In einer Sitzung wissen, ob NIS2 für Sie gilt, und in wenigen Wochen bereit für die Behörde. Die Agenten von GetTeddy setzen jeden Schritt auf Ihren bestehenden Controls um. Ein Compliance Engineer hilft Ihnen bei der Vorbereitung auf Prüfungen durch die Behörde.
Geprüft von Sven Moritz, ehemaliger CISO · Oktober 2026
TeddyGap Audit Agent×Wenn Sie ISO 27001, SOC 2 oder TISAX® umsetzen, ist ein großer Teil von NIS2 schon vorhanden. GetTeddy führt ein gemeinsames Control-Set für alle Frameworks und zeigt nur, was neu ist.
Beispiel aus einem Demo-Unternehmen. Ihre Zahlen liefert Ihr erstes Gap-Audit.
Die Agenten von GetTeddy prüfen den Anwendungsbereich, ordnen die Maßnahmen zu und bauen den Meldeprozess auf. Die Geschäftsleitung entscheidet.
Sektor, Größe und Konzernstruktur entscheiden. GetTeddy prüft jede Gesellschaft anhand Ihres Unternehmensmodells und begründet das Ergebnis, damit die Rechtsabteilung es bestätigen kann.
GetTeddy sammelt, was die Behörde verlangt: Kontaktstellen, Sektor und Teilsektor sowie die Mitgliedstaaten, in denen Sie Dienste erbringen. Sie prüfen die Daten und reichen sie ein.
Jede der zehn Maßnahmen wird den Controls zugeordnet, die Sie bereits betreiben. Sie sehen, was abgedeckt ist, was teilweise und was fehlt, jeweils mit Verantwortlichen.
Der Policy Agent entwirft den gestuften Meldeprozess mit Rollen, Kriterien für einen erheblichen Sicherheitsvorfall und Vorlagen, verknüpft mit Ihrem bestehenden Incident Response.
Melde- und Managementprozesse dauern jeweils ein bis vier Monate. Am längsten dauert der Aufbau des Sicherheitsmanagements dahinter.
Mit GetTeddyIn wenigen WochenBetroffenheit pro Gesellschaft, Registrierungsdaten, Art. 21 auf Ihre bestehenden Controls abgebildet und ein getesteter Meldeprozess.
NIS2 gilt kraft Gesetzes, sobald Sie betroffen sind. Ein Zertifikat zum Vorzeigen gibt es nicht, aber die Behörde kann Sie prüfen, und die Geschäftsleitung haftet für die Maßnahmen.
GetTeddy prüft Sektor, Größe und jede Gesellschaft und dokumentiert das Ergebnis.
Wer was bis wann meldet, ist geklärt, bevor etwas passiert.
Ihre Geschäftsleitung gibt die Maßnahmen frei. GetTeddy hält Status und Nachweise bereit.
Die Rechtsabteilung ist unsicher, ob Sie eine wichtige Einrichtung sind, das Incident-Playbook kennt nur die interne Eskalation, und der Vorstand fragt, wofür er haftet. ChatGPT kann die Richtlinie zusammenfassen, kennt aber weder Ihren Sektor noch Ihre Größe oder Ihre Controls. GetTeddy prüft die Betroffenheit anhand Ihres Unternehmensmodells und baut den Meldeprozess auf dem auf, was Sie bereits betreiben.
NIS2 ist die Richtlinie (EU) 2022/2555 und gilt über nationales Recht, in Deutschland über das NIS2UmsuCG und das überarbeitete BSI-Gesetz. Die Kernpflichten sind überall gleich.
Sektor, Größe und teils Ihre Rolle entscheiden, ob Sie betroffen sind und ob Sie als besonders wichtige oder wichtige Einrichtung gelten.
Betroffene Einrichtungen melden der nationalen Behörde Name, Kontaktdaten, Sektor und die Mitgliedstaaten, in denen sie Dienste erbringen.
Zehn Maßnahmen, von Risikoanalyse und Bewältigung von Sicherheitsvorfällen bis zu Lieferkettensicherheit, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung.
Bei erheblichen Sicherheitsvorfällen: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats, an das CSIRT oder die zuständige Behörde (in Deutschland das BSI).
Die Geschäftsleitung billigt die Maßnahmen, überwacht ihre Umsetzung, nimmt an Schulungen teil und kann haftbar gemacht werden.
Behörden können prüfen und Maßnahmen anordnen. Die Höchstbußgelder liegen bei mindestens 10 Mio. € oder 2 % des weltweiten Umsatzes für besonders wichtige Einrichtungen und 7 Mio. € oder 1,4 % für wichtige.
Der Eintrag im BSI-Portal ist der Startpunkt. Später schaut die Behörde auf die Maßnahmen, den Meldeprozess und die Rolle der Geschäftsleitung.
Werden Zuständigkeit und Portalzugang erst während des Vorfalls geklärt, ist die 24-Stunden-Frist meist verstrichen. Rund die Hälfte der Unternehmen hat keine klaren Zuständigkeiten für Cybersicherheit.
Ein CISO kann das Programm steuern, aber Billigung, Überwachung und Haftung bleiben bei der Geschäftsleitung. Jeder Geschäftsführer absolviert die Schulung persönlich.
Nein. NIS2 ist eine gesetzliche Pflicht, keine Zertifizierung. Behörden überwachen die Einhaltung und können Sie prüfen. Ein ISO-27001-Zertifikat hilft, viele Maßnahmen nach Art. 21 nachzuweisen, ersetzt aber Pflichten wie Registrierung und Meldung von Vorfällen nicht.
Das hängt von Ihrem Sektor, Ihrer Größe und teils Ihrer Rolle ab. Große Einrichtungen in Sektoren aus Anhang I sind in der Regel besonders wichtig. Mittlere Einrichtungen aus Anhang I und Einrichtungen aus Anhang II sind in der Regel wichtig. Nationales Recht kann Fälle ergänzen, und GetTeddy prüft jede Gesellschaft Ihrer Gruppe.
Meist der gestufte Meldeprozess, Billigung und Schulung durch die Geschäftsleitung sowie Teile der Lieferkettensicherheit. Das Gap-Audit zeigt es Maßnahme für Maßnahme.
Ja. Ein Compliance Engineer hilft bei Fragen zum Anwendungsbereich, bei der Registrierung und bei Prüfungen durch die Behörde und bereitet die Nachweise mit Ihnen vor.
In der Regel das Recht des Mitgliedstaats, in dem Sie niedergelassen sind, mit Sonderregeln für einige digitale Dienste. GetTeddy ordnet jede Gesellschaft ihrem nationalen Recht zu.
In der Region Ihrer Wahl: EU, Deutschland oder USA. Die Daten jedes Kunden werden getrennt und verschlüsselt gespeichert. GetTeddy verbindet sich standardmäßig nur lesend und trainiert nicht mit Kundendaten. Details finden Sie auf unserer Security-Seite.
Sehen Sie es in einer 30-minütigen Demo an Ihrem eigenen Setup.
# nis2-readiness8
NIS2_Measures.xlsx