01Betroffenheit und Mindestkontrollen klären
Amtliche Quellen, Anwendungsbereich, Fristen, vorhandene Systeme, Verantwortliche und bereits vorhandene Nachweise werden gemeinsam mit zuständigen Fach- und Rechtsrollen abgegrenzt.
Softwarekosten senken / NIS2
NIS2-Compliance im Mittelstand: Kosten in Kontrollen übersetzen
Vor der Toolentscheidung: Anforderungen und vorhandene Kontrollen klären.
NIS2 ist kein einzelnes Softwareprodukt. Das deutsche BSI-Gesetz verlangt bei betroffenen Einrichtungen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen – einschließlich Dokumentation. Ein weiteres Dashboard erfüllt diese Pflicht nicht, wenn Risiko, Betrieb, Lieferkette und Incident-Prozess unverändert bleiben.
Quellenstand: 2026-07-23 · Einzelne Angaben können sich ändern.
Die Entscheidung in Kürze
Das deutsche NIS2-Umsetzungsgesetz gilt seit 6. Dezember 2025. Ob ein Unternehmen betroffen ist, hängt unter anderem von Einrichtungsart, Sektor, Beschäftigten- und Finanzschwellen sowie Sonderfällen ab. Betroffene Einrichtungen müssen Risikomaßnahmen dokumentieren, sich registrieren und erhebliche Vorfälle mehrstufig melden. Ein Evidence Agent kann Nachweise und Fristen koordinieren, ersetzt aber weder Sicherheitsmaßnahmen noch Geschäftsleitungsverantwortung.
Ihr Weg zur begründeten Entscheidung
Anforderungen klären. Nachweise verbinden. Aufwand prüfen.
Die fachlich geklärten Pflichten und wirksamen Kontrollen bilden den Maßstab. Der Ablauf zeigt, wie die technische Unterstützung geprüft wird.
NIS2
EINGANG / 01
Fachlich geklärte Anforderungen
ERGEBNIS
Quellenbezogene Pflichtenmatrix ohne automatisches Rechtsurteil
02Einen Evidence-Workflow mit echten Nachweisen testen
Ein begrenzter Kontrollprozess sammelt Belege, prüft Vollständigkeit, verfolgt Owner und Fristen und legt jede Bewertung zur fachlichen Freigabe vor.
03Quellen, Rollen und Eskalationen produktiv verbinden
Inventare, Dokumente, Tickets, Schulungsnachweise und Meldedaten werden mit minimalen Rechten, Versionierung, Audit Trail und menschlicher Entscheidung integriert.
04Regelstand, Nachweise und Ausnahmen aktuell halten
Quellenstand, Kontrollstatus, Fehler, Fristen, Zugriffe, Modelländerungen und offene Maßnahmen werden laufend überwacht und regelmäßig fachlich neu freigegeben.
Illustrativer Ablauf. Keine Live-Daten oder behaupteten Kundenergebnisse. Alle Schritte lassen sich einzeln auswählen.
Unternehmen in den Anlagen 1 und 2 des BSI-Gesetzes mit möglicher Schwellenwert-Relevanz
Geschäftsleitungen vor oder nach einer NIS2-Betroffenheitsprüfung
IT- und Sicherheitsteams mit Nachweisen in Tickets, Dokumenten und Einzelsystemen
Mittelständler vor dem Kauf einer weiteren GRC- oder Security-Compliance-Suite
Pflichtprozess · Evidence First
Erst Pflicht und Nachweis klären. Dann den Stack wählen.
Ein Compliance Evidence Agent verbindet amtliche Quellen, wirksame Kontrollen, Owner, Fristen und Belege aus vorhandenen Systemen. Er markiert Lücken und bereitet Nachweisakten vor – ohne Rechtsfragen autonom zu entscheiden, Kontrollen zu ersetzen oder Compliance zu bescheinigen.
Keine Rechts- oder Steuerberatung. Die konkrete Betroffenheit und Umsetzung muss durch die zuständigen Fach- und Rechtsexperten freigegeben werden.
Betroffenheit ist die erste Kontrolle – nicht die erste Lizenz.
§ 28 BSIG unterscheidet besonders wichtige und wichtige Einrichtungen. Neben Sektor und Einrichtungsart spielen Schwellenwerte eine Rolle; für viele in den Anlagen genannten Einrichtungsarten beginnt die wichtige Einrichtung grundsätzlich ab 50 Beschäftigten oder bestimmten Umsatz- und Bilanzwerten. Sonderregeln und Ausnahmen machen eine reine Größenprüfung unzureichend.
Das BSI stellt einen Entscheidungsbaum bereit. Das Ergebnis wird mit Gesellschaftsstruktur, Tätigkeit, Sektor und aktuellen Kennzahlen dokumentiert und fachlich beziehungsweise rechtlich bestätigt. Der Agent kann Daten vorbereiten, aber keine verbindliche Betroffenheit feststellen.
Das Gesetz beschreibt zehn Maßnahmenfelder – keine Produktliste.
§ 30 BSIG nennt unter anderem Risikoanalyse, Vorfallbewältigung, Business Continuity und Backup, Lieferkettensicherheit, sichere Beschaffung und Entwicklung, Wirksamkeitsprüfung, Schulung, Kryptografie, Personal- und Zugriffssicherheit sowie Multi-Faktor-Authentifizierung. Maßnahmen müssen geeignet, verhältnismäßig, wirksam und dokumentiert sein.
Für den TCO wird jedes Feld in bestehende Kontrolle, Lücke, Owner, Nachweis, Umsetzungsaufwand und laufenden Betrieb übersetzt. Oft existieren bereits Backups, Identitätsmanagement, Tickets und Lieferantenprozesse. Eine neue Suite ist nur für die fehlende Koordination oder Kontrolle zu kalkulieren, nicht für bereits vorhandene Technik.
Registrierung, Vorfallmeldung und Geschäftsleitung erzeugen harte Workflows.
§ 33 BSIG verlangt die Registrierung grundsätzlich spätestens drei Monate, nachdem eine Einrichtung erstmals oder erneut als betroffen gilt. § 32 sieht bei erheblichen Sicherheitsvorfällen eine frühe Erstmeldung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, sowie weitere Meldeschritte vor.
Nach § 38 müssen Geschäftsleitungen die Risikomanagementmaßnahmen umsetzen und überwachen; außerdem müssen sie regelmäßig an Schulungen teilnehmen. Damit sind Owner, Eskalationsweg, Nachweis und Zeitstempel keine optionalen Reporting-Funktionen, sondern Teile des Betriebsprozesses.
Der NIS2-Evidence-Agent hält die Nachweislinie zusammen.
Der Agent verknüpft Risikoregister, Kontrollbeschreibung, Policy, Ticket, Backup-Test, Lieferantennachweis, Schulung und Incident-Runbook. Er erkennt fehlende oder abgelaufene Belege, fordert Owner zur Aktualisierung auf und baut für Reviews eine Nachweisakte mit Quelle und Zeitraum.
Er ist weder SIEM noch Schwachstellenscanner noch Incident Commander. Bei einem Sicherheitsvorfall kann er Fakten sammeln, Fristen sichtbar machen und einen Meldungsentwurf vorbereiten; Freigabe, Bewertung und Übermittlung erfolgen durch den definierten Krisen- und Meldeprozess.
- • Kontrolle → Owner → Beleg → Prüfdatum → offener Befund
- • Keine selbst erfundenen Nachweise oder Risikobewertungen
- • 24-Stunden-Frist als Eskalationssignal, nicht als autonome Meldung
- • Geschäftsleitungs- und Schulungsnachweise mit verantwortlicher Freigabe
Vergleich auf derselben Basis
| Baustein | GRC-/Security-Suite | Bestehende Kontrollen plus Evidence Agent |
|---|---|---|
| Risikoregister | Zentrales Modell und Standardworkflows. | Bestehendes Register wird mit Quellen, Ownern und Nachweisen verbunden. |
| Technische Kontrolle | Teilweise eigene Module oder Integrationen. | Backup, IAM, Scanner und Tickets bleiben führend; Agent sammelt Evidence. |
| Incident | Integrierte Workflows und Reporting. | Vorhandener Krisenprozess wird um Fristen, Faktenakte und Freigabe ergänzt. |
| Audit | Vorgefertigte Kontrollkataloge und Reports. | Nur tatsächlich benötigte Nachweislinie mit amtlicher Quelle. |
| Grenze | Lizenz, Einführung und Datenmigration. | Eigene Kontrollarchitektur und laufende Evidence-Qualität bleiben Verantwortung. |
Eine Evidence-Schicht ersetzt keine technische Sicherheitsmaßnahme. Wirtschaftlich vergleichbar sind nur Optionen, die dieselben Kontrollen, Nachweise und Verantwortlichkeiten abdecken.
Beispielrechnung mit Annahmen
Neue GRC-Suite vs. Evidence-Schicht auf vorhandenen Sicherheitskontrollen
Zeitraum: 36 Monate
Annahmen
- • GRC-Suite: 25.000 Euro Einführung und 54.000 Euro pro Jahr als frei gewählte Beispielannahmen
- • Evidence-Schicht: 42.000 Euro Implementierung und 2.200 Euro pro Monat für Betrieb, Integration, Monitoring und Support als Beispielannahmen
- • Vorhandene IAM-, Backup-, Ticket-, Scanner- und Dokumentensysteme bleiben bestehen
- • Identischer begrenzter NIS2-Nachweisumfang; technische Lückenschließung, Beratung, Prüfung und interne Zeit nicht enthalten
Rechenweg
- 1. GRC-Suite: 25.000 € + 54.000 € × 3 = 187.000 €
- 2. Evidence-Schicht Implementierung: 42.000 €
- 3. Evidence-Schicht Betrieb: 2.200 € × 36 = 79.200 €
- 4. Evidence-Schicht gesamt: 42.000 € + 79.200 € = 121.200 €
In diesem Annahmen-Szenario liegt die Evidence-Schicht 65.800 Euro unter der neuen Suite.
Alle Euro-Werte sind frei gewählt und keine Anbieterpreise. Kosten zur tatsächlichen Schließung technischer oder organisatorischer Lücken fehlen bewusst und fallen bei beiden Optionen an. Das Ergebnis ist weder Compliance- noch Einsparungsversprechen.
Entscheidungscheck
Diese Fragen müssen vor dem Beschluss beantwortet sein.
Ist die Betroffenheit anhand aktueller Einrichtungsart, Sektor- und Schwellenwerte dokumentiert?
Welche der gesetzlichen Maßnahmenfelder sind bereits wirksam umgesetzt?
Gibt es je Kontrolle Owner, Beleg, Prüfdatum und offenen Befund?
Sind Registrierung, 24-Stunden-Eskalation und weitere Meldeschritte praktisch geprobt?
Wie setzt und überwacht die Geschäftsleitung Maßnahmen und Schulungen?
Welche Lücke braucht Technik und welche nur bessere Evidence-Verknüpfung?
Passende Agenten-Bausteine
Nicht jede Funktion braucht eine weitere Vollsuite.
Lösungsbeispiel
Business-Ops-Agent
Verfolgt Kontrollen, Owner, Belege, Fristen und Eskalationen über vorhandene Systeme.
LösungsbeispielKI-Wissensagent
Stellt Richtlinien, Runbooks und amtliche Quellen mit Versionsbezug bereit.
LösungsbeispielLokaler privater KI-Agent
Ordnet sensible Sicherheitsdaten, minimale Zugriffe und kontrollierten Betrieb ein.
Wir entwickeln auch eigene Produkte
Die Fragen aus Ihrem Projekt kennen wir aus der Umsetzung.
Daten zusammenführen, Ergebnisse prüfen, an Menschen übergeben: Daran arbeiten wir auch in unseren eigenen Projekten. Hier können Sie sich ein Bild davon machen.
Unsere Produkte im ÜberblickAusschreibungsagenten
Eigene Entwicklung · Pilot
Öffentliche Quellen bündeln, Treffer nach nachvollziehbaren Kriterien zuordnen und eine Vorauswahl mit Originalquellen bereitstellen.
KI-Vertriebstrainer
Eigene Entwicklung · Training
Gesprächssituationen und Einwandbehandlung mit KI üben. Trainingsmodule verbinden wiederholbare Szenarien mit strukturiertem Feedback.
Medikationsberatung
Eigene Entwicklung · Apotheken-Pilot
Digitale Anfrage und Vorgespräch mit der Übergabe an das Apothekenteam verbinden. Angaben und Gesprächsprotokolle werden im geschützten CRM bereitgestellt.
Eigene Projekte belegen Entwicklungspraxis. Sie sind keine Kundenreferenzen und keine Zusage für bestimmte Einsparungen oder Umsätze.
Quellen und Prüfstand
Stichtage und Pflichten sind mit amtlichen Quellen verlinkt. Rechtslage und Auslegung können sich ändern; die konkrete Betroffenheit muss im Einzelfall geprüft werden. Euro-Beträge in den Rechenbeispielen sind ausdrücklich offengelegte Annahmen und keine Anbieterpreise.
- Bundesministerium der Justiz / Bundesamt für Justiz: BSI-Gesetz 2025
Aktueller Gesetzestext zu betroffenen Einrichtungen, dokumentierten Risikomanagementmaßnahmen, Melde- und Registrierungspflichten sowie Pflichten der Geschäftsleitung.
Abgerufen am 2026-07-23
- Bundesamt für Sicherheit in der Informationstechnik: Informationen zur NIS2-Registrierung
Offizielle Angabe zum Inkrafttreten des deutschen NIS2-Umsetzungsgesetzes am 6. Dezember 2025 und zum BSI-Portal für Registrierung und Vorfallmeldungen.
Abgerufen am 2026-07-23
- Bundesamt für Sicherheit in der Informationstechnik: NIS-2-Betroffenheitsprüfung
Offizieller Entscheidungsbaum zu Sektoren, Beschäftigten- und Finanzschwellen für besonders wichtige und wichtige Einrichtungen.
Abgerufen am 2026-07-23
FAQ
Häufige Fragen
Gilt NIS2 für jedes mittelständische Unternehmen ab 50 Beschäftigten?
Nein. Größe allein reicht nicht. Entscheidend sind Einrichtungsart, Sektor, Tätigkeit, Schwellenwerte und Sonderfälle nach § 28 und den Anlagen des BSI-Gesetzes. Der BSI-Entscheidungsbaum unterstützt die Prüfung, ersetzt aber keine verbindliche Einzelfallbewertung.
Seit wann gilt das deutsche NIS2-Umsetzungsgesetz?
Das BSI nennt den 6. Dezember 2025 als Inkrafttreten. Seitdem gelten für erfasste Einrichtungen die jeweiligen Registrierungs-, Risiko-, Melde- und weiteren Pflichten des BSI-Gesetzes.
Welche Frist gilt für einen erheblichen Sicherheitsvorfall?
§ 32 BSIG verlangt eine frühe Erstmeldung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls. Weitere Meldeschritte und Inhalte folgen. Der konkrete Incident-Prozess muss diese Eskalation vor einem Ernstfall abbilden.
Welche Verantwortung hat die Geschäftsleitung?
Nach § 38 BSIG müssen Geschäftsleitungen betroffener besonders wichtiger und wichtiger Einrichtungen Risikomanagementmaßnahmen umsetzen und überwachen sowie regelmäßig an Schulungen teilnehmen. Ein Tool kann diese Verantwortung nicht übernehmen.
Kann ein Agent NIS2-Compliance herstellen?
Nein. Er kann Nachweise sammeln, Lücken markieren, Owner und Fristen verfolgen und Meldungsentwürfe vorbereiten. Wirksame Sicherheitsmaßnahmen, Risikobewertung, Incident-Entscheidung und Geschäftsleitungsaufsicht bleiben bei der Organisation.
Braucht NIS2 zwingend eine GRC-Suite?
Das Gesetz schreibt keine bestimmte Suite vor. Benötigt werden wirksame, verhältnismäßige und dokumentierte Maßnahmen. Ob vorhandene Systeme plus Evidence-Schicht oder eine Suite wirtschaftlicher sind, hängt von Lücken, Größe, Integrationen und Auditbedarf ab.
Verwandte Kostenentscheidungen
Compliance-Vergleich
Compliance-Suite vs. Agenten-Lösung: Pflicht mit kleinem Stack erfüllen
EU AI ActEU AI Act: Compliance-Kosten im Mittelstand kontrollieren
Exit-FähigkeitVendor-Lock-in vermeiden: Exit-Kosten vor dem Kauf rechnen
BerufsgeheimnisKI bei Berufsgeheimnisträgern: warum ein AVV das Strafrecht nicht löst
Nächster Schritt
Welche Nachweisarbeit bindet Ihr Team?
Nennen Sie den fachlich geklärten Anlass, vorhandene Systeme und die offenen Aufgaben. Wir besprechen, welche technische Unterstützung sinnvoll sein kann und welcher Umfang für eine vertiefte Prüfung nötig ist.