NIS2-Compliance

NIS2-Richtlinie umsetzen mit Asset-Transparenz statt Excel-Listen

Die NIS2-Richtlinie verpflichtet deutlich mehr Unternehmen als bisher zu wirksamem Cyber-Risikomanagement, schnellen Meldungen und persönlicher Verantwortung der Geschäftsleitung. Grundlage für all das ist ein vollständiges Bild Ihrer Systeme, Services und Abhängigkeiten. DataGerry liefert genau diese Datenbasis und verknüpft sie mit Risikobewertung, Maßnahmen und Nachweisen.

Demo anfordern

Kostenlos testen



Was ist NIS2?

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Stärkung der Cybersicherheit in der Europäischen Union. In Deutschland wird sie durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) reguliert, das vor allem das BSI-Gesetz (BSIG) neu fasst. Im Vergleich zur bisherigen KRITIS-Regulierung steigt die Zahl betroffener Unternehmen in Deutschland auf schätzungsweise rund 30.000.

Ist Ihr Unternehmen von NIS2 betroffen?

Betroffen sind Unternehmen aus 18 Sektoren von Energie, Transport und Gesundheit über digitale Infrastruktur und IT-Dienstleistungen bis zu Produktion, Lebensmitteln und Abfallwirtschaft, sofern sie bestimmte Größenschwellen erreichen:

Kategorie	Beschäftigte	Jahresumsatz und Bilanzsumme
Besonders wichtige Einrichtung	ab 250	oder mehr als 50 Mio. € Umsatz und mehr als 43 Mio. € Bilanzsumme
Wichtige Einrichtung	ab 50	oder mehr als 10 Mio. € Umsatz und Bilanzsumme

Für einige Einrichtungen, etwa bestimmte Anbieter digitaler Infrastruktur, gilt NIS2 unabhängig von der Größe. Betroffene Unternehmen müssen sich selbst beim BSI registrieren.

Betroffen sind Unternehmen aus 18 Sektoren von Energie, Transport und Gesundheit über digitale Infrastruktur und IT-Dienstleistungen bis zu Produktion, Lebensmitteln und Abfallwirtschaft, sofern sie bestimmte Größenschwellen erreichen:

Für einige Einrichtungen, etwa bestimmte Anbieter digitaler Infrastruktur, gilt NIS2 unabhängig von der Größe. Betroffene Unternehmen müssen sich selbst beim BSI registrieren.

Infos zur Registrierung

Wie unterstützt DataGerry bei der Umsetzung der NIS2-Anforderungen?

Artikel 21 der Richtlinie (in Deutschland § 30 BSIG) verlangt geeignete, verhältnismäßige Risikomanagementmaßnahmen. Viele davon setzen voraus, dass Sie wissen, welche Assets und Services Sie betreiben und wie sie zusammenhängen.

NIS2-Anforderung	So unterstützt DataGerry
Risikoanalyse und Sicherheitskonzepte	Risiken direkt an Assets und Services bewerten, Risikomatrix, klare Risk Owner
Bewältigung von Sicherheitsvorfällen	Abhängigkeitsvisualisierung zeigt sofort betroffene Services; Möglichkeit zur Anbindung an SIEM/SOC und Ticketing
Business Continuity, Backup, Krisenmanagement	Identifikation kritischer Services als Grundlage für BIA, Notfall- und Wiederherstellungspläne
Sicherheit der Lieferkette	Dienstleister und Lieferanten als Objekte erfassen und mit den Services verknüpfen, die von ihnen abhängen
Sicherheit bei Erwerb, Entwicklung und Wartung inkl. Schwachstellenmanagement	Integration von Schwachstellenscannern; betroffene Assets und Services werden direkt zugeordnet
Bewertung der Wirksamkeit der Maßnahmen	Maßnahmenstatus, Berichte und Audit Trail als Nachweis
Zugriffskontrolle und Asset-Management	Vollständiges Asset-Inventar mit Eigentümern; Anbindung an IAM/NAC

Artikel 21 der Richtlinie (in Deutschland § 30 BSIG) verlangt geeignete, verhältnismäßige Risikomanagementmaßnahmen. Viele davon setzen voraus, dass Sie wissen, welche Assets und Services Sie betreiben und wie sie zusammenhängen.

NIS2-Anforderung:
Risikoanalyse und Sicherheitskonzepte

So unterstützt DataGerry
Risiken direkt an Assets und Services bewerten, Risikomatrix, klare Risk Owner

NIS2-Anforderung
Bewältigung von Sicherheitsvorfällen

So unterstützt DataGerry
Abhängigkeitsvisualisierung zeigt sofort betroffene Services; Möglichkeit zur Anbindung an SIEM/SOC und Ticketing

NIS2-Anforderung
Business Continuity, Backup, Krisenmanagement

So unterstützt DataGerry
Identifikation kritischer Services als Grundlage für BIA, Notfall- und Wiederherstellungspläne

NIS2-Anforderung
Sicherheit der Lieferkette

So unterstützt DataGerry
Dienstleister und Lieferanten als Objekte erfassen und mit den Services verknüpfen, die von ihnen abhängen

NIS2-Anforderung
Sicherheit bei Erwerb, Entwicklung und Wartung inkl. Schwachstellenmanagement

So unterstützt DataGerry
Integration von Schwachstellenscannern; betroffene Assets und Services werden direkt zugeordnet

NIS2-Anforderung
Bewertung der Wirksamkeit der Maßnahmen

So unterstützt DataGerry
Maßnahmenstatus, Berichte und Audit Trail als Nachweis

NIS2-Anforderung
Zugriffskontrolle und Asset-Management

So unterstützt DataGerry
Vollständiges Asset-Inventar mit Eigentümern; Anbindung an IAM/NAC

Welche Meldepflichten gelten für NIS2?

Erhebliche Sicherheitsvorfälle müssen in mehreren Stufen gemeldet werden:

Frühwarnung innerhalb von 24 Stunden nach Kenntnis
Meldung mit erster Bewertung innerhalb von 72 Stunden
Abschlussbericht spätestens einen Monat nach der Meldung

Wer erst im Ernstfall recherchieren muss, welche Systeme an einer ausgefallenen Komponente hängen, verliert wertvolle Stunden. In DataGerry sind Abhängigkeiten bereits dokumentiert. Sie sehen sofort, welche Services und Kunden betroffen sind.

Wer haftet und welche Bußgelder drohen bei NIS2-Verstößen?

NIS2 nimmt die Geschäftsleitung direkt in die Pflicht: Sie muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Bei Verstößen drohen Bußgelder von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (besonders wichtige Einrichtungen) bzw. bis zu 7 Mio. € oder 1,4 % (wichtige Einrichtungen).

In 5 Schritten zur NIS2-Umsetzung mit DataGerry

1. Betroffenheit prüfen und beim BSI registrieren

Klären Sie zuerst, ob Ihr Unternehmen unter NIS2 fällt. Entscheidend sind Sektor, Beschäftigtenzahl, Umsatz und Bilanzsumme. Sind Sie betroffen, müssen Sie sich selbst beim BSI registrieren. Dokumentieren Sie die Prüfung auch dann, wenn Sie nicht betroffen sind. So können Sie Ihre Einschätzung später belegen.

Infos zur Registrierung

2. Assets und Services erfassen

Ohne vollständiges Inventar gibt es kein wirksames Risikomanagement. Bauen Sie in DataGerry eine CMDB mit allen relevanten Systemen, Anwendungen, Services und Dienstleistern auf oder importieren Sie bestehende Daten. Ordnen Sie jedem Objekt einen Eigentümer zu und bilden Sie Abhängigkeiten ab, etwa welche Services auf welchem Server oder bei welchem Cloud-Anbieter laufen.

3. Risiken bewerten

Bewerten Sie Wahrscheinlichkeit und Auswirkung direkt am betroffenen Asset oder Service. DataGerry berechnet das Risiko automatisch und stellt es in einer Risikomatrix dar. Für jedes Risiko legen Sie einen Risk Owner fest, der für die Behandlung verantwortlich ist. Berücksichtigen Sie dabei auch Risiken aus Ihrer Lieferkette.

Betroffenheit prüfen

Assets und Services erfassen

Risiken bewerten

Maßnahmen umsetzen und nachweisen

Meldefähigkeit herstellen

4. Maßnahmen umsetzen und nachweisen

Leiten Sie aus den Risiken konkrete Maßnahmen ab und orientieren Sie sich an den Mindestanforderungen aus Art. 21 NIS2 bzw. § 30 BSIG. Ordnen Sie die Maßnahmen Risiken und Assets zu und verfolgen Sie ihren Umsetzungsstatus. Der Audit Trail dokumentiert jede Änderung. So haben Sie belastbare Nachweise für Behörden, Prüfer und Geschäftsleitung.

5. Meldefähigkeit herstellen

Im Ernstfall zählt jede Stunde. Visualisieren Sie Abhängigkeiten, damit Sie bei einem Vorfall sofort erkennen, welche Services und Kunden betroffen sind. Binden Sie SIEM, Ticketing und Schwachstellenscanner über OpenCelium an und legen Sie fest, wer intern entscheidet und meldet. So wird die 24-Stunden-Frist für die Frühwarnung realistisch einhaltbar.

FAQ – NIS2 mit DataGerry

Was ist NIS2?

NIS2 ist die EU-Richtlinie zur Netz- und Informationssicherheit, die einen verbindlichen und einheitlichen Standard für Cybersicherheit in der Europäischen Union festlegt. Sie löst die alte NIS-Richtlinie ab und gilt in Deutschland durch das NIS2-Umsetzungsgesetz (NIS2UmsuCG), das Ende 2025 in Kraft getreten ist.

Was passiert, wenn ich NIS2 nicht umsetze?

Es drohen Bußgelder von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes. Zudem kann die Geschäftsleitung persönlich haften.

Welche Rolle spielt eine CMDB bei NIS2?

NIS2 verlangt Asset-Management, Risikoanalyse, Lieferkettensicherheit und schnelle Meldungen. All das setzt ein aktuelles Inventar von Systemen, Services und Abhängigkeiten voraus. Genau das liefert eine CMDB.

Wie dokumentiere ich Lieferantenrisiken nach NIS2?

NIS2 fordert die Sicherheit der Lieferkette ausdrücklich als Teil des Risikomanagements (Art. 21 Abs. 2 lit. d NIS2). In DataGerry erfassen Sie Lieferanten als eigene Objekte und verknüpfen sie mit den Services und Assets, für die sie relevant sind. Daran hängen Sie die zugehörigen Risiken, Controls und Nachweise.

Wie erfülle ich die Anforderungen an das Asset Management nach NIS2?

DataGerry unterstützt Sie dabei, Ihre Assets und Configuration Items (CIs) strukturiert zu erfassen und für das ISMS gezielt zu gruppieren. NIS2 nennt Asset Management und Konzepte für die Zugriffskontrolle ausdrücklich als Mindestbestandteil der Risikomanagementmaßnahmen (Art. 21 Abs. 2 lit. i NIS2). Über Objektgruppen (ObjectGroups) bündeln Sie Assets nach ihrer Bedeutung, etwa „kritische Systeme“ oder besonders schützenswerte Kernwerte („Crown Jewels“), und behalten so die wichtigsten Assets im Blick.

Brauche ich eine Erklärung zur Anwendbarkeit (SoA) für NIS2?

NIS2 verlangt von betroffenen Unternehmen, geeignete und angemessene Maßnahmen zum Risikomanagement umzusetzen und deren Wirksamkeit regelmäßig zu überprüfen. Die NIS2-Richtlinie schreibt ein Statement of Applicability (SoA) nicht ausdrücklich vor. Eine SoA ist aber eines der wirksamsten Mittel, um die geforderten Sicherheitsmaßnahmen nachvollziehbar zu dokumentieren und gegenüber Behörden oder Auditoren nachzuweisen.

Brauche ich für NIS2 eine ISO-27001-Zertifizierung?

Nein, eine Zertifizierung ist nicht vorgeschrieben. Ein ISMS nach ISO 27001 ist aber eine bewährte Grundlage, um die NIS2-Anforderungen nachweisbar umzusetzen.

Wie bildet DataGerry die Verantwortung der Geschäftsleitung nach NIS2 ab?

DataGerry ermöglicht es, Verantwortlichkeiten im ISMS klar zuzuordnen und damit die Governance-Anforderungen der NIS2 nachvollziehbar zu dokumentieren. NIS2 verpflichtet die Geschäftsleitung eines Unternehmens, die Risikomanagementmaßnahmen zu billigen, ihre Umsetzung zu überwachen und regelmäßig an Schulungen teilzunehmen (Art. 20 NIS2). In DataGerry modellieren Sie die beteiligten Rollen über Personen und Personengruppen (Persons/PersonGroups), zum Beispiel Geschäftsleitung, ISMS-Verantwortliche, Risk Owner oder Audit Owner. So ist jederzeit klar, wer für welches Risiko und welche Maßnahme zuständig ist.

Wie finde ich heraus, ob mein Unternehmen von NIS2 betroffen ist?

Entscheidend sind Sektor, Beschäftigtenzahl, Umsatz und Bilanzsumme. Das BSI bietet dafür eine Betroffenheitsprüfung auf seiner Website an. https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/BSI-Portal/NIS-2-Betroffenheitspruefung/nis-2-betroffenheitspruefung_node.html

Wie verwalte ich Richtlinien und Audit-Nachweise in DataGerry?

Mit dem File Explorer in DataGerry legen Sie alle ISMS-Dokumente zentral ab, darunter Richtlinien, Verfahrensbeschreibungen, Protokolle und Audit-Nachweise. Die Dokumente sind schnell abgelegt und ebenso schnell wiedergefunden. Das spart vor allem bei Audits und behördlichen Prüfungen Zeit, weil Sie die geforderten Nachweise nicht erst aus verschiedenen Ablagen zusammensuchen müssen.

Sind Sie bereit, die Kontrolle über Ihre Daten zu übernehmen?

Starten Sie noch heute Ihre 14-tägige kostenlose Testversion von DataGerry.

Probieren Sie DataGerry aus, die Open-Source-CMDB, die Struktur und Flexibilität in Ihre IT-Dokumentation bringt. Entdecken Sie leistungsstarke Funktionen, automatisieren Sie Ihre Arbeitsabläufe und verschaffen Sie sich einen vollständigen Überblick über Ihre Assets – ganz ohne Verpflichtungen.

Kostenlos testen

Mehr erfahren

Kommen Sie auf uns zu

Kontaktieren Sie das DataGerry-Team

Haben Sie Fragen oder stehen Sie vor einer besonderen Herausforderung?
Unser engagiertes DataGerry-Team berät Sie gerne.



Büroanschrift
Hauptstraße 8b, 82008 Unterhaching, Deutschland



E-Mail
info@datagerry.com



Telefon
+49 89 608668 0

Folgen Sie uns auf