NIS2 Software
für Compliance und Risiko­management

NIS2 ist die Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union. Sie verpflichtet wichtige und besonders wichtige Einrichtungen zu Risikomanagementmaßnahmen, zur Meldung erheblicher Sicherheitsvorfälle und zur Registrierung und nimmt die Geschäftsleitung in die Pflicht. In Deutschland ist sie durch das NIS2-Umsetzungsgesetz im BSI-Gesetz (BSIG) umgesetzt, das in der neuen Fassung seit dem 6. Dezember 2025 gilt.

Eine NIS2 Software bildet die Pflichten der NIS2 in einem Datenmodell ab — Geltungsbereich, Assets, Anforderungen, Risiken, Maßnahmen, Sicherheitsvorfälle und Nachweise — und verknüpft sie miteinander. In der Sache ist sie eine ISMS Software, die den Anforderungskatalog der NIS2 mitbringt: Statt Tabellen von Hand konsistent zu halten, pflegen Sie jedes Objekt einmal, und Berichte und Dashboards entstehen aus den Daten.

Eine Software zur NIS2-Umsetzung ersetzt die Arbeit nicht, sie ordnet sie: Die NIS2-Anforderungen liegen als Katalog vor, jede wird bewertet, begründet und mit Nachweisen belegt. Risiken und Maßnahmen hängen an den Assets, die sie betreffen, Fristen und Verantwortliche sind hinterlegt. So lässt sich die NIS2 Compliance dokumentieren und der Stand jederzeit berichten — ohne dass jemand Tabellen zusammenführt.

Complaica unterstützt die gesamte NIS2-Umsetzung: die zehn Risikomanagementmaßnahmen nach § 30 BSIG, für die betroffenen Einrichtungsarten die Durchführungsverordnung (EU) 2024/2690 mit Art. 1–⁠14 und den 13 Themenbereichen ihres Anhangs, das Führen von Sicherheitsvorfällen mit den Meldefristen nach § 32 BSIG und die Sicht für die Geschäftsleitung nach § 38 BSIG. Die Kataloge werden auf Ihrem Asset-Baum bewertet.

§ 30 BSIG nennt zehn Bereiche, die die Maßnahmen mindestens umfassen müssen: Risikoanalyse und Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs und Krisenmanagement, Sicherheit der Lieferkette, Sicherheit bei Erwerb, Entwicklung und Wartung, Bewertung der Wirksamkeit, Schulungen, Kryptografie, Personalsicherheit und Zugriffskontrolle sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation. Die Maßnahmen müssen geeignet, verhältnismäßig und wirksam sein, und ihre Einhaltung ist zu dokumentieren.

Sie führt die NIS2-Richtlinie aus. Art. 1 und 2 legen mit dem Anhang die technischen und methodischen Anforderungen an die Risikomanagementmaßnahmen fest; Art. 3 und 4 bestimmen, wann ein Sicherheitsvorfall als erheblich gilt; Art. 5 bis 14 tun das für einzelne Arten von Einrichtungen — von DNS-Diensteanbietern über Cloud-Computing- und Rechenzentrumsdienste bis zu Vertrauensdiensteanbietern. Unmittelbar gilt die Verordnung nur für diese Arten von Einrichtungen.

Unmittelbar gilt die Durchführungsverordnung (EU) 2024/2690 nur für die Arten von Einrichtungen, die sie selbst nennt: DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing- und Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen (CDN), Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste (Managed Service Provider, Managed Security Service Provider), Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke sowie Vertrauensdiensteanbieter. Für alle anderen wichtigen und besonders wichtigen Einrichtungen gelten die Pflichten aus dem BSIG; ihnen kann die Verordnung als Orientierung dienen, verbindlich ist sie für sie nicht.

Erhebliche Sicherheitsvorfälle sind nach § 32 BSIG an die gemeinsame Meldestelle von BSI und BBK zu melden: mit einer frühen Erstmeldung, einer Meldung und einer Abschlussmeldung, auf Ersuchen des BSI zusätzlich mit Zwischenmeldungen. Complaica führt Sicherheitsvorfälle mit Zeitstempeln, Zuständigen und Fristen und hält jeden Schritt mit Autor und Datum fest. Die Meldung selbst geben Sie bei der Meldestelle ab.

Beide Fristen laufen ab dem Zeitpunkt, zu dem die Einrichtung von einem erheblichen Sicherheitsvorfall Kenntnis erlangt. Innerhalb von 24 Stunden ist die frühe Erstmeldung fällig, innerhalb von 72 Stunden die Meldung, die die ersten Angaben bestätigt oder aktualisiert. Spätestens einen Monat nach dieser Meldung folgt die Abschlussmeldung; dauert der Vorfall noch an, tritt eine Fortschrittsmeldung an ihre Stelle.

Dienstleister und Lieferanten werden als Assets geführt und mit den Geschäftsprozessen und Diensten verknüpft, die von ihnen abhängen. Je Dienstleister lassen sich Anforderungen bewerten, Lieferantenrisiken identifizieren und behandeln und Nachweise ablegen. Abhängigkeitsgraph und -matrix zeigen, welcher Dienst an welchem Anbieter hängt.

Nach § 38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Dashboards und Berichte in Complaica sind deshalb auf die Sicht der Leitung ausgelegt: der Erfüllungsgrad, die größten Risiken und die offenen Maßnahmen auf einer Seite.

Jede Anforderung erhält einen Umsetzungsstatus. Complaica kumuliert ihn bottom-up — von der Anforderung über den Themenbereich bis zur Organisation — und zeigt ihn in Dashboards: als Gesamtwert, je Themenbereich, je Standort und im Vergleich zum Vormonat. Der Erfüllungsgrad ist eine Auswertung von Complaica aus Ihren eigenen Bewertungen, keine behördlich festgelegte Kennzahl.

Die Betroffenheit ergibt sich aus Sektor, Größe und Tätigkeit. Erfasst sind Einrichtungen in den Sektoren der Anlagen 1 und 2 des BSIG — etwa Energie, Verkehr, Gesundheit, digitale Infrastruktur, IKT-Dienste oder verarbeitendes Gewerbe — in der Regel ab 50 Beschäftigten oder mehr als 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme; einige Einrichtungen fallen unabhängig von ihrer Größe darunter. Ob Ihr Unternehmen betroffen ist, prüfen wir gern mit Ihnen.

NIS2 ist Gesetz, ISO 27001 eine Norm für das ISMS — inhaltlich überschneiden sich beide in vielen Themen, vom Risikomanagement bis zur Zugriffskontrolle. In Complaica werden NIS2 und ISO 27001 auf demselben Scope-Modell bewertet und nutzen dieselben Assets, Risiken, Maßnahmen und Nachweise. Das gilt ebenso für TISAX, BSI IT-Grundschutz, DORA, DSGVO und ISO 22301: Was bereits dokumentiert ist, kann — soweit inhaltlich passend — für jedes Regelwerk genutzt werden, das es betrifft.

Sie deckt einen erheblichen Teil der Anforderungen aus § 30 BSIG ab, ersetzt aber weder Registrierung noch Melde- und Nachweispflichten. In Complaica nutzen beide Regelwerke dieselben Assets, Risiken, Maßnahmen und Nachweise; die Differenz erscheint als Liste offener Anforderungen.

Nein. Die NIS2 ist ein Gesetz, keine Zertifizierungsnorm: Es gibt weder ein NIS2-Zertifikat für Einrichtungen noch eines für Software. Die Einrichtung muss die Maßnahmen umsetzen und das auf Verlangen der Aufsicht nachweisen können; ob die Pflicht erfüllt ist, beurteilt die zuständige Behörde. Complaica hält die Nachweise dafür am Objekt bereit, das sie belegen.

Ja. Complaica ist als SaaS und On-Premises verfügbar: Die SaaS-Variante wird in Deutschland gehostet; On-Premises betreiben Sie die NIS2 Compliance Software in Ihrer eigenen Infrastruktur. Die Lizenz kostet in beiden Fällen dasselbe.

Ja. Complaica importiert und exportiert Daten von und nach Excel, über die REST API und aus anderen ISMS-Tools; die Migration Ihrer Daten ist kostenlos und wird von unseren Spezialisten begleitet. So bewerten Sie das Tool an Ihrem eigenen Datenbestand statt an Demo-Daten.

Über die REST API Asset-Management- und CMDB-Systeme wie i-doit, GLPI, FNT Command u. a. sowie Jira, SAP und Microsoft Azure. Anwendungsdaten stehen über Data Marts für externe Analyse- und Reporting-Systeme bereit, und über MCP lässt sich ein KI-Assistent anbinden.

Für einen definierten Scope liegen erste belastbare Statusberichte typischerweise nach wenigen Wochen vor — je nach vorhandener Dokumentation und verfügbaren Ressourcen. Mit vorbereiteten Inhalten und Beratung liegen kleinere Organisationen am unteren Ende.