NIS2 gilt. Ihre Geschäftsführung
haftet persönlich.
29.500 Unternehmen sind betroffen. Die Hälfte weiß es noch nicht. Wir zeigen Ihnen, was Ihr Cloud-Setup jetzt erfüllen muss und wo Sie stehen.
NIS2 ist kein IT-Projekt. Es ist Chefsache.
Seit Dezember 2025 gilt das NIS2-Umsetzungsgesetz. Die Geschäftsführung haftet persönlich, nicht delegierbar. Und Ihr Cloud-Provider ist Teil der Lieferkette.
Lieferkette eingeschlossen
NIS2 betrifft nicht nur Sie, sondern auch Ihre Dienstleister. Wenn Ihr Cloud-Provider die Anforderungen nicht erfüllt, haften Sie. Nicht er.
50 % wissen es nicht
Die Hälfte der betroffenen Unternehmen hat noch nicht erkannt, dass NIS2 für sie gilt. Die Sektorenliste ist breiter als erwartet: von Energie über Gesundheit bis zu digitalen Diensten.
Keine Übergangsfrist mehr
Anders als bei DSGVO gibt es keine „Grace Period“. Das Gesetz gilt. Prüfungen laufen. Wer jetzt nicht NIS2-konform aufgestellt ist, operiert bereits im Risiko.
NIS2 macht die Geschäftsführung persönlich haftbar für Cybersicherheit. Das ist kein IT-Thema mehr. Es ist ein Vorstandsthema.
Einschätzung auf Basis des BSI-Lageberichts zur IT-Sicherheit 2025
Was muss Ihr Cloud-Provider nach NIS2 erfüllen?
Sechs Punkte, abgeleitet aus den zehn Risikomanagement-Maßnahmen des Gesetzes. Jeder muss nachweisbar sein, bei jedem steht, wie wir ihn erfüllen.
Zertifiziertes ISMS
Ein nachweisbares Informationssicherheits-Managementsystem nach ISO 27001 oder gleichwertig.
ISO 27001 zertifiziertIncident Response in 24h
Dokumentierte Prozesse für die Erkennung, Meldung und Bewältigung von Sicherheitsvorfällen, innerhalb der 24-Stunden-Frist.
24/7-Monitoring, dokumentierte IR-ProzesseLieferketten-Transparenz
Vollständige Offenlegung aller Unterauftragnehmer und deren Sicherheitsniveau. Keine versteckten Drittanbieter.
Transparente Lieferkette: Adacor + NTT als RZ-Partner, vollständig dokumentiertRegelmäßige Audits & Pentests
Nachweisbare, regelmäßige Sicherheitsüberprüfungen durch unabhängige Dritte.
Jährliche Audits (ISO 27001, TISAX, PS 951 Typ 2, ISAE 3402 Typ 2)Verträge mit Auditrecht
NIS2-konforme Vertragsstrukturen mit dokumentiertem Auditrecht für den Auftraggeber.
DORA-/NIS2-konforme VertragsvorlagenDatenresidenz in DE/EU
Nachweis, dass Daten ausschließlich in Deutschland oder der EU verarbeitet und gespeichert werden, ohne Zugriff durch US-Jurisdiktion.
Eigene Infrastruktur in NTT-Rechenzentren Frankfurt & München, deutsches RechtNIS2-Konformität: drei konkrete Ansätze
Ob Sie Ihre bestehende Infrastruktur absichern, den Cloud-Provider wechseln oder Ihre Compliance-Lücken schließen wollen, wir begleiten Sie.
NIS2-Readiness-Assessment
Wir analysieren Ihr aktuelles Cloud-Setup gegen die 10 NIS2-Risikomanagement-Maßnahmen. Sie erhalten einen konkreten Report: Was erfüllt ist, wo Lücken bestehen, was priorisiert werden muss.
- Gap-Analyse Ihres Cloud-Providers gegen NIS2-Anforderungen
- Bewertung Ihrer Lieferketten-Dokumentation
- Priorisierter Maßnahmenplan mit Zeitschiene
- Ergebnis in 2 Wochen, nicht 6 Monaten
Migration auf NIS2-konforme Infrastruktur
Wenn Ihr aktueller Provider die Anforderungen nicht erfüllt, migrieren wir Ihre Workloads auf zertifizierte Infrastruktur in Frankfurt, mit dokumentierter Compliance ab Tag 1.
- ISO 27001, TISAX, PS 951, ISAE 3402 als Betriebseigenschaft
- Eigene Cloud-Infrastruktur in Frankfurt & München, kein CLOUD Act
- NIS2-konforme Verträge mit Auditrecht
- Migration ohne Betriebsunterbrechung
Compliance-Add-on für bestehende Plattformen
Sie nutzen bereits Adacor oder eine andere Cloud-Plattform? Wir ergänzen die fehlenden NIS2-Bausteine: Incident-Response-Dokumentation, Audit-Vorbereitung, Lieferketten-Mapping.
- Incident-Response-Playbooks nach NIS2-Standard
- Audit-Dokumentation für §30 BSIG
- Regelmäßige Compliance-Reviews
- BSI-Meldeketten-Integration
Compliance ist bei uns Betriebseigenschaft, nicht Projekt
Wir werden von den gleichen Prüfern auditiert, die auch Ihre Branche prüfen. Unsere Zertifizierungen sind nicht Marketing. Sie sind die Grundlage unseres Betriebs.
ISO 27001 · TISAX · PS 951 · ISAE 3402
Vier Zertifizierungen, jährlich auditiert. Nicht als Projekt erworben, sondern als Betriebseigenschaft gelebt, seit über einem Jahrzehnt.
Eigene Infrastruktur in Frankfurt & München
Unsere Cloud-Plattform läuft in NTT-Rechenzentren: Tier-3+, mehrfach zertifiziert, am wichtigsten Internet-Knotenpunkt Europas. Deutsches Recht, kein CLOUD Act.
Transparente, kurze Lieferkette
Was NIS2 unter „Lieferkettensicherheit" verlangt, lösen wir durch Übersichtlichkeit: Adacor für den Betrieb, NTT für die Rechenzentren. Zwei Partner, vollständig dokumentiert. Kein Finger-Pointing.
Inhabergeführt seit 2003
Die Geschäftsführung haftet persönlich, genau wie Ihre nach NIS2. Wir verstehen, was auf dem Spiel steht, weil wir im gleichen Boot sitzen.
BSI C5 Typ 1 in der Umsetzung
Der BSI Cloud-Computing Compliance Criteria Catalogue wird zum Branchenstandard. Das Testat nach C5 Typ 1 ist bei uns in der Umsetzung.
„Wir liefern Ihnen nicht nur Infrastruktur, wir liefern den Compliance-Nachweis gleich mit. Weil wir wissen, dass Ihr Prüfer genau das sehen will."
Häufige Fragen zu NIS2 und Cloud
Was IT-Leitung und Geschäftsführung vor der Standortbestimmung wissen wollen, kurz beantwortet.
-
Wer ist von NIS2 betroffen?
Unternehmen ab 50 Mitarbeitenden oder 10 Millionen Euro Umsatz in einem der 18 Sektoren, in Deutschland rund 29.500. Das Gesetz unterscheidet zwei Gruppen: besonders wichtige Einrichtungen, das sind die größeren Betreiber in kritischen Sektoren wie Energie, Gesundheit oder digitaler Infrastruktur, sowie wichtige Einrichtungen, dazu zählt der Großteil des Mittelstands in denselben Sektoren. Die Pflichten treffen beide Gruppen, die Aufsicht ist bei den besonders wichtigen strenger. Ob Sie betroffen sind, entscheidet die Zuordnung Ihres Unternehmens zu einem der Sektoren, nicht die eigene Einschätzung.
-
Was verlangt NIS2 konkret und wer haftet?
Zehn Risikomanagement-Maßnahmen, von der Risikoanalyse über den Umgang mit Sicherheitsvorfällen bis zur Sicherheit der Lieferkette, dazu Meldepflichten mit einer Frist von 24 Stunden für die Erstmeldung. Die Geschäftsführung haftet persönlich und kann diese Verantwortung nicht delegieren. Sie muss die Maßnahmen billigen und ihre Umsetzung überwachen. Die Pflicht endet nicht an der eigenen Infrastruktur: Sie haften auch dann, wenn Ihr Cloud-Provider die Anforderungen nicht erfüllt.
-
Reicht eine ISO-27001-Zertifizierung für NIS2?
Nicht ganz, aber sie ist die Basis. ISO 27001 deckt nach unserer Einschätzung 70 bis 80 % der NIS2-Anforderungen ab. Die restlichen 20 bis 30 % betreffen die Meldepflichten mit der 24-Stunden-Frist, die Governance der Lieferkette und die NIS2-spezifischen Vertragsanforderungen wie ein dokumentiertes Auditrecht. Wer einen ISO-27001-zertifizierten Provider hat, muss also nicht bei null anfangen.
-
Wie hängen NIS2, DORA und BSI C5 zusammen?
NIS2 ist das Gesetz für die 18 Sektoren, DORA die eigene, strengere Regulierung für den Finanzsektor. BSI C5 ist kein Gesetz, sondern der Anforderungskatalog des BSI für Cloud-Dienste, den Prüfer als Nachweis heranziehen. Gemeinsam ist allen dreien, dass sie nachweisbare Sicherheitsmaßnahmen und ein gelebtes Risikomanagement verlangen, deshalb ist ein ISMS nach ISO 27001 die Basis für alle. Unsere Vertragsvorlagen sind auf DORA und NIS2 ausgelegt, das C5-Testat Typ 1 ist bei uns in der Umsetzung.
-
Wie finde ich heraus, wo mein Cloud-Setup bei NIS2 steht?
Mit einem NIS2-Readiness-Assessment. Wir prüfen Ihr aktuelles Cloud-Setup gegen die zehn Risikomanagement-Maßnahmen, bewerten Ihre Lieferketten-Dokumentation und liefern einen priorisierten Maßnahmenplan mit Zeitschiene. Das Ergebnis liegt in zwei Wochen vor, nicht in sechs Monaten. Unsere Einschätzung ist ehrlich, auch wenn sie zum Ergebnis kommt, dass Ihr aktueller Provider bereits für NIS2 gut aufgestellt ist.
NIS2-Readiness Ihres Cloud-Setups prüfen
In einem 30-minütigen Gespräch prüfen wir Ihr aktuelles Cloud-Setup gegen die NIS2-Anforderungen. Sie erhalten eine ehrliche Einschätzung, auch wenn Ihr aktueller Provider bereits gut aufgestellt ist.
- Gap-Analyse: Wo steht Ihr Cloud-Provider bei den 10 NIS2-Maßnahmen?
- Haftungsrisiken: Welche Lücken betreffen die GF-Haftung nach §38 BSIG?
- Quick Wins: Was können Sie sofort verbessern?
- Unverbindlich, auch wenn die Antwort „Ihr Setup ist bereits konform" lautet
