Zum Inhalt springen

Sprache

Demo vereinbaren

NIS2 Compliance

Von der NIS2-Pflicht zur Wiederherstellung, die Sie nachweisen können

NIS2 verlangt, dass Ihr Unternehmen den Betrieb aufrechterhält und sich nach einem Vorfall wiederherstellen kann. Mindtime übernimmt den Teil Backup und Disaster Recovery aus Artikel 21 und liefert Ihnen die Nachweise für Ihre Prüfer.

Richtlinie
(EU) 2022/2555
Deutschland
NIS2UmsuCG · seit 6. Dez. 2025
Niederlande
Cbw · seit 15. Aug. 2026
Wir decken ab
Art. 21 Abs. 2 lit. c
Gilt NIS2 für Sie? Kostenlose Analyse anfordern

Das Gesetz

Zehn Maßnahmen, ein Gesetz

Artikel 21 nennt zehn Bereiche, die jede betroffene Einrichtung abdecken muss, von der Risikoanalyse bis zur Multi-Faktor-Authentifizierung. In Deutschland stehen sie in § 30 BSIG.

In Ihrem Unternehmen

Jede Maßnahme hat einen Verantwortlichen

Die Geschäftsleitung muss die Maßnahmen billigen und überwachen. Reichen sie nicht aus, kann sie dafür haften.

Art. 21 Abs. 2 lit. c

Backup und Wiederherstellung: abgedeckt

Unveränderliche Backups, Disaster Recovery und getestete Wiederherstellungen: Die Ebene für die Aufrechterhaltung des Betriebs betreiben wir für Sie.

Ihre Nachweise

Gerüstet für die Prüfung

Wiederherstellungstests, Notfallübungen und Audit-Logs, automatisch dokumentiert.

Kostenlose Analyse anfordern

Kurz gesagt

Was ist NIS2?

NIS2, die Richtlinie (EU) 2022/2555, ist das EU-Recht zur Cybersicherheit für besonders wichtige und wichtige Einrichtungen. Sie verlangt Risikomanagementmaßnahmen in zehn Bereichen und die Meldung erheblicher Sicherheitsvorfälle, beginnend innerhalb von 24 Stunden. Für beides ist die Geschäftsleitung verantwortlich. In Deutschland setzt das NIS2UmsuCG die Richtlinie im BSI-Gesetz (BSIG) um.

Für wen sie gilt
Mittlere und große Unternehmen in den Sektoren der Anhänge I und II sowie einige Anbieter unabhängig von ihrer Größe
Zentrale Pflichten
Risikomanagementmaßnahmen nach Artikel 21 (in Deutschland § 30 BSIG), Meldepflicht nach Artikel 23, Verantwortung der Geschäftsleitung nach Artikel 20
Geldbußen
Höchstbetrag von mindestens 10 Mio. € oder 2 % des weltweiten Umsatzes für besonders wichtige Einrichtungen
Was Mindtime abdeckt
Die Ebene Backup und Disaster Recovery aus Art. 21 Abs. 2 lit. c, mit den Nachweisen

Diese Seite erklärt das Recht in einfacher Sprache. Dies ist eine allgemeine Information und keine Rechtsberatung. Die Rechtsquellen wurden am 2. Oktober 2026 geprüft, die Angaben zum deutschen Recht am 15. Oktober 2026 beim BSI.

Betroffenheit prüfen

Gilt NIS2 für Ihr Unternehmen?

Drei Fragen geben Ihnen eine erste Einschätzung. Verbindlich ist die Einstufung nach dem BSIG. Besonders wichtige und wichtige Einrichtungen müssen sich selbst beim BSI registrieren.

Frage 1

Arbeiten Sie in einem dieser Sektoren?

Hohe Kritikalität (Anhang I)

Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten (einschließlich Managed Service Providern), öffentliche Verwaltung, Weltraum

Sonstige kritische Sektoren (Anhang II)

Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe (einschließlich Medizinprodukten, Elektronik, Maschinen und Fahrzeugen), Anbieter digitaler Dienste, Forschung

Frage 2

Ist Ihr Unternehmen mittelgroß oder größer?

Das heißt: 50 oder mehr Beschäftigte oder mehr als 10 Mio. € Jahresumsatz und zugleich mehr als 10 Mio. € Jahresbilanzsumme.

Frage 3

Sind Sie ein Anbieter, der unabhängig von seiner Größe betroffen ist?

Zum Beispiel ein Anbieter öffentlicher elektronischer Kommunikationsdienste, ein Vertrauensdiensteanbieter, ein DNS-Diensteanbieter, eine Top-Level-Domain-Registry oder eine Organisation, die der Staat ausdrücklich benannt hat.

Ihre erste Einschätzung

Beantworten Sie die Fragen, um zu sehen, ob NIS2 voraussichtlich für Sie gilt.

Art. 21 Abs. 2 · § 30 BSIG

Die zehn Maßnahmen und wer was abdeckt

Artikel 21 verlangt „geeignete und verhältnismäßige“ Maßnahmen in zehn Bereichen. In Deutschland stehen sie in § 30 Abs. 2 BSIG. Kein einzelner Anbieter deckt alle ab. Hier sehen Sie, welchen Teil Mindtime übernimmt.

  1. a

    Konzepte zur Risikoanalyse und zur Sicherheit der Informationssysteme

    Ihr Unternehmen legt die Konzepte fest und bewertet die Risiken.

    Sie
  2. b

    Bewältigung von Sicherheitsvorfällen

    Sicherheitsvorfälle erkennen, bewältigen und melden: Das ist Ihr Prozess.

    Sie
  3. c

    Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement

    Mindtime übernimmt Backup-Management und Disaster Recovery, mit den Testnachweisen. Das Krisenmanagement bleibt bei Ihnen.

    Mindtime
  4. d

    Sicherheit der Lieferkette

    Mindtime ist ISO-27001- und NEN-7510-zertifiziert (NEN 7510 ist die niederländische Norm für Informationssicherheit im Gesundheitswesen) und schließt einen Auftragsverarbeitungsvertrag (AVV) ab. Das hilft Ihnen bei der Bewertung Ihrer Lieferanten.

    Wir unterstützen
  5. e

    Sicherheit bei Erwerb, Entwicklung und Wartung, einschließlich des Umgangs mit Schwachstellen

    Ihre Systeme, Ihr Patch-Management und Ihr Prozess für Schwachstellen.

    Sie
  6. f

    Konzepte zur Bewertung der Wirksamkeit Ihrer Maßnahmen

    Ihr Unternehmen prüft, ob seine Maßnahmen wirken. Unsere Wiederherstellungstests liefern dafür einen Baustein.

    Sie
  7. g

    Grundlegende Cyberhygiene und Schulungen zur Cybersicherheit

    Schulungen für Ihre Beschäftigten und, nach Artikel 20, für die Geschäftsleitung.

    Sie
  8. h

    Kryptografie und, wo angemessen, Verschlüsselung

    Backup-Daten gehen AES-256-verschlüsselt an unsere Rechenzentren.

    Wir unterstützen
  9. i

    Sicherheit des Personals, Zugriffskontrolle und Asset-Management

    Wer in Ihrem Unternehmen worauf zugreifen darf.

    Sie
  10. j

    Multi-Faktor-Authentifizierung und gesicherte Kommunikation

    Administrative Aktionen in der Backup-Konsole von Mindtime erfordern MFA (Multi-Faktor-Authentifizierung). Für MFA in Ihren eigenen Systemen sind Sie zuständig.

    Wir unterstützen

Art. 21 Abs. 2 lit. c

Was NIS2 für Backup und Wiederherstellung bedeutet

Das Gesetz verlangt die Aufrechterhaltung des Betriebs, „wie Backup-Management“ und Wiederherstellung nach einem Notfall. In der Praxis wollen Prüfer drei Dinge sehen: Kopien, die einen Angriff überstehen, eine Wiederherstellung, die funktioniert, und Nachweise für beides.

  1. 1

    Backups, die einen Angriff überstehen

    Unveränderliche Kopien nach der 3-2-1-1-0-Regel, gespeichert ausschließlich in Rechenzentren in Deutschland und den Niederlanden.

  2. 2

    Wiederherstellung, die funktioniert

    Disaster Recovery mit Standby-Infrastruktur und einem Failover-Test in jedem Quartal.

  3. 3

    Nachweise für die Prüfung

    Wiederherstellungstests, Audit-Logs und Dokumentation zu Sicherheitsvorfällen, automatisch erstellt.

Backup as a Service Disaster Recovery

Meldepflicht · Artikel 23

Einen erheblichen Sicherheitsvorfall in drei Schritten melden

Die Frist beginnt, sobald Sie von einem erheblichen Sicherheitsvorfall erfahren. In Deutschland melden Sie an das BSI. Die Meldung ist Ihre Pflicht. Unsere Wiederherstellungsprotokolle liefern Ihnen die Fakten dafür.

  1. 24 Stunden

    Frühe Erstmeldung

    Ob der Vorfall auf rechtswidrige oder böswillige Handlungen zurückgehen könnte oder grenzüberschreitende Auswirkungen haben kann.

  2. 72 Stunden

    Meldung

    Eine Aktualisierung mit einer ersten Bewertung des Vorfalls, seines Schweregrads und seiner Auswirkungen.

  3. 30 Tage

    Abschlussmeldung

    Nach Angaben des BSI innerhalb von 30 Tagen: eine ausführliche Beschreibung, die wahrscheinliche Ursache und die ergriffenen Maßnahmen. Die Richtlinie selbst nennt einen Monat nach der Meldung.

Artikel 20 und 34

Sanktionen und Haftung der Geschäftsleitung

Nach der Richtlinie müssen die Mitgliedstaaten bei Verstößen gegen Artikel 21 oder 23 Geldbußen mindestens bis zu diesen Beträgen verhängen können. Maßgeblich ist der höhere Wert.

  • Besonders wichtige Einrichtungen

    10 Mio. € oder 2 %

    Die Höchstgeldbuße muss mindestens diesen Betrag oder diesen Anteil am weltweiten Jahresumsatz erreichen, je nachdem, welcher Wert höher ist.

  • Wichtige Einrichtungen

    7 Mio. € oder 1,4 %

    Die Höchstgeldbuße muss mindestens diesen Betrag oder diesen Anteil am weltweiten Jahresumsatz erreichen, je nachdem, welcher Wert höher ist.

  • Geschäftsleitung · Artikel 20

    Billigen, überwachen, dafür einstehen

    Die Geschäftsleitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und kann haftbar gemacht werden. Ihre Mitglieder müssen außerdem an Schulungen zur Cybersicherheit teilnehmen. Auch nach dem BSIG liegt die Verantwortung für Umsetzung und Überwachung bei der Geschäftsleitung.

Lieferkette

Auch Ihre Lieferanten zählen

Nach Art. 21 Abs. 2 lit. d gehört die Sicherheit Ihrer direkten Lieferanten und Dienstleister zu Ihren eigenen Pflichten. In Deutschland regelt das § 30 Abs. 2 BSIG.

Einen Backup-Anbieter auswählen

Was Sie fragen sollten und was wir antworten

  • Unabhängig zertifiziert: ISO 27001 und NEN 7510
  • Daten ausschließlich in Deutschland und den Niederlanden gespeichert, nach EU-Recht
  • Ein Auftragsverarbeitungsvertrag (AVV) zu jedem Vertrag
  • Unveränderliche Backups und Wiederherstellungstests, die Sie Ihren Prüfern vorlegen können

Für MSPs

NIS2 kann direkt für Sie gelten

  • Managed Service Provider und Managed Security Service Provider stehen in Anhang I, bei den Sektoren mit hoher Kritikalität
  • Betroffene Kunden werden Sie als Lieferanten bewerten
  • Mindtime liefert Ihnen zertifiziertes Backup, Wiederherstellung und Nachweise, die Sie jedem Kunden anbieten können
Partner werden

Nationale Gesetze

Wo NIS2 in Deutschland und den Niederlanden steht

NIS2 ist eine Richtlinie. Jedes Land überführt sie in eigenes Recht. Stand: Oktober 2026.

  • Niederlande · in Kraft

    Cyberbeveiligingswet (Cbw)

    In den Niederlanden seit 15. August 2026 in Kraft. Betroffene Organisationen müssen sich dort in ein Register eintragen, eine Risikoanalyse erstellen und Vorfälle innerhalb von 24 Stunden melden.

    Das niederländische NCSC zur Cbw

  • Deutschland · in Kraft

    NIS2UmsuCG und BSIG

    Das NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten, ohne Übergangsfristen. Es ändert das BSI-Gesetz (BSIG), die Aufsicht liegt beim BSI. Besonders wichtige und wichtige Einrichtungen müssen sich innerhalb von drei Monaten im BSI-Portal registrieren und erhebliche Sicherheitsvorfälle an das BSI melden.

  • Mindtime

    Für beide Länder aufgestellt

    Rechenzentren in Deutschland und den Niederlanden und persönlicher Support auf Deutsch, Niederländisch und Englisch.

NIS2-Ratgeber

Mehr dazu

Praktische Ratgeber zu jedem Teil von NIS2, geschrieben für Geschäftsführer und Inhaber, nicht für Juristen.

  1. 01NIS2-Checkliste zur BetroffenheitSektoren, Schwellenwerte und Ausnahmen, Schritt für Schritt.
  2. 02Anforderungen an Backup und DRWas Art. 21 Abs. 2 lit. c verlangt und wie Sie es nachweisen.
  3. 03Fristen der MeldepflichtDie drei Meldeschritte nacheinander erklärt.
  4. 04Sanktionen und HaftungGeldbußen, Aufsichtsmaßnahmen und wofür die Geschäftsleitung einstehen muss.
  5. 05Sicherheit der LieferketteSo bewerten Sie Ihre Lieferanten nach Art. 21 Abs. 2 lit. d.
  6. 06Das Modell der geteilten VerantwortungWo der Teil von Microsoft endet, wo Ihrer beginnt und was NIS2 von Ihnen erwartet.
  7. 07NIS2 für MSPsIhre eigenen Pflichten und was Ihre Kunden Sie fragen werden.
  8. 08Das deutsche und das niederländische GesetzWo NIS2UmsuCG und Cyberbeveiligingswet heute stehen.
  9. 09DatensouveränitätWas sie bedeutet und warum der Speicherort Ihrer Daten zählt.
  10. 10KI-Governance und NIS2Wo KI-Werkzeuge auf Ihre Sicherheitspflichten treffen.

Häufige Fragen

Was Kunden uns oft fragen

Was ist NIS2?

NIS2, die Richtlinie (EU) 2022/2555, ist das EU-Recht zur Cybersicherheit für besonders wichtige und wichtige Einrichtungen. Sie verlangt Risikomanagementmaßnahmen in zehn Bereichen (Artikel 21), die Meldung erheblicher Sicherheitsvorfälle, beginnend innerhalb von 24 Stunden (Artikel 23), und macht die Geschäftsleitung verantwortlich (Artikel 20). In Deutschland setzt das NIS2UmsuCG die Richtlinie im BSI-Gesetz (BSIG) um.

Gilt NIS2 für mein Unternehmen?

In der Regel ja, wenn Sie in einem Sektor aus Anhang I oder II der Richtlinie tätig sind und Ihr Unternehmen mittelgroß oder größer ist: 50 oder mehr Beschäftigte oder mehr als 10 Mio. € Jahresumsatz und zugleich Jahresbilanzsumme. Einige Anbieter sind unabhängig von ihrer Größe betroffen. Machen Sie die Betroffenheitsprüfung und klären Sie das Ergebnis anhand der Informationen des BSI oder mit Ihrer Rechtsberatung.

Was verlangt Art. 21 Abs. 2 lit. c?

Die Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement. In Deutschland steht diese Pflicht in § 30 Abs. 2 BSIG. Mindtime übernimmt die technische Ebene Backup und Disaster Recovery und dokumentiert die Nachweise. Das Krisenmanagement bleibt Ihre Aufgabe.

Wie schnell muss ich einen Sicherheitsvorfall melden?

In Deutschland melden Sie einen erheblichen Sicherheitsvorfall an das BSI: eine frühe Erstmeldung innerhalb von 24 Stunden, nachdem Sie davon erfahren haben, eine Meldung innerhalb von 72 Stunden und eine Abschlussmeldung innerhalb von 30 Tagen. Die Richtlinie selbst nennt für den Abschlussbericht einen Monat nach der Meldung.

Wie hoch sind die Geldbußen nach NIS2?

Für besonders wichtige Einrichtungen beträgt die Höchstgeldbuße mindestens 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Wert höher ist. Für wichtige Einrichtungen sind es mindestens 7 Mio. € oder 1,4 %. Auch die Geschäftsleitung kann haftbar gemacht werden.

Seit wann gilt NIS2 in Deutschland und den Niederlanden?

In Deutschland ist das NIS2-Umsetzungsgesetz (NIS2UmsuCG) am 6. Dezember 2025 in Kraft getreten. In den Niederlanden gilt die Cyberbeveiligingswet seit dem 15. August 2026.

Erfüllt mein Unternehmen mit Mindtime die NIS2-Pflichten?

Kein einzelner Anbieter kann das für Sie erledigen. Mindtime übernimmt den Teil Backup und Disaster Recovery aus Art. 21 Abs. 2 lit. c und unterstützt Sie bei mehreren weiteren Maßnahmen. Governance, Risikoanalyse, Meldungen an das BSI und die übrigen Maßnahmen bleiben bei Ihrem Unternehmen.

Weiterlesen

Wie es weitergeht

  1. 01Backup as a ServiceUnveränderliche Backups für jeden Workload, in Rechenzentren in Deutschland und den Niederlanden.
  2. 02Disaster RecoveryStandby-Infrastruktur und ein Notfallplan, den wir jedes Quartal testen.
  3. 03Kostenlose NIS2-Backup-AnalyseWir prüfen Ihr Backup und Ihre Wiederherstellung anhand von Art. 21 Abs. 2 lit. c und zeigen Ihnen die Lücken.