Wie SecureVisio die NIS2-Anforderungen abdeckt (§30–§38 BSIG)

Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist am 06.12.2025 in Kraft getreten – ohne materielle Übergangsfristen. Die Registrierungsfrist für Einrichtungen, die zum Zeitpunkt des Inkrafttretens bereits in den Anwendungsbereich fielen, ist am 06.03.2026 abgelaufen. Medienberichten zufolge (Stand Ende Mai 2026) hatten sich erst rund 18.500 von etwa 29.500 betroffenen Einrichtungen registriert.

Demo anfordern Mehr erfahren

Die Situation im Juli 2026

Wer heute als besonders wichtige oder wichtige Einrichtung eingestuft ist, muss die Risikomanagementmaßnahmen nach §30 BSIG umgesetzt haben, muss im Ereignisfall die Meldefristen des §32 BSIG einhalten können und muss beides dokumentieren (§30 Abs. 1 Satz 3 BSIG).

Genau hier zeigen sich in vielen Organisationen die Lücken: Maßnahmen existieren auf dem Papier, sind aber nicht nachweisbar; Vorfälle werden erkannt, aber nicht fristgerecht bewertet und gemeldet. Diese Umsetzungslücken zu schließen ist die Aufgabe für 2026.

Regulatorischer Kontext: Wer muss was umsetzen?

Wer betroffen ist (§28 BSIG): Das Gesetz unterscheidet zwischen besonders wichtigen Einrichtungen (bwE), wichtigen Einrichtungen (wE) und Betreibern kritischer Anlagen (KRITIS) – Letztere eine Teilmenge mit zusätzlichen Pflichten, die weiter unten auf dieser Seite behandelt werden. Die Schwellenwerte richten sich im Wesentlichen nach Mitarbeiterzahl und Umsatz, und die genauen Zahlen ändern selten etwas daran, was eine Organisation tatsächlich zu tun hat – entscheidend ist die Kategorie, in der Sie landen.

Die Kernpflichten:

§30 – Risikomanagement:

Zehn verpflichtende Maßnahmenkategorien, von der Risikoanalyse über Incident Handling, Lieferkette und Schwachstellenmanagement bis zur Multi-Faktor-Authentisierung; Maßstab sind Stand der Technik und Verhältnismäßigkeit.

§32 – Meldepflichten:

Bei erheblichen Sicherheitsvorfällen ein dreistufiges Verfahren gegenüber dem BSI: Frühwarnung innerhalb von ≤ 24 Stunden, Meldung mit Erstbewertung innerhalb von ≤ 72 Stunden, Abschlussmeldung spätestens einen Monat danach.

§38 – Geschäftsleitung:

Muss die Maßnahmen nach §30 umsetzen und überwachen; haftet der Einrichtung gegenüber nach gesellschaftsrechtlichen Regeln bei Pflichtverletzung; unterliegt zudem einer wiederkehrenden Schulungspflicht.

Dokumentation & Nachweis (§30 Abs. 1 Satz 3):

Die Umsetzung der Maßnahmen ist zu dokumentieren; einen festen Prüfzyklus gibt es für bwE und wE nicht – das BSI kann Nachweise von bwE frühestens drei Jahre nach Inkrafttreten anordnen (§61 Abs. 3, also ab etwa Dezember 2028), von wE nur anlassbezogen (§62). Der wiederkehrende Drei-Jahres-Nachweiszyklus nach §39 BSIG ist eine davon getrennte, strengere Pflicht, die ausschließlich für Betreiber kritischer Anlagen (KRITIS) gilt – nicht für bwE oder wE allgemein. Diese Unterscheidung ist in der Praxis relevant und wird leicht übersehen.

Bußgelder bei Nichteinhaltung können 10 Mio. € (bwE) bzw. 7 Mio. € (wE) erreichen oder einen Prozentsatz des weltweiten Umsatzes. Und eine Klarstellung vorab: Compliant ist immer die Organisation, nie das Werkzeug – SecureVisio unterstützt die Umsetzung dieser Pflichten, als Kombination aus Plattform und Advanced Services.

Mapping: NIS2-Anforderung und SecureVisio-Funktion

Compliance entsteht aus der Kombination von Technik und Organisation. Die Tabelle zeigt offen, was die SIEM-Plattform technisch abdeckt, was die SecureVisio Advanced Services (Beratung, Governance, Dokumentation, Umsetzung) beitragen – und welche Bereiche organisatorisch bleiben und sich nicht durch Tooling lösen lassen.

NIS2-Anforderungsbereich (§30 Abs. 2 BSIG)	SecureVisio-Plattform: Modul + Mechanismus	Advanced Services / organizational
Nr. 1 Risikoanalyse	Natives Risikomodul, ausgerichtet an ISO 27005. Das Risk Scoring betrachtet das Asset nicht isoliert: Die CMDB liefert den technischen und organisatorischen Kontext jedes Systems, die BIA seine geschäftliche Relevanz – welche Prozesse davon abhängen und was es für die Organisation bedeutet, wenn es kompromittiert wird. Der Score verbindet Eintrittswahrscheinlichkeit mit dieser geschäftlichen Auswirkung, statt jedes Asset als gleich kritisch zu behandeln. Die Plattform erzeugt keine Richtlinien – Risikomethodik, Risikoregister und Berichtsformat bleiben Entscheidung Ihrer Organisation, und genau dort setzen die Advanced Services an.	Kundenspezifische Risikomethodik, dokumentiertes Risikoregister, Reporting-Vorlagen für das Management; ISMS-Aufbau, NIS2-Sicherheitsrichtlinien (organisatorisch).
Nr. 2 Bewältigung von Sicherheitsvorfällen	SIEM + SOAR + AutoTriage + UEBA + CTI; durchgängige Incident-Timeline mit gesichertem Evidence Trail; unterstützt die Einstufung eines Vorfalls als „erheblich” (meldepflichtig).	Incident-Response-Verfahren, abgestimmt auf die NIS2-Fristen (24 h / 72 h).
Nr. 3 Aufrechterhaltung des Betriebs, Backup, Krisenmanagement	Die BIA bildet Geschäftsprozesse auf IT-Assets und Abhängigkeiten ab – die Grundlage für die Kontinuitätsplanung. Der Backup-Betrieb selbst ist nicht Teil der Plattform.	Erstellung von BCP und DRP.
Nr. 4 Sicherheit in der Lieferkette	–	Methodik zur Lieferantensicherheit, Vertragsklauseln, Lieferantenüberwachung (organisatorisch).
Nr. 5 Sicherheit bei Erwerb, Entwicklung und Wartung inkl. Schwachstellenmanagement	Natives Schwachstellenmanagement: geschäftskontextbezogene Priorisierung statt reinem CVSS-Ranking, risikobasierte Behebung. Übrige Aspekte (Erwerb/Entwicklung/Wartung)	Schwachstellenmanagement, Disclosure-Prozess, Remediation-SLA.
Nr. 6 Bewertung der Wirksamkeit der Maßnahmen	–	Audit und regelmäßige Überprüfung der Wirksamkeit der Maßnahmen, Reporting an das Management.
Nr. 7 Schulung & Awareness	–	Phishing-Tests, Planspiele / Tabletop-Übungen. – (ein Bereich, den die Organisation über eigene Richtlinien abdeckt – bewusst außerhalb des Angebots).
Nr. 8 Kryptografie-Verfahren	–	Audit und regelmäßige Überprüfung der Wirksamkeit der Maßnahmen, Reporting an das Management.
Nr. 9 Personalsicherheit, Zugriffskontrolle, Anlagenmanagement	Monitoring von Logins und Berechtigungsänderungen; UEBA erkennt Zugriffsanomalien; Korrelation über IAM-Systeme, AD, Entra ID usw.	–
Nr. 10 MFA & gesicherte Kommunikation	–	–
§32 Meldepflichten	Reporting-Modul + Evidence Trail, abgebildet auf die dreistufige NIS2-Zeitachse (Incident-Typ für NIS2 definierbar). AutoTriage und UEBA beschleunigen die Erstbewertung, die für die Frühwarnung ≤ 24 h nötig ist; Incident-Timeline und Evidence Trail unterstützen den Aufbau der Meldung ≤ 72 h.	Meldeworkflow, Abstimmung mit den Behörden.
Dokumentation & Nachweisbarkeit (§30 Abs. 1 Satz 3; Nachweis nach §39 nur für KRITIS)	Auditfähige Nachweise: Reporting, Incident-Timelines, Evidence Trail.	Dokumentation der Sicherheitsarchitektur, Nachweis der umgesetzten Controls.

Wie die Plattform die an ISO 27005 ausgerichtete Risikoanalyse aus Nr. 1 technisch umsetzt – CMDB-Asset-Kontext und BIA-Business-Impact zu einem einzigen Risk Score verbunden – und das Schwachstellenmanagement aus Nr. 5 – geschäftskontextbezogene Priorisierung statt reinem CVSS-Ranking –, zeigen die Produktseiten Risikomanagement und Schwachstellenmanagement.

Was Sie tatsächlich vorlegen müssten

Compliance nach §30 wird nicht durch ein Zertifikat nachgewiesen, sondern durch Aufzeichnungen, die bereits vorliegen, wenn jemand danach fragt. Im laufenden Betrieb erzeugt die Plattform davon einen konkreten, dauerhaft vorhandenen Satz:

Eine Incident-Timeline pro Fall – keine nachträglich verfasste Zusammenfassung, sondern der Ablauf, wie er stattgefunden hat: Erkennung, Anreicherung, Einstufung, Reaktion, Abschluss, jeder Schritt mit Zeitstempel.
Ein gesicherter Evidence Trail an dieser Timeline – die Daten, auf denen Einstufung und Reaktionsentscheidungen tatsächlich beruhten, nicht deren Rekonstruktion.
Reporting, das die eigene Aktivität der Plattform abbildet – was erkannt wurde, wie triagiert wurde, welche Maßnahme folgte – statt eines Dokuments, das getrennt vom operativen Vorgang zusammengestellt wird.

Nichts davon ist eine fertige Einreichung für das BSI, und nichts davon ersetzt das Audit selbst nach §30 Abs. 1 Satz 3 oder, für KRITIS-Betreiber, §39. Was es leistet: Es entfernt den Teil eines Audits, der sonst die meiste Zeit kostet – nachträglich zu rekonstruieren, was wann tatsächlich passiert ist. Diese Aufzeichnung existiert bereits, als Nebenprodukt des Plattformbetriebs – nicht als separate Compliance-Arbeit obendrauf.

Zertifizierungen und Auszeichnungen

Gartner ★ 4.8/5

Reviews
Bewertungen ansehen

G2 ★ 5/5

Peer Insights
Bewertungen ansehen

ISO 27001

Zertifikat

ISO 9001

Zertifikat

Security Made in Poland

Poland Security Congress

250+

Kunden in Europa

Deloitte Fast 50

Führendes Unternehmen · 2022

Häufig gestellte Fragen

Eine Plattform kann technisch vor allem Risikoanalyse (Nr. 1), Incident Handling (Nr. 2), die analytische Grundlage für die Betriebskontinuität (Nr. 3, über die BIA), Schwachstellenmanagement (Nr. 5) und Zugriffsmonitoring (Nr. 9) tragen. Nicht toolbar sind Richtlinien, Lieferkettensicherheit, Wirksamkeitsbewertung und Schulung (Nr. 4, 6, 7, 8, 10) – diese bleiben organisatorische Aufgaben, die SecureVisio teilweise über die Advanced Services unterstützt.

Die Plattform dokumentiert jeden Vorfall durchgängig: Incident-Timeline, gesicherter Evidence Trail; AutoTriage und UEBA beschleunigen die Bewertung. Sie unterstützt die Einstufung als „erheblich” – die eigentliche Entscheidung trifft Ihre Organisation auf Basis der gesetzlichen Definition. Fertige BSI-Meldevorlagen sind nicht Bestandteil der Plattform: Meldeworkflow und Vorlagen liefern die Advanced Services, die Meldung selbst erfolgt über das BSI-Portal.

Nein. Von den zehn Maßnahmenkategorien nach §30 BSIG sind mehrere rein organisatorisch – Richtlinien, Lieferkette, Schulung, Kryptografiekonzepte. Zudem ist immer die Organisation compliant, nie ein Produkt. SecureVisio setzt deshalb auf die Kombination aus Plattform (Detection, Response, Risiko- und Geschäftskontext, Nachweise) und Advanced Services (Governance, Dokumentation, Verfahren). Erst beides zusammen macht die Umsetzung vollständig und nachweisbar.

Sofort registrieren – über das BSI-Portal (portal.bsi.bund.de, Erstregistrierung über „Mein Unternehmenskonto”). Die gesetzliche Frist wurde nicht verlängert; Berichten über ein Schreiben an Wirtschaftsverbände zufolge duldet das BSI verspätete Registrierungen jedoch übergangsweise (Vollzugskulanz). Darauf sollte man sich nicht verlassen: Die unterlassene Registrierung bleibt ein eigenständiger Bußgeldtatbestand (bis zu 500.000 €), und die materiellen Pflichten nach §30 und §32 gelten bereits jetzt, unabhängig von der Registrierung.

§30 Abs. 1 Satz 3 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen, die Umsetzung der Maßnahmen zu dokumentieren. Die Plattform erzeugt auditfähige Nachweise im laufenden Betrieb – Reporting, Incident-Timelines, Evidence Trail; die Advanced Services ergänzen dies um die Dokumentation der Sicherheitsarchitektur und den Nachweis der umgesetzten Controls: Nachweisbarkeit als Nebenprodukt des Betriebs. Ein wiederkehrender Prüfzyklus nach §39 BSIG gilt dagegen ausschließlich für Betreiber kritischer Anlagen.

Nächster Schritt

Sehen Sie in einer Demo, wie das Mapping oben in Ihrer Umgebung aussieht – mit Ihren Assets, Ihren Prozessen, Ihren Risiken.

Demo vereinbaren