NIS-2 in Kraft — deutsche Umsetzung im Verlauf. Jetzt Puffer aufbauen.

NIS2 rechtzeitig bestehen — ohne Berater-Overhead.

NIS2-Readiness-Audit für den produzierenden Mittelstand. Technische Prüfung, klare Empfehlungen, Bericht in zwei Wochen — aus einer Hand.

30-Minuten-Erstgespräch vereinbaren

Bist du überhaupt betroffen?

Die NIS-2-Richtlinie zielt auf mittlere und große Einrichtungen in kritischen Sektoren — Energie, Verkehr, Gesundheit, digitale Infrastruktur, Ernährung, verarbeitendes Gewerbe und mehr. Die folgenden drei Indikatoren geben dir eine erste Orientierung. Sie ersetzen keine juristische Einzelfallprüfung, helfen dir aber, das Gespräch im eigenen Haus zu starten.

Die folgende Einordnung ist eine technische Einschätzung und ersetzt keine anwaltliche Rechtsberatung im Sinne des RDG.

SektorDein Unternehmen wäre potenziell betroffen, wenn es in einem der Sektoren aus Anhang I oder II der NIS-2-Richtlinie tätig ist (z. B. Energie, Verkehr, Gesundheit, Trinkwasser, digitale Infrastruktur, verarbeitendes Gewerbe ab bestimmten Teilbranchen).

GrößeDie Schwellenwerte greifen bei mittleren Einrichtungen ab 50 Mitarbeitenden oder 10 Mio. € Jahresumsatz. Größere Einrichtungen ab 250 Mitarbeitenden oder 50 Mio. € können als „besonders wichtig“ eingestuft werden.

StichtageDie EU-Frist 17. Oktober 2024 ist überschritten. Das deutsche NIS2UmsuCG befindet sich im Umsetzungsverlauf — der jeweils aktuelle Stand sollte vor Audit-Beginn geprüft werden.

Auch Lieferanten betroffener Einrichtungen und EU-Aktivitäten von Drittstaat-Unternehmen können in den Geltungsbereich fallen. Wenn zwei oder mehr der drei Punkte zutreffen, lohnt sich eine technische Einordnung — genau dafür existiert das Readiness-Audit.

So läuft das NIS2 Readiness Audit ab.

Vier Schritte, klar getaktet. Kein Berater-Theater, kein Folien-Overhead. Du bekommst einen technischen Bericht, der vor einer Aufsichtsprüfung Bestand hat — und einen Maßnahmenplan, mit dem dein Team sofort weiterarbeiten kann.

Die vier Audit-Schritte im Detail

1. Scoping, Asset-Inventur & Mapping auf Art. 21Wir klären gemeinsam den Geltungsbereich: welche Standorte, welche Systeme, welche OT-Strecken, welche Cloud-Workloads. Daraus entsteht ein priorisiertes Asset-Inventar. Parallel werden die zehn Mindestmaßnahmen aus Art. 21 der Richtlinie gegen den Ist-Zustand gespiegelt — vom Risikomanagement über Incident Handling bis zu Lieferketten-Sicherheit. Jeder Punkt erhält einen Reifegrad und eine konkrete Lücken-Beschreibung.

2. Technische Prüfung & Dokumentations-ReviewKonfigurations-Review, Authentifizierung, Netzsegmentierung, Patch-Status, Backup- und Recovery-Prozesse. Bei OT-Strecken ergänzt um SPS-/HMI-Erreichbarkeit, Fernzugriffs-Pfade und Update-Disziplin. Methodik orientiert an IEC 62443 (OT) und OWASP ASVS (Backend/API). Parallel: Sicherheitsleitlinie, Risikoregister, Notfallpläne und Nachweise — mit Blick auf das, was eine Aufsichtsbehörde später sehen möchte.

3. Findings & PriorisierungJeder Befund wird nach Auswirkung und Aufwand priorisiert: Sofortmaßnahme, mittelfristig, strategisch. Du bekommst keine 200-Seiten-Liste, sondern einen Plan, mit dem ein zwei- bis fünfköpfiges IT-/OT-Team die nächsten Wochen arbeiten kann.

4. Übergabe & optionale UmsetzungBericht, Maßnahmenplan, Nachbesprechung im Team. Wenn gewünscht, übernehme ich anschließend die Umsetzung kritischer Fixes selbst — keine Übergabe an Subunternehmer, kein zweiter Vertrag mit einer dritten Partei.

Zwei Wochen vom Kickoff bis zum Bericht, drei bis fünf Tage Vor-Ort- bzw. Remote-Aufwand auf deiner Seite, eine ansprechbare Person über den gesamten Verlauf.

Was diese Prüfung anders macht.

Zwei Unterschiede zu klassischen NIS2-Beratungen.

Was das konkret bedeutet

Embedded-/OT-Heritage + Fix in einer HandGesellenbrief Elektroautomationstechnik plus zehn Jahre Embedded- und Backend-Entwicklung. SPS, Firmware, Feldbus — keine Buzzwords, sondern Werkbank. Das ist der Unterschied zwischen einer Audit-Aussage „OT-Risiken sind zu adressieren“ und einer Audit-Aussage „die HMI-Strecke an Anlage 3 öffnet einen Tunnel ins Office-Netz, hier ist der Fix“. Wer die Lücke gefunden hat, kann sie auch schließen — sauber, nachvollziehbar, dokumentiert. Kein Drei-Phasen-Vertragswerk mit Audit-, Implementierungs- und Managed-Service-Partner. Optional, nicht aufgedrängt.

Technisch statt GovernanceViele NIS-2-Beratungen liefern saubere Policies und Audit-Pfade auf Papier. Diese Prüfung deckt das gleiche Pflichten-Mapping ab und geht zusätzlich an die Konfiguration: Welche Dienste laufen, welche Zugriffe sind wirklich offen, welche Patches fehlen. Du bekommst beides — aus einer Hand.

Aus echten Projekten.

Ein mittelständischer Maschinenbauer beauftragte Anfang 2026 ein Azure-Security-Audit inklusive Zero-Trust-Roadmap. Dauer: zwei Wochen. Ergebnis: drei High-Impact-Befunde mit konkretem Remediation-Pfad, übergeben an interne DevOps und Geschäftsführung.Referenz auf Anfrage

Für einen Rechtsschutz-Versicherer aus dem DACH-Raum verantwortete ich Backend- und Security-Anteile an kundenseitigen Schadenprozess-Strecken — inklusive sicherer API-Anbindung, Session-Handling und Last-Stabilität im Produktivbetrieb.Referenz auf Anfrage

Was du am Ende in der Hand hast.

Vier Phasen, zwei Wochen netto Bearbeitungszeit.

Woche 0 — Kickoff (90 Minuten Remote)

Woche 1 — Bestandsaufnahme

Woche 2 — Tiefenprüfung & Bericht

Woche 2 Ende — Übergabe

Artefakte (Lieferumfang)

Audit-Bericht (PDF, 30–60 Seiten je nach Scope) mit Executive Summary, Methodik, Findings, Reifegrad-Matrix Art. 21.

Findings-Liste mit Auswirkung, Aufwand, Priorität, Verantwortlichkeits-Vorschlag.

Maßnahmenplan als bearbeitbares Dokument (Markdown oder Excel — du wählst).

Mapping-Tabelle Art. 21 NIS-2 ↔ Ist-Zustand ↔ Empfehlung.

Optional: zweiseitige Geschäftsführungs-Zusammenfassung für interne Berichtswege.

Alle Artefakte gehören dir. Keine Lock-In-Werkzeuge, keine Plattform-Abhängigkeit.

Was das kostet.

Ein NIS2 Readiness Audit liegt bei 3.000 bis 5.000 € netto, abhängig vom Scope (Standorte, OT-Anteil, Cloud-Footprint). Der Rahmen wird vor Vertragsschluss fixiert — keine Stundenrechnungs-Überraschung am Ende.Optionaler Retainer ab 800 € netto pro Monat. Für Unternehmen, die nach dem Audit eine kontinuierliche Begleitung wünschen: monatlicher Sicherheitsbericht, Konfigurations-Drift-Check, Erreichbarkeit für Incident-Fragen. Kündbar zum Monatsende.Erstgespräch kostenfrei und unverbindlich. 30 Minuten, Video oder Telefon. Am Ende weißt du, ob das Audit sinnvoll ist und was es in deinem Fall konkret kosten würde.

Häufige Fragen.

Bin ich überhaupt von NIS2 betroffen?

Eine erste Orientierung geben die drei Indikatoren oben. Maßgeblich sind die Anhänge I und II der NIS-2-Richtlinie sowie die Schwellenwerte (mittlere Einrichtung ab 50 Mitarbeitenden oder 10 Mio. € Umsatz; besonders wichtig ab 250 / 50 Mio. €). Auch Lieferanten betroffener Einrichtungen können in den Geltungsbereich rutschen. Eine belastbare Einschätzung für den Einzelfall sollte gemeinsam mit einer Fachanwältin oder einem Fachanwalt für IT-Recht erfolgen.

Was kostet ein NIS2 Readiness Audit bei Büngener Software?

Wie läuft das Audit ab und wie lange dauert es?

Was bekomme ich am Ende in die Hand?

Ist das eine Rechtsberatung?

Nein. Diese Prüfung ist eine technische Einschätzung mit Bezug auf den Pflichten-Katalog der NIS-2-Richtlinie und die deutsche Umsetzung. Eine rechtliche Würdigung im Einzelfall — etwa zur Anwendbarkeit, zu Bußgeld-Risiken oder zur persönlichen Haftung der Geschäftsleitung — bleibt einer Fachanwältin oder einem Fachanwalt für IT- und Datenschutzrecht vorbehalten. Auf Wunsch arbeite ich mit deiner Kanzlei zusammen.

Wie schnell könnt ihr starten?

30-Minuten-Erstgespräch vereinbaren

Kostenfrei, unverbindlich, direkt mit der Person, die das Audit dann auch durchführt.

30-Minuten-Erstgespräch vereinbaren

NIS2-Check starten

Tiefere Security-Arbeit — Backend, Cloud, Embedded

Wenn das Audit konkrete Fixes ergibt, übernehme ich sie aus einer Hand. Hintergrund zur Methodik: Embedded Security Audit für IoT & OT und Backend Security Audit — API, Cloud & Secure Code.

Die Inhalte dieser Seite stellen keine Rechtsberatung im Sinne des RDG dar.Die Inhalte dieser Seite dienen der technischen Orientierung für Verantwortliche in betroffenen Unternehmen. Sie stellen keine Rechtsberatung dar und ersetzen keine anwaltliche Prüfung im Einzelfall. Büngener Software führt ausschließlich technische Prüfungen und Implementierungen durch.