NIS2 · Readiness & Nachweis
Betroffenheit klären, Art.-21-Maßnahmen laufend nachweisen, Meldefristen halten.
Betroffenheit ist die falsche erste Frage — die richtige ist: Können Sie es beweisen?
„Ich kann es behaupten – aber nicht beweisen. Die BSI-Prüfung kann jederzeit kommen." So beschreiben CISOs unter Audit-Druck ihre Lage — und NIS2 macht das persönlich: Die Leitungsebene muss die zehn Risikomanagement-Maßnahmen nach Art. 21 Abs. 2 selbst umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen (Art. 20 NIS2 · § 38 BSIG · § 31 NISG 2026). Als letztes Mittel kann die Aufsicht Leitungsorganen die Funktion vorübergehend untersagen.
Bevor überhaupt ein Kontrollkatalog Sinn ergibt, steht eine andere Frage: Zählt Ihr Unternehmen zu Anhang I oder Anhang II — und damit zu den wesentlichen oder den wichtigen Einrichtungen? Diese Einstufung entscheidet über Meldepflichten, Aufsichtsintensität und Bußgeldrahmen, und sie hängt am Sektor, nicht an der Mitarbeiterzahl. Wer das nicht sauber klärt, baut auf einer falschen Annahme auf.
Und wenn der Ernstfall eintritt, zählt nicht die Absicht, sondern die Uhr: 24 Stunden für die Frühwarnung, 72 Stunden für die vollständige Meldung, 30 Tage für den Abschlussbericht. Ohne automatischen Fristentracker verlässt sich das auf Kalendererinnerungen — genau dort, wo ein verpasster Termin am teuersten ist.
Vier Bausteine, die aus Behaupten Beweisen machen.
Deterministischer Betroffenheits-Check
Vier Fragen zu Sektor, Größe und Tätigkeit ordnen Sie Anhang I oder Anhang II zu — nachvollziehbar und ohne Rechtsberatung nötig, um den ersten Schritt zu machen. Das Ergebnis bestimmt automatisch, welche Melde- und Registrierungsfristen für Sie gelten.
Betroffenheits-Check in workspace.reportact.com
Auto-Kontroll-Bewertung aus Nachweisen
Die zehn Risikomanagement-Maßnahmen nach Art. 21 Abs. 2 und die CIR-2024/2690-Controls werden automatisch aus bereits erfassten Nachweisen bewertet — eine Kontrolle zählt zugleich auf ISO 27001 und den AI Act an, statt drei Mal separat gepflegt zu werden. Die Lieferkettensicherheit (Art. 21 Abs. 2 lit. d) wird dabei aus dem Lieferantenregister laufend bewertet und als eigener Nachweis versiegelt.
Incident-Register mit 24-h-Countdown
Ein Vorfall wird erfasst, der Countdown für Frühwarnung (24 h), vollständige Meldung (72 h) und Abschlussbericht (30 Tage) läuft sichtbar mit — inklusive signierter Meldepipeline mit Vorab-Prüfung, damit nichts unvollständig abgeschickt wird.
Registrierungsfristen-Überwachung
Die NISG-Registrierungsfrist Ihres Landes wird überwacht und rechtzeitig angemahnt — statt sie in einer E-Mail oder einem Kalendereintrag zu verlieren, den niemand mehr findet, wenn es darauf ankommt.
Mehr zu NIS2 und zur Engine dahinter.
Fristen, Anhang-I/II-Einstufung, Bußgeldrahmen und Primärquellen im Detail.
Regulierung im Detail →Wie die Kontroll-Bewertung funktioniert und wie sie NIS2, DORA, ISO 27001 und den AI Act gleichzeitig abdeckt.
Funktion im Detail →Welche Anforderungen Art. 21 Abs. 2 lit. d an die Bewertung von Lieferanten und Dienstleistern stellt.
NIS2 & die Lieferkette — was Art. 21 verlangt →Ihr erster versiegelter NIS2-Nachweis — noch heute.
Wir zeigen Ihnen in 30 Minuten, was ReportAct für diesen Use-Case konkret leistet – unverbindlich.