NIS2 Software.
Pflichten aus dem BSI-Gesetz im Mittelstand abbilden.

Was ist NIS2 Software?

NIS2 Software ist eine Anwendung, die die Pflichten aus der NIS2 Umsetzung im BSI-Gesetz abbildet. Typische Module sind Risikoregister, Maßnahmenverfolgung, Lieferantenmanagement, Vorfallsmanagement mit Meldefristen, Schulungsnachweise und Audit-Nachweise. Sie ersetzt weder Rechtsberatung noch technische Schutzmaßnahmen wie Firewall oder Backup, sondern dokumentiert und steuert sie. Hersteller ordnen ihre Produkte unterschiedlich ein, etwa als ISMS, als GRC Plattform oder als Compliance Automation. Welche Pflichten ein Produkt abdeckt, prüfen Sie in der Demo anhand Ihrer Fälle.

Ist mein Unternehmen von NIS2 betroffen?

Betroffen sind Einrichtungen, die einer Art aus Anlage 1 oder Anlage 2 BSIG zuzuordnen sind und eine Größenschwelle erreichen. Wichtige Einrichtungen haben mindestens 50 Mitarbeitende oder über 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme. Besonders wichtige Einrichtungen haben mindestens 250 Mitarbeitende oder über 50 Mio. Euro Umsatz und über 43 Mio. Euro Bilanzsumme. Maßgeblich ist § 28 BSIG. Das BSI bietet eine Online Betroffenheitsprüfung an. Im Zweifel klärt eine Rechtsberatung die Einstufung.

Welche Fristen gelten bei einem Sicherheitsvorfall?

Die Meldekette hat drei feste Stufen. Spätestens 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls folgt die Frühwarnung, spätestens 72 Stunden nach Kenntnis die Meldung mit erster Bewertung. Die Abschlussmeldung ist spätestens einen Monat nach der 72-Stunden-Meldung fällig. Dauert der Vorfall an, genügt zunächst eine Fortschrittsmeldung. Das BSI kann außerdem Zwischenmeldungen verlangen. Grundlage ist § 32 Abs. 1 und 2 BSIG. Eine Software lässt die Fristen ab dem Zeitpunkt der Kenntnis sichtbar mitlaufen.

Muss ich mich beim BSI registrieren, und bis wann?

Ja. Besonders wichtige und wichtige Einrichtungen müssen sich nach § 33 BSIG beim BSI registrieren, spätestens drei Monate nachdem sie die Eigenschaft erlangen. Der Zugang läuft in zwei Schritten: erst ein ELSTER-Organisationszertifikat über Mein Unternehmenskonto, dann die Registrierung im BSI-Portal. Laut BSI-Seite (Stand August 2026) ist die gesetzliche Frist abgelaufen, Betroffene sollen umgehend nachholen. Änderungen der Angaben sind binnen zwei Wochen zu melden. Die Registrierung ist ein Verwaltungsvorgang und kein Software-Modul.

Wie hoch sind die Bußgelder bei NIS2?

Die Bußgelder regelt § 65 BSIG. Für die schwersten Verstöße drohen besonders wichtigen Einrichtungen bis zu 10 Mio. Euro und wichtigen Einrichtungen bis zu 7 Mio. Euro. Bei einem Gesamtumsatz über 500 Mio. Euro gelten bis zu 2 Prozent beziehungsweise 1,4 Prozent des weltweiten Umsatzes. Weitere Stufen liegen bei 5 Mio., 2 Mio., 1 Mio., 500.000 und 100.000 Euro. Welche Stufe gilt, hängt vom einzelnen Tatbestand ab. Die Zahlen sind Höchstgrenzen, keine Festbeträge.

Haftet die Geschäftsleitung für NIS2 Pflichten?

Ja, gegenüber der Einrichtung und nach Gesellschaftsrecht. § 38 BSIG verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen umzusetzen und zu überwachen. Verletzt sie diese Pflichten und entsteht der Einrichtung dadurch schuldhaft ein Schaden, haftet sie dafür nach den Regeln des Gesellschaftsrechts, das für die Rechtsform gilt. Zusätzlich muss sie regelmäßig an Schulungen teilnehmen. Eine feste Stundenzahl nennt das Gesetz nicht. Software kann Billigungen, Berichte und Schulungsnachweise der Geschäftsleitung nachvollziehbar ablegen und so die Überwachung belegen. Die rechtliche Bewertung im Einzelfall übernimmt Ihre Rechtsberatung.

Was kostet NIS2 Software?

Die Kosten hängen von Nutzern, Modulen, Integrationen und Einführungsaufwand ab. Die neun Hersteller im Auszug veröffentlichen auf den gelesenen Seiten keine Preise, sie arbeiten mit Demo oder Angebot. Find-Your-Software rechnet deshalb mit Variablen: Lizenz L, externe Einführung E und interner Aufwand. Im Rechenbeispiel für 200 Mitarbeitende entstehen intern 111.600 Euro über drei Jahre, zuzüglich 3 × L und E. Das ist ein Rechenbeispiel mit eigenen Annahmen, kein Marktpreis. Mehr im TCO Rechner.

Wie wähle ich NIS2 Software aus?

Starten Sie mit den Anforderungen, nicht mit der Anbieterliste. Erfassen Sie die Pflichten nach § 30 BSIG, Ihre Systemlandschaft und die Nutzerzahl, bilden Sie eine Shortlist aus drei bis fünf Werkzeugen und prüfen Sie diese in Demos mit eigenen Szenarien, etwa einer Übung zur 24-Stunden-Meldung. Danach folgen Vertrag, Datenschutz und Pilot. Find-Your-Software ist ein Werkzeug für die Softwareauswahl: Anforderungen sammeln, begründete Shortlist, Demos und Verträge begleiten, alles nachvollziehbar dokumentieren. Siehe Selection Portal.

NIS2 Software oder ISMS nach ISO 27001: Was ist der Unterschied?

Ein ISMS nach ISO/IEC 27001 ist ein Managementsystem, NIS2 Software ist ein Werkzeug für gesetzliche Pflichten. Beide überschneiden sich bei Risikoanalyse, Vorfallsbehandlung, Lieferkette und Schulung. NIS2 ergänzt Registrierung beim BSI, feste Meldefristen und die Haftung der Geschäftsleitung, die die Norm nicht regelt. Ein ISO 27001 Zertifikat ersetzt deshalb weder Registrierung noch Meldekette. Manche Produkte decken beides ab, etwa verinice oder HiScout als ISMS mit NIS-2 Bezug. Prüfen Sie in der Demo, welche Pflichten abgebildet sind.

Brauche ich zusätzlich ein SIEM oder eine GRC Plattform?

Ein SIEM erkennt Angriffe über Logdaten, NIS2 Software steuert Pflichten. Das SIEM liefert den Alarm, das NIS2 Werkzeug dokumentiert den Vorfall, startet die Fristen und sammelt Nachweise. Eine GRC Plattform ist breiter und bildet mehrere Regelwerke ab, etwa ISO 27001, TISAX und NIS2. Für kleinere Teams reicht oft ein ISMS oder Compliance Werkzeug. Ein SIEM brauchen Sie bei eigener Erkennungsfähigkeit. Klären Sie, ob eine Schnittstelle zum bestehenden SIEM oder Ticketsystem besteht.

Gilt der Cyber Resilience Act auch für mich?

Der Cyber Resilience Act gilt für Hersteller von Produkten mit digitalen Elementen, nicht für jede Einrichtung. Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden: Frühwarnung nach 24 Stunden, Meldung nach 72 Stunden, danach der Abschlussbericht. Die Meldung läuft über die Single Reporting Platform der ENISA, koordinierendes CSIRT in Deutschland ist CERT-Bund beim BSI. Die übrigen Hauptpflichten des CRA gelten ab dem 11. Dezember 2027. Stellen Sie Software oder vernetzte Geräte her, gelten NIS2 und CRA parallel.

Wie passen DSGVO und Serverstandort zu NIS2 Software?

Ein NIS2 Werkzeug verarbeitet personenbezogene Daten und braucht deshalb einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO sowie geeignete Maßnahmen nach Art. 32 DSGVO. Der Serverstandort ist auf mehreren gelesenen Herstellerseiten nicht ausgewiesen, etwa bei DataGuard, HiScout, ISMS.online, OneTrust und Vanta. Fragen Sie ihn schriftlich ab, ebenso Unterauftragsverarbeiter und Drittlandzugriffe. Ein Vorfall mit Personenbezug kann zusätzlich eine Meldung nach Art. 33 DSGVO auslösen, in der Regel binnen 72 Stunden. Mehr zu DSGVO und Serverstandort.

Helfen KI Assistenten bei NIS2 Pflichten?

KI Assistenten können Richtlinientexte entwerfen, Kontrollen zuordnen oder Vorfallsberichte zusammenfassen. Vanta und Drata nennen auf ihren NIS2 Seiten solche KI Funktionen, DataGuard nennt KI-gestützte Automatisierung. Die Verantwortung für Inhalt und Meldung bleibt bei der Einrichtung. Prüfen Sie, wo das Modell läuft und ob Ihre Daten für Training dienen. Die KI Funktionen von Find-Your-Software laufen auf eigenen, lokal betriebenen Modellen, Daten bleiben bei Find-Your-Software. Einen Überblick liefert der KI Assistenten Vergleich.