NIS2 ist kein einzelnes Softwareprodukt. Das deutsche BSI-Gesetz verlangt bei betroffenen Einrichtungen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen – einschließlich Dokumentation. Ein weiteres Dashboard erfüllt diese Pflicht nicht, wenn Risiko, Betrieb, Lieferkette und Incident-Prozess unverändert bleiben.
Kurzantwort: Das deutsche NIS2-Umsetzungsgesetz gilt seit 6. Dezember 2025. Ob ein Unternehmen betroffen ist, hängt unter anderem von Einrichtungsart, Sektor, Beschäftigten- und Finanzschwellen sowie Sonderfällen ab. Betroffene Einrichtungen müssen Risikomaßnahmen dokumentieren, sich registrieren und erhebliche Vorfälle mehrstufig melden. Ein Evidence Agent kann Nachweise und Fristen koordinieren, ersetzt aber weder Sicherheitsmaßnahmen noch Geschäftsleitungsverantwortung.
Fachlich und quellenbezogen geprüft: 2026-07-23
Pflichtprozess · Evidence First
Ein Compliance Evidence Agent verbindet amtliche Quellen, wirksame Kontrollen, Owner, Fristen und Belege aus vorhandenen Systemen. Er markiert Lücken und bereitet Nachweisakten vor – ohne Rechtsfragen autonom zu entscheiden, Kontrollen zu ersetzen oder Compliance zu bescheinigen.
Keine Rechts- oder Steuerberatung. Die konkrete Betroffenheit und Umsetzung muss durch die zuständigen Fach- und Rechtsexperten freigegeben werden.
§ 28 BSIG unterscheidet besonders wichtige und wichtige Einrichtungen. Neben Sektor und Einrichtungsart spielen Schwellenwerte eine Rolle; für viele in den Anlagen genannten Einrichtungsarten beginnt die wichtige Einrichtung grundsätzlich ab 50 Beschäftigten oder bestimmten Umsatz- und Bilanzwerten. Sonderregeln und Ausnahmen machen eine reine Größenprüfung unzureichend.
Das BSI stellt einen Entscheidungsbaum bereit. Das Ergebnis wird mit Gesellschaftsstruktur, Tätigkeit, Sektor und aktuellen Kennzahlen dokumentiert und fachlich beziehungsweise rechtlich bestätigt. Der Agent kann Daten vorbereiten, aber keine verbindliche Betroffenheit feststellen.
§ 30 BSIG nennt unter anderem Risikoanalyse, Vorfallbewältigung, Business Continuity und Backup, Lieferkettensicherheit, sichere Beschaffung und Entwicklung, Wirksamkeitsprüfung, Schulung, Kryptografie, Personal- und Zugriffssicherheit sowie Multi-Faktor-Authentifizierung. Maßnahmen müssen geeignet, verhältnismäßig, wirksam und dokumentiert sein.
Für den TCO wird jedes Feld in bestehende Kontrolle, Lücke, Owner, Nachweis, Umsetzungsaufwand und laufenden Betrieb übersetzt. Oft existieren bereits Backups, Identitätsmanagement, Tickets und Lieferantenprozesse. Eine neue Suite ist nur für die fehlende Koordination oder Kontrolle zu kalkulieren, nicht für bereits vorhandene Technik.
§ 33 BSIG verlangt die Registrierung grundsätzlich spätestens drei Monate, nachdem eine Einrichtung erstmals oder erneut als betroffen gilt. § 32 sieht bei erheblichen Sicherheitsvorfällen eine frühe Erstmeldung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, sowie weitere Meldeschritte vor.
Nach § 38 müssen Geschäftsleitungen die Risikomanagementmaßnahmen umsetzen und überwachen; außerdem müssen sie regelmäßig an Schulungen teilnehmen. Damit sind Owner, Eskalationsweg, Nachweis und Zeitstempel keine optionalen Reporting-Funktionen, sondern Teile des Betriebsprozesses.
Der Agent verknüpft Risikoregister, Kontrollbeschreibung, Policy, Ticket, Backup-Test, Lieferantennachweis, Schulung und Incident-Runbook. Er erkennt fehlende oder abgelaufene Belege, fordert Owner zur Aktualisierung auf und baut für Reviews eine Nachweisakte mit Quelle und Zeitraum.
Er ist weder SIEM noch Schwachstellenscanner noch Incident Commander. Bei einem Sicherheitsvorfall kann er Fakten sammeln, Fristen sichtbar machen und einen Meldungsentwurf vorbereiten; Freigabe, Bewertung und Übermittlung erfolgen durch den definierten Krisen- und Meldeprozess.
| Baustein | GRC-/Security-Suite | Bestehende Kontrollen plus Evidence Agent |
|---|---|---|
| Risikoregister | Zentrales Modell und Standardworkflows. | Bestehendes Register wird mit Quellen, Ownern und Nachweisen verbunden. |
| Technische Kontrolle | Teilweise eigene Module oder Integrationen. | Backup, IAM, Scanner und Tickets bleiben führend; Agent sammelt Evidence. |
| Incident | Integrierte Workflows und Reporting. | Vorhandener Krisenprozess wird um Fristen, Faktenakte und Freigabe ergänzt. |
| Audit | Vorgefertigte Kontrollkataloge und Reports. | Nur tatsächlich benötigte Nachweislinie mit amtlicher Quelle. |
| Grenze | Lizenz, Einführung und Datenmigration. | Eigene Kontrollarchitektur und laufende Evidence-Qualität bleiben Verantwortung. |
Eine Evidence-Schicht ersetzt keine technische Sicherheitsmaßnahme. Wirtschaftlich vergleichbar sind nur Optionen, die dieselben Kontrollen, Nachweise und Verantwortlichkeiten abdecken.
Beispielrechnung mit Annahmen
Zeitraum: 36 Monate
In diesem Annahmen-Szenario liegt die Evidence-Schicht 65.800 Euro unter der neuen Suite.
Alle Euro-Werte sind frei gewählt und keine Anbieterpreise. Kosten zur tatsächlichen Schließung technischer oder organisatorischer Lücken fehlen bewusst und fallen bei beiden Optionen an. Das Ergebnis ist weder Compliance- noch Einsparungsversprechen.
Entscheidungscheck
Ist die Betroffenheit anhand aktueller Einrichtungsart, Sektor- und Schwellenwerte dokumentiert?
Welche der gesetzlichen Maßnahmenfelder sind bereits wirksam umgesetzt?
Gibt es je Kontrolle Owner, Beleg, Prüfdatum und offenen Befund?
Sind Registrierung, 24-Stunden-Eskalation und weitere Meldeschritte praktisch geprobt?
Wie setzt und überwacht die Geschäftsleitung Maßnahmen und Schulungen?
Welche Lücke braucht Technik und welche nur bessere Evidence-Verknüpfung?
Vom Check in den Betrieb
Amtliche Quellen, Anwendungsbereich, Fristen, vorhandene Systeme, Verantwortliche und bereits vorhandene Nachweise werden gemeinsam mit zuständigen Fach- und Rechtsrollen abgegrenzt.
Ergebnis: Quellenbezogene Pflichtenmatrix ohne automatisches Rechtsurteil
Ein begrenzter Kontrollprozess sammelt Belege, prüft Vollständigkeit, verfolgt Owner und Fristen und legt jede Bewertung zur fachlichen Freigabe vor.
Ergebnis: Messbare Nachweisqualität, Bearbeitungszeit und Restarbeit
Inventare, Dokumente, Tickets, Schulungsnachweise und Meldedaten werden mit minimalen Rechten, Versionierung, Audit Trail und menschlicher Entscheidung integriert.
Ergebnis: Produktiver Pflichtprozess mit nachvollziehbarer Verantwortlichkeit
Quellenstand, Kontrollstatus, Fehler, Fristen, Zugriffe, Modelländerungen und offene Maßnahmen werden laufend überwacht und regelmäßig fachlich neu freigegeben.
Ergebnis: Prüfbare Nachweisakte statt einmaligem Compliance-Projekt
Passende Agenten-Bausteine
Verfolgt Kontrollen, Owner, Belege, Fristen und Eskalationen über vorhandene Systeme.
LösungsbeispielStellt Richtlinien, Runbooks und amtliche Quellen mit Versionsbezug bereit.
LösungsbeispielOrdnet sensible Sicherheitsdaten, minimale Zugriffe und kontrollierten Betrieb ein.
Stichtage und Pflichten sind mit amtlichen Quellen verlinkt. Rechtslage und Auslegung können sich ändern; die konkrete Betroffenheit muss im Einzelfall geprüft werden. Euro-Beträge in den Rechenbeispielen sind ausdrücklich offengelegte Annahmen und keine Anbieterpreise.
Aktueller Gesetzestext zu betroffenen Einrichtungen, dokumentierten Risikomanagementmaßnahmen, Melde- und Registrierungspflichten sowie Pflichten der Geschäftsleitung.
Abgerufen am 2026-07-23
Offizielle Angabe zum Inkrafttreten des deutschen NIS2-Umsetzungsgesetzes am 6. Dezember 2025 und zum BSI-Portal für Registrierung und Vorfallmeldungen.
Abgerufen am 2026-07-23
Offizieller Entscheidungsbaum zu Sektoren, Beschäftigten- und Finanzschwellen für besonders wichtige und wichtige Einrichtungen.
Abgerufen am 2026-07-23
FAQ
Nein. Größe allein reicht nicht. Entscheidend sind Einrichtungsart, Sektor, Tätigkeit, Schwellenwerte und Sonderfälle nach § 28 und den Anlagen des BSI-Gesetzes. Der BSI-Entscheidungsbaum unterstützt die Prüfung, ersetzt aber keine verbindliche Einzelfallbewertung.
Das BSI nennt den 6. Dezember 2025 als Inkrafttreten. Seitdem gelten für erfasste Einrichtungen die jeweiligen Registrierungs-, Risiko-, Melde- und weiteren Pflichten des BSI-Gesetzes.
§ 32 BSIG verlangt eine frühe Erstmeldung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls. Weitere Meldeschritte und Inhalte folgen. Der konkrete Incident-Prozess muss diese Eskalation vor einem Ernstfall abbilden.
Nach § 38 BSIG müssen Geschäftsleitungen betroffener besonders wichtiger und wichtiger Einrichtungen Risikomanagementmaßnahmen umsetzen und überwachen sowie regelmäßig an Schulungen teilnehmen. Ein Tool kann diese Verantwortung nicht übernehmen.
Nein. Er kann Nachweise sammeln, Lücken markieren, Owner und Fristen verfolgen und Meldungsentwürfe vorbereiten. Wirksame Sicherheitsmaßnahmen, Risikobewertung, Incident-Entscheidung und Geschäftsleitungsaufsicht bleiben bei der Organisation.
Das Gesetz schreibt keine bestimmte Suite vor. Benötigt werden wirksame, verhältnismäßige und dokumentierte Maßnahmen. Ob vorhandene Systeme plus Evidence-Schicht oder eine Suite wirtschaftlicher sind, hängt von Lücken, Größe, Integrationen und Auditbedarf ab.
Nächster Schritt
Im Compliance-Kostenaudit übersetzen wir den konkreten Pflichtanlass in Kontrollen, Nachweise, Owner und Systemgrenzen. Danach ist klar, was bereits vorhanden ist, welche Lücke wirklich bleibt und ob Suite oder Evidence Agent den tragfähigeren Pfad bildet.
