§ 28 BSIG unterscheidet zwei Pflichtenstufen. Maßgeblich sind Sektor, Mitarbeiterzahl und Finanzkennzahlen: Die Schwellenwerte gelten alternativ (Mitarbeiter ODER Umsatz), bei den Finanzkennzahlen müssen Umsatz UND Bilanzsumme gemeinsam überschritten werden.
Die EU-Richtlinie selbst spricht von „wesentlichen“ und „wichtigen“ Einrichtungen. Das deutsche BSIG übersetzt dies als „besonders wichtige“ und „wichtige Einrichtungen“. Gemeint ist dasselbe Konzept, nur die Bezeichnung unterscheidet sich. Unsicher, wo ihr steht? Wir klären das im kostenlosen Erstgespräch.
Unser kostenloser NIS2-Betroffenheits-Check führt euch durch die Prüfreihenfolge des § 28 BSIG - inklusive der vollständigen Sektorlisten der Anlagen 1 und 2 und der KRITIS-Schwellenwerte. Ergebnis ist eine unverbindliche Ersteinschätzung mit Begründung, keine Rechtsberatung und keine verbindliche Einstufung.
NIS2 erfasst 18 Sektoren der Richtlinie. Das deutsche BSIG bündelt sie in 14: sieben in Anlage 1 (Sektoren hoher Kritikalität) und sieben in Anlage 2. Ob ihr betroffen seid, entscheidet die Kombination aus Sektor, Einrichtungsart und Größe.
Art. 21 Abs. 2 NIS2 (national umgesetzt in § 30 Abs. 2 BSIG) definiert zehn Maßnahmenbereiche (a-j), die alle betroffenen Einrichtungen umsetzen müssen. Ein Penetrationstest liefert für die meisten davon den messbaren, technischen Nachweis.
NIS2 fordert eine systematische Identifikation und Bewertung von Risiken für die Netz- und Informationssysteme. Unser Pentest liefert ein realistisches, aktuelles Risikobild auf Basis tatsächlicher Angriffsvektoren statt reiner Papierform.
Erhebliche Sicherheitsvorfälle müssen dem BSI gestuft gemeldet werden: eine Frühwarnung innerhalb von 24 Stunden, eine Erstmeldung mit Bewertung innerhalb von 72 Stunden und, auf Anfrage, ein Abschlussbericht spätestens einen Monat später (Art. 23 NIS2). Der Pentest deckt die Eintrittspunkte auf, bevor daraus ein echter meldepflichtiger Vorfall wird.
Wir testen, ob kritische Systeme und Backups gegen reale Angriffe geschützt sind, inklusive Ransomware-Szenarien, Wiederherstellungsfähigkeit und Netzwerksegmentierung als Grundlage für Krisenmanagement und Disaster Recovery.
NIS2 fordert nach Art. 21 Abs. 2 lit. d) i. V. m. Abs. 3 eine Risikobewertung der direkten Zulieferer und Dienstleister. Social Engineering und OSINT zeigen konkret, wie Angreifer über Dritte, Fernwartungszugänge oder kompromittierte Zulieferer in euer Unternehmen eindringen können.
Neue Systeme und Software müssen inklusive Schwachstellenmanagement (Vulnerability Handling & Disclosure) sicher beschafft, entwickelt und gewartet werden. Unser Web-App-Pentest prüft genau diese Systeme vor und nach Go-Live auf ausnutzbare Schwachstellen.
NIS2 verlangt Verfahren, um die Wirksamkeit der eigenen Risikomanagementmaßnahmen regelmäßig zu bewerten. Ein unabhängiger Penetrationstest ist genau das: der objektive, technische Wirksamkeitsnachweis, keine Selbstauskunft, sondern ein realer Angriffsversuch.
Grundlegende Hygienemaßnahmen und regelmäßige Schulungen der Mitarbeitenden sind Pflicht. Unsere Phishing- und Vishing-Simulationen liefern den empirischen Nachweis, wie wirksam eure Awareness-Maßnahmen tatsächlich sind, mit klaren Kennzahlen statt Bauchgefühl.
Schulungen für Belegschaft und Geschäftsleitung →
Konzepte zum Einsatz von Kryptografie und Verschlüsselung für Daten im Ruhezustand und bei der Übertragung sind vorgeschrieben. Wir prüfen TLS-Konfigurationen, veraltete Protokolle (z. B. IKEv1 bei VPNs) und unverschlüsselte Backups auf reale Angriffsfläche.
Segmentierung, Berechtigungskonzepte, privilegierte Zugänge und ein sauberes Asset-Inventar: Wir prüfen, ob euer Active Directory und Netzwerk eine echte Angriffsbarriere darstellen oder nur auf dem Papier sicher sind.
Für Zugänge zu Netz- und Informationssystemen ist MFA oder eine kontinuierliche Authentifizierung vorgeschrieben (§ 30 Abs. 2 Nr. 10 BSIG i. V. m. CIR 2024/2690), ebenso abgesicherte Sprach-, Video- und Textkommunikation. Wir testen systematisch, wo Single-Faktor-Zugänge und schwache Authentifizierung noch exponiert sind.
Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) wurde am 13.11.2025 vom Bundestag beschlossen, am 21.11.2025 vom Bundesrat gebilligt und ist nach Verkündung im Bundesgesetzblatt am 6.12.2025 ohne weitere Übergangsfrist in Kraft getreten. Die reguläre Registrierungsfrist beim BSI (6. März 2026) sowie die vom BSI eingeräumte Nachfrist (31. Juli 2026) sind inzwischen abgelaufen. Wer sich noch nicht registriert hat, sollte das umgehend nachholen, um aufsichtsrechtliche Konsequenzen zu vermeiden.
Ein erheblicher Sicherheitsvorfall löst ein dreistufiges Meldeverfahren beim BSI aus. Diese Fristen laufen unabhängig davon, ob ihr längst pentestet habt oder nicht. Wer die Angriffsflächen kennt, kommt aber deutlich schneller durch alle drei Stufen.
Kurze Meldung, ob der Vorfall mutmaßlich auf rechtswidrige Handlungen zurückgeht oder grenzüberschreitend wirken könnte.
Bewertung von Schwere und Auswirkungen des Vorfalls sowie, soweit verfügbar, erste Kompromittierungsindikatoren.
Detaillierte Beschreibung des Vorfalls, Ursachenanalyse, ergriffene Gegenmaßnahmen und grenzüberschreitende Auswirkungen.
Besonders wichtige Einrichtungen: Bußgelder bis 10 Mio. € oder 2 % des weltweiten Konzernjahresumsatzes, es gilt jeweils der höhere Betrag
Wichtige Einrichtungen: Bußgelder bis 7 Mio. € oder 1,4 % des weltweiten Konzernjahresumsatzes
Geringere Verstöße, etwa gegen Mitwirkungs- und Duldungspflichten, werden gestuft mit Bußgeldern ab 100.000 € geahndet (§ 65 BSIG)
Von der Scoping-Absprache bis zum NIS2-konformen Abschlussbericht: strukturiert, dokumentiert und auf Nachweisbarkeit ausgelegt.
Wir definieren gemeinsam den Testumfang und ordnen ihn den relevanten NIS2-Anforderungsartikeln zu. So ist von Anfang an klar, welche Compliance-Nachweise der Bericht liefern soll.
Informationssammlung über öffentlich zugängliche Quellen (OSINT), Netzwerk-Scans und Angriffsplanung nach dem Stand der Technik.
Manuelle Exploitation nach vereinbartem Scope: Physical, Digital oder beides. Kritische Findings kommunizieren wir sofort, damit ihr handeln könnt.
Jedes Finding wird nach Schweregrad, Ausnutzbarkeit und Business Impact bewertet, mit direktem Bezug auf den NIS2-Anforderungskatalog.
Vollständige Dokumentation aller Findings mit Handlungsempfehlungen, Management-Summary und NIS2-Compliance-Mapping. Nutzbar für BSI-Audits und interne Nachweise.
NIS2 verlangt keine spezifische Testmethode, aber folgende Module decken die relevantesten Anforderungen ab und liefern die stärksten Nachweise.
Simulierter Einbruchsversuch in eure Unternehmensräumlichkeiten. Deckt Art. 21(2)(a) Risikoanalyse und physische Sicherheitsmaßnahmen ab, oft der unterschätzte Angriffsvektor.
Mehr erfahrenNetzwerksegmentierung, Firewall-Regeln, privilegierte Zugänge, AD-Härtung. Direkt relevant für Art. 21(2)(i) Zugriffskontrolle & Anlagenmanagement sowie (j) Multi-Faktor-Authentifizierung.
Mehr erfahrenPhishing, Vishing, Pretexting. Zeigt, wie anfällig eure Organisation für den menschlichen Faktor ist: NIS2 Art. 21(2)(g) Cyber-Hygiene & Awareness sowie (d) Sicherheit der Lieferkette.
Mehr erfahren