Compliance-Beratung zu NIS2, ISO 27001, DORA, CRA und BSI IT-Grundschutz: Wir machen aus Pflichten einen Plan.
Immer mehr Regeln verlangen nachweisbare IT-Sicherheit, und die Verantwortung trägt die Geschäftsleitung. Wir klären mit Ihnen, welche Regelwerke Sie betreffen und was noch fehlt. Dann bauen wir mit Ihnen ein ISMS auf, setzen die Technik selbst um und prüfen mit eigenen Pentestern, ob sie wirkt.
Selbst nach ISO/IEC 27001 zertifiziert. Den Weg zum Zertifikat kennen wir aus eigener Erfahrung.
Diese Kunden vertrauen n-komm
Aus der Kür ist Pflicht geworden.
Lange war IT-Sicherheit für viele Unternehmen freiwillig, doch das hat sich geändert. Viele wissen gar nicht, welche Regeln für sie gelten, oder sie sehen nur einen Berg aus Anforderungen.
Am Ende stehen drei Fragen: Welche Regeln gelten für uns? Was genau müssen wir tun? Und wie weisen wir nach, dass wir es getan haben?
Kommt Ihnen das bekannt vor?
- Sie sind nicht sicher, ob Ihr Unternehmen unter NIS2 fällt.
- Sie sind ein Finanzunternehmen und fragen sich, wie Sie DORA umsetzen.
- Sie stellen Geräte oder Software her und wissen nicht, was der CRA für Ihre Produkte bedeutet.
- Kunden oder Partner verlangen eine ISO-27001-Zertifizierung.
Mit einem klaren Plan werden diese Regeln beherrschbar, und diesen Plan machen wir mit Ihnen.
Welche Regelwerke Sie betreffen können
Oft greifen mehrere Regeln ineinander. Diese Übersicht ersetzt keine Rechtsberatung.
NIS2
EU-Richtlinie für Cybersicherheit, in Deutschland in nationales Recht umgesetzt. Sie betrifft Unternehmen vieler Branchen, nicht nur große.
Was NIS2 verlangtISO 27001
Internationale Norm für Informationssicherheit mit Zertifizierung. Freiwillig, aber von vielen Kunden verlangt.
Mehr zu ISO 27001DORA
EU-Verordnung für die digitale Widerstandsfähigkeit im Finanzsektor. Sie gilt für Banken, Versicherungen und weitere Finanzunternehmen.
Mehr zu DORACyber Resilience Act (CRA)
EU-Verordnung für Produkte mit digitalen Elementen. Sie richtet sich vor allem an Hersteller von Geräten und Software.
Mehr zum CRABSI IT-Grundschutz
Die Methode des BSI für Informationssicherheit. Viele Behörden und Kommunen orientieren sich daran.
Mehr zum IT-GrundschutzNIS2, ISO 27001 und IT-Grundschutz im Vergleich
Diese Übersicht ersetzt keine Rechtsberatung.
| NIS2 | ISO 27001 | BSI IT-Grundschutz | |
|---|---|---|---|
| Was es ist | EU-Richtlinie, in deutsches Recht umgesetzt | Internationale Norm für Informationssicherheit | Methode des BSI mit Bausteinen für typische Systeme und Abläufe |
| Für wen | Unternehmen vieler Branchen, nicht nur große | Alle Organisationen | Vor allem Behörden und Kommunen, auch Unternehmen |
| Verbindlich? | Pflicht für betroffene Unternehmen | Freiwillig, aber von vielen Kunden verlangt | Orientierung für viele Behörden und Kommunen |
| Kern | Risikomanagement, Meldepflichten, Verantwortung der Geschäftsleitung | Managementsystem für Informationssicherheit (ISMS) | Basis-Absicherung, später Standard-Absicherung |
| Zertifikat | Kein eigenes Zertifikat. Ein ISMS nach ISO 27001 erfüllt viele Anforderungen. | Durch eine unabhängige Zertifizierungsstelle | ISO 27001 auf Basis von IT-Grundschutz, vergeben vom BSI |
Kurz erklärt
Bin ich von NIS2 betroffen?
Ob NIS2 Ihr Unternehmen betrifft, hängt im Kern von zwei Fragen ab: Gehört Ihr Unternehmen zu einem der Sektoren, die das Gesetz nennt? Und erreicht es eine bestimmte Größe? Treffen beide zu, gilt Ihr Unternehmen als „wichtige“ oder „besonders wichtige Einrichtung“ und muss die Pflichten aus NIS2 erfüllen.
Einige Einrichtungen sind unabhängig von ihrer Größe erfasst, etwa Betreiber kritischer Anlagen. Und auch wer selbst nicht betroffen ist, spürt NIS2 oft als Lieferant: Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette prüfen.
Und Kommunen? Ob und wie NIS2 für Landesbehörden und Kommunen gilt, regeln die Länder. Erste Ansprechpartnerin ist die zuständige Landesbehörde. Das BSI fasst die Fragen in seinen FAQ für Land und Kommune (öffnet in neuem Tab) zusammen.
Diese Sektoren nennt das Gesetz
- Sehr hohe Kritikalität (Anlage 1 BSIG): Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur und Weltraum. Zur digitalen Infrastruktur zählen auch IT-Dienstleister wie Managed Service Provider.
- Sonstige kritische Sektoren (Anlage 2 BSIG): Transport und Verkehr, Abfallbewirtschaftung, Chemie, Lebensmittel, Teile des verarbeitenden Gewerbes (etwa Maschinenbau, Fahrzeugbau, Elektrotechnik, Medizinprodukte, elektronische Erzeugnisse), Anbieter digitaler Dienste und Forschung.
Wann gilt Ihr Unternehmen als wichtige oder besonders wichtige Einrichtung?
Vereinfachte Übersicht nach § 28 BSIG. Diese Übersicht ersetzt keine Rechtsberatung.
| Besonders wichtige Einrichtung | Wichtige Einrichtung | |
|---|---|---|
| Sektor | Anlage 1 | Anlage 1 oder Anlage 2 |
| Beschäftigte | mindestens 250 | mindestens 50 |
| oder Umsatz und Bilanzsumme | Jahresumsatz über 50 Mio. € und Bilanzsumme über 43 Mio. € | Jahresumsatz und Bilanzsumme jeweils über 10 Mio. € |
| Unabhängig von der Größe | z. B. Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, DNS-Diensteanbieter | z. B. Vertrauensdiensteanbieter |
Es reicht, wenn entweder die Zahl der Beschäftigten oder die Finanzkennzahlen erreicht sind. Beschäftigte zählen als Vollzeitäquivalente, maßgeblich ist der letzte Jahresabschluss. Für Telekommunikationsanbieter gelten eigene Schwellen, und in Unternehmensgruppen können die Zahlen verbundener Unternehmen eine Rolle spielen. Eine erste Orientierung gibt die Betroffenheitsprüfung des BSI (öffnet in neuem Tab).
Was NIS2 verlangt: die wichtigsten Pflichten im Überblick
Diese Übersicht ersetzt keine Rechtsberatung.
Registrierung
Betroffene Unternehmen müssen sich beim BSI registrieren. Wer betroffen ist und sich noch nicht registriert hat, sollte das zügig angehen. Wir helfen Ihnen bei der Registrierung.
Risikomanagement
Sie müssen Ihre Risiken systematisch erfassen und geeignete technische, organisatorische und operative Maßnahmen umsetzen. Dazu gehören etwa Zugriffskontrollen, Datensicherung, Verschlüsselung und die Absicherung der Lieferkette.
Meldepflichten
Erhebliche Sicherheitsvorfälle müssen Sie dem BSI melden. Die Meldung erfolgt in mehreren Stufen und unter Zeitdruck. Deshalb brauchen Sie klare Abläufe, bevor etwas passiert.
Verantwortung der Geschäftsleitung
Die Geschäftsleitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und selbst an Schulungen teilnehmen. NIS2 macht IT-Sicherheit damit zur Chefsache.
ISO 27001: der internationale Standard für Informationssicherheit
ISO 27001 beschreibt, wie ein Unternehmen ein Managementsystem für Informationssicherheit aufbaut, kurz ISMS. Unabhängige Stellen können ein Unternehmen danach zertifizieren.
Große Kunden verlangen die Zertifizierung zunehmend von ihren Lieferanten. Und wer ein ISMS nach ISO 27001 aufgebaut hat, erfüllt viele Anforderungen von NIS2 bereits.
- Betroffenheit prüfen Welche Regeln gelten für Sie?Gap-Analyse Was fehlt, priorisiert nach Risiko
- ISMS und Technik Prozesse aufbauen, Maßnahmen umsetzenWirksamkeit belegen Tests und Berichte als Nachweis
Finanzsektor
DORA: digitale Widerstandsfähigkeit für Banken und Versicherungen
DORA steht für Digital Operational Resilience Act. Die EU-Verordnung gilt für Finanzunternehmen wie Banken, Versicherungen, Wertpapierfirmen und Zahlungsinstitute. Sie sollen auch dann weiterarbeiten können, wenn ihre IT angegriffen wird oder ausfällt.
DORA verlangt ein Risikomanagement für die IT, klare Abläufe für die Meldung schwerwiegender IT-Vorfälle und regelmäßige Tests der eigenen Widerstandsfähigkeit. Dazu kommt die Steuerung der Risiken durch IT-Dienstleister.
So unterstützen wir Sie bei DORA
- Gap-Analyse: Wir vergleichen Ihren Stand mit den Anforderungen von DORA und zeigen, was fehlt.
- Beratung: Wir helfen Ihnen beim Risikomanagement für Ihre IT, bei Richtlinien und Prozessen.
- Security Testing: Unsere eigenen Pentester prüfen Ihre Systeme im Kontext von DORA, etwa mit Penetrationstests und Schwachstellenanalysen.
Bedrohungsorientierte Tests nach TLPT sind ein eigenes, besonders geregeltes Verfahren. Unsere Pentests ersetzen sie nicht.
Hersteller von Geräten und Software
Cyber Resilience Act: sichere Produkte von Anfang an
Der Cyber Resilience Act, kurz CRA, ist eine EU-Verordnung für Produkte mit digitalen Elementen. Gemeint sind Geräte und Software, die sich mit anderen Geräten oder Netzen verbinden. Der CRA richtet sich vor allem an Hersteller, aber auch an Importeure und Händler.
Hersteller müssen Sicherheit von Anfang an einplanen. Sie müssen Schwachstellen über die gesamte Supportzeit behandeln, Sicherheitsupdates liefern und aktiv ausgenutzte Schwachstellen melden. Vor dem Verkauf steht eine Konformitätsbewertung mit CE-Kennzeichnung.
So unterstützen wir Sie beim CRA
- Betroffenheit prüfen: Wir klären mit Ihnen, ob und welche Ihrer Produkte unter den CRA fallen.
- Gap-Analyse: Wir zeigen Ihnen, welche Anforderungen Ihre Produkte und Abläufe schon erfüllen und was fehlt.
- Security Testing: Unsere eigenen Pentester prüfen Ihre Produkte im Kontext des CRA, etwa Webanwendungen, Schnittstellen und mobile Apps.
Unsere Prüfungen unterstützen Ihre Konformitätsbewertung, ersetzen sie aber nicht.
Behörden, Kommunen und Unternehmen
BSI IT-Grundschutz: Schritt für Schritt zur sicheren Verwaltung
Der IT-Grundschutz ist die Methode des Bundesamts für Sicherheit in der Informationstechnik (BSI). In Bausteinen beschreibt er, welche Anforderungen für typische Systeme, Anwendungen und Abläufe gelten. Viele Behörden und Kommunen orientieren sich daran, aber auch Unternehmen.
Der Einstieg muss nicht groß sein. Mit der Basis-Absicherung setzen Sie zuerst die wichtigsten Maßnahmen um und bauen später auf die Standard-Absicherung aus. Auf Basis von IT-Grundschutz können Sie sich auch nach ISO 27001 zertifizieren lassen.
So unterstützen wir Sie beim IT-Grundschutz
- Grundschutz-Check und Modellierung: Wir bilden Ihre IT mit den passenden Bausteinen ab und vergleichen Soll und Ist.
- Basis-Absicherung für Kommunen: ein machbarer Einstieg für Verwaltungen, die mit den wichtigsten Maßnahmen beginnen wollen.
- Begleitung zur Zertifizierung: Wir bereiten Sie auf das Audit für ISO 27001 auf Basis von IT-Grundschutz vor. Das Zertifikat vergibt das BSI.
Compliance-Beratung und Umsetzung: von der ersten Frage bis zur umgesetzten Maßnahme
Die meisten Aufgaben erledigt unser eigenes Cyber-Security-Team. Bei rechtlichen Fragen binden wir spezialisierte Partner ein.
Betroffenheit und Gap-Analyse
Wir prüfen, welche Regelwerke für Sie gelten, und vergleichen Ihren Stand mit den Anforderungen. Sie sehen, was fehlt, nach Risiko und Aufwand priorisiert.
Maßnahmenplan und ISMS
Wir legen mit Ihnen Reihenfolge, Kosten und Verantwortliche fest. Auf Wunsch bauen wir mit Ihnen ein ISMS mit Risikomanagement, Richtlinien und klaren Prozessen auf.
Umsetzen und Wirksamkeit prüfen
Endpoint-Schutz mit CrowdStrike, Firewalls, Datensicherung und SIEM setzen wir selbst um. Ob sie wirken, prüfen wir mit Penetrationstests und Pentera, die Berichte dienen als Nachweis.
Zertifizierung begleiten
Wir bereiten Sie auf das Audit nach ISO 27001 vor, auch auf Basis von IT-Grundschutz, und begleiten Sie durch die Zertifizierung. Das Zertifikat vergibt eine unabhängige Zertifizierungsstelle oder das BSI.
Schulungen
Wir schulen Ihre Geschäftsleitung zu ihren Pflichten unter NIS2 und trainieren Ihre Beschäftigten mit phished.io.
Security AwarenessRegistrierung und Meldungen
Wir helfen Ihnen bei der Registrierung beim BSI unter NIS2. Im Ernstfall analysieren wir den Vorfall und bereiten die Meldung an das BSI mit Ihnen vor. Die Meldung selbst geben Sie ab, und die rechtliche Bewertung bleibt bei Ihnen und Ihrer Rechtsberatung.
Wer Sie berät und begleitet
Langjährige Praxis
Unser Cyber-Security-Team arbeitet seit vielen Jahren in der technischen und organisatorischen Informationssicherheit: Security-Analysen, Penetrationstests, Schwachstellenmanagement und Beratung zu ISO 27001, NIS2 und IT-Grundschutz.
Anerkannte Qualifikationen
Unser Team bringt anerkannte Qualifikationen mit, darunter CompTIA, Certified Ethical Hacker (CEH) und TÜV-geprüfter IT-Sicherheitsbeauftragter. Dazu kommen zahlreiche Herstellerzertifizierungen.
Nachweisbare Projekterfahrung
Unternehmen aus unterschiedlichen Branchen und Größen arbeiten mit unserem Cyber-Security-Team. Ihre Projekte finden Sie in unseren Referenzen.
Referenzen ansehenBeratung und Technik aus einer Hand
Wir sind selbst nach ISO/IEC 27001 zertifiziert und kennen den Weg zum Zertifikat aus eigener Erfahrung. Unser eigenes Cyber-Security-Team berät Sie, baut Ihr ISMS mit auf und setzt die technischen Maßnahmen um. Seit 2000 sind wir IT-Partner für Unternehmen und Verwaltungen, als Familienunternehmen in zweiter Generation.
- ISO 27001
- selbst nach ISO/IEC 27001 zertifiziert
- ~10
- Jahre Praxis unseres Pentest-Teams
- 25+
- Jahre IT-Partner (seit 2000)
- 2
- Standorte in Karlsruhe und Hamburg
Häufige Fragen zu NIS2, ISO 27001, DORA, CRA und IT-Grundschutz
Ihre Frage ist nicht dabei? Schreiben Sie uns.
Was ist NIS2?
NIS2 ist eine europäische Richtlinie für mehr Cybersicherheit. In Deutschland setzt das NIS2-Umsetzungsgesetz sie um. Sie verpflichtet Unternehmen bestimmter Sektoren und Größen zu Sicherheitsmaßnahmen und Meldungen.
Woher weiß ich, ob mein Unternehmen betroffen ist?
Entscheidend sind vor allem Ihr Sektor, Ihre Größe und beim CRA Ihre Produkte. Die Schwellenwerte für NIS2 finden Sie oben im Abschnitt Bin ich von NIS2 betroffen?, eine erste Orientierung gibt die Betroffenheitsprüfung des BSI. Im Erstgespräch prüfen wir die Betroffenheit gemeinsam mit Ihnen.
Ist unser Unternehmen zu klein für NIS2?
Das kann sein. NIS2 gilt in vielen Sektoren aber schon für mittlere Unternehmen. Auch nicht betroffene Unternehmen spüren das Gesetz als Lieferanten, denn betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette prüfen. Wir klären gern mit Ihnen, ob Sie betroffen sind.
Helfen Sie bei der Registrierung und bei Meldungen ans BSI?
Ja. Wir unterstützen Sie bei der Registrierung beim BSI. Nach einem Vorfall liefern wir die technische Analyse und bereiten die Meldung mit Ihnen vor. Die Meldung selbst geben Sie ab.
Reicht die Registrierung beim BSI aus?
Nein. Die Registrierung ist nur der erste Schritt. Danach zählen Risikomanagement, Schutzmaßnahmen und klare Meldewege. Wir helfen Ihnen, diese Schritte geordnet anzugehen.
Schulen Sie auch die Geschäftsleitung?
Ja. In einer Management-Schulung erfahren Sie, welche Pflichten NIS2 der Geschäftsleitung auferlegt und wie Sie die Umsetzung in Ihrem Unternehmen steuern.
Was ist der Unterschied zwischen NIS2 und ISO 27001?
NIS2 ist ein Gesetz mit Pflichten für bestimmte Unternehmen. ISO 27001 ist eine freiwillige internationale Norm mit Zertifizierung. Wer ISO 27001 umsetzt, erfüllt viele Anforderungen von NIS2 bereits.
Was ist DORA?
DORA ist eine EU-Verordnung für die digitale Widerstandsfähigkeit im Finanzsektor. Sie verlangt von Banken, Versicherungen und anderen Finanzunternehmen ein Risikomanagement für die IT, Meldungen schwerwiegender IT-Vorfälle, regelmäßige Tests und die Steuerung ihrer IT-Dienstleister.
Sind Ihre Pentests TLPT nach DORA?
Nein. TLPT ist ein eigenes, besonders geregeltes Verfahren für bestimmte Finanzunternehmen. Unsere Pentests prüfen Ihre Systeme im Kontext von DORA, ersetzen TLPT aber nicht.
Was ist der Cyber Resilience Act?
Der Cyber Resilience Act, kurz CRA, ist eine EU-Verordnung für Produkte mit digitalen Elementen. Hersteller müssen Sicherheit von Anfang an einplanen, Schwachstellen behandeln und Sicherheitsupdates liefern. Unsere Prüfungen unterstützen die Konformitätsbewertung, ersetzen sie aber nicht.
Was ist der Unterschied zwischen ISO 27001 und IT-Grundschutz?
ISO 27001 legt fest, was ein ISMS leisten muss. Der IT-Grundschutz des BSI beschreibt zusätzlich sehr konkret, wie Sie typische Systeme absichern. Auf Basis von IT-Grundschutz können Sie sich nach ISO 27001 zertifizieren lassen, das Zertifikat vergibt dann das BSI.
Zertifizieren Sie Unternehmen nach ISO 27001?
Nein. Das Zertifikat vergibt eine unabhängige Zertifizierungsstelle, beim IT-Grundschutz das BSI. Wir bauen mit Ihnen das ISMS auf, bereiten Sie auf das Audit vor und begleiten Sie durch die Zertifizierung.
Ist ISO 27001 zu aufwendig für uns?
Eine Zertifizierung ist ein Projekt, ja. Aber Sie müssen nicht alles auf einmal machen, wir begleiten Sie Schritt für Schritt bis zum Audit. Viele Maßnahmen bringen Ihnen auch ohne Zertifikat mehr Sicherheit. Wir helfen Ihnen, den richtigen Umfang zu finden.
Ist NIS2 nicht vor allem ein Thema für Juristen?
Teilweise. Doch die meisten Anforderungen sind technisch und organisatorisch. Firewalls, Datensicherung, Zugriffskontrollen und Überwachung setzen Sie nicht mit einem Gutachten um. Dafür brauchen Sie einen IT-Partner. Für rechtliche Detailfragen empfehlen wir zusätzlich eine Rechtsberatung.
Ersetzt Ihre Beratung eine Rechtsberatung?
Nein. Wir beraten Sie zu technischen und organisatorischen Maßnahmen. Für rechtliche Fragen empfehlen wir zusätzlich eine Rechtsberatung.
Was kostet die Beratung zu NIS2 und ISO 27001?
Das hängt von Ihrer Ausgangslage und dem Umfang ab. Nach dem Erstgespräch erhalten Sie ein Angebot für die Gap-Analyse. Die Kosten für die Umsetzung zeigt der Maßnahmenplan.
Welche Regeln gelten für Ihr Unternehmen? Finden Sie es heraus.
Im kostenlosen Erstgespräch prüfen wir gemeinsam, welche Regelwerke für Sie gelten und wo Sie stehen. Sie erfahren, welche Schritte jetzt sinnvoll sind und womit Sie rechnen können. Das Gespräch per Teams oder Telefon dauert 30 Minuten, unverbindlich und kostenfrei. Diese Seite gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung.
Lieber direkt sprechen? +49 721 35 46 00