NIS-2 Deutschland: Betroffenheit, Fristen, Maßnahmen

Dieser Beitrag ordnet die technischen und organisatorischen Anforderungen ein. Er ist keine Rechtsberatung und ersetzt keine verbindliche Prüfung der Betroffenheit. Die Einordnung Ihres Unternehmens müssen Sie selbst vornehmen – gegebenenfalls mit anwaltlicher Unterstützung. TakFlow setzt technische Maßnahmen um und dokumentiert sie; eine Bestätigung der NIS-2-Konformität ist ausdrücklich nicht Bestandteil unserer Leistung.

Seit dem 6. Dezember 2025 ist die deutsche NIS-2-Umsetzung geltendes Recht. Das Bundesamt für Sicherheit in der Informationstechnik formuliert es knapp: „Das Gesetz wurde am 05.12.2025 verkündet und trat am 06.12.2025 in Kraft.“ Damit ist das lange Warten auf Entwürfe und Zeitpläne vorbei, und die erste Frage, die jedes Unternehmen beantworten muss, ist nicht mehr „wann kommt das?“, sondern „gilt das für uns?“.

Die Antwort fällt in der Praxis deutlich häufiger „nein“ aus, als die Aufregung in Fachbeiträgen und Vertriebsgesprächen vermuten lässt. Der wichtigste und am häufigsten übersehene Punkt steht gleich am Anfang.

Ohne Sektorzugehörigkeit nach Anlage 1 oder 2 löst keine Mitarbeiterzahl NIS-2 aus

Die verbreitetste Fehlannahme lautet: „Wir haben 60 Mitarbeiter, also sind wir betroffen.“ Das ist falsch. Die Betroffenheit wird in zwei Schritten geprüft, und der erste Schritt ist der entscheidende.

Schritt 1 – Einrichtungsart. Ihr Unternehmen muss unter eine der Einrichtungsdefinitionen in Anlage 1 oder Anlage 2 des BSIG fallen. Das BSI beschreibt die Voraussetzung so: Einrichtungen sind erfasst, wenn sie „unter eine oder mehrere Einrichtungsdefinitionen der Anlagen 1 und 2 fallen und zudem die im Gesetz festgeschriebenen Größenschwellen für Mitarbeiterzahl oder Umsatz“ erreichen. Beide Bedingungen zusammen, nicht eine davon.

Anlage 1 nennt sieben Sektoren: Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, Digitale Infrastruktur und Weltraum. Anlage 2 nennt Transport und Verkehr (Post- und Kurierdienste), Abfallbewirtschaftung, Produktion und Handel mit chemischen Stoffen, Produktion und Vertrieb von Lebensmitteln, Verarbeitendes Gewerbe, Anbieter digitaler Dienste und Forschung. Innerhalb jedes Sektors ist die Einrichtungsart wiederum präzise definiert – im Sektor Digitale Infrastruktur etwa „Anbieter von Cloud-Computing-Diensten“, „Anbieter von Rechenzentrumsdiensten“, „Managed Services Provider“ und „Managed Security Services Provider“.

Schritt 2 – Größenschwelle. Erst wenn Schritt 1 zutrifft, entscheidet die Größe über die Kategorie. § 28 BSIG unterscheidet zwei Stufen, und die beiden Größentests sind logisch nicht gleich aufgebaut:

Besonders wichtige Einrichtung (Anlage 1): „mindestens 250 Mitarbeiter beschäftigen oder einen Jahresumsatz von über 50 Millionen Euro und zudem eine Jahresbilanzsumme von über 43 Millionen Euro aufweisen“

Wichtige Einrichtung (Anlage 1 und Anlage 2): „mindestens 50 Mitarbeiter beschäftigen oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweisen“

Der Finanztest der besonders wichtigen Einrichtungen verlangt beide Werte gemeinsam – über 50 Millionen Euro Umsatz und über 43 Millionen Euro Bilanzsumme. Der Finanztest der wichtigen Einrichtungen verlangt ebenfalls beide Werte, jeweils über 10 Millionen Euro. Die in vielen Beiträgen zu lesende Formulierung „ab 50 Mitarbeitern oder 10 Millionen Euro Umsatz“ gibt den Gesetzestext nicht korrekt wieder.

Unabhängig von der Größe erfasst sind unter anderem Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Dienstanbieter. Für Betreiber öffentlicher Telekommunikationsnetze und Anbieter öffentlich zugänglicher Telekommunikationsdienste gelten eigene, niedrigere Schwellen.

Ein Handwerksbetrieb mit 80 Beschäftigten, ein Steuerbüro, eine Werbeagentur oder ein regionaler Einzelhändler fallen unter keine Einrichtungsart der Anlagen. Für sie gilt NIS-2 nicht – unabhängig davon, wie viele Mitarbeiter sie beschäftigen.

Die Betroffenheitsprüfung muss das Unternehmen selbst durchführen

Es gibt keinen Bescheid, der Ihnen mitteilt, dass Sie betroffen sind. Das BSI stellt dazu klar: „Die Prüfung der Betroffenheit ist nach Maßgabe der genannten Vorschrift durch die eventuell Betroffenen selbst durchzuführen.“

Das BSI bietet für diese Selbsteinschätzung eine kostenlose, unverbindliche NIS-2-Betroffenheitsprüfung an. Sie ersetzt keine rechtliche Bewertung, ist aber der sinnvollste erste Schritt und liefert eine dokumentierbare Grundlage. Wer nach dem Durchlauf ein eindeutiges „nicht betroffen“ erhält, sollte das Ergebnis mit Datum ablegen – auch das ist eine Form von Nachweis, etwa gegenüber Kunden, die entsprechende Zusicherungen einfordern.

Uneindeutig wird es typischerweise bei Unternehmen, die Leistungen erbringen, die einer Einrichtungsart nur ähneln: die eigene Serverumgebung, die auch Kundendaten hostet; die Softwareabteilung, die für Dritte betreibt; der Betrieb, der neben der Produktion einen Fuhrpark unterhält. In diesen Grenzfällen ist anwaltlicher Rat die richtige Ausgabe, nicht ein weiterer Blogbeitrag.

Registrierung ist Pflicht, und die Drei-Monats-Frist knüpft an die Einordnung an

§ 33 BSIG verpflichtet besonders wichtige Einrichtungen, wichtige Einrichtungen sowie Domain-Name-Registry-Dienstleister zur Registrierung beim BSI, und zwar „spätestens drei Monate, nachdem sie erstmals oder erneut als eine der vorgenannten Einrichtungen gelten“.

Die Frist läuft also nicht ab einem bundesweit einheitlichen Stichtag, sondern ab dem Zeitpunkt, an dem Ihr Unternehmen die Voraussetzungen erfüllt. Wer erst durch Wachstum, eine Übernahme oder ein neues Geschäftsfeld in eine Einrichtungsart hineinwächst, muss ab diesem Tag rechnen.

Zu melden sind unter anderem:

Name der Einrichtung einschließlich Rechtsform und, falls einschlägig, Handelsregisternummer
Anschrift und aktuelle Kontaktdaten einschließlich E-Mail-Adresse, öffentlicher IP-Adressbereiche und Telefonnummern
der einschlägige Sektor und die Branche nach Anlage 1 oder 2
die EU-Mitgliedstaaten, in denen Dienste erbracht werden
die zuständigen Aufsichtsbehörden

Der Punkt mit den öffentlichen IP-Adressbereichen wird regelmäßig unterschätzt. Viele Unternehmen wissen auf Anhieb nicht, welche Adressbereiche ihnen zuzurechnen sind – insbesondere, wenn Hosting, Standleitung und Cloud-Dienste über verschiedene Anbieter laufen. Diese Information zu beschaffen dauert länger als das Ausfüllen des Formulars. Änderungen an den registrierten Angaben sind „unverzüglich, spätestens jedoch binnen zwei Wochen“ nachzuziehen.

Stand 3. August 2026: Registrierungsportal, Frist und Zahlen

Dieser Abschnitt wurde nach der Erstveröffentlichung ergänzt, weil sich die praktische Lage seither verändert hat.

Die Registrierung läuft in zwei Schritten: zunächst über „Mein Unternehmenskonto“ mit einem ELSTER-Organisationszertifikat, anschließend über das BSI-Portal. Das BSI-Portal ist seit dem 6. Januar 2026 freigeschaltet; das BSI beziffert den Kreis der betroffenen Unternehmen und Bundeseinrichtungen in seiner Pressemitteilung dazu auf rund 29.500.

Zum Stand 30. Juni 2026 hatten sich 17.729 Einrichtungen registriert, davon 11.501 wichtige und 6.215 besonders wichtige Einrichtungen. Gemessen an der eigenen Schätzung des BSI fehlt damit ein erheblicher Teil.

Zur Frist selbst schreibt das BSI inzwischen unmissverständlich: „Die gesetzliche Registrierungsfrist ist bereits abgelaufen.“ Und weiter: „Von NIS-2 betroffen und noch nicht registriert? Dann jetzt umgehend im BSI-Portal registrieren!“

Eine Bemerkung zu einer Zahl, die im deutschsprachigen Netz häufig auftaucht: Für eine behördliche Nachfrist bis zum 31. Juli 2026 haben wir keine Primärquelle beim BSI gefunden. Die Aussagen, die sich belegen lassen, sind die Drei-Monats-Frist aus § 33 BSIG und die zitierte Feststellung des BSI, dass die gesetzliche Frist abgelaufen ist. Wer die Frist versäumt hat, sollte sich deshalb nicht auf eine vermeintliche Schonfrist verlassen, sondern die Registrierung umgehend nachholen und die eigene Lage rechtlich bewerten lassen.

§ 30 Absatz 2 BSIG ist die eigentliche Arbeitsliste

Betroffene Einrichtungen müssen „geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen“ ergreifen. Was das konkret umfasst, steht in § 30 Absatz 2 BSIG – zehn Bereiche, die als Gliederung eines Sicherheitsprogramms unmittelbar brauchbar sind:

Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik
Bewältigung von Sicherheitsvorfällen
Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement
Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern
Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen
Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen
grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik
Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren
Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen
Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme

Zwei Beobachtungen dazu. Erstens taucht Multi-Faktor-Authentifizierung ausdrücklich im Gesetzestext auf – sie ist keine Empfehlung mehr, sondern für erfasste Einrichtungen ein benannter Maßnahmenbereich. Zweitens ist Nummer 6 der Punkt, an dem die meisten Programme scheitern: Maßnahmen einzuführen ist die kleinere Aufgabe, ihre Wirksamkeit regelmäßig zu bewerten die größere.

Die Meldung läuft in drei Stufen: 24 Stunden, 72 Stunden, ein Monat

§ 32 BSIG gilt für beide Kategorien – für besonders wichtige und für wichtige Einrichtungen gleichermaßen. Gemeldet wird an eine gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe:

Erstmeldung: „unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall“
Meldung: „unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung“
Abschlussmeldung: „spätestens einen Monat nach Übermittlung der Meldung des Sicherheitsvorfalls“

Der Gesetzestext sagt „einen Monat“, nicht „30 Tage“ – die beiden Formulierungen führen je nach Ausgangsdatum zu unterschiedlichen Terminen. Dauert der Vorfall nach einem Monat noch an, tritt zunächst eine Fortschrittsmeldung an die Stelle der Abschlussmeldung.

Entscheidend ist die Kopplung an die Kenntniserlangung. Wer einen Angriff erst nach drei Wochen bemerkt, hat die 24 Stunden nicht verpasst – die Uhr beginnt mit der Kenntnis. Genau deshalb ist Erkennung kein optionaler Komfort: Ohne Monitoring, auswertbare Protokolle und einen internen Meldeweg entsteht Kenntnis zufällig, spät und oft über Dritte.

Die Geschäftsleitung haftet persönlich und muss sich schulen lassen

§ 38 BSIG trägt die Überschrift „Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen“. Die Geschäftsleitung hat die Risikomanagementmaßnahmen nach § 30 „umzusetzen und ihre Umsetzung zu überwachen“.

Zwei Konsequenzen daraus sind für die Praxis wichtiger als der Rest des Paragrafen. Erstens: „Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden.“ Zweitens: Die Geschäftsleitung muss regelmäßig an Schulungen teilnehmen, um Risiken erkennen und bewerten zu können. Delegation an die IT-Abteilung oder an einen Dienstleister verschiebt die Arbeit, nicht die Verantwortung.

Häufig verwechselt wird das mit einer generellen Nachweispflicht. Die turnusmäßigen Nachweise über Sicherheitsaudits, Prüfungen oder Zertifizierungen alle drei Jahre nach § 39 BSIG treffen Betreiber kritischer Anlagen – nicht automatisch jede besonders wichtige Einrichtung.

Auch wer nicht betroffen ist, bekommt NIS-2 über die Lieferkette auf den Tisch

Nummer 4 der Maßnahmenliste verpflichtet erfasste Einrichtungen ausdrücklich auf die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“. Diese Pflicht geben regulierte Unternehmen an ihre Zulieferer weiter – nicht als Gesetz, sondern als Vertragsklausel, Fragebogen und Ausschreibungskriterium.

Praktisch heißt das: Ein 25-Personen-Betrieb, der Teile an einen Automobilzulieferer liefert, ist rechtlich nicht NIS-2-pflichtig, wird aber Auskunft geben müssen zu Zugriffsschutz, Backup, Vorfallmeldung, Patchstand, eingesetzten Unterauftragnehmern und Ansprechpartnern. Wer diese Fragen beantworten kann, verliert weniger Zeit in Vergabeverfahren als der Wettbewerber, der jedes Mal von vorn anfängt.

Für diese Unternehmen ist der sinnvolle Weg nicht ein NIS-2-Projekt, sondern eine belastbare technische Grundlage, wie sie unser IT-Sicherheitscheck und Hardening adressiert – dieselben Maßnahmen, ohne den regulatorischen Überbau. Wer für den Einstieg eine strukturierte Standortbestimmung sucht, findet sie im CyberRisikoCheck nach DIN SPEC 27076, einem vom BSI getragenen Verfahren speziell für kleine Unternehmen. Es sagt allerdings nichts über eine NIS-2-Betroffenheit aus – die beiden Fragen sind getrennt zu beantworten.

Ohne aktuelle Systemübersicht bleibt jede Risikoanalyse Fiktion

Der häufigste Grund, warum Sicherheitsprogramme steckenbleiben, ist banal: Niemand hat eine aktuelle Übersicht der Systeme, Zugänge und Zuständigkeiten. Eine Risikoanalyse über eine unbekannte Landschaft ist Beschäftigung, kein Ergebnis.

Eine erste Bestandsaufnahme sollte mindestens enthalten:

geschäftskritische Prozesse und die Systeme, die sie tragen
Server, Anwendungen und Cloud-Dienste
Netzwerke, Standorte und öffentliche IP-Bereiche
Benutzer- und Identitätssysteme
externe Dienstleister und deren Zugriffe
administrative Zugänge und Dienstkonten
Backups und deren Ablageorte
technische Verantwortliche je System

Die Übersicht muss nicht am ersten Tag vollständig sein. Sie muss aktuell genug sein, um im Ernstfall entscheiden zu können, welches System zuerst wieder laufen muss. Wenn dabei Systeme auftauchen, für die sich niemand mehr zuständig fühlt, die aber weiter produktiv erreichbar sind, haben Sie den wertvollsten Teil der Übung bereits erledigt.

Identitäten sind der erste technische Prüfbereich, nicht der letzte

Ein großer Teil schwerwiegender Vorfälle beginnt mit kompromittierten Zugangsdaten – deshalb steht Multi-Faktor-Authentifizierung auch ausdrücklich in § 30 Absatz 2 Nummer 10. Zu klären ist:

Ist MFA für administrative und für alle produktiven Benutzerkonten aktiv?
Sind persönliche Administratorkonten von den täglichen Arbeitskonten getrennt?
Existieren veraltete, ungenutzte oder verwaiste Konten?
Sind Dienstkonten dokumentiert und ihre Berechtigungen begrenzt?
Wie werden Zugänge beim Austritt tatsächlich entzogen – und wer prüft das nach?
Gibt es Notfallkonten, und sind sie stark geschützt statt bequem?

Für Umgebungen auf Basis von Microsoft 365 und Entra ID haben wir das in einem eigenen Beitrag ausgeführt: Microsoft 365 absichern – was Microsoft erzwingt und was Sie selbst regeln müssen. Dort steht auch, warum die von Microsoft erzwungene MFA-Pflicht deutlich schmaler ist, als ihr Ruf vermuten lässt.

Ein Backup, das nie zurückgespielt wurde, ist kein Wiederanlaufplan

Nummer 3 der Maßnahmenliste nennt Backup-Management und Wiederherstellung ausdrücklich. Der Unterschied zwischen einer Sicherung und einem Wiederanlaufplan entscheidet sich an Fragen, die sich nicht am Backup-Server beantworten lassen:

Welche Daten werden gesichert, wie häufig, wie lange aufbewahrt?
Können Angreifer die Backups mit denselben Zugangsdaten löschen, mit denen sie die Produktivsysteme erreicht haben?
Gibt es getrennte oder unveränderbare Kopien?
Wie lange dauert eine vollständige Wiederherstellung des wichtigsten Systems – gemessen, nicht geschätzt?
Wer hat im Notfall Zugriff auf die Dokumentation, wenn das Dokumentationssystem selbst ausgefallen ist?

Der letzte Punkt klingt konstruiert und ist es nicht. Notfallpläne, Passwortlisten und Wiederherstellungsanleitungen liegen erstaunlich oft ausschließlich auf der Infrastruktur, deren Ausfall sie behandeln. Wie Server, Netzwerke und Sicherungen sauber getrennt aufgesetzt werden, gehört zum Aufbau und Betrieb der IT-Infrastruktur.

Dienstleisterverträge müssen Sicherheits- und Mitwirkungspflichten regeln

Hosting, Software, Administration und Support liegen bei Dienstleistern – die Verantwortung bleibt beim Unternehmen. Ein Vertrag, der nur Preis und Verfügbarkeit beschreibt, hilft im Vorfall nicht weiter. Zu regeln sind:

welche Sicherheitsmaßnahmen der Dienstleister tatsächlich übernimmt
wie und innerhalb welcher Zeit er Vorfälle meldet – auch solche in seiner eigenen Umgebung
welche Unterauftragnehmer eingesetzt werden
wo Daten und Backups liegen
wie schnell ein Zugang entzogen werden kann
welche Mitwirkung er bei einer Meldung nach § 32 leistet
welche Exit- und Übergabemöglichkeiten bestehen

Der letzte Punkt ist der unbequemste und der wichtigste: Wer nicht beschreiben kann, wie er einen Dienstleister wechseln würde, hat kein Vertragsverhältnis, sondern eine Abhängigkeit.

Ein 90-Tage-Plan ersetzt keine Umsetzung, schafft aber eine belastbare Grundlage

Tage 1 bis 30

Betroffenheit prüfen, Ergebnis mit Datum dokumentieren, bei Unklarheit rechtlich klären lassen
Verantwortliche in Geschäftsleitung und IT benennen
kritische Prozesse und die tragenden Systeme erfassen
administrative Zugänge und MFA-Status prüfen
Backup-Status und letzten erfolgreichen Wiederherstellungstest feststellen
bei Betroffenheit: Registrierung vorbereiten, insbesondere die öffentlichen IP-Bereiche zusammentragen

Tage 31 bis 60

Risiken je Prozess bewerten und priorisieren
nicht mehr unterstützte Systeme und kritische Schwachstellen behandeln
Monitoring und internen Meldeweg so aufsetzen, dass Kenntniserlangung nicht vom Zufall abhängt
Dienstleister, Verträge und Zugriffe erfassen
Wiederherstellung des wichtigsten Systems tatsächlich testen und die Dauer messen

Tage 61 bis 90

umgesetzte Maßnahmen nachvollziehbar dokumentieren
Notfallablauf einmal durchspielen, inklusive Erreichbarkeit außerhalb der Geschäftszeiten
Schulung für Geschäftsleitung und Mitarbeiter terminieren
offene Risiken mit Verantwortlichen und Terminen versehen
Wiederholungszyklus für die Wirksamkeitsprüfung nach Nummer 6 festlegen

Dieser Plan ist keine NIS-2-Umsetzung und darf nicht als solche verkauft werden. Er sorgt dafür, dass die Umsetzung auf belastbaren Informationen aufsetzt statt auf Vermutungen. Dass die Punkte nach 90 Tagen nicht wieder veralten, ist eine Frage der laufenden technischen Betreuung, nicht einer einmaligen Anstrengung.

Was TakFlow übernimmt – und was ausdrücklich nicht

Wir setzen technische Maßnahmen um und dokumentieren sie: Bestandsaufnahme, MFA und Identitätsstruktur, Berechtigungen, Backup- und Wiederherstellungskonzept, Monitoring, Systemhärtung, Updateprozesse und technische Dokumentation.

Nicht Bestandteil unserer Leistung sind Rechtsberatung zu NIS-2 oder DSGVO, die verbindliche Feststellung Ihrer Betroffenheit, verbindliche Compliance-Zertifizierungen, Penetrationstests, ein Security Operations Center und forensische Incident Response. Wenn Ihr Vorhaben das braucht, sagen wir das und verweisen auf spezialisierte Anbieter, statt ein Versprechen abzugeben, das wir nicht halten können.

NIS-2 ist kein Projekt mit Enddatum

Die Anforderungen zielen auf eine Sicherheitsorganisation, die dauerhaft funktioniert – nicht auf einen Zustand, den man einmal erreicht und abhakt. Nummer 6 der Maßnahmenliste sagt genau das: Die Wirksamkeit ist zu bewerten, immer wieder.

Der sinnvollste erste Schritt ist deshalb weder ein neues Produkt noch ein Beratungsprojekt, sondern eine ehrliche Antwort auf drei Fragen: Fallen wir überhaupt unter eine Einrichtungsart? Wissen wir, welche Systeme unser Geschäft tragen? Und würden wir es merken, wenn heute jemand darin unterwegs wäre?

Handlungsaufruf

Wenn Sie Ihre technische Ausgangslage einschätzen lassen möchten, nehmen wir sie strukturiert auf: Systeme, Zugänge, MFA, Berechtigungen, Backup, Monitoring und Dokumentation. Sie erhalten eine nachvollziehbare Bestandsaufnahme mit priorisierten Maßnahmen – und eine klare Aussage dazu, wo Sie rechtliche Beratung brauchen, die wir nicht erbringen.

Technische Bestandsaufnahme anfragen

Weiterführend: IT-Sicherheitscheck und Hardening · Microsoft 365 absichern: MFA, Rollen und Freigaben · DIN SPEC 27076 und der CyberRisikoCheck

NIS-2 in Deutschland: Wer betroffen ist, was gemeldet werden muss und was das technisch bedeutet