NIS-2 in Kraft, deutsche Umsetzung im Verlauf. Jetzt Puffer aufbauen.

NIS2 rechtzeitig bestehen, ohne Berater-Overhead.

NIS2-Readiness-Audit für den produzierenden Mittelstand. Technische Prüfung, klare Empfehlungen, Bericht in zwei Wochen, aus einer Hand.

30-Minuten-Erstgespräch vereinbaren

Bist du überhaupt betroffen?

Die NIS-2-Richtlinie zielt auf mittlere und große Einrichtungen in kritischen Sektoren: Energie, Verkehr, Gesundheit, digitale Infrastruktur, Ernährung, verarbeitendes Gewerbe und mehr. Die folgenden drei Indikatoren geben dir eine erste Orientierung. Sie ersetzen keine juristische Einzelfallprüfung, helfen dir aber, das Gespräch im eigenen Haus zu starten.

Die folgende Einordnung ist eine technische Einschätzung und ersetzt keine anwaltliche Rechtsberatung im Sinne des RDG.

Sektor

Dein Unternehmen wäre potenziell betroffen, wenn es in einem der Sektoren aus Anhang I oder II der NIS-2-Richtlinie tätig ist (z. B. Energie, Verkehr, Gesundheit, Trinkwasser, digitale Infrastruktur, verarbeitendes Gewerbe ab bestimmten Teilbranchen).

Größe

Die Schwellenwerte greifen bei mittleren Einrichtungen ab 50 Mitarbeitenden oder 10 Mio. € Jahresumsatz. Größere Einrichtungen ab 250 Mitarbeitenden oder 50 Mio. € können als „besonders wichtig“ eingestuft werden.

Stichtage

Die EU-Frist 17. Oktober 2024 ist überschritten. Das deutsche NIS2UmsuCG befindet sich im Umsetzungsverlauf, der jeweils aktuelle Stand sollte vor Audit-Beginn geprüft werden.

Auch Lieferanten betroffener Einrichtungen und EU-Aktivitäten von Drittstaat-Unternehmen können in den Geltungsbereich fallen. Wenn zwei oder mehr der drei Punkte zutreffen, lohnt sich eine technische Einordnung, genau dafür existiert das Readiness-Audit.

So läuft das NIS2 Readiness Audit ab.

Vier Schritte, klar getaktet. Kein Berater-Theater, kein Folien-Overhead. Du bekommst einen technischen Bericht, der vor einer Aufsichtsprüfung Bestand hat, und einen Maßnahmenplan, mit dem dein Team sofort weiterarbeiten kann.

→ Die zehn Mindestmaßnahmen nach Art. 21 im Detail →

Die vier Audit-Schritte im Detail

1. Scoping, Asset-Inventur & Mapping auf Art. 21

Wir klären gemeinsam den Geltungsbereich: welche Standorte, welche Systeme, welche OT-Strecken, welche Cloud-Workloads. Daraus entsteht ein priorisiertes Asset-Inventar. Parallel werden die zehn Mindestmaßnahmen aus Art. 21 der Richtlinie gegen den Ist-Zustand gespiegelt, vom Risikomanagement über Incident Handling bis zu Lieferketten-Sicherheit. Jeder Punkt erhält einen Reifegrad und eine konkrete Lücken-Beschreibung.

2. Technische Prüfung & Dokumentations-Review

Konfigurations-Review, Authentifizierung, Netzsegmentierung, Patch-Status, Backup- und Recovery-Prozesse. Bei OT-Strecken ergänzt um SPS-/HMI-Erreichbarkeit, Fernzugriffs-Pfade und Update-Disziplin. Methodik orientiert an IEC 62443 (OT) und OWASP ASVS (Backend/API). Parallel: Sicherheitsleitlinie, Risikoregister, Notfallpläne und Nachweise, mit Blick auf das, was eine Aufsichtsbehörde später sehen möchte.

3. Findings & Priorisierung

Jeder Befund wird nach Auswirkung und Aufwand priorisiert: Sofortmaßnahme, mittelfristig, strategisch. Du bekommst keine 200-Seiten-Liste, sondern einen Plan, mit dem ein zwei- bis fünfköpfiges IT-/OT-Team die nächsten Wochen arbeiten kann.

4. Übergabe & optionale Umsetzung

Bericht, Maßnahmenplan, Nachbesprechung im Team. Wenn gewünscht, übernehme ich anschließend die Umsetzung kritischer Fixes selbst, keine Übergabe an Subunternehmer, kein zweiter Vertrag mit einer dritten Partei.

Zwei Wochen vom Kickoff bis zum Bericht, drei bis fünf Tage Vor-Ort- bzw. Remote-Aufwand auf deiner Seite, eine ansprechbare Person über den gesamten Verlauf.

Was diese Prüfung anders macht.

Zwei Unterschiede zu klassischen NIS2-Beratungen.

Was das konkret bedeutet

Embedded-/OT-Heritage + Fix in einer Hand

Gesellenbrief Energie- & Gebäudetechnik plus zehn Jahre Embedded- und Backend-Entwicklung. SPS, Firmware, Feldbus, keine Buzzwords, sondern Werkbank. Das ist der Unterschied zwischen einer Audit-Aussage „OT-Risiken sind zu adressieren“ und einer Audit-Aussage „die HMI-Strecke an Anlage 3 öffnet einen Tunnel ins Office-Netz, hier ist der Fix“. Wer die Lücke gefunden hat, kann sie auch schließen, sauber, nachvollziehbar, dokumentiert. Kein Drei-Phasen-Vertragswerk mit Audit-, Implementierungs- und Managed-Service-Partner. Optional, nicht aufgedrängt.

Technisch statt Governance

Viele NIS-2-Beratungen liefern saubere Policies und Audit-Pfade auf Papier. Diese Prüfung deckt das gleiche Pflichten-Mapping ab und geht zusätzlich an die Konfiguration: Welche Dienste laufen, welche Zugriffe sind wirklich offen, welche Patches fehlen. Du bekommst beides, aus einer Hand.

Aus echten Projekten.

Ein Softwareunternehmen beauftragte Anfang 2026 die Architektur und Automatisierung seines Enterprise-Deployments für regulierte Umgebungen (SCCM, Intune, GPO): systemweite Installation, Kontext-Erkennung und Code-Signing, übergeben an die interne DevOps-Organisation.
Referenz auf Anfrage

Für einen Rechtsschutz-Versicherer aus dem DACH-Raum verantwortete ich Backend- und Security-Anteile an kundenseitigen Schadenprozess-Strecken, inklusive sicherer API-Anbindung, Session-Handling und Last-Stabilität im Produktivbetrieb.
Referenz auf Anfrage

Was du am Ende in der Hand hast.

Vier Phasen, zwei Wochen netto Bearbeitungszeit.

Woche 0: Kickoff (90 Minuten Remote)

Woche 1: Bestandsaufnahme

Woche 2: Tiefenprüfung & Bericht

Woche 2 Ende: Übergabe

Artefakte (Lieferumfang)

Audit-Bericht (PDF, 30–60 Seiten je nach Scope) mit Executive Summary, Methodik, Findings, Reifegrad-Matrix Art. 21.

Findings-Liste mit Auswirkung, Aufwand, Priorität, Verantwortlichkeits-Vorschlag.

Maßnahmenplan als bearbeitbares Dokument (Markdown oder Excel, du wählst).

Mapping-Tabelle Art. 21 NIS-2 ↔ Ist-Zustand ↔ Empfehlung.

Optional: zweiseitige Geschäftsführungs-Zusammenfassung für interne Berichtswege.

Alle Artefakte gehören dir. Keine Lock-In-Werkzeuge, keine Plattform-Abhängigkeit.

Was es kostet.

Drei Ausbaustufen statt einer Preisliste. Der Einstieg prüft die Lage, das mittlere Paket ist das vollständige Audit, das Premium-Paket deckt sechs Monate Sicherheitsbetreuung ab — mit Behebung und Reaktionszeit, nicht nur mit einem Bericht.

Security Health Check Monthly

Einstieg

ab 990 €

pro Monat

Monatlicher Deep-Scan über die aktuelle Landschaft
Patch-Review für Betriebssysteme, Container und Dependencies
Konfigurations-Drift-Check
Ein-Seiten-Report pro Monat
Erreichbarkeit für Incident-Fragen, kündbar zum Monatsende

Paket anfragen

NIS2 Readiness Audit

ab 3.000 €

bis 5.000 €

in 2 Wochen

Technische Prüfung gegen Art. 21 NIS-2
Asset-Inventar und Risikoanalyse
Findings und Maßnahmenplan
Bericht in zwei Wochen

NIS2 Security Abschluss-Paket

ab 14.900 € · für 3 Monate

Paket anfragen

Security Rundum-Sorglos

Premium

28.000 €

für 6 Monate

Vollständiges Audit: NIS2 Art. 21, OT-Anteil, Cloud-Footprint, Asset-Inventar
6 Monate Health Check — monatlicher Deep-Scan, Patch-Review, Drift-Check, Ein-Seiten-Report
Behebung aller Findings aus zwei Audit-Runden (Priorität 1 und 2) — Code, Härtung, Cloud-Konfiguration
NIS2-Nachweis-Paket: Asset-Inventar, Art.-21-Mapping, Maßnahmenplan mit Owner und Frist — vorlagefähig für Behörde und Prüfer
Incident-Response-SLA: verbindliche Rückmeldung unter 1 Stunde rund um die Uhr, 24/7-Rufbereitschaft mit benannter Vertretung
Quartalsweise Re-Audits, SBOM- und CVE-Monitoring
2 Management-Workshops, Quartals-Reporting an die Geschäftsführung
Ein Ansprechpartner für die gesamte Laufzeit, keine Sub-Unternehmer

Reaktionszeit bedeutet verbindliche Rückmeldung mit erster Einschätzung, nicht die Behebung. Die Vertretung in Abwesenheit ist benannt. Nacht- und Feiertagszuschläge sind im Festpreis enthalten — kein Stundenkontingent, keine Nachberechnung.

Paket anfragen

Alle Preise netto. Der Rahmen wird vor Vertragsschluss fixiert — keine Stundenpauschalen, keine Sub-Berater-Margen.

Erstgespräch kostenfrei und unverbindlich. 30 Minuten, Video oder Telefon. Am Ende weißt du, ob das Audit sinnvoll ist und was es in deinem Fall konkret kosten würde.

Häufige Fragen.

Bin ich überhaupt von NIS2 betroffen?

Eine erste Orientierung geben die drei Indikatoren oben. Maßgeblich sind die Anhänge I und II der NIS-2-Richtlinie sowie die Schwellenwerte (mittlere Einrichtung ab 50 Mitarbeitenden oder 10 Mio. € Umsatz; besonders wichtig ab 250 / 50 Mio. €). Auch Lieferanten betroffener Einrichtungen können in den Geltungsbereich rutschen. Eine belastbare Einschätzung für den Einzelfall sollte gemeinsam mit einer Fachanwältin oder einem Fachanwalt für IT-Recht erfolgen.

Was kostet ein NIS2 Readiness Audit bei Büngener Software?

Wie läuft das Audit ab und wie lange dauert es?

Was bekomme ich am Ende in die Hand?

Ist das eine Rechtsberatung?

Nein. Diese Prüfung ist eine technische Einschätzung mit Bezug auf den Pflichten-Katalog der NIS-2-Richtlinie und die deutsche Umsetzung. Eine rechtliche Würdigung im Einzelfall, etwa zur Anwendbarkeit, zu Bußgeld-Risiken oder zur persönlichen Haftung der Geschäftsleitung, bleibt einer Fachanwältin oder einem Fachanwalt für IT- und Datenschutzrecht vorbehalten. Auf Wunsch arbeite ich mit deiner Kanzlei zusammen.

Wie schnell könnt ihr starten?

30-Minuten-Erstgespräch vereinbaren

Kostenfrei, unverbindlich, direkt mit der Person, die das Audit dann auch durchführt.

30-Minuten-Erstgespräch vereinbaren

NIS2-Check starten

Tiefere Security-Arbeit: Backend, Cloud, Embedded

Wenn das Audit konkrete Fixes ergibt, übernehme ich sie aus einer Hand. Hintergrund zur Methodik: Embedded Security Audit für IoT & OT und Backend Security Audit: API, Cloud & Secure Code.

Die Inhalte dieser Seite stellen keine Rechtsberatung im Sinne des RDG dar.

Die Inhalte dieser Seite dienen der technischen Orientierung für Verantwortliche in betroffenen Unternehmen. Sie stellen keine Rechtsberatung dar und ersetzen keine anwaltliche Prüfung im Einzelfall. Büngener Software führt ausschließlich technische Prüfungen und Implementierungen durch.