NIS2-Software auswählen: Kriterien statt Ranking

Wer nach NIS2-Software sucht, findet Listen: die sieben besten Werkzeuge, die zehn besten Werkzeuge, oft veröffentlicht von einem der Anbieter auf der Liste, der dann auf Platz eins steht. Auch wir verkaufen Software, die bei NIS2 unterstützt. Deshalb erstellen wir keine Rangliste, sondern nennen die Kriterien, die wir selbst beim Kauf anlegen würden, mit den Fragen für jede Demo. Gewichten Sie sie für Ihre Lage und legen Sie sie an uns genauso streng an wie an alle anderen.

Das Wichtigste in Kürze

• NIS2 ist mehr als eine Kontrollliste. Software muss Betroffenheit, Registrierung, Meldefristen, Lieferkette und Pflichten der Leitung abdecken.
• Prüfen Sie die Betroffenheit je Gesellschaft. Gruppen brauchen eine Prüfung für jedes Unternehmen.
• Meldungen müssen auch samstags um zwei Uhr nachts funktionieren. Achten Sie auf gestufte Meldungen mit benannten Personen, nicht auf ein Formular.
• Lieferkette heißt Verträge, nicht nur eine Lieferantenliste.
• Fragen Sie, wer die Arbeit macht. Vorlagen lassen sie bei Ihrem Team. Agenten bereiten sie zur Freigabe vor.
• Misstrauen Sie Ranglisten ohne genannte Kriterien, auch unserer.

Was NIS2 tatsächlich verlangt

In Deutschland stehen die NIS2-Pflichten seit 6. Dezember 2025 im BSI-Gesetz. Eine betroffene Einrichtung muss sich beim BSI registrieren, Risikomanagementmaßnahmen in zehn Bereichen umsetzen, erhebliche Sicherheitsvorfälle gestuft innerhalb von 24 Stunden, 72 Stunden und einem Monat melden, und die Geschäftsleitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Das österreichische NISG 2026 folgt demselben Muster. Unsere Leitfäden zum NIS2-Umsetzungsgesetz und zur Betroffenheitsprüfung je Gesellschaft beschreiben die Einzelheiten.

Software, die nur eine Liste der zehn Bereiche mit Kästchen zum Abhaken anbietet, deckt davon einen kleinen Teil ab.

Die acht Kriterien

1. Betroffenheit je Gesellschaft

Kann die Software die Betroffenheit für jede Gesellschaft Ihrer Gruppe prüfen, mit Sektor, Größe, Konzerndaten und der deutschen Regel zur IT-Unabhängigkeit? Lassen Sie sich das Ergebnis für eine Gruppe mit Holding, einer Tochter im Ausland und einer kleinen, nicht betroffenen Gesellschaft zeigen.

2. Die zehn Bereiche, zugeordnet zu dem, was Sie haben

Wer ISO 27001 betreibt oder ein TISAX®-Label hat, hat die meisten technischen Maßnahmen schon. Gute Software liest die NIS2-Anforderungen gegen Ihre vorhandenen Controls und zeigt, was erfüllt, teilweise erfüllt oder fehlend ist. Fragen Sie, wie eine teilweise Erfüllung angezeigt wird, etwa ein Vorfallprozess ohne den 24-Stunden-Schritt.

3. Gestufte Meldungen

Die Frühwarnung ist innerhalb von 24 Stunden fällig, nachdem Sie von einem erheblichen Vorfall Kenntnis erlangt haben. Lassen Sie sich einen Vorfall am Freitagabend vorführen: Wer wird benachrichtigt, wie wird die Erheblichkeit bewertet, woher kommt der Entwurf, und wer gibt die Meldung frei?

4. Lieferkette bis zum Vertrag

Artikel 21 verlangt Sicherheit in der Lieferkette, einschließlich der sicherheitsbezogenen Aspekte der Beziehungen zu unmittelbaren Lieferanten. Das steht in Verträgen. Kann die Software Lieferantenverträge auf Sicherheitsklauseln, Meldepflichten bei Vorfällen und Prüfrechte prüfen? Eine Lieferantenliste mit Risikowerten ist nur der erste Schritt.

5. Pflichten der Leitung

Die Geschäftsleitung muss die Maßnahmen billigen, überwachen und an Schulungen teilnehmen. Achten Sie auf einen dokumentierten Freigabeprozess, Schulungsnachweise und einen Statusbericht, den ein Geschäftsführer in fünf Minuten lesen kann.

6. Laufende Lückenprüfung

Eine Gap-Analyse einmal im Jahr findet Probleme spät. Fragen Sie, wie oft die Software Abdeckung und Nachweise prüft und was passiert, wenn ein Control nicht mehr greift, etwa wenn bei einem neuen Administratorkonto die Multi-Faktor-Authentifizierung fehlt.

7. Weitere Frameworks auf demselben Control-Set

Nur wenige Unternehmen betreiben NIS2 allein. Stehen ISO 27001, TISAX®, DORA oder Kundenfragebögen auf Ihrer Liste, prüfen Sie, ob sie ein Control-Set und eine Nachweisbasis teilen. Unser Leitfaden zum Control-Mapping über mehrere Frameworks erklärt, warum das wichtig ist.

8. Wer macht die Arbeit

Dieses Kriterium entscheidet über die laufenden Kosten. Bei vorlagenbasierter Software schreibt und pflegt Ihr Team Richtlinien, Zuordnungen und Berichte. Mit KI-Agenten werden Entwürfe und Prüfungen vorbereitet, und Ihr Team gibt frei. Lassen Sie sich mit Ihren eigenen Daten zeigen, was Ihr Team im zweiten Jahr in einer normalen Woche tut.

Fragen für jede Demo

1. Zeigen Sie mir die Betroffenheitsprüfung für eine Gruppe mit drei Gesellschaften.
2. Zeigen Sie mir eine teilweise Übereinstimmung zwischen einem ISO-27001-Control und einer NIS2-Maßnahme.
3. Gehen Sie mit mir einen Vorfall von der ersten Warnung bis zur abgegebenen Frühwarnung durch.
4. Wie prüfen Sie einen Lieferantenvertrag auf die NIS2-Anforderungen an die Lieferkette?
5. Wie sieht der Bericht für die Geschäftsleitung aus, und wie wird die Freigabe festgehalten?
6. Wie oft prüfen Sie auf Lücken, und wie sehe ich, was sich seit letzter Woche geändert hat?
7. Wo werden meine Daten gespeichert, und wer hat Zugriff?
8. Was tut mein Team in einer normalen Woche, wenn das Programm läuft?

Typische Fehler beim Kauf

• Nach der Funktionsliste kaufen. Jeder Anbieter listet die zehn Bereiche. Der Unterschied liegt darin, wie die Arbeit erledigt wird.
• Meldungen bis zum ersten Vorfall ignorieren. Testen Sie den Prozess, bevor Sie ihn brauchen.
• NIS2 als eigenes Projekt neben ISO 27001 oder TISAX® behandeln. Zwei Programme verdoppeln die Arbeit.
• Ranglisten ohne Kriterien vertrauen. Wenn eine Liste nicht sagt, wie sie bewertet hat, lässt sie sich nicht prüfen.

Wenn Sie sehen wollen, wie GetTeddy diese Fragen beantwortet, ist unsere NIS2-Seite ein guter Anfang, oder stellen Sie sie uns in einer Demo.