Für Industrie und Versorger im Berchtesgadener Land und Traunstein: Bestandsaufnahme von Büro- und Anlagennetz, dann die Maßnahmen aus § 30 BSIG umgesetzt – Segmentierung, MFA, Backup, Protokollierung, Fernwartung. Risikoanalyse, Richtlinien und Meldeprozesse entstehen gemeinsam mit spezialisierten Partnerunternehmen. Am Ende steht eine Maßnahmenliste mit Nachweisen.
Erstgespräch vereinbarenNIS-2 ist die europäische Richtlinie für Netz- und Informationssicherheit. In Deutschland gilt sie seit Dezember 2025 über das NIS-2-Umsetzungsgesetz – und erweitert den Kreis der verpflichteten Unternehmen deutlich. Betroffen sind nicht mehr nur klassische KRITIS-Betreiber, sondern auch mittelständische Industriebetriebe und kommunale Versorger.
Das Gesetz nennt zehn Maßnahmenbereiche (§ 30 BSIG): Risikoanalyse und Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen, Backup und Notfallmanagement, Sicherheit der Lieferkette, Sicherheit bei Erwerb und Entwicklung von Systemen, Bewertung der Wirksamkeit, Cyberhygiene und Schulung, Kryptografie, Zugriffskontrolle und Asset-Management sowie Mehr-Faktor-Authentifizierung und sichere Kommunikation. Rund die Hälfte davon ist Technik im Netz – ausdrücklich auch im Anlagennetz mit Steuerungen und Leittechnik, nicht nur im Büro.
Genau so ist die Umsetzung aufgeteilt: Die technischen Bereiche werden direkt umgesetzt, die organisatorischen mit Partnerunternehmen – und beides so dokumentiert, dass es auf eine Prüfung durch das BSI oder einen Auditor vorbereitet ist.
Diese Seite beschreibt die technische und organisatorische Umsetzung aus Sicht des IT-Betriebs und ersetzt keine Rechtsberatung. Ob und in welcher Kategorie ein Betrieb betroffen ist, lässt sich mit der Betroffenheitsprüfung des BSI und bei Bedarf mit juristischer Unterstützung klären.
Betroffene Einrichtungen registrieren sich beim BSI. Der erste, aber bei weitem nicht der einzige Schritt – die eigentliche Arbeit beginnt danach im Netz.
Zehn Maßnahmenbereiche nach § 30 BSIG, umgesetzt nach Stand der Technik und angemessen zum Risiko – von Netzsegmentierung und MFA über Backup und Protokollierung bis zu Lieferkette und Schulung.
Erhebliche Sicherheitsvorfälle sind in kurzen, gestaffelten Fristen an das BSI zu melden. Das setzt voraus, dass der Vorfall überhaupt erkannt wird – ohne Monitoring läuft die Frist, bevor jemand etwas merkt.
Die Geschäftsleitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und sich selbst schulen lassen. Delegieren lässt sich die Umsetzung, nicht die Verantwortung.
NIS-2 hat zwei Seiten. Die technische Umsetzung findet im Netz, an den Systemen und an den Anlagen statt – und wird hier direkt geleistet. Die organisatorische Umsetzung braucht Richtlinien, Prozesse und Nachweise – dafür arbeitet Prechtl CI mit spezialisierten Partnerunternehmen zusammen. Beides wird koordiniert, damit am Ende ein stimmiges Gesamtbild entsteht.
Maßnahmen, die im Büro- und im Anlagennetz tatsächlich wirken – geplant, umgesetzt und im laufenden Betrieb gehalten. Was konkret passiert:
Richtlinien, Prozesse und Nachweise – gemeinsam mit spezialisierten Beratungs- und Auditpartnern, abgestimmt auf die technische Realität vor Ort. Was dabei entsteht:
Technik und Organisation greifen ineinander: Eine Richtlinie zur Fernwartung ist nur so gut wie der Zugang, der sie technisch durchsetzt. Deshalb laufen beide Stränge über eine Stelle zusammen – abgestimmt, ohne Reibungsverluste zwischen Beratern und Technikern.
Voraussetzung: Die Betroffenheit ist geklärt – über die Betroffenheitsprüfung des BSI oder einen Rechtsbeistand. Im Erstgespräch geht es um das, was danach kommt: Netz, Anlagen, Zugänge, Backup, Monitoring.
Unverbindlich · vor Ort oder per VideoTechnische Ist-Aufnahme vor Ort: Netzstruktur, Geräteinventar, Zugänge und Admin-Konten, Backups, Monitoring, Fernwartungswege. Ergebnis: eine Maßnahmenliste mit Priorität, Aufwand und Zuordnung Technik oder Organisation.
Vor Ort · IT und OTDie technischen Maßnahmen werden in Etappen umgesetzt – nach Risiko priorisiert und ohne Stillstand im Betrieb. Parallel entstehen mit den Partnern Richtlinien und Prozesse.
Technik & Organisation parallelDokumentation, mit der Aufsicht und Prüfer arbeiten können – und ein laufender Betrieb mit Monitoring, Zugriff auf das EDR-Portal und regelmäßiger Überprüfung, damit das Niveau bleibt.
Laufend · Statusbericht auf WunschDas wird hier nicht beurteilt – Rechtsberatung gehört nicht zum Angebot. Das BSI stellt eine Betroffenheitsprüfung bereit, bei Unsicherheit hilft ein Rechtsbeistand. Steht fest, dass NIS-2 greift, beginnt hier die technische Umsetzung.
Direkt umgesetzt werden alle technischen Maßnahmen: Netzsegmentierung zwischen Büro- und Anlagennetz, Firewalls und Zugriffskontrolle, Mehr-Faktor-Authentifizierung, sichere Fernwartung, Backup- und Wiederanlaufkonzept, Monitoring und Protokollierung, Patch- und Schwachstellenmanagement. Die organisatorischen Anteile – Richtlinien, Risikomanagement, Meldeprozesse, Schulungen – werden gemeinsam mit spezialisierten Partnerunternehmen erarbeitet.
Die organisatorische Umsetzung – Risikoanalyse, Richtlinien, Meldeprozesse, Schulung – läuft über Partnerunternehmen und ist unabhängig davon, wer die IT betreibt. Die technische Umsetzung dagegen gibt es nur zusammen mit dem laufenden IT-Betrieb: Wer die Segmentierung plant, muss auch die Firewall betreiben, die Backups prüfen und die Logs sehen – sonst lässt sich nicht nachweisen, dass die Maßnahmen umgesetzt sind und bleiben. Der Wechsel vom bisherigen Dienstleister lässt sich parallel organisieren, ohne Stillstand.
Nein. Die Registrierung ist nur der erste Schritt. NIS-2 verlangt darüber hinaus umgesetzte Risikomanagement-Maßnahmen, funktionierende Meldeprozesse für erhebliche Sicherheitsvorfälle und eine Geschäftsleitung, die die Maßnahmen billigt und überwacht.
Nein. Nach der Bestandsaufnahme werden die Maßnahmen nach Risiko priorisiert und in Etappen umgesetzt. Was den Betrieb am stärksten absichert, kommt zuerst – meist Netztrennung, Zugriffskontrolle und ein belastbares Backup.
Im unverbindlichen Erstgespräch wird geklärt, was bereits passt und wo die größten Lücken liegen – für Büro-IT und Anlagentechnik.