Complair Mark Complair

NIS 2 · Informationssicherheit im Mittelstand

Wir bringen Unternehmen
in einen Zustand, den sie
dem BSI belegen können.

§ 30 · § 32 · § 38 BSIG

Beratung zur Umsetzung des BSIG in der Fassung des NIS2UmsuCG – von der Betroffenheitsprüfung bis zur laufenden Betreuung.

Das NIS2UmsuCG ist am 6. Dezember 2025 ohne Übergangsfrist in Kraft getreten. Für betroffene Unternehmen gelten seither die Pflichten der §§ 30 ff. BSIG: Risiko­management­maßnahmen, Meldewege, Nachweis­dokumentation und die persönliche Verantwortung der Geschäfts­leitung nach § 38 BSIG.

Wir arbeiten mit Unternehmen, die diese Pflichten erfüllen müssen, ohne dafür eine eigene Sicherheits­organisation zu unterhalten.

Leistungen

Fünf abgegrenzte Leistungen,
von der Betroffenheitsprüfung
bis zur laufenden Betreuung.

Jede Leistung hat einen definierten Umfang, ein schriftliches Ergebnis und eine benannte Dauer.

Die Leistungen bauen aufeinander auf, sind aber einzeln beauftragbar. Welche davon sinnvoll ist, ergibt sich aus der Betroffenheitsprüfung – vorher lässt sich der Umfang nicht seriös bestimmen.

  1. 00

    Selbsttest Betroffenheit

    Sechs Fragen zu Sektor, Größenschwellen und Konzernzugehörigkeit. Der Test läuft in Ihrem Browser; es wird nichts übertragen oder gespeichert. Für Gruppenstrukturen grenzt er die Frage ein, beantwortet sie aber nicht abschließend.

    Kostenlos
    Ohne Anmeldung
    Dauer
    Fünf Minuten

  2. 01

    Erstanalyse

    Sektorzuordnung nach Anlage 1 und Anlage 2 BSIG, Schwellenrechnung mit offengelegtem Rechenweg einschließlich Konzern- und Gruppenbetrachtung, Einstufung, Registrierung beim BSI. Dazu eine Ersteinschätzung über alle zehn Maßnahmenbereiche des § 30 BSIG, die fünf dringendsten Lücken mit Maßnahmenempfehlung und eine Aufwandsindikation als Bandbreite.

    Ergebnis
    Bericht über zehn bis zwölf Seiten. Eine Einschätzung aus zwei Gesprächen, keine belegte Prüfung.
    Dauer
    Acht Werktage, zwei bis drei Beratertage

  3. 02

    Standortbestimmung

    Belegte Bewertung gegen alle Maßnahmenbereiche des § 30 BSIG: vier bis sechs Fachbereichsinterviews, Dokumentenprüfung, Reifegrad je Bereich. Priorisierter Maßnahmenkatalog mit Aufwands- und Kostenschätzung, Sofortmaßnahmen gesondert ausgewiesen.

    Ergebnis
    Maßnahmenkatalog, der einer Aufsichtsfrage standhält, und Abschlusspräsentation.
    Dauer
    Drei bis fünf Wochen, fünf bis zwölf Beratertage

  4. 03

    Umsetzung

    Aufbau eines Managementsystems in angemessenem Umfang: Richtlinien und Konzepte, Risikoanalyse, Lieferantenbewertung, Meldeprozess nach § 32 BSIG, Business Continuity und Backup-Konzept, Schulung der Leitungsorgane nach § 38 BSIG, Nachweisdokumentation.

    Ergebnis
    Ein nachweisfähiger Zustand und die Dokumentation, die ihn belegt.
    Dauer
    Vier bis acht Monate, 20 bis 60 Beratertage

  5. 04

    Informations­sicherheits­beauftragter

    Laufende Betreuung ohne Festanstellung: jährliche Überprüfung von Risiken und Maßnahmen, Unterstützung bei Sicherheitsvorfällen, Ansprechstelle für Kundenfragebögen und Auditanfragen, Fortschreibung der Dokumentation.

    Ergebnis
    Dauerhafte Nachweisfähigkeit.
    Dauer
    Zwölf Monate, Verlängerung automatisch. Ein bis vier Tage im Monat

  6. 05

    Lieferanten­nachweis

    Für Unternehmen, die selbst nicht reguliert sind, deren NIS-2-pflichtige Kunden aber Sicherheitsnachweise verlangen: Analyse des Fragebogens, Identifikation der Lücken, Sofortmaßnahmen, Aufbereitung der Nachweise, Formulierung der Antwort.

    Ergebnis
    Beantworteter Fragebogen mit belegten Angaben.
    Dauer
    Ein bis zwei Wochen, ein bis fünf Beratertage

Vorgehen

§ 30 BSIG verlangt Maßnahmen,
die zur Größe und zur Risikolage
des Unternehmens passen – nicht mehr.

Verhältnismäßigkeit ist keine Auslegungsfrage, sondern der Maßstab des Gesetzes. Wir bauen kein Konzernsystem in einen Betrieb mit 120 Beschäftigten.

Der Umfang der Maßnahmen ergibt sich aus dem Ausmaß der Risikoexposition, der Größe der Einrichtung und den zu erwartenden Auswirkungen eines Vorfalls. Das begrenzt, was wir vorschlagen – und es begrenzt, was das BSI erwarten kann.

  1. 1

    Klären

    Betroffenheit, Einstufung, Geltungsbereich. Ohne diesen Schritt machen wir kein Angebot für alles Weitere.

    ErgebnisSchriftliche Einschätzung

  2. 2

    Aufnehmen

    Bestandsaufnahme gegen § 30 BSIG, Fachgespräche, Dokumentensichtung, Übersicht über Assets und Lieferanten.

    ErgebnisReifegradbild

  3. 3

    Priorisieren

    Maßnahmenkatalog nach Risiko und Aufwand. Sofortmaßnahmen, Pflichtprogramm und Optionales getrennt ausgewiesen.

    ErgebnisFahrplan mit Kostenschätzung

  4. 4

    Umsetzen

    Richtlinien, Prozesse, Schulung, Dokumentation. Iterativ im Zwei-Wochen-Takt, nicht als Wasserfall.

    ErgebnisNachweisfähiger Zustand

  5. 5

    Halten

    Jährliche Fortschreibung, Unterstützung bei Vorfällen, Anpassung bei Änderungen der Organisation oder der Rechtslage.

    ErgebnisDauerhafte Nachweisfähigkeit

Über Complair

Wir arbeiten zu Festpreisen,
herstellerunabhängig und mit
einem festen Ansprechpartner.

Complair ist eine Beratung für Informationssicherheit. Wir sind[TBD: Teamgröße] und arbeiten überwiegend remote.

  • Festpreise statt Tagessatzrisiko

    Jede Leistung hat einen definierten Umfang und einen festen Preis. Der Umfang kann sich ändern – dann sprechen wir darüber, bevor Aufwand entsteht.

  • Herstellerunabhängig

    Wir erhalten keine Provisionen von Software- oder Hardwareanbietern. Wenn wir ein Produkt empfehlen, hat das keinen anderen Grund als die Sache.

  • Ein Ansprechpartner

    Dieselbe Person, die das Projekt bespricht, führt es auch durch. Keine Übergabe zwischen Angebot und Umsetzung.

  • Überwiegend remote

    Fachgespräche und Abstimmungen laufen remote. Präsenz vereinbaren wir dort, wo sie einen Unterschied macht, nicht als Standard.

  • Verhältnismäßiger Umfang

    Wir schlagen vor, was § 30 BSIG für Ihre Größenordnung verlangt. Was darüber hinausgeht, benennen wir als solches und überlassen die Entscheidung Ihnen.

Qualifikationen
[TBD: Zertifizierungen, sofern vorhanden]
Gegründet
[TBD: Gründungsjahr, falls nennenswert]

Kontakt

Für eine erste Einschätzung
genügt ein Telefonat.

Ob NIS 2 für Ihr Unternehmen gilt, lässt sich in einem kurzen Gespräch eingrenzen – oder vorab im Selbsttest. Für eine belastbare Aussage brauchen wir Mitarbeiterzahl, Standorte und Ihre Konzernzugehörigkeit.

Complair [TBD: Firmierung]
[TBD: Straße und Hausnummer]
[TBD: PLZ und Ort]

Telefon
[TBD: Telefonnummer]
E-Mail
[TBD: E-Mail-Adresse]
Anrufen