Sind wir überhaupt von NIS2 betroffen?

Maßgeblich ist § 28 BSIG-E mit Sektorenliste und Schwellenwerten (50 MA oder 10 Mio. € Jahresumsatz bzw. -bilanzsumme). Wir prüfen Betroffenheit anhand Ihres Geschäftsmodells, Konzernstruktur und Sektorzuordnung schriftlich.

Haftet die Geschäftsleitung wirklich persönlich nach NIS2?

Ja, § 38 BSIG-E sieht persönliche Bußgelder bei Verstoß gegen die Billigungs- und Überwachungspflicht vor. Eine Delegation an die IT entlastet ausdrücklich nicht.

Was kostet die anwaltliche NIS2-Umsetzung?

Die Betroffenheitsprüfung beginnt bei 1.800 € netto, die Implementierungsbegleitung über 3 bis 4 Monate bei 6.500 € netto. Großkonzerne mit komplexer Sektorzuordnung rechnen wir nach Stundensatz von 240 bis 360 € netto ab.

Wann tritt NIS2 in Deutschland in Kraft?

Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) hat den Bundestag in der Diskussion durchlaufen, die Pflichten gelten nach Verkündung mit einer kurzen Übergangsfrist. Aktueller Sachstand wird im Mandat geprüft.

Verhältnis NIS2 zu DSGVO?

Beide Regime laufen parallel. Eine Sicherheitsverletzung kann gleichzeitig NIS2-Vorfall (Meldung ans BSI binnen 24/72 Stunden) und DSGVO-Vorfall (Meldung an Aufsichtsbehörde binnen 72 Stunden) sein. Wir setzen die Meldeprozesse so auf, dass beide Fristen ohne Doppelarbeit eingehalten werden.

Anwalt für NIS2: Umsetzung & Geschäftsleitung

NIS2 ist Geschäftsleitungs-Thema, nicht IT-Thema

§ 38 BSIG-E adressiert die Geschäftsleitung persönlich: Sie muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und sich regelmäßig schulen lassen. Bei Verstößen droht persönliches Bußgeld bis 10 Mio. € oder 2 % des weltweiten Konzernumsatzes (wesentliche Einrichtungen). Eine Delegation an die IT ist explizit unzulässig, die Verantwortung bleibt oben.

Die D&O-Versicherung deckt diese persönlichen Bußgelder in den meisten Standardklauseln nicht. Wer NIS2 als reines Technikprojekt behandelt, lädt die persönliche Haftung auf die Vorstandsebene.

Was wir konkret übernehmen

Wir starten mit einer schriftlichen Betroffenheitsprüfung nach § 28 BSIG-E, die später als Nachweis gegenüber dem BSI dient. Anschließend strukturieren wir die zehn Maßnahmen aus § 30 BSIG-E in einem priorisierten Implementierungsplan und entwerfen die internen Beschlussvorlagen für Geschäftsleitung und Aufsichtsrat.

Die Meldekette wird gemeinsam mit Ihrer IT und Ihrem Datenschutzbeauftragten so aufgesetzt, dass die 24-Stunden-Frühwarnung und die 72-Stunden-Vorfallsmeldung an das BSI parallel zur Art. 33 DSGVO-Meldung funktioniert. Lieferantenverträge prüfen wir auf NIS2-konforme Klauseln und Audit-Rechte.

Konkretes Leistungsversprechen

Schriftliche Betroffenheitsprüfung nach § 28 BSIG-E
Implementierungsplan für die zehn Maßnahmen § 30 BSIG-E
Beschlussvorlagen Geschäftsleitung/Aufsichtsrat
Aufbau Meldekette 24h/72h ans BSI
Vertragsklauseln für Lieferanten (Art. 21 NIS2)
Schulungskonzept für die Geschäftsleitung
Haftungsentlastung nach Business Judgement Rule
Begleitung BSI-Aufsichtsmaßnahmen

Fallszenarien aus der Praxis

Anonymisierte, repräsentative Mandatsverläufe. Keine Erfolgsversprechen.

Energieversorger, 320 MA, wesentliche Einrichtung

Ergebnis nach 4 Monaten: Betroffenheit dokumentiert, Risikoanalyse abgeschlossen, alle zehn Maßnahmen mit Reifegrad-Skala bewertet, Geschäftsleitungsbeschluss protokolliert, Meldekette getestet. BSI-Audit nach Inkrafttreten ohne Beanstandung.

Mittelständler Lebensmittelindustrie, 90 MA, wichtige Einrichtung

Ergebnis: Konzernzuordnung geklärt (Mutterkonzern fällt ebenfalls unter NIS2), gemeinsames TOM-Konzept mit Mutter, Lieferantenverträge auf NIS2-Klauseln umgestellt, D&O-Police nach Klauseltext nachverhandelt.

Honorar

Leistung	Bandbreite	Hinweis
NIS2-Betroffenheitsprüfung	1.800 bis 3.500 € netto	Schriftliches Gutachten mit BSI-tauglicher Dokumentation
Implementierungsbegleitung Standard	ab 6.500 € netto	3 bis 4 Monate Projektlaufzeit, monatliche Steuerungstermine
Geschäftsleitungs-Schulung	ab 2.200 € netto	Inhouse oder remote, mit Teilnahmenachweis

Bandbreiten netto, zzgl. USt. Verbindliche Vereinbarung vor Mandatsbeginn schriftlich.

Häufige Fragen

Sind wir überhaupt von NIS2 betroffen?: Maßgeblich ist § 28 BSIG-E mit Sektorenliste und Schwellenwerten (50 MA oder 10 Mio. € Jahresumsatz bzw. -bilanzsumme). Wir prüfen Betroffenheit anhand Ihres Geschäftsmodells, Konzernstruktur und Sektorzuordnung schriftlich.
Haftet die Geschäftsleitung wirklich persönlich nach NIS2?: Ja, § 38 BSIG-E sieht persönliche Bußgelder bei Verstoß gegen die Billigungs- und Überwachungspflicht vor. Eine Delegation an die IT entlastet ausdrücklich nicht.
Was kostet die anwaltliche NIS2-Umsetzung?: Die Betroffenheitsprüfung beginnt bei 1.800 € netto, die Implementierungsbegleitung über 3 bis 4 Monate bei 6.500 € netto. Großkonzerne mit komplexer Sektorzuordnung rechnen wir nach Stundensatz von 240 bis 360 € netto ab.
Wann tritt NIS2 in Deutschland in Kraft?: Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) hat den Bundestag in der Diskussion durchlaufen, die Pflichten gelten nach Verkündung mit einer kurzen Übergangsfrist. Aktueller Sachstand wird im Mandat geprüft.
Verhältnis NIS2 zu DSGVO?: Beide Regime laufen parallel. Eine Sicherheitsverletzung kann gleichzeitig NIS2-Vorfall (Meldung ans BSI binnen 24/72 Stunden) und DSGVO-Vorfall (Meldung an Aufsichtsbehörde binnen 72 Stunden) sein. Wir setzen die Meldeprozesse so auf, dass beide Fristen ohne Doppelarbeit eingehalten werden.

Mehr Hintergrund im Ratgeber

Dieser Beitrag gibt den Rechtsstand Stand: Juni 2026 wieder und ersetzt keine Beratung im Einzelfall.