NIS2 & Compliance
NIS2 ist in Kraft.
Ist Ihre Software-Lieferkette audit-fähig?
Das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025 in Deutschland. Artikel 30 fordert explizit Sicherheit in der Lieferkette, einschließlich Software-Komponenten.
Zeitplan
Die Fristen im Überblick
Dezember 2025: NIS2 in Kraft
Das deutsche NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist seit dem 6. Dezember 2025 geltendes Recht. Betroffene Unternehmen müssen die Anforderungen erfüllen.
März 2026: BSI-Registrierung — Frist abgelaufen
Die Registrierungsfrist beim BSI endete am 6. März 2026. Eine verspätete Registrierung ist weiterhin möglich und dringend zu empfehlen: Die fehlende Registrierung ist ein eigenständiger Verstoß und bußgeldbewehrt.
11. September 2026: CRA-Meldepflicht
Der Cyber Resilience Act startet die Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle in Produkten mit digitalen Elementen. Die Fristen sind kurz: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen 14 Tagen. Ab demselben Datum brauchen Hersteller eine erreichbare Kontaktstelle für Schwachstellenmeldungen.
11. Dezember 2027: CRA vollständig anwendbar
Ab dem 11. Dezember 2027 gelten alle Produktanforderungen des CRA. Hersteller müssen für Produkte mit digitalen Elementen eine maschinenlesbare Software Bill of Materials (SBOM) führen. Wer die Infrastruktur jetzt aufbaut, hat einen Wettbewerbsvorteil bei Kunden und gegenüber der Regulierung.
Anforderungen
Was NIS2 für Ihre Software-Lieferkette bedeutet
NIS2 Artikel 30 und das BSI-Gesetz §30 fordern konkrete Maßnahmen zur Absicherung der Lieferkette.
Sicherheit in der Lieferkette
Unternehmen müssen die Sicherheit ihrer gesamten Lieferkette bewerten, einschließlich Software-Komponenten und deren Abhängigkeiten.
→ Unser Ansatz: DependencyTrack für zentrale Inventur, automatisiert in Ihrer CI/CD-Pipeline
Schwachstellen-Management
Bekanntwerden einer kritischen Schwachstelle erfordert sofortige Handlungsfähigkeit. Unternehmen müssen feststellen können, ob sie betroffen sind.
→ Unser Ansatz: Grype + DependencyTrack für kontinuierliches CVE-Monitoring gegen Ihre SBOM-Daten
Risikomanagement
Die Geschäftsleitung trägt persönliche Verantwortung für angemessene Cybersicherheitsmaßnahmen. Dokumentierte Sorgfaltspflicht schützt vor Haftung.
→ Unser Ansatz: Automatisierte Compliance-Reports aus DependencyTrack, auf Knopfdruck audit-fähig
Management-Training
NIS2 fordert regelmäßige Cybersicherheitsschulungen für die Geschäftsleitung, mindestens alle 3 Jahre. Thema: Risiken der Software-Lieferkette.
→ Unser Ansatz: Management-Briefing mit konkreten Risikoszenarien und Handlungsoptionen aus Ihrer Lieferkette
Bin ich betroffen?
NIS2-Betroffenheitsprüfung
NIS2 betrifft „wesentliche“ und „wichtige“ Einrichtungen in 18 Sektoren. Die Schwellenwerte:
Wesentliche Einrichtungen
Großunternehmen in kritischen Sektoren:
- ≥ 250 Mitarbeitende oder
- > 50 Mio. EUR Umsatz
Sektoren: Energie, Transport, Banken, Gesundheit, Wasser, Digitale Infrastruktur, öffentliche Verwaltung, Raumfahrt
Wichtige Einrichtungen
Mittlere Unternehmen in allen NIS2-Sektoren:
- ≥ 50 Mitarbeitende oder
- > 10 Mio. EUR Umsatz
Zusätzliche Sektoren: Produktion, Chemie, Lebensmittel, Abfall, Post, Forschung, Digitale Dienste
Tipp: Auch wenn Sie nicht direkt unter NIS2 fallen, könnten Ihre Kunden betroffen sein. NIS2 verpflichtet betroffene Unternehmen, die Sicherheit ihrer gesamten Lieferkette zu bewerten. Wer Software liefert, muss Nachweise erbringen können.
Unsere Leistung
So machen wir Sie NIS2-ready
SBOM-Infrastruktur
Automatische Inventur aller Software-Komponenten bei jedem Build. CycloneDX-konforme SBOMs für Ihre gesamte Produktlandschaft.
Vulnerability Management
Kontinuierliches Monitoring gegen bekannte Schwachstellen (CVE). Sofortige Alarmierung bei Betroffenheit. Priorisierung nach echtem Risiko.
Compliance-Dokumentation
Audit-fähige Nachweise, die NIS2 §30, CRA und BSI TR-03183 erfüllen. Auf Knopfdruck verfügbar, wenn der Auditor kommt.
Regulatorischer Kontext
NIS2, CRA und BSI TR-03183
Drei Regelwerke, ein gemeinsamer Nenner: Transparenz über die Software-Lieferkette.
NIS2
Gilt für Betreiber. Fordert Lieferketten-Sicherheit, Schwachstellen-Management und Meldepflichten. Persönliche Haftung der Geschäftsleitung.
Cyber Resilience Act
Gilt für Hersteller. Fordert SBOMs, Vulnerability-Handling und Produktsicherheit über den gesamten Lebenszyklus. Meldepflicht ab 11. September 2026, vollständig anwendbar ab 11. Dezember 2027.
BSI TR-03183
Die technische Richtlinie des BSI konkretisiert SBOM-Anforderungen: Formate (CycloneDX, SPDX), Inhalte, Aktualisierungshäufigkeit, Bereitstellungswege.
NIS2-Readiness prüfen
In 30 Minuten analysieren wir Ihre aktuelle Situation: Wo stehen Sie, was fehlt und welche nächsten Schritte jetzt zählen?
Kostenloses ErstgesprächKostenlos. Konkrete Empfehlungen. Keine Verkaufspräsentation.