Live · Frühphase

Die NIS2 App für den Mittelstand

Keine Fristen mehr im Kopf, keine verstreuten Excel-Listen. Die NIS2 App behält Ihre Pflichten im Blick – damit Sie gelassen bleiben, wenn ein Vorfall oder eine Prüfung kommt.

14 Tage kostenlos testen Module ansehen

Registrierung mit Ihrer geschäftlichen E-Mail-Adresse, in zwei Minuten. Die kostenlosen Module brauchen kein Zahlungsmittel.

Früh heißt: Es kann noch etwas haken. Dafür hat jeder Bildschirm der App die Schaltfläche „Rückmeldung“ — ein Klick, und Ihr Hinweis liegt bei den Leuten, die die App bauen. Wir lesen jede Meldung.

Arbeitsbereich der NIS2-Plattform mit offenen Punkten, Risikomatrix und den freigeschalteten Modulen
Der Arbeitsbereich: was gesetzlich fällig ist, was Sie sich selbst vorgenommen haben, und die Risikomatrix aus dem eigenen Register.
Die App in 78 Sekunden

Sehen Sie, was die NIS2 App für Sie erledigt

Fristen, die sich selbst rechnen, Register, die zusammenarbeiten, und Nachweise, die beim Arbeiten entstehen — in gut einer Minute.

14 Tage kostenlos testen
Acht Module, ein System

Acht Module, die füreinander arbeiten.

Dateien auf dem Laufwerk wissen nichts voneinander. Hier liefert die Prozessanalyse des Risikomoduls die Wiederanlaufzeiten der Notfallplanung, die § 28-Einstufung setzt die Registrierungsfrist nach § 33, und jede Zeile trägt ihren Bezug zu den zehn Pflichtmaßnahmen bis in den Governance-Nachweis. Jedes Modul ist allein nutzbar, und ein Kauf schaltet alle frei — zusammen sind sie ein ISMS. Die Pfeile zeigen die Reihenfolge, in der die meisten anfangen; vorgeschrieben ist sie nicht. Ein Klick auf eine Kachel führt zur Beschreibung.

Was die Plattform leistet

Sechs Pflichten, an einem Ort geführt

Der Einstieg ist NIS2: Die Felder sind die Angaben, die das BSIG verlangt, und die Fristen sind die Fristen, die dort stehen. Was dabei entsteht, ist aber ein Informationssicherheits-Managementsystem — jedes Register ist auf ISO 27001 gemappt. Sie fangen mit der Pflicht an und haben am Ende die Struktur, auf der eine Zertifizierung aufsetzt.

Fristen, die selbst rechnen

24 Stunden, 72 Stunden, ein Monat — die drei Stufen des § 32 BSIG laufen ab dem Erkennungszeitpunkt und zeigen, wie viel Zeit bleibt. Dazu die Art. 33 und 34 DSGVO, in derselben Ansicht.

Register statt Dokumente

Assets, Prozesse, Risiken, Systeme, Lieferanten und Vorfälle sind Datensätze mit Verantwortlichen, Terminen und Status — sortierbar, durchsuchbar und exportierbar, wenn eine Behörde eine Liste möchte.

Jede Zeile weiß, welche Pflicht sie erfüllt

Risiken, Richtlinien, Kennzahlen und Aufgaben tragen ihren Bezug zu den zehn Pflichtmaßnahmen des § 30 BSIG — und damit zu ISO 27001. Auf die Frage „wie steht es um die Betriebskontinuität?“ antwortet die Plattform mit dem, was Sie dazu erfasst haben, statt mit einem Häkchen.

Ihre Templates ziehen um

Wenn Sie bereits unsere Vorlagen nutzen, können Sie diese importieren und online weiterarbeiten. Alle sechs Kits haben einen Import: Sie laden die Arbeitsmappe hoch und finden Ihre Zeilen wieder — kein leeres System, keine Abtipparbeit.

Mehrere Einrichtungen, ein Konto

Konzernstrukturen sind der Normalfall, nicht die Ausnahme. Jede Gesellschaft wird eigenständig nach § 28 eingestuft, registriert und geführt — sichtbar nebeneinander statt in getrennten Ordnern.

Security by Design, nicht nachträglich

Daten in der EU und strikt mandantengetrennt — und zwar von der Datenbank selbst erzwungen, nicht von einer Abfrage in der Anwendung, die man vergessen kann. Besonders sensible Felder wie die privaten Rufnummern der Krisenkontakte liegen zusätzlich verschlüsselt. Wer Sicherheitssoftware verkauft, sollte sie zuerst auf sich selbst anwenden.

Die Module im Einzelnen

Was Sie in jedem Modul tatsächlich tun

Alle Bildschirme unten sind echte Aufnahmen aus der Anwendung, mit Beispieldaten eines fiktiven Unternehmens. Nichts davon ist ein Entwurf oder eine Illustration.

§ 30 Abs. 2 Nr. 1 BSIG

Risikomanagement

Die Grundlage, auf der jede andere Pflicht steht: was schützen wir, wovor, und wie wahrscheinlich ist es. Vom Asset-Inventar über die Geschäftsprozess-Analyse bis zum bewerteten Risiko mit Maßnahme, Verantwortlichem und Termin.

  • Asset-Inventar mit Schutzbedarf — und dem Hinweis, wenn die Prozessanalyse einen höheren ergibt als das Inventar angibt
  • Business-Impact-Analyse mit RTO, RPO und Ausfallkosten je Prozess
  • Risikoregister mit 5×5-Matrix, Bedrohungskatalog und Restrisiko
  • Behandlung je Risiko: vermeiden, vermindern, übertragen oder bewusst akzeptieren
  • Jedes Risiko trägt seinen Bezug zu den zehn Pflichtmaßnahmen

Import aus dem Risikomanagement-Kit (RM_Mappe).

Risikoregister der NIS2 App mit Score, Stufe, Behandlung, Verantwortlichem und § 30-Bezug
Risikoregister mit Bewertung, Behandlung und Paragrafenbezug.
§ 32 BSIG · Art. 33/34 DSGVO

Vorfallmanagement

Das Modul, in dem Zeit Geld kostet. Ein Vorfall wird mit dem Erkennungszeitpunkt erfasst — ab da laufen die Fristen sichtbar, und jede der vier Meldepflichten hat ihren eigenen Stand: offen, Entwurf, eingereicht oder begründet nicht erforderlich.

  • Erstmeldung nach 24 Stunden, Folgemeldung nach 72 Stunden, Abschlussmeldung nach einem Monat
  • Prüfhilfe: ist dieser Vorfall überhaupt meldepflichtig — mit dokumentiertem Ergebnis, auch wenn die Antwort Nein ist
  • Meldeentwürfe aus der erfassten Faktenlage, statt vor leerem Formular
  • Ereignisprotokoll, das nur wächst: Korrekturen werden angehängt, nicht überschrieben — daraus entsteht die Abschlussmeldung
  • Vorbereitung: BSI-Registrierung, ELSTER-Zertifikat, Meldeberechtigte, Eskalationsweg

Import aus dem Incident-Response-Kit (IM_Tracker).

Vorfallregister mit laufender 24-Stunden-Meldefrist nach § 32 BSIG
Sieben Vorfälle, und oben eine Frist, die in 19 Stunden abläuft.
§ 30, § 32, § 33, § 38 BSIG

Governance und Richtlinien

Der Nachweisteil. Hier steht, wie weit jede der zehn Pflichtmaßnahmen umgesetzt ist, wer dafür verantwortlich ist, wann sie zuletzt geprüft wurde — und was die anderen Module dazu beitragen.

  • Die zehn Maßnahmen nach § 30 Abs. 2 mit Status, Verantwortung und Prüftermin
  • Die 21 BSI-Leitfragen als Selbsteinschätzung mit Beleg und Bewertung
  • Richtlinienübersicht: Version, Freigabe, Prüftermin, Ablageort
  • 18 Kennzahlen mit Vorperiodenvergleich — Patchzeit, Schulungsquote, MFA-Abdeckung
  • Registrierung nach § 33 und § 34 in sechs Schritten, mit Fristüberwachung
  • Geschäftsleitungsbeschlüsse und BSI-Warnungen mit Relevanzbewertung
  • Einrichtungsregister: § 28-Einstufung je Gesellschaft, auch im Konzern

Import aus dem Geschäftsleitungs-Kit (GL_Mappe) und dem Richtlinien-Kit (POL_Cockpit).

Die zehn Pflichtmaßnahmen nach § 30 Abs. 2 BSIG mit Status und Verantwortlichkeit
Die zehn Pflichtmaßnahmen — und was jede davon an Belegen trägt.
§ 30 Abs. 2 Nr. 3 BSIG

Business Continuity

Die Pflicht, bei der Absicht nicht zählt. § 30 verlangt nicht, dass gesichert wird, sondern dass die Wiederherstellung funktioniert — also einen Test mit Datum und Ergebnis.

  • Wiederanlaufpläne nach Priorität, mit RTO und RPO aus der Prozessanalyse statt aus dem Bauchgefühl
  • Backup-Register nach der 3-2-1-Regel: lokal, zweiter Ort, extern und unveränderlich
  • Restore-Tests mit Datum, Ergebnis und nächstem Termin — „nie getestet“ ist ein sichtbarer Zustand
  • Krisenkontaktliste, intern und extern, mit den privaten Rufnummern verschlüsselt
  • Zehn Punkte Notfallvorsorge als Checkliste mit Verantwortlichen

Import aus dem BCM-Kit (BCM_Mappe).

Wiederanlaufpläne mit RTO, RPO, Methode und Teststand
Zwölf Systeme in Wiederanlaufreihenfolge — und wer davon getestet ist.
§ 30 Abs. 2 Nr. 4 BSIG

Lieferkette

Die Pflicht, die am häufigsten unterschätzt wird: Sie haften auch für die Sicherheit derer, von denen Sie abhängen. Das Modul klassifiziert Lieferanten, verschickt den Fragebogen und rechnet das Ergebnis aus.

  • Lieferantenregister mit Klasse A/B/C — und der Prüfkadenz, die daraus folgt
  • Der entscheidende Unterschied festgehalten: IT-Zugang, Datenzugang, beides oder keins
  • 18 gewichtete Sicherheitsfragen, vom Lieferanten selbst über einen Einmal-Link beantwortet
  • Ergebnis in Punkten und Prozent, mit Urteil: akzeptabel, bedingt, nicht akzeptabel
  • Review-Termine, die die Plattform aus der Klasse ableitet — und meldet, wenn Ihr eigener Termin davon abweicht

Import aus dem Supply-Chain-Kit (SC_Mappe).

Lieferantenregister mit Klasse, Zugangsart, Fragebogenstand und Bewertung
Dreizehn Lieferanten, sechs bewertete Fragebögen, einer bei 33 %.
§ 38 Abs. 3 BSIG · Basis kostenlos

Schulung der Geschäftsleitung

Die einzige NIS2-Pflicht, die persönlich haftet. § 38 verlangt, dass die Leitung regelmäßig geschult wird — und im Zweifel, dass sie es belegen kann. Das Modul hält eine Schulung ab und schreibt dabei den Nachweis.

  • 43 Module in Lernpfaden: Einstieg, Risiko, Maßnahmen, Vorfall, Quartalsupdate
  • Der Einstieg ist dauerhaft kostenlos: die Module A1–A5 und die Geschäftsleitungs-Grundlagen G1–G2 gehören zu jedem Konto
  • Präsentationsmodus für den Termin — kein PowerPoint, das jemand pflegen muss
  • Teilnahme, Umfang und Wissensstand je Person, direkt im Termin erfasst
  • Schulungsprotokoll mit Datum, Dauer, Inhalt und Teilnehmerliste als Dokument
  • Der Rechtsstand, gegen den geschult wurde, wird mitgeschrieben

Kein Import nötig — der Lehrplan gehört zum Modul.

Schulungsnachweis nach § 38 BSIG mit Sitzungen, Dauer und Teilnehmenden
Sechs Schulungen im Jahr, mit Dauer, Modulen und Teilnehmenden.
§ 28 BSIG · kostenlos

Betroffenheitsprüfung

Der Anfang von allem, und der Teil, der nichts kostet. Bevor irgendeine Pflicht gilt, muss geklärt sein, ob und als was Sie erfasst sind — und diese Einstufung ist selbst dokumentationspflichtig.

  • Prüfung nach Sektor, Anlage 1/2, Größenklasse und Tätigkeit
  • Ergebnis mit Begründung: nicht betroffen, wichtige oder besonders wichtige Einrichtung
  • Widerspruch möglich: Sie können der Einschätzung begründet nicht folgen — auch das ist Dokumentation
  • Aus dem Ergebnis folgt die Registrierungsfrist nach § 33, und die Plattform rechnet sie aus
  • Für jede Gesellschaft im Konzern einzeln

Kein Kit, kein Aufpreis: Die Betroffenheitsprüfung gehört zum Konto und ist ab dem ersten Login da — auch für Einrichtungen, die am Ende gar nicht betroffen sind.

Betroffenheitsbericht der NIS2 App: Einstufung als wichtige Einrichtung, Größenklasse, Bußgeldrahmen und geschätzter Aufwand
Das Ergebnis mit Begründung: wichtige Einrichtung, Anhang II, Registrierungspflicht nach § 33.
§ 30 Abs. 2 Nr. 6 BSIG · kostenlos

Kontinuierliche Verbesserung

Umsetzen ist die halbe Pflicht: § 30 verlangt auch Verfahren, mit denen Sie die Wirksamkeit Ihrer Maßnahmen bewerten. Der Kern läuft schon heute: eine modulübergreifende Maßnahmenliste, in der landet, was aus Risiken, Restore-Tests und Vorfällen folgt — der Kreislauf aus prüfen, feststellen, nachbessern, den ISO 27001 in Kapitel 9 und 10 erwartet.

  • Eine Maßnahmenliste für alle Module: was aus einem Risiko, einem Test oder einem Vorfall folgt, steht in derselben Liste
  • Jede Maßnahme mit § 30-Bezug, Richtlinie, Priorität, Verantwortlichem und Frist
  • Überfällig rechnet die Plattform: eine erledigte Maßnahme mit Termin in der Vergangenheit ist Geschichte, eine offene ein sichtbares Problem
  • Wirksamkeit im Trend: 18 Kennzahlen mit Vorperiodenvergleich, Prüfkadenzen an den Checklisten — „nie getestet“ bleibt sichtbar
  • Im Ausbau: internes Auditprogramm, Management-Review und Statement of Applicability

Kein Kit und kein Preis: Die Maßnahmenliste ist bewusst nicht lizenzpflichtig — kontinuierliche Verbesserung ist für jedes Konto kostenlos, und der Ausbau bleibt es.

Feststellungsregister der NIS2 App mit Herkunft, Einstufung, Verantwortlichem, Frist und Stand der CAPA-Schleife
Zwölf Feststellungen aus Audits, Tests und Vorfällen — zwei warten auf die Wirksamkeitsprüfung.
Für wen wir das bauen

Für Unternehmen ohne eigene Cybersicherheitsabteilung

NIS2 trifft in Deutschland rund 29.000 Einrichtungen — die allermeisten davon ohne Sicherheitsorganisation, ohne Compliance-Team und ohne Budget für ein sechsstelliges Beratungsprojekt. Für die ist diese Plattform gebaut: bedienbar von einer Person, die noch andere Aufgaben hat.

50+

Beschäftigte oder 10 Mio. € Umsatz — ab hier greift § 28 BSIG für die erfassten Sektoren.

1

Person genügt, um die Plattform zu führen. Kolleginnen und Kollegen kommen mit eigenen Rollen dazu.

6

Module, ein Kauf — alle freigeschaltet, statt jedes einzeln zu buchen. Betroffenheitsprüfung, Schulungs-Basis und Verbesserung bleiben kostenlos.

Häufige Fragen

Die NIS2 App für KMU — kurz beantwortet

Was ist eine NIS2-Software und brauchen wir als KMU eine?

NIS2 verlangt keine Software, sondern Nachweise: dass Risiken bewertet wurden, dass ein Vorfall innerhalb von 24 Stunden gemeldet werden kann, dass die Wiederherstellung getestet ist, dass Lieferanten geprüft sind und dass die Geschäftsleitung geschult wurde. Das lässt sich in Excel führen — bis die erste Frist läuft und niemand weiß, welcher Stand gilt. Eine NIS2-Software hält die Register aktuell, rechnet die gesetzlichen Fristen selbst und erzeugt die Dokumentation, die eine Prüfung verlangt.

Für welche Unternehmensgröße ist die Plattform gedacht?

Für Unternehmen ab etwa 50 Beschäftigten oder 10 Millionen Euro Umsatz — die Größenklasse, die § 28 BSIG als wichtige oder besonders wichtige Einrichtung erfasst und die typischerweise keine eigene Cybersicherheitsabteilung hat. Die Plattform ist so gebaut, dass eine Person mit anderen Aufgaben sie nebenher führen kann.

Kann ich die Plattform testen, und was kostet sie?

Ja — die NIS2 App ist live, in einer frühen Phase, und jede Organisation kann sich mit einer geschäftlichen E-Mail-Adresse selbst registrieren. Dauerhaft kostenlos und ohne Zahlungsmittel sind die Betroffenheitsprüfung, die Schulungsmodule A1–A5 und G1–G2 und das Modul Kontinuierliche Verbesserung. Die erste Buchung von NIS2Have App Komplett ist 14 Tage kostenlos: Sie hinterlegen ein Zahlungsmittel, und wer vor Ablauf kündigt, zahlt nichts. Danach gilt ein Preis für alles: Die NIS2 App kostet 49 € im Monat oder 499 € im Jahr — 15 % unter der Monatsrate —, und ein Kauf schaltet alle Module frei. Jede weitere Einrichtung, etwa eine Tochtergesellschaft, kostet 20 € im Monat oder 199 € im Jahr. Alle Preise sind Nettopreise; gemäß § 19 UStG wird keine Umsatzsteuer berechnet. Wer das NIS2-Komplett-Bundle gekauft hat, testet 90 statt 14 Tage kostenlos.

Was passiert mit den NIS2-Vorlagen, die wir schon gekauft haben?

Jedes Modul kann seine Arbeitsmappe importieren. Wer die Kits als Excel- und Word-Dateien führt, lädt sie hoch und arbeitet in der Plattform weiter. Asset-Inventar, Risikoregister, Incident-Log, Backup-Register, Lieferantenregister und Richtlinienübersicht werden übernommen, nicht neu getippt. Die Vorlagen-Kits bleiben verfügbar und behalten ihren Wert.

Wo liegen die Daten?

In der EU. Jede Organisation sieht ausschließlich ihre eigenen Daten — das erzwingt die Datenbank selbst über Row-Level-Security, nicht eine Abfrage in der Anwendung. Besonders sensible Felder wie die privaten Rufnummern in der Krisenkontaktliste werden zusätzlich verschlüsselt gespeichert.

Ersetzt die Plattform einen Berater?

Für den größten Teil der Umsetzung ja. Sie enthält die Struktur, die Fristen und die Formulierungen, die ein Beratungsprojekt sonst erst erarbeitet. Für Auslegungsfragen im Einzelfall — etwa eine strittige Einstufung nach § 28 — bleibt fachlicher Rat sinnvoll, und die Dokumentation dafür liegt dann bereits vor.

Gilt NIS2 auch, wenn Deutschland noch nicht vollständig umgesetzt hat?

Die Pflichten stehen im BSIG und knüpfen an die NIS2-Richtlinie an. Den aktuellen Umsetzungsstand aller EU-Mitgliedstaaten führen wir laufend im NIS2-Status-Tracker. Unabhängig vom Datum gilt: Registrierung, Meldewege und Nachweise entstehen nicht in drei Wochen.