere Schulung sieht keine vor. Der Wissenstest ist in allen Paketen enthalten und dient nur Ihrer Selbstkontrolle: Die Plattform wertet ihn automatisch aus, ohne individuelle Rückmeldung durch GEFIM, und die Teilnahmebescheinigung hängt nicht vom Ergebnis ab.

§ 38 Abs. 3 BSIG betrifft nur die Geschäftsleitung. Für Beschäftigte verlangt § 30 Abs. 2 Nr. 7 BSIG „grundlegende Schulungen und Sensibilisierungsmaßnahmen“ – eine eigene Pflicht des Unternehmens, deren Umsetzung die Geschäftsleitung überwacht. Die GEFIM-Schulungsplattform ist für die Geschäftsleitung konzipiert.

Bronze kostet 149 €, Silber 199 € und Gold 390 € im Monat – jeweils netto zzgl. MwSt., abgerechnet monatlich im Voraus. Bei der Mindestlaufzeit von 12 Monaten sind das im ersten Vertragsjahr 1.788 €, 2.388 € bzw. 4.680 € netto. Der Preis gilt je Unternehmen für alle Mitglieder der Geschäftsleitung und bis zu 3 weitere Personen, etwa ISB, IT-Leitung oder Prokura; neue Mitglieder der Geschäftsleitung kommen während der Laufzeit ohne Aufpreis dazu. Versteckte Kosten gibt es nicht; alle Leistungen je Paket zeigt der Paketvergleich.

In jedem Paket – Bronze, Silber und Gold – sind alle Mitglieder der Geschäftsleitung (Geschäftsführer und Vorstände, unabhängig von ihrer Zahl) enthalten, dazu bis zu 3 weitere Personen, etwa ISB, IT-Leitung oder Prokura. Kommt während der Laufzeit ein neues Mitglied der Geschäftsleitung hinzu, erhält es ohne Aufpreis einen Zugang. Zugänge sind personengebunden und dürfen nicht geteilt werden, sonst lässt sich der Lernfortschritt nicht mehr der einzelnen Person zuordnen. Für Unternehmensgruppen mit mehreren Gesellschaften erstellen wir ein individuelles Angebot.

Nicht in der Schulung – die ist in allen drei Paketen dieselbe –, sondern im Nachweis der Teilnahme, in den Arbeitsmitteln und in der Beratung zur Umsetzung. Bronze umfasst die komplette Schulung mit Wissenstest zur Selbstkontrolle, Lernfortschritt je Person und Support zu Zugang und Technik per E-Mail, ohne Teilnahmebescheinigung und ohne Vorlagen. Silber enthält zusätzlich Teilnahmebescheinigung je Person, Vorlagen für Geschäftsleitungsbeschluss und Roadmap, Fragenkatalog für IT, ISB und Dienstleister, Umsetzungs-Workshop 2× im Jahr (online, in der Gruppe, zu Vorhaben im eigenen Unternehmen) und Support zu Zugang und Technik per E-Mail und Telefon. Gold enthält zusätzlich das Umsetzungs-Toolkit (Maßnahmen-Selbstcheck mit Auswertung, Vorlagen für Informationssicherheitsleitlinie, Meldeplan und Managementbericht, Anforderungskatalog für Dienstleister, jährliches Update bei Rechtsänderungen), den Umsetzungs-Workshop 4× statt 2× im Jahr und die Umsetzungsberatung mit 2 × 60 Minuten je Vertragsjahr (online), beide zu Vorhaben im eigenen Unternehmen. Die Zahl Ihrer Geschäftsführer spielt für die Paketwahl keine Rolle.

Im Umsetzungs-Workshop stellt GEFIM Umsetzungsthemen vor; eigene Vorhaben können Sie vorab in Textform einreichen, GEFIM wählt aus – es gibt keine offene Fragerunde. Zu jedem Termin, Workshop wie Beratung, können Sie bis zu 3 Personen benennen, auch ohne eigenen Zugang zur Schulung.

Alle Pakete haben eine Mindestlaufzeit von 12 Monaten und verlängern sich automatisch um weitere 12 Monate, wenn Sie nicht kündigen; kündbar sind sie jährlich zum Ende der Laufzeit. Abgerechnet wird monatlich im Voraus – an der Laufzeit ändert das nichts. Sie können mit einer Frist von einem Monat zum Ende der Laufzeit schriftlich oder per E-Mail an backoffice@gefim.de kündigen. Die weiteren Einzelheiten regeln die Nutzungsbedingungen.

Über das Anfrageformular: Wählen Sie Ihr Paket, und wir senden Ihnen ein schriftliches Angebot. Mit Ihrer Auftragsbestätigung kommt der Vertrag zustande. Die Zugänge schalten wir in der Regel innerhalb von höchstens 3 Werktagen nach Eingang Ihrer Bestellung und der E-Mail-Adressen aller Teilnehmenden frei. Einen Online-Shop gibt es bewusst nicht – so klären wir vorab, ob das Paket zu Ihrer Geschäftsleitung passt.

In der kostenlosen Live-Demo zeigt Ihnen einer der beiden Geschäftsführer der GEFIM in rund 30 Minuten per Microsoft Teams die Lernumgebung, eine echte Lektion in beiden Formaten – Video und Audio – sowie Lernfortschritt und Nachweisführung und beantwortet Ihre Fragen zur Plattform und zu den Paketen. Auf Wunsch können wir Ihnen nach der Demo einen kostenlosen Testzugang für 14 Tage einrichten. Er endet automatisch, ohne dass ein Vertrag entsteht, und enthält keine Teilnahmebescheinigung – die gibt es nur in den Paketen Silber und Gold. Demo und Testzugang sind kostenlos und unverbindlich; ein Vertrag entsteht erst mit Ihrer Auftragsbestätigung.

In zwei Formaten: als Video mit Präsentation, in dem Marcel Hofmann selbst spricht, durch die Folien führt und die Punkte für die Geschäftsleitung einordnet, und als reine Audiofassung zum Hören unterwegs. Beide stehen in jeder Lektion bereit: oben das Video, darunter der Audioplayer mit derselben Lektion. Inhalt, Reihenfolge und dokumentierter Fortschritt sind identisch, und beide Formate sind in Bronze, Silber und Gold enthalten.

Das Video zeigt zusätzlich die Folien mit den Handlungspunkten. Die Audiofassung ist dieselbe Lektion zum Hören, vertont mit einer lizenzierten KI-Stimme – gedacht für Termine, zwischen denen sonst keine Lernzeit entsteht, etwa auf der Fahrt zum Kunden.

Wir setzen die Lernplattform „LearningSuite“ der LearningSuite FlexCo, Alte Poststraße 156, 8020 Graz (Österreich) ein. Nach Angaben der Anbieterin liegen die Inhalte auf Servern in Frankfurt am Main. Grundlage ist der Auftragsverarbeitungsvertrag der Anbieterin nach Art. 28 DSGVO (learningsuite.io/legal/avv).

Als Unterauftragsverarbeiter nennt die Anbieterin dort die Google Ireland Limited (Serverinfrastruktur), die BunnyWay d.o.o. (Slowenien), die Cloudflare Germany GmbH (Deutschland), die Functional Software, Inc. (USA) und die OpenAI Ireland Limited (Irland). Über den US-Dienstleister ist eine Übermittlung in die USA nicht ausgeschlossen; die Anbieterin verpflichtet sich vertraglich, Drittlandübermittlungen nur nach Kapitel V der DSGVO vorzunehmen.

Auf nis2-berater.de selbst findet keine Verarbeitung durch die Plattform statt – hier wird nur auf den Login verlinkt. Die Datenschutzinformationen zur Plattform erhalten Sie vor der ersten Freischaltung.

Die Daten der Personen, für die Sie Zugänge einrichten lassen, verarbeiten wir auf der Plattform in Ihrem Auftrag. Den Vertrag zur Auftragsverarbeitung mit unseren technischen und organisatorischen Maßnahmen und der Liste der Unterauftragsverarbeiter finden Sie in Anlage 2 der Nutzungsbedingungen.

Das hängt von Ihrer Einstufung, Ihrem Ausgangspunkt – etwa einem vorhandenen ISMS – und dem Umfang ab. Deshalb nennen wir keine Pauschalpreise. Nach einem kostenlosen Erstgespräch erhalten Sie ein schriftliches Angebot mit Leistungen, Aufwand und Preis.

Nein. GEFIM ist ein Beratungsunternehmen für Informationssicherheit; Rechtsberatung gehört ausdrücklich nicht zu unserem Unternehmensgegenstand. Wir ordnen fachlich ein, planen und setzen um. Rechtsfragen im Einzelfall, etwa zur Haftung, klären Sie mit Ihrem Rechtsbeistand.

nis2-berater.de ist ein Angebot der GEFIM UG (haftungsbeschränkt), eingetragen beim Amtsgericht Braunschweig unter HRB 211852. Geschäftsführer sind Marcel Hofmann und Martin Solarczek; GEFIM ist Mitglied im TeleTrusT – Bundesverband IT-Sicherheit e. V. GEFIM berät mittelständische Unternehmen bundesweit zu Informationssicherheit und NIS2 und betreibt die NIS2-Schulungsplattform für Geschäftsführer.