NIS2 und ISMS: was das Gesetz erwartet und wo Software hilft.
Seit dem 6. Dezember 2025 gilt in Deutschland das NIS-2-Umsetzungsgesetz; laut BSI betrifft es rund 29.500 Unternehmen und die Bundesverwaltung. Die Kernvorgaben stehen im neu gefassten BSI-Gesetz (BSIG): Risikomanagementmaßnahmen, Meldungen, Registrierung und die Verantwortung der Geschäftsleitung. Diese Seite ordnet ein, was davon ein ISMS leisten kann, wie Grundschutz++ dazu steht und was BlueProceedings ISMS unterstützt. Sie ist keine Rechtsberatung.
- Gesetz und BSI: was das BSIG und das BSI sagen, mit Paragraf und Quelle
- Auslegung: was BlueProceedings ISMS dazu in der Pre-Alpha bietet und was nicht
NIS2 im Arbeitsalltag des ISMS.
Risikomanagement, Lieferkette und Betriebsfortführung greifen ineinander. Die Anwendung verbindet Risiken und Maßnahmen mit Dienstleistern und ihren Nachweisen. Das BCM und Notfallmanagement nutzt dieselben Geschäftsprozesse und Abhängigkeiten.
So unterstützt Software die Dokumentation und Vorbereitung. Ob eure Einrichtung betroffen ist, welche gesetzlichen Maßnahmen erforderlich sind und ob eine Meldung abzugeben ist, müsst ihr gesondert prüfen. Die Anwendung trifft keine Betroffenheitsentscheidung und gibt keine NIS2-Konformitätsaussage ab.
Was das BSIG von Einrichtungen erwartet.
Die Vorgaben gelten für besonders wichtige und wichtige Einrichtungen. Ob eure Institution dazugehört, ist vorab zu klären; das BSI bietet dafür eine freiwillige Betroffenheitsprüfung an.
- Risikomanagementmaßnahmen (§ 30)
Geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die Störungen von Verfügbarkeit, Integrität und Vertraulichkeit vermeiden und Folgen von Vorfällen gering halten. Absatz 2 nennt mindestens zehn Bereiche. Die Umsetzung ist zu dokumentieren.
- Meldungen (§ 32)
Erhebliche Sicherheitsvorfälle gehen an die gemeinsame Meldestelle von BSI und BBK: Frühwarnung spätestens nach 24 Stunden, Meldung spätestens nach 72 Stunden, Abschlussmeldung spätestens einen Monat danach.
- Registrierung (§ 33)
Spätestens drei Monate, nachdem eine Einrichtung erstmals oder erneut als besonders wichtig oder wichtig gilt, registriert sie sich über die Registrierungsmöglichkeit von BSI und BBK.
- Geschäftsleitung (§ 38)
Sie setzt die Maßnahmen nach § 30 um, überwacht sie und haftet bei schuldhafter Verletzung nach dem jeweiligen Gesellschaftsrecht. Sie nimmt regelmäßig an Schulungen teil.
- Nachweisfähigkeit
Laut BSI müssen Einrichtungen die Umsetzung angemessen dokumentieren und dem BSI auf Anforderung Nachweisdokumente vorlegen können.
Meldefristen bei einem erheblichen Sicherheitsvorfall.
- KenntnisDie Einrichtung erfährt von einem erheblichen Sicherheitsvorfall.
- Frühwarnungspätestens 24 StundenVerdacht auf rechtswidrige oder böswillige Handlung, mögliche grenzüberschreitende Auswirkungen
- Meldungspätestens 72 StundenBestätigt oder aktualisiert die Frühwarnung, erste Bewertung von Schwere und Auswirkungen
- Zwischenmeldungauf Ersuchen des BSIrelevante Statusaktualisierungen
- Abschlussmeldungspätestens 1 Monat nach der MeldungUrsache, Abhilfemaßnahmen; dauert der Vorfall an, zunächst eine Fortschrittsmeldung
Die zehn Bereiche aus § 30 Abs. 2 BSIG.
Links der Bereich, wie ihn das Gesetz nennt, rechts, was BlueProceedings ISMS dazu beiträgt. Wo die Anwendung nicht hilft, sagen wir das.
- Risikoanalyse und Sicherheitskonzepte§ 30 Abs. 2 Nr. 1
- Veröffentlicht
Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik.
Auslegung in BlueProceedings ISMSRisikobetrachtung nach den Mindestkriterien des BSI-Standards 300-1 mit Risikoakte und Risikomatrix; ein Sicherheitskonzept je Informationsverbund, das anzeigt, wenn sich seine Grundlage geändert hat.
- Bewältigung von Sicherheitsvorfällen§ 30 Abs. 2 Nr. 2
- Veröffentlicht
Verfahren für den Umgang mit Sicherheitsvorfällen.
Auslegung in BlueProceedings ISMSEin Sicherheitsfall ist eine Akte mit Klassifikation, Behandlung, Zeitlinie, Nachbesprechung und Folgearbeit. Meldeentscheidungen gegenüber Behörde oder Aufsicht werden mit Begründung, Rechtsgrundlage und Frist dokumentiert. Die Frist erfasst ihr selbst; fest eingebaute NIS2-Fristen und eine Übermittlung an die Meldestelle gibt es nicht.
- Aufrechterhaltung des Betriebs§ 30 Abs. 2 Nr. 3
- Veröffentlicht
Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement.
Auslegung in BlueProceedings ISMSBusiness-Impact-Analyse, Wiederanlaufzeiten und Abhängigkeiten, Wiederanlaufplanung mit begrenzten Mitteln, Krisenläufe mit Plan und Ist sowie Übungen. Die Datensicherung selbst setzt ihr in euren Systemen um.
- Sicherheit der Lieferkette§ 30 Abs. 2 Nr. 4
- Veröffentlicht
Sicherheitsaspekte der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern.
Auslegung in BlueProceedings ISMSDienstleisterregister mit Übersicht, Unterauftragnehmer-Ketten bis 15 Stufen, Risikoerklärungen von Dienstleistern als JSON, CSV oder OSCAL und ein Angebotsvergleich, der unter anderem Meldefrist und Auditrecht gegenüberstellt.
- Erwerb, Entwicklung, Wartung§ 30 Abs. 2 Nr. 5
- Veröffentlicht
Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen, einschließlich Umgang mit und Offenlegung von Schwachstellen.
Auslegung in BlueProceedings ISMSDie zugehörigen Anforderungen des Katalogs stehen an den betroffenen Objekten. Eine eigene Verwaltung von Schwachstellen hat die Pre-Alpha nicht.
- Wirksamkeit bewerten§ 30 Abs. 2 Nr. 6
- Veröffentlicht
Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen.
Auslegung in BlueProceedings ISMSMaßnahmen schließen erst nach geprüften Wirksamkeitskriterien, gültigem Nachweis und Freigabe. Dazu kommen Kennzahlen, Auditprogramm und Managementbewertung.
- Schulungen und Cyberhygiene§ 30 Abs. 2 Nr. 7
- Veröffentlicht
Grundlegende Schulungen und Sensibilisierung im Bereich der Sicherheit in der Informationstechnik.
Auslegung in BlueProceedings ISMSEine Schulungsverwaltung gibt es nicht. Schulungsunterlagen und -nachweise lassen sich als Nachweis zur passenden Anforderung ablegen und prüfen.
- Kryptografie§ 30 Abs. 2 Nr. 8
- Veröffentlicht
Konzepte und Verfahren für den Einsatz kryptografischer Verfahren.
Auslegung in BlueProceedings ISMSDas Konzept entsteht bei euch; die Anwendung führt die Anforderungen dazu und das Dokument mit Version, Freigabe und Überprüfung im Dokumentregister.
- Personal, Zugriff, Anlagen§ 30 Abs. 2 Nr. 9
- Veröffentlicht
Sicherheit des Personals, Zugriffskontrolle und Management von IT-Systemen, -Produkten und -Prozessen.
Auslegung in BlueProceedings ISMSProzesse, Informationen, Komponenten, Standorte und Dienstleister mit Abhängigkeiten und Verantwortlichen bilden das Inventar. Zugriffe in euren Systemen steuert die Anwendung nicht.
- Authentifizierung und Kommunikation§ 30 Abs. 2 Nr. 10
- Veröffentlicht
Multi-Faktor- oder kontinuierliche Authentifizierung, gesicherte Kommunikation und gesicherte Notfallkommunikation, soweit angemessen.
Auslegung in BlueProceedings ISMSLiegt außerhalb der Anwendung. Sie dokumentiert Anforderung, Maßnahme und Nachweis; Notfallkontakte und Notfallorganisation lassen sich im Notfallmanagement erfassen.
Wie Grundschutz++ zu NIS2 steht.
- Ein anerkannter StandardBSI, #nis2know
- Veröffentlicht
Die Maßnahmen sollen sich an anerkannten Standards und Sicherheitsnormen orientieren; das BSI nennt Grundschutz++ und ISO 27001 als Beispiele. Eine bestimmte Norm schreibt es nicht vor.
Auslegung in BlueProceedings ISMSWir setzen Grundschutz++ um. Für NIS2 ist das ein möglicher Weg, kein vorgeschriebener.
- Ein Zertifikat ist keine NIS2-KonformitätBSI, ISO/IEC 27001 im Kontext NIS-2/BSIG
- Veröffentlicht
ISO/IEC 27001 deckt viele ISMS-Aspekte ab, enthält aber zum Beispiel die Meldepflichten nach § 32 BSIG nicht, und der Anwendungsbereich kann enger sein als das Gesetz. Eine Zertifizierung kann den Nachweis erleichtern, ist aber gegen den Maßnahmenkatalog zu prüfen und ggf. zu ergänzen.
Auslegung in BlueProceedings ISMSDaraus folgt für uns: den Anwendungsbereich so festlegen, dass er die regulierten Dienste umfasst, und NIS2 als eigene Compliance-Verpflichtung führen, statt sie als durch Grundschutz++ erledigt anzusehen.
- NIS2 gehört in Prozessschritt 1BSI-Standard 300-1, Kapitel 2.1.1, 2.2, 3.4.3
- Veröffentlicht
Der Standard nennt NIS-2 als Beispiel für rechtliche Rahmenbedingungen im Kontext. Gesetzliche Verpflichtungen werden dokumentiert und ergänzen das Anforderungspaket.
Auslegung in BlueProceedings ISMSNIS2 lässt sich als Kontextfaktor in der Gruppe Recht und Regulierung und als Compliance-Verpflichtung mit Kritikalität, Verantwortlichen, Inkrafttreten und Frist erfassen. Gesetzgeber und Aufsichtsbehörden sind Standardgruppen der interessierten Parteien.
- Die Geschäftsleitung entscheidet§ 38 BSIG; BSI-Standard 300-1, Kapitel 2.10
- Veröffentlicht
Das BSIG verlangt Umsetzung und Überwachung durch die Geschäftsleitung; der BSI-Standard 300-1 legt die Verantwortung für das ISMS nicht delegierbar bei der Institutionsleitung.
Auslegung in BlueProceedings ISMSEine Leitungsmappe zeigt je Thema, was die Leitung wann freigegeben hat, mit Link zum Objekt. Freigaben, Restrisiken und Managementbewertungen tragen Person, Rolle und Zeitpunkt.
Grenzen, offen gesagt.
- Keine Betroffenheitsprüfung
Ob ihr unter das BSIG fallt, klärt ihr selbst, etwa mit der freiwilligen Betroffenheitsprüfung des BSI oder mit rechtlicher Beratung.
- Keine Registrierung, keine Meldung aus der Anwendung
Registrierung und Meldungen laufen über BSI und BBK. Die Anwendung dokumentiert Entscheidungen, sie übermittelt nichts.
- Kein NIS2-Katalog im Lieferumfang
Mitgeliefert wird ein Stand des Anwenderkatalogs Grundschutz++. Einen eigenen Katalog zu § 30 BSIG könnt ihr als OSCAL-Datei einlesen und der Compliance-Verpflichtung NIS2 zuordnen.
- Keine Konformitätsaussage
Die Anwendung unterstützt Vorbereitung und Dokumentation. Ob eure Maßnahmen § 30 BSIG genügen, beurteilt ihr mit euren Prüfenden; die Aufsicht liegt beim BSI.
Fragen zu NIS2 und ISMS.
Ist BlueProceedings ISMS NIS2-konform?
Diese Frage stellt sich für eine Software nicht: Die Vorgaben des BSIG richten sich an die Einrichtung. BlueProceedings ISMS unterstützt Vorbereitung und Dokumentation und trifft keine Konformitätsaussage.
Erfüllt Grundschutz++ automatisch NIS2?
Nein. Das BSI nennt Grundschutz++ als Beispiel eines anerkannten Standards, an dem sich die Maßnahmen orientieren können. Gesetzliche Vorgaben wie Registrierung und Meldungen kommen hinzu, und der Anwendungsbereich muss die regulierten Dienste abdecken.
Welche Fristen gelten für NIS2-Meldungen?
Nach § 32 BSIG eine Frühwarnung spätestens 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls, eine Meldung spätestens nach 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach der Meldung.
Muss die Geschäftsleitung geschult werden?
Ja. Nach § 38 Abs. 3 BSIG nehmen die Geschäftsleitungen regelmäßig an Schulungen teil, um Risiken und Risikomanagementpraktiken erkennen und bewerten zu können. Einen festen Turnus nennt das Gesetz nicht.
Hilft die Anwendung bei der Lieferkette?
Ja, mit einem Dienstleisterregister, Unterauftragnehmer-Ketten bis 15 Stufen, importierbaren Risikoerklärungen und einem Angebotsvergleich. Die Bewertung der Dienstleister bleibt eure Entscheidung.
Das ist noch nicht alles.
Weitere Funktionen sind bereits umgesetzt: alle Funktionen nach den fünf Prozessschritten, Dienstleister und Lieferkette und was sonst noch in der Pre-Alpha steckt.
Weiterlesen
Quellen
- BSIG § 30: RisikomanagementmaßnahmenZehn Mindestbereiche und Dokumentation, am 01.11.2026 geprüft
- BSIG § 32: MeldepflichtenFrühwarnung, Meldung, Zwischen- und Abschlussmeldung
- BSIG § 33: RegistrierungspflichtFrist von drei Monaten
- BSIG § 38: Umsetzungs-, Überwachungs- und Schulungspflicht für GeschäftsleitungenVerantwortung und Schulung der Geschäftsleitung
- BSI: #nis2know – RisikomanagementmaßnahmenAnerkannte Standards, Dokumentation und Nachweise
- BSI: ISO/IEC 27001 im Kontext NIS-2/BSIGWarum ein Zertifikat keine NIS2-Konformität bedeutet
- BSI: Fragen und Antworten zu NIS-2Inkrafttreten am 06.12.2025, Zahl der betroffenen Unternehmen, Betroffenheitsprüfung
- EU: Richtlinie (EU) 2022/2555 (NIS-2)Europäische Grundlage, Artikel 20, 21 und 23
- BSI: BSI-Standard 300-1 „Methodik Grundschutz++“, Version 1.0Grundlage aller Kapitel- und Kriterienangaben auf dieser Seite
Geschrieben von Xhoan Qazimi, BlueProceedings, zuletzt am 01.11.2026 mit den Quellen abgeglichen. Was zur Methodik gesagt ist, folgt den Veröffentlichungen des BSI; was zu BlueProceedings ISMS gesagt ist, beschreibt die Pre-Alpha.
NIS2 als Teil des ISMS führen, nicht daneben.
BlueProceedings ISMS hält Kontext, Compliance-Verpflichtungen, Risiken, Vorfälle und Lieferkette in einem Datenstand. Die Startseite zeigt die Pre-Alpha.