Häufige Fragen zu NIS2, Schulung und Beratung

Das hängt von Branche und Größe ab. Betroffen ist ein Unternehmen, das gegen Entgelt in einem Sektor aus Anlage 1 oder 2 des BSI-Gesetzes tätig ist und mindestens 50 Beschäftigte hat – oder mehr als 10 Mio. € Jahresumsatz und zugleich mehr als 10 Mio. € Jahresbilanzsumme. Einige Einrichtungen, etwa Betreiber kritischer Anlagen oder DNS-Diensteanbieter, sind unabhängig von der Größe erfasst. Eine erste Einschätzung gibt Ihnen unser NIS2-Check.

Ab 50 Beschäftigten – wenn Ihr Unternehmen in einem erfassten Sektor tätig ist. Gezählt wird in Vollzeitstellen: Teilzeitkräfte zählen anteilig, Auszubildende nicht. Alternativ genügt ein Jahresumsatz von mehr als 10 Mio. €, aber nur zusammen mit einer Jahresbilanzsumme von mehr als 10 Mio. €. Zahlen verbundener und Partnerunternehmen werden grundsätzlich mitgerechnet, und ein Status ändert sich erst nach zwei aufeinanderfolgenden Geschäftsjahren über oder unter der Schwelle.

Das NIS-2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025. Eine allgemeine Übergangsfrist gibt es nicht: Registrierung, Risikomanagement und Meldepflichten gelten seitdem. Rechtsgrundlage für Unternehmen ist das neu gefasste BSI-Gesetz (BSIG).

Nein. Eine eigene Pflicht entsteht nur, wenn Ihr Unternehmen selbst die Voraussetzungen erfüllt. Betroffene Kunden müssen aber die Sicherheit ihrer Lieferkette berücksichtigen; das BSI empfiehlt ihnen, Zulieferer vertraglich zu Sicherheitsmaßnahmen zu verpflichten und sich die Einhaltung nachweisen zu lassen. Deshalb erreichen NIS2-Anforderungen auch Unternehmen, die nicht selbst reguliert sind.

Ja, betroffene Unternehmen müssen sich spätestens drei Monate nach Eintritt der Betroffenheit beim BSI registrieren. Für Unternehmen, die schon am 6. Dezember 2025 betroffen waren, ist diese Frist abgelaufen; eine gesetzliche Verlängerung gab es nicht. Holen Sie die Registrierung umgehend nach, denn eine verspätete Registrierung ist eine Ordnungswidrigkeit. Registrieren muss sich Ihr Unternehmen selbst – über „Mein Unternehmenskonto“ mit ELSTER-Organisationszertifikat und das BSI-Portal. Wir bereiten das mit Ihnen vor.

Einen erheblichen Sicherheitsvorfall melden Sie dem BSI in Stufen: frühe Erstmeldung unverzüglich, spätestens 24 Stunden nach Kenntnis; Meldung spätestens nach 72 Stunden; Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung. Dauert der Vorfall noch an, gibt es stattdessen eine Fortschrittsmeldung. Sind personenbezogene Daten betroffen, kann zusätzlich eine Meldung an die Datenschutzaufsicht nötig sein.

Nicht automatisch. Laut BSI ist eine ISO-27001-Zertifizierung ein gutes Fundament, aber kein Nachweis der NIS2-Konformität; Registrierung, Meldepflichten und die Pflichten der Geschäftsleitung nach § 38 BSIG kommen hinzu. Für ein TISAX®-Label gilt das Gleiche. Ein „NIS2-Zertifikat“ gibt es nicht.

Für Verstöße etwa gegen die Risikomanagement-, Dokumentations- oder Meldepflichten sieht § 65 BSIG Bußgelder bis 10 Mio. € für besonders wichtige und bis 7 Mio. € für wichtige Einrichtungen vor. Bei mehr als 500 Mio. € weltweitem Gesamtumsatz sind bis zu 2 % bzw. 1,4 % dieses Umsatzes möglich. Eine fehlende oder verspätete Registrierung kann bis zu 500.000 € kosten. Die Bußgeldrahmen knüpfen an die Einrichtung an.

Ja, wenn Ihr Unternehmen eine wichtige oder besonders wichtige Einrichtung ist. Nach § 38 Abs. 3 BSIG müssen die Geschäftsleitungen regelmäßig an Schulungen teilnehmen – und zwar jedes Mitglied der Geschäftsleitung. Die Schulung Ihrer IT-Leitung ersetzt Ihre eigene nicht. Ist Ihr Unternehmen nicht betroffen, ist die Schulung freiwillige Vorsorge.

Aufgaben ja, Verantwortung nein. Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Nach der Gesetzesbegründung bleibt sie letztverantwortlich, auch wenn sie Hilfspersonen einschaltet – und auch bei vollständig ausgelagerter IT.

Das ist unter bestimmten Voraussetzungen möglich. Wer als Geschäftsleitung einer betroffenen Einrichtung die Pflichten aus § 38 Abs. 1 BSIG schuldhaft verletzt, haftet der eigenen Gesellschaft für den entstandenen Schaden nach Gesellschaftsrecht – bei der GmbH nach § 43 GmbHG, bei der AG nach § 93 AktG. Diese Organhaftung ist persönlich; sie besteht gegenüber der eigenen Gesellschaft, nicht unmittelbar gegenüber Kunden oder Behörden. Neu ist nicht die Organhaftung, sondern dass die Cybersicherheitspflichten der Geschäftsleitung ausdrücklich im Gesetz stehen. Im Einzelfall beraten Sie Ihr Rechtsanwalt und Ihr Versicherer.

Nein, das kann keine Schulung. Die Haftung nach § 38 Abs. 2 BSIG knüpft an die Pflicht an, Maßnahmen umzusetzen und ihre Umsetzung zu überwachen. Eine gute Schulung befähigt Sie, diese Pflicht informiert wahrzunehmen, Entscheidungen auf angemessener Informationsgrundlage zu treffen und das zu dokumentieren. Das ist ein wichtiger Baustein, aber keine Freistellung.

Geschäftsleitung im Sinne des BSI-Gesetzes sind die Personen, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung berufen sind, also etwa GmbH-Geschäftsführer und Vorstände. Prokuristen und Aufsichtsräte fallen nach dem Wortlaut eher nicht darunter; das ist eine Auslegung. Das BSI empfiehlt aber, Personen einzubeziehen, die der Geschäftsleitung zuarbeiten – dafür bieten Silber (bis 5) und Gold (bis 10) Plätze.

Das Gesetz sagt nur „regelmäßig“. Nach der Gesetzesbegründung sind Schulungen mindestens alle drei Jahre gemeint. Das BSI hält dieses Minimum in den seltensten Fällen für ausreichend und empfiehlt eine ausführliche Erstschulung mit regelmäßigen Folgeschulungen, etwa bei einem Wechsel in der Geschäftsleitung. Silber enthält deshalb die jährliche Aktualisierung der Inhalte, Gold einen jährlichen Auffrischungskurs.

Eine gesetzliche Mindestdauer gibt es nicht. Die oft genannten vier Stunden sind eine Annahme aus der Kostenschätzung des Gesetzentwurfs, keine Vorgabe; das BSI hält vier Stunden in den meisten Fällen nicht für ausreichend und erlaubt, Inhalte auf mehrere Einheiten zu verteilen. Die GEFIM-Schulungsplattform arbeitet mit Lerneinheiten von höchstens 10 Minuten; die Gesamtlernzeit zeigen wir Ihnen in der Demo.

Ja. Das Format ist frei, und das BSI hält interaktive und zeitlich dezentrale Formate ausdrücklich für gut geeignet. Wichtig ist, dass die Inhalte auf Ihr Unternehmen übertragen werden. Dafür gibt es den Fragenkatalog für IT, ISB und Dienstleister (Silber), die Experten-Session (Gold) und unsere Beratung.

Nein – und das kann keine Geschäftsleitungsschulung sein. Das BSI zertifiziert oder anerkennt solche Schulungen nicht und empfiehlt keine einzelnen Anbieter. Es hat eine rechtlich unverbindliche Handreichung veröffentlicht (Version 1.0 vom 17.04.2026), an der sich unsere Inhalte orientieren.

Sie belegt Ihre Teilnahme. Das BSI empfiehlt, die Teilnahme intern zu dokumentieren und auf Verlangen vorzulegen – mit Anbieter, Teilnehmenden und deren Rolle, Datum, Uhrzeit, Dauer und den Inhalten mit Bezug zu § 38 Abs. 3 BSIG. Den Lernerfolg sieht das BSI darin, dass die Geschäftsleitung nachvollziehbar an Risikoentscheidungen mitwirkt; dabei helfen in Gold die Vorlage für den Geschäftsleitungsbeschluss und der Maßnahmencheck.

Nein. Eine Prüfung ist weder gesetzlich noch vom BSI vorgeschrieben. Der Wissenstest (Bronze) und das Abschlussquiz (Silber, Gold) dienen Ihrer Selbstkontrolle.

§ 38 Abs. 3 BSIG betrifft nur die Geschäftsleitung. Für Beschäftigte verlangt § 30 Abs. 2 Nr. 7 BSIG „grundlegende Schulungen und Sensibilisierungsmaßnahmen“ – eine eigene Pflicht des Unternehmens, deren Umsetzung die Geschäftsleitung überwacht. Die GEFIM-Schulungsplattform ist für die Geschäftsleitung konzipiert.

Bronze kostet 16 € im Monat (192 € pro Jahr), Silber 245 € im Monat (2.940 € pro Jahr) und Gold 390 € im Monat (4.680 € pro Jahr) – jeweils netto zzgl. MwSt., jährlich abgerechnet. Bronze ist für einen Einzel-Geschäftsführer gedacht, Silber für 2 bis 5 und Gold für bis zu 10 Teilnehmende. Versteckte Kosten gibt es nicht; alle Leistungen je Paket sehen Sie im Vergleich auf der Preisseite.

Bronze ist für Unternehmen mit genau einem Geschäftsführer gedacht und umfasst einen persönlichen Zugang je Unternehmen. Sollen zwei oder mehr Personen geschult werden, brauchen Sie Teilnehmerverwaltung sowie eine Fortschritts- und Nachweisübersicht für alle – das bietet Silber. Zugänge sind personengebunden und dürfen nicht geteilt werden, sonst stimmt der Nachweis je Person nicht mehr.

Silber. Es ist ab 2 Personen gedacht und umfasst bis zu 5 Teilnehmende. Die freien Plätze können Sie für Personen nutzen, die der Geschäftsleitung zuarbeiten, etwa Prokura, IT-Leitung oder Informationssicherheitsbeauftragte – das empfiehlt auch das BSI. Möchten Sie zusätzlich eine individuelle Einordnung, eine Vorlage für den Geschäftsleitungsbeschluss und eine Mini-Roadmap, ist Gold die richtige Wahl.

Alle Pakete laufen 12 Monate und verlängern sich automatisch um weitere 12 Monate, wenn Sie nicht kündigen. Abgerechnet wird jährlich. Die Kündigungsfrist ergibt sich aus den Vertragsbedingungen, die Sie mit Ihrem Angebot erhalten.

Über das Anfrageformular: Wählen Sie Ihr Paket, und wir senden Ihnen ein schriftliches Angebot. Mit Ihrer Auftragsbestätigung kommt der Vertrag zustande; danach erhalten Sie Rechnung und Zugänge. Einen Online-Shop gibt es bewusst nicht – so klären wir vorab, ob das Paket zu Ihrer Geschäftsleitung passt.

In der kostenlosen Live-Demo zeigt Ihnen ein GEFIM-Berater in rund 30 Minuten per Microsoft Teams die Lernumgebung, eine echte Lektion sowie die Fortschritts- und Nachweisübersicht und beantwortet Ihre Fragen. Zusätzlich erhalten Sie einen kostenlosen Testzugang, um selbst hineinzuschauen. Demo und Testzugang sind unverbindlich; ein Vertrag entsteht erst mit Ihrer Auftragsbestätigung.

Anbieter, Hosting-Standort und den Vertrag zur Auftragsverarbeitung nennen wir Ihnen in der Demo und stellen sie mit dem Angebot bereit.

Das hängt von Ihrer Einstufung, Ihrem Ausgangspunkt – etwa einem vorhandenen ISMS – und dem Umfang ab. Deshalb nennen wir keine Pauschalpreise. Nach einem kostenlosen Erstgespräch erhalten Sie ein schriftliches Angebot mit Leistungen, Aufwand und Preis.

Nein. GEFIM ist ein Beratungsunternehmen für Informationssicherheit; Rechtsberatung gehört ausdrücklich nicht zu unserem Unternehmensgegenstand. Wir ordnen fachlich ein, planen und setzen um. Rechtsfragen im Einzelfall, etwa zur Haftung, klären Sie mit Ihrem Rechtsbeistand.

nis2-berater.de ist ein Angebot der GEFIM UG (haftungsbeschränkt), eingetragen beim Amtsgericht Braunschweig unter HRB 211852. Geschäftsführer sind Marcel Hofmann und Martin Solarczek; GEFIM ist Mitglied im TeleTrusT – Bundesverband IT-Sicherheit e. V. GEFIM berät mittelständische Unternehmen bundesweit zu Informationssicherheit und NIS2 und betreibt die NIS2-Schulungsplattform für Geschäftsführer.