NIS2 verlangt Nachweise. Wir liefern sie technisch.
Seit dem 6. Dezember 2025 gilt NIS2 in Deutschland — ohne Übergangsfrist. §30 BSIG verlangt nicht nur Maßnahmen, sondern die Bewertung ihrer Wirksamkeit. Ein Penetrationstest ist das belastbarste Mittel dafür. Wir liefern ihn in auditfähiger Form, ab €3.500.
Der Aktenordner ist gefüllt. Die Wirksamkeit ist ungeprüft.
Die meisten NIS2-Projekte enden dort, wo sie am wenigsten wehtun: bei Richtlinien, Verfahrensanweisungen und einem Managementsystem auf Papier. Das ist notwendig — aber es beantwortet die Frage nicht, die das Gesetz stellt. §30 Abs. 2 Nr. 6 BSIG verlangt Konzepte zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen. Übersetzt: Funktioniert das, was Sie dokumentiert haben, auch gegen einen echten Angreifer? Diese Frage beantwortet kein Dokument, sondern ein Test. Genau hier setzen wir an — technisch, nachweisbar, wiederholbar.
Stand der Dinge
NIS2 in Deutschland, die harten Eckdaten
Kein Ausblick, kein Entwurf. Das Gesetz ist in Kraft, die Registrierungsfristen sind verstrichen.
Diese Seite ordnet NIS2 technisch ein und beschreibt, welche unserer Leistungen welche Anforderung adressieren. Sie ersetzt keine Rechtsberatung. Ob und in welcher Kategorie Ihr Unternehmen betroffen ist, klären Sie bitte mit Ihrer Rechtsabteilung oder einer spezialisierten Kanzlei.
- 6. Dezember 2025 — ohne ÜbergangsfristDas NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) wurde am 13.11.2025 vom Bundestag verabschiedet und trat am Tag nach der Verkündung in Kraft. Die Pflichten gelten seitdem unmittelbar.
- Rund 29.500 Einrichtungen in DeutschlandZugehörigkeit zu einem der im BSIG genannten Sektoren plus in der Regel mindestens 50 Beschäftigte oder mehr als €10 Mio. Jahresumsatz und mehr als €10 Mio. Bilanzsumme (§ 28 BSIG).
- Spätestens 3 Monate nach Eintritt der Betroffenheit — für Bestandsunternehmen der 6. März 2026Das BSI hatte erwartet, dass ausstehende Registrierungen bis Ende Juli 2026 nachgeholt werden — eine gesetzliche Nachfrist war das nicht. Eine versäumte Registrierung kann eigenständig geahndet werden. Wer bis heute nicht registriert ist, sollte das zuerst nachholen — nicht den Pentest.
- 24 Stunden frühe Erstmeldung · 72 Stunden Meldung · 1 Monat AbschlussmeldungGilt für erhebliche Sicherheitsvorfälle. Die 24-Stunden-Uhr läuft ab Kenntnis — nicht ab abgeschlossener Analyse.
- Bis zu €10 Mio. (besonders wichtige) bzw. €7 Mio. (wichtige Einrichtungen)Die umsatzbezogenen Obergrenzen von 2 % bzw. 1,4 % des weltweiten Umsatzes greifen nur bei Einrichtungen mit mehr als €500 Mio. Gesamtumsatz (§ 65 BSIG). Für eine versäumte Registrierung sind bis zu €500.000 vorgesehen.
- BSI — bei besonders wichtigen Einrichtungen auch unangekündigtDas BSI kann Nachweise anfordern, Prüfungen durchführen und Sicherheitsüberprüfungen anordnen. Wer dann nichts vorzulegen hat, verhandelt aus der schwächsten Position.
- Die Geschäftsleitung setzt um, überwacht und haftetDie Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen; für schuldhaft verursachte Schäden haftet sie der Einrichtung nach Gesellschaftsrecht. Dazu kommt die Pflicht, regelmäßig an Schulungen teilzunehmen (§ 38 BSIG).
Sind Sie betroffen?
Die zweite Frage ist oft die wichtigere: Werden Sie über Ihre Kunden betroffen?
Besonders wichtige Einrichtungen
Größere Unternehmen in besonders kritischen Sektoren — Energie, Transport, Gesundheit, Wasser, digitale Infrastruktur, IT-Dienstleister. Hier sind unangekündigte Prüfungen durch das BSI ausdrücklich vorgesehen.
Wichtige Einrichtungen
In der Regel ab 50 Beschäftigten oder mehr als €10 Mio. Umsatz und Bilanzsumme — darunter Maschinen- und Fahrzeugbau, Medizinprodukte, Elektronik, Chemie, Lebensmittel, Post, Abfallwirtschaft, Forschung. Aufsicht erfolgt anlassbezogen.
Zulieferer und Dienstleister
Der am meisten unterschätzte Punkt: §30 Abs. 2 Nr. 4 BSIG verpflichtet betroffene Unternehmen, die Sicherheit ihrer Lieferkette zu steuern. Diese Anforderung wird vertraglich weitergereicht — auch an Unternehmen, die selbst nicht unter NIS2 fallen.
Software- und Produkthersteller
Doppelt betroffen: als Einrichtung über NIS2 und als Hersteller über den Cyber Resilience Act. Beide Regelwerke verlangen funktionierendes Schwachstellenmanagement — die technische Basis ist dieselbe.
Die Geschäftsleitung persönlich
Umsetzung der Maßnahmen, Überwachung der Umsetzung, regelmäßige Schulung. NIS2 macht Informationssicherheit ausdrücklich zur Leitungsaufgabe — nicht zum IT-Thema.
Unsicher, ob Sie dazugehören?
Dann sind Sie in guter Gesellschaft — die Einstufung ist der häufigste Streitpunkt. Wir klären im Erstgespräch die technische Seite und sagen Ihnen offen, wenn Sie zuerst juristischen Rat brauchen statt einen Pentest.
§30 BSIG in der Praxis
Welche Anforderung wir womit beantworten
Die zehn Maßnahmenbereiche aus §30 Abs. 2 BSIG sind Pflicht. Diese hier lassen sich technisch prüfen — und genau das tun wir.
| Anforderung aus §30 Abs. 2 BSIG | Unsere Leistung |
|---|---|
| Konzepte für Risikoanalyse und Sicherheit der Informationssysteme | Der Penetrationstest zeigt, welche Risiken tatsächlich ausnutzbar sind — nicht nur, welche in der Risikomatrix stehen. Ergebnis: eine nach CVSS priorisierte Liste mit realem Angriffspfad statt einer Schätzung. |
| Bewältigung von Sicherheitsvorfällen | Das Assumed-Breach-Assessment prüft den Ernstfall: Wir starten von einem angenommenen Zugang und messen, wie weit wir kommen — und ob Ihre Erkennung anschlägt, bevor wir am Ziel sind. |
| Sicherheit der Lieferkette | Externe Schnittstellen, Drittanbieter-Integrationen und exponierte Dienstleister-Zugänge gehören bei uns in den Pentest-Scope. Das Angriffsflächen-Monitoring hält den Stand danach aktuell. |
| Sicherheit bei Erwerb, Entwicklung und Wartung — inklusive Schwachstellenmanagement | Secure-SDLC-Review: Wie kommen Schwachstellen in Ihre Software, und was fängt sie ab? Pipeline, Abhängigkeiten, Secrets, Review-Praxis — mit Maßnahmen, die Ihr Team auch umsetzen kann. |
| Konzepte zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen | Der Kernpunkt dieser Seite: Ein wiederkehrender Penetrationstest mit Re-Test nach Behebung ist ein datierter, nachvollziehbarer Wirksamkeitsnachweis. Als Retainer geplant statt einmal jährlich improvisiert. |
| Cyberhygiene und Schulungen im Bereich der Cybersicherheit | Entwickler-Workshop auf Basis Ihrer eigenen Findings. Erfahrungsgemäß wirkt eine echte Schwachstelle aus dem eigenen Code stärker als jede generische Awareness-Schulung. |
| Kryptografie und Verschlüsselung | TLS-Konfiguration, Zertifikatsverwaltung, Transportsicherheit und Umgang mit Schlüsseln und Secrets — fester Bestandteil von Security Audit und Angriffsflächen-Monitoring. |
| Zugriffskontrolle und Personalsicherheit | Rollen- und Rechteprüfung in jedem Pentest: horizontale und vertikale Rechteausweitung, unsichere direkte Objektreferenzen, vergessene Administratorzugänge. |
| Multi-Faktor-Authentifizierung und gesicherte Kommunikation | MFA-Bypass-Tests, Prüfung der Wiederherstellungs- und Notfallzugänge sowie der Session-Behandlung — der Punkt, an dem MFA in der Praxis am häufigsten scheitert. |
Von der Pflicht zum Nachweis
Ein planbarer Weg statt eines Compliance-Kraftakts
Wir klären Ihren technischen Ausgangspunkt, den Anlass — Audit, Kundenanforderung, Aufsicht, Vorfall — und was realistisch zuerst dran ist.
Ist-Aufnahme gegen die technisch prüfbaren Anforderungen aus §30 Abs. 2 BSIG. Ergebnis: Lückenliste, priorisierter Maßnahmenplan, Management Summary — für €2.900.
Gemeinsame Festlegung, welche Systeme geprüft werden, mit welcher Methode und in welchem Zeitfenster. Schriftliche Testfreigabe inklusive.
Manuelle Prüfung nach OWASP, PTES und BSI-Standards. Kritische Funde melden wir sofort, nicht erst im Abschlussbericht.
Management Summary für die Leitungsebene, technischer Teil für Ihr Team, CVSS-Bewertung, Reproduktionsschritte, Maßnahmenempfehlung — vorlagefähig gegenüber Auditor und Aufsicht.
Ihr Team setzt um, oder wir übernehmen die Fixes. Als Software-Unternehmen ist das für uns kein Fremdkörper, sondern Tagesgeschäft.
Nachprüfung der behobenen Findings und Abschlussdokument. Damit ist der Wirksamkeitsnachweis nicht nur erbracht, sondern auch belegt.
Was wir tun, und was nicht
NIS2-Compliance ist mehr als Technik. Wir machen den technischen Teil, und wir sagen Ihnen, wo unsere Rolle endet.
- Technischer Readiness-Check gegen die prüfbaren Anforderungen aus §30 BSIG
- Penetrationstests als Wirksamkeitsnachweis: extern, im internen Netz und im Active Directory, wiederholbar und datiert
- Assumed-Breach-Assessment zur Prüfung von Erkennung und Reaktion
- Angriffsflächen-Monitoring als laufender Nachweis zwischen den Tests
- Secure-SDLC-Review und Entwickler-Workshop
- Berichte in auditfähiger Form inklusive Maßnahmenverfolgung
- Technische Unterstützung Ihres ISMS-Beraters oder Auditors
- Rechtsberatung zur Frage, ob und wie Sie betroffen sind
- Die Registrierung beim BSI in Ihrem Namen
- Zertifizierung nach ISO 27001 — wir sind keine Zertifizierungsstelle
- Aufbau eines vollständigen ISMS inklusive Richtlinienwerk
- Meldung von Sicherheitsvorfällen an die Behörden in Ihrem Namen
- 24/7-Überwachung im Sinne eines SOC
Für die Punkte rechts arbeiten wir mit spezialisierten Partnern — Kanzleien, ISMS-Beratern, Zertifizierern. Sagen Sie uns, was fehlt, und wir vermitteln, statt es selbst zu improvisieren.
Preise für Ihren NIS2-Nachweis
Transparent kalkuliert — ohne Compliance-Aufschlag
NIS2-Readiness-Check
Der schnelle Einstieg
- Ist-Aufnahme gegen §30 Abs. 2 BSIG (technischer Teil)
- Priorisierte Lückenliste
- Maßnahmenplan mit Aufwandsschätzung
- Management Summary für die Leitungsebene
- Empfehlung für den weiteren Testumfang
Penetrationstest
Der eigentliche Wirksamkeitsnachweis
- Web, API, Cloud, internes Netz und Active Directory
- Prüfung nach OWASP, PTES und BSI
- CVSS-priorisierte Findings
- Management Summary und technischer Bericht
- Re-Test nach Behebung inklusive
- Preis vorab im Rechner nachvollziehbar
Security Cycle Retainer
Nachweis, der nicht abläuft
- Angriffsflächen-Monitoring inklusive
- Ein Penetrationstest pro Jahr
- Zwei Beratungstage pro Jahr
- Re-Tests nach Behebung
- Laufende Nachweisdokumentation
- Bevorzugte Terminvergabe bei Audits
Häufige Fragen zu NIS2 und Penetrationstests
Technische Einordnung — keine Rechtsberatung
Nein, nicht wörtlich. §30 Abs. 2 Nr. 6 BSIG verlangt Konzepte zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen — ohne ein bestimmtes Verfahren vorzuschreiben. In der Praxis ist der Penetrationstest das gebräuchlichste und am besten belegbare Mittel, diese Wirksamkeit gegenüber Auditoren, Kunden und der Aufsicht nachzuweisen. Wer stattdessen nur auf interne Schwachstellenscans verweist, hat die schwächere Position.
Das Gesetz nennt kein Intervall. Etablierte Praxis ist ein vollständiger Test pro Jahr sowie zusätzlich nach wesentlichen Änderungen — neue Anwendung, neue Schnittstelle, größere Architekturänderung, Migration. Zwischen den Tests schließt ein Angriffsflächen-Monitoring die Lücke, weil es Veränderungen sichtbar macht, statt sie bis zum nächsten Testtermin unbemerkt zu lassen.
Weil die Anforderung über die Lieferkette kommt. §30 Abs. 2 Nr. 4 BSIG verpflichtet betroffene Unternehmen, die Sicherheit ihrer Lieferanten und Dienstleister zu steuern — und dieser Druck wird vertraglich weitergereicht. Wir sehen zunehmend Ausschreibungen und Rahmenverträge, die einen aktuellen Pentest-Bericht als Voraussetzung nennen. Wer ihn hat, bleibt im Rennen.
Ab €3.500 für eine kleine Webanwendung. Für ein typisches mittelständisches Szenario — mittelgroße Anwendung, mehrere Rollen, Cloud-Anteil, personenbezogene Daten — liegen wir meist zwischen €6.000 und €10.000. Zum Vergleich: In Deutschland sind für vergleichbare Scopes €7.500 bis €15.000 üblich. Den eigenen Scope können Sie im Pentest-Rechner vorab durchrechnen.
Für sich genommen: eher nicht. Ein Scanner findet bekannte Muster, aber keine Logikfehler, keine Rechteausweitung über Rollen hinweg und keine Angriffsketten aus mehreren für sich harmlosen Schwächen. Genau diese Kombinationen sind es, die in echten Vorfällen ausgenutzt werden. Scans sind ein sinnvoller Dauerläufer zwischen den Tests — als alleiniger Wirksamkeitsnachweis sind sie schwach.
Registrierung zuerst, Technik danach. Für bestehende Einrichtungen lief die Frist am 6. März 2026 ab; das BSI hatte erwartet, dass ausstehende Registrierungen bis Ende Juli 2026 nachgeholt werden — eine gesetzliche Nachfrist war das nicht. Eine Versäumnis kann eigenständig geahndet werden und wird nicht dadurch besser, dass ein Pentest vorliegt. Holen Sie die Registrierung nach, idealerweise mit juristischer Begleitung, und bauen Sie die technischen Nachweise parallel auf.
Für den Readiness-Check in der Regel innerhalb von zwei bis drei Wochen, für einen vollständigen Penetrationstest planen Sie zwei bis vier Wochen Vorlauf. Bei einem konkreten Anlass — Kundenaudit mit Datum, Anfrage der Aufsicht, Sicherheitsvorfall — sagen Sie es im Erstgespräch: Priorisierte Termine sind gegen Zuschlag möglich.
NIS2 gilt bereits
Holen Sie sich den Nachweis, bevor jemand danach fragt
30 Minuten Erstgespräch: Wir ordnen Ihren Stand ein, benennen die technischen Lücken und sagen Ihnen ehrlich, ob ein Readiness-Check oder direkt ein Penetrationstest der richtige nächste Schritt ist.
Yen Ngoc Phan · Manuel Gruschka