NIS2UmsuCG · in Kraft seit 6.12.2025

NIS2 betrifft rund 29.500 Unternehmen. Die Fristen sind abgelaufen.

Wer unter das BSIG in der Fassung des NIS2UmsuCG fällt, muss sich beim BSI registrieren und Risikomanagement nach Art. 21 NIS2 nachweisen. Den technischen Teil liefern wir: einen Pentest mit Bericht am Anforderungskatalog entlang.

Bericht mit Mapping auf Art. 21 Abs. 2
Nutzbar für BSI-Nachweis und internes Audit
Kostenloses Erstgespräch

Wo steht ihr? Die Schwellen des § 28 BSIG

Maßgeblich sind Sektor, Mitarbeiterzahl und Finanzkennzahlen. Mitarbeiterzahl ODER Finanzkennzahlen genügen, bei den Finanzkennzahlen müssen Umsatz UND Bilanzsumme überschritten sein.

unter 50 Mitarbeitende

Nicht betroffen

Unter 10 Mio. € Jahresumsatz UND Bilanzsumme
Ausnahme: Vertrauensdiensteanbieter, DNS und weitere Sonderfälle sind auch als Kleinstunternehmen erfasst

ab 50 Mitarbeitenden

Wichtige Einrichtung

Oder mehr als 10 Mio. € Umsatz UND mehr als 10 Mio. € Bilanzsumme
Tätig in einem der 14 Sektoren aus Anlage 1 oder Anlage 2 BSIG
Aufsicht eher reaktiv, nach Anlass

ab 250 Mitarbeitenden

Besonders wichtige Einrichtung

Oder über 50 Mio. € Umsatz UND über 43 Mio. € Bilanzsumme
In einem der 7 Sektoren hoher Kritikalität (Anlage 1), etwa Energie, Gesundheit, Finanzwesen
Aufsicht proaktiv, das BSI kontrolliert von sich aus

Kleinstunternehmen 50 Mitarbeitende 250 Mitarbeitende

Unabhängig von der Größe erfasst sind qualifizierte Vertrauensdiensteanbieter, TLD-Registries und bestimmte TK-Anbieter.

Stand der Umsetzung

6.12.2025NIS2UmsuCG in Kraft, ohne Übergangsfrist

6.3.2026Reguläre Registrierungsfrist beim BSI, abgelaufen

31.7.2026Kulanzzeit des BSI, ebenfalls abgelaufen

rund 60 %Stand 30.6.2026: 17.729 registriert, erwartet werden rund 29.500 Einrichtungen

Was wir liefern und was nicht

Von uns

Pentest im vereinbarten Scope: Physical, Infrastruktur, Active Directory, Web-App, Social Engineering
Bericht mit Art.-21-Mapping, Management-Summary und priorisiertem Maßnahmenplan
Re-Test, nachdem ihr die Findings behoben habt

Nicht von uns

Die Registrierung beim BSI, die nimmt euch niemand ab
Die rechtliche Einstufung eurer Einrichtung, das ist Rechtsberatung
Eine Zertifizierung. Wir prüfen und dokumentieren, ein Siegel stellen wir nicht aus

Meldefristen nach Art. 23 NIS2

Ein erheblicher Sicherheitsvorfall löst beim BSI ein dreistufiges Meldeverfahren aus.

24 Stunden

Frühe Erstmeldung

Kurze Meldung, ob der Vorfall mutmaßlich auf rechtswidrige Handlungen zurückgeht oder grenzüberschreitend wirkt.

72 Stunden

Vorfallmeldung

Bewertung von Schwere und Auswirkungen, dazu erste Kompromittierungsindikatoren.

1 Monat

Abschlussbericht

Beschreibung des Vorfalls, Ursachenanalyse und ergriffene Gegenmaßnahmen.

Der Katalog des Art. 21 Abs. 2 und was ein Pentest davon abdeckt

Art. 21 Abs. 2 NIS2, national § 30 Abs. 2 BSIG, nennt zehn Maßnahmenbereiche. Buchstabe f verlangt ein Verfahren, mit dem ihr die Wirksamkeit eurer Maßnahmen bewertet. Genau das ist ein unabhängiger Test.

aRisikoanalyse und SicherheitskonzeptPhysical, Infra, AD
bVorfallsbewältigungalle Module
cBusiness Continuity und BackupInfrastruktur
dSicherheit der LieferketteSocial Engineering, OSINT
eBeschaffung, Entwicklung und WartungWeb-App
fBewertung der Wirksamkeitalle Module
gCyber-Hygiene und AwarenessSocial Engineering
hKryptografie und VerschlüsselungInfrastruktur, Web-App
iPersonal, Zugriffe und AnlagenmanagementInfrastruktur, AD
jMulti-Faktor-AuthentifizierungAD, Web-App

Wie aus einem Befund ein Nachweis wird

Serverraum ohne Zugangsschutz Art. 21 Abs. 2 lit. a

Active Directory: Kerberoasting, vier Konten übernommen Art. 21 Abs. 2 lit. i

Phishing-Simulation: hohe Klickrate im Testzeitraum Art. 21 Abs. 2 lit. g

VPN mit veraltetem Protokoll (IKEv1) Art. 21 Abs. 2 lit. h

Beispielhafte Befunde. Jedes Finding bekommt seinen Platz im Katalog (a bis j), dazu Schweregrad und Maßnahme.

Was bei Verstößen droht

Besonders wichtige Einrichtungen: bis 10 Mio. € oder 2 % des weltweiten Konzernumsatzes, je nachdem, was höher ist
Wichtige Einrichtungen: bis 7 Mio. € oder 1,4 % des weltweiten Konzernumsatzes
Persönliche Haftung der Geschäftsleitung nach Art. 20 NIS2 und § 38 BSIG, vertraglich nicht ausschließbar

Häufige Fragen

Ist ein Penetrationstest für NIS2 verpflichtend?

NIS2 schreibt keine Testmethode vor, verlangt aber nachweisbare technische Maßnahmen. Der Pentest ist das dafür anerkannte Instrument. Ohne regelmäßige Tests schuldet ihr im Ernstfall den Nachweis, ausreichend gehandelt zu haben.

Wie oft muss getestet werden?

NIS2 nennt kein Prüfintervall. Sinnvoll ist ein vollständiger Test in regelmäßigem Abstand, dazu nach wesentlichen IT-Änderungen wie neuen Systemen, Umstrukturierungen oder Vorfällen.

Bereit für euren NIS2-Nachweis?

Im kostenlosen Erstgespräch klären wir in 30 Minuten den Scope. Danach bekommt ihr ein Festpreisangebot.

Erstgespräch buchen Kontakt aufnehmen

hello@access-granted.de

+49 9281 5918506

Alles zur Leistung: access-granted.de/de/pentest/nis2