NIS2-Beratung in Berlin
Seit Dezember 2025 in Kraft – ohne Übergangsfrist. Sind Sie vorbereitet?
NIS2-Beratung für Unternehmen in Berlin — vom Betroffenheitscheck bis zur Umsetzung
Lieber erstmal schreiben? Kontaktformular
NIS2 ignorieren ist keine Option
Persönliche Geschäftsführerhaftung
NIS2 macht Geschäftsführer persönlich haftbar für Cybersecurity-Mängel. Bußgelder bis 10 Mio. € oder 2 % des Jahresumsatzes — das höhere zählt.
Meldepflicht in 24 Stunden
Bei Sicherheitsvorfällen müssen Sie innerhalb von 24h eine Erstmeldung ans BSI abgeben. Ohne Incident-Response-Prozess schaffen Sie das nicht.
Lieferkette unter Druck
Großkunden — gerade in Berlin viele Bundesbehörden — verlangen NIS2-Nachweise von Zulieferern. Ohne Compliance verlieren Sie Aufträge.
Persönliche Beratung + digitale Plattform
Sie sprechen direkt mit Nils — TÜV-zertifizierter Datenschutzbeauftragter. Die digitale Plattform übernimmt Verzeichnis, AVVs, Schulungen und Doku, damit Sie nicht in Word-Dokumenten ertrinken.
Warum Unternehmen in Berlin sich für frag.hugo entscheiden
Betroffenheitscheck
In 15 Minuten wissen Sie, ob Ihr Berliner Unternehmen unter NIS2 fällt.
Gap-Analyse
Was fehlt? Priorisierte Maßnahmenliste mit realistischem Zeitplan.
ISO 27001 Kombi
70 % Überschneidung — wir setzen beides gleichzeitig um.
Incident Response
24h-Meldeprozess aufsetzen, damit Sie die Fristen einhalten.
Hugo Shield
NIS2-Lieferketten-Compliance digital nachweisen.
Persönlich für Berlin
Beratung remote oder vor Ort in Berlin — keine anonyme Plattform.
NIS2-Compliance in 4 Schritten
Betroffenheitscheck
Fallen Sie unter NIS2? Welche Pflichten gelten für Ihr Unternehmen?
Gap-Analyse
Systematischer Abgleich Ihrer IT-Sicherheit mit den NIS2-Anforderungen.
Umsetzung
Risikomanagement, Sicherheitsmaßnahmen, Meldeprozesse, Schulungen, Dokumentation.
Monitoring
Laufende Compliance: Audits, Updates, Incident Response.
Das sagen unsere Mandanten
„Ein Großkunde aus dem Bundessektor hat uns ein NIS2-Lieferantenaudit geschickt – 38 Fragen, Nachweise verlangt. Dank frag.hugo hatten wir alle Richtlinien und das Datenschutzkonzept bereits parat. Auftrag gerettet.“
„Fünf Tage vor unserer TÜV-Rezertifizierung fehlten uns die IT-Risikoanalyse und der Notfallplan. Nils hat das übers Wochenende geliefert. Der Auditor war begeistert.“
„Unsere M365-Umgebung wurde gehackt – Phishing trotz MFA. Nils hat die Meldung an die Behörde innerhalb der 72-Stunden-Frist durchgebracht. Ohne ihn hätten wir die Frist gerissen.“
„Für jeden ist Datenschutz wichtig. Und für uns ist es wichtig, eine pragmatische Lösung zu finden, wie Unternehmen ihren Datenschutz umsetzen — ohne dabei den Geschäftsbetrieb einzustellen.“
Nils Oehmichen — Geschäftsführer & Datenschutzberater, frag.hugo
Inhalt in Kürze
- NIS 2 ist seit Dezember 2025 in Kraft — ohne Übergangsfrist. Das BSI kann sofort prüfen und sanktionieren.
- Geldbuße bis 10 Millionen Euro oder 2 % des Jahresumsatzes — persönliche Geschäftsführerhaftung inklusive.
- Rund 30.000 Unternehmen in Deutschland direkt betroffen, weitere indirekt über die Lieferkette — Berliner Unternehmen aus Tech, KRITIS-Sektoren, Bundes-Zulieferung und Gesundheit besonders.
- frag.hugo begleitet Sie von der Betroffenheitsanalyse bis zur vollständigen NIS2-Compliance — persönlich für Berlin, remote oder vor Ort.
NIS-2 Beratung für betroffene Unternehmen in Berlin
Die NIS-2-Richtlinie ist das umfassendste Cybersicherheitsgesetz der Europäischen Union (EU) und betrifft Unternehmen in allen Mitgliedstaaten. Die Richtlinie trat auf EU-Ebene im Januar 2023 in Kraft und musste von der Bundesregierung in nationales Recht umgesetzt werden. Die nationale Umsetzung durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) ist seit Dezember 2025 geltendes Recht — ohne Übergangsfrist.
Berlin ist Hauptstadt, Stadtstaat und größter Wirtschaftsraum Ostdeutschlands. Die Stadt vereint einzigartig viele NIS2-relevante Akteure: Bundesregierung, Bundesministerien und nachgeordnete Behörden, einer der größten Tech- und Startup-Cluster Europas, kritische Infrastruktur (BVG, Berliner Wasserbetriebe, Vattenfall Wärme), die Charité als eines der größten Universitätskliniken Europas sowie tausende Dienstleister und Zulieferer in der gesamten Lieferkette. Wer in Berlin tätig ist, ist mit hoher Wahrscheinlichkeit direkt oder indirekt von NIS2 betroffen.
Anwendungsbereich: Welche Unternehmen sind von NIS-2 betroffen?
Berlin ist als Standort vielfältiger Branchen besonders relevant für die NIS-2-Richtlinie:
- Tech, IT, Cloud & Hosting: Berlins Startup-Hub mit über 5.000 Tech-Unternehmen — viele davon fallen als Anbieter digitaler Dienste oder digitaler Infrastruktur direkt unter NIS2.
- Bundes- und Verwaltungsdienstleister: Wer Bundesministerien, Senat oder nachgeordnete Behörden beliefert, gerät spätestens über die Lieferkette in den Anwendungsbereich. Die Cybersicherheit der Zulieferer wird systematisch geprüft.
- Kritische Infrastruktur (KRITIS): BVG, Berliner Wasserbetriebe, Vattenfall Wärme, Stromnetz Berlin, Berliner Verkehrsbetriebe und ihre IT-Dienstleister — alle Sektoren Energie, Wasser, Verkehr und digitale Infrastruktur sind erfasst.
- Gesundheit: Charité, Vivantes, weitere Klinikgruppen und ihre Software-/IT-Dienstleister — Gesundheit ist einer der erweiterten NIS2-Sektoren.
- Medien & Postdienste: Springer, RBB, Funke und Logistikdienstleister wie DHL Berlin können je nach Größe und Funktion betroffen sein.
Die NIS 2-Anforderungen treffen Unternehmen ab 50 Mitarbeitenden oder mehr als 10 Millionen Euro Jahresumsatz — auch kleinere Anbieter, wenn sie in besonders sensiblen Sektoren tätig sind.
Cybersicherheit, Informationssicherheit und Risikomanagement: Persönliche Haftung
Art. 20 NIS2 stellt klar: Die Geschäftsführung haftet persönlich für die Einhaltung der Cybersicherheit. Diese Verantwortung ist nicht delegierbar — weder an einen Chief Information Security Officer noch an externe Dienstleister. Unternehmen müssen die neuen Anforderungen vollständig implementieren. Die Geldbuße beträgt bis zu 10 Mio. Euro, hinzu kommen persönliche Haftung mit dem Privatvermögen und Pflicht zur Teilnahme an Schulungen.
NIS-2-Richtlinie: Risikomanagement, Meldepflichten und Schulungen
Risikomanagement und Meldepflichten
Systematisches Risikomanagement, dokumentierte Sicherheitsrichtlinien und verschärfte Meldepflichten sind gefordert: Spätestens innerhalb von 24 Stunden muss die Frühwarnung erfolgen, innerhalb von 72 Stunden der detaillierte Bericht, 1 Monat für den Abschlussbericht. IT-Security-Prozesse und Informationssicherheit müssen durch Umsetzung technischer und organisatorischer Maßnahmen nachweisbar implementiert sein.
Schulung und Expertise für NIS 2 Compliance
Verpflichtende Schulungen für die Geschäftsleitung und Mitarbeitende mit Zugang zu kritischen Systemen sind ein zentraler Bestandteil der NIS-2-Richtlinie. Unsere Expertise in der Umsetzung der NIS-2-Richtlinie umfasst praxisnahe Schulungsprogramme, die Transparenz über Cyberrisiken schaffen.
Lieferketten-Sicherheit — der Berliner Hebel
Berliner Unternehmen sitzen besonders oft in NIS2-Lieferketten: als Zulieferer von Bundesbehörden, als IT-Dienstleister für die Charité, als Cloud-Anbieter für Senatsverwaltungen, als Logistikpartner für KRITIS-Betreiber. NIS2 verlangt von Auftraggebern die systematische Bewertung aller Zulieferer. Gegenüber Kunden und Partnern müssen Sie Ihre Cybersicherheit nachweisen können — eine Risikoanalyse der gesamten Lieferkette ist Pflicht. Mit unserem Hugo-Shield-Modul digitalisieren wir den Nachweis.
Unsere NIS-2 Beratung: 4 Phasen zur Compliance
Phase 1: Betroffenheitsanalyse — Sind Sie betroffen? Als wesentliche oder wichtige Einrichtung? Wir klären das verbindlich.
Phase 2: Gap-Analyse — Systematischer Abgleich Ihres Sicherheitsstandards mit den spezifischen Anforderungen der NIS-2-Richtlinie, priorisiert nach Risiko.
Phase 3: Maßnahmenplan und Umsetzung — Von Sicherheitsrichtlinien über Meldeprozesse bis zur Schulung. Die Implementierung umfasst technische und organisatorische Maßnahmen nach dem Stand der Technik.
Phase 4: Laufendes Monitoring — Audits, Updates und Incident Response im laufenden Betrieb.
ISO 27001 und NIS 2: Relevante Überschneidung nutzen
Ein ISMS nach ISO 27001 deckt den Großteil der NIS2-Anforderungen ab. Wir stimmen die Umsetzung ab, sodass Sie nicht doppelt arbeiten. Mehr auf unserer Seite zur ISO 27001 Beratung.
NIS-2: Bußgeld, Sanktionen und Durchsetzung
Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) gibt dem BSI weitreichende Befugnisse zur Durchsetzung. Die Sanktionen sind gestaffelt:
- Besonders wichtige Einrichtungen: Bußgelder bis 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes — Betreiber kritischer Anlagen und digitale Infrastruktur
- Wichtige Einrichtungen: Bußgelder bis 7 Millionen Euro oder 1,4 % des Jahresumsatzes
- Leitungsorgane: Persönliche Haftung der Geschäftsführung — nicht delegierbar, Pflicht zur Teilnahme an Cybersicherheits-Schulungen
- Registrierungspflicht: Betroffene Einrichtungen müssen sich beim BSI registrieren und eine Kontaktstelle benennen
Aufsichtsbehörden in Berlin
NIS2 wird in Berlin durch zwei Behörden flankiert: Das BSI (Bundesamt für Sicherheit in der Informationstechnik) ist bundesweit für die NIS2-Aufsicht zuständig. Daneben übt die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) unter Leitung von Meike Kamp die datenschutzrechtliche Aufsicht aus — relevant für die NIS2-Schnittmengen mit personenbezogenen Daten und für die Lieferketten-Bewertung.
Die BlnBDI gilt als eine der aktivsten Datenschutzbehörden Deutschlands und führt 2025 den Vorsitz der Datenschutzkonferenz (DSK). Berliner Unternehmen sollten beide Aufsichtslinien gleichzeitig adressieren — unsere DSGVO-Beratung Berlin und der externe Datenschutzbeauftragte Berlin ergänzen die NIS2-Compliance um die datenschutzrechtliche Umsetzung.
Die NIS-2-Richtlinie gilt bundesweit gleich. Wenn Sie kein lokales Vor-Ort-Setup brauchen, schauen Sie sich auch unsere bundesweite NIS-2 Beratung an — dieselbe Methodik, remote oder bei Ihnen vor Ort, deutschlandweit.
Kostenloses Erstgespräch buchen — lassen Sie uns prüfen, wo Ihr Unternehmen steht.
Wer am Telefon sitzt, wenn Sie anrufen.
Jens Hagel
Mitgründer & IT-Unternehmer
Jens führt seit 2004 die hagel IT-Services GmbH (35 Mitarbeitende) und ist Mitgründer von frag.hugo. Bei die NIS2-Umsetzung für den Mittelstand reden Sie mit jemandem, der das Tagesgeschäft seit über 20 Jahren selbst macht — keine Theorie, keine PowerPoint-Beratung.
NIS 2-Umsetzung in Berlin — Expertise & FAQ
Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist seit Dezember 2025 in Kraft — ohne Übergangsfrist. Betroffene Unternehmen in Berlin müssen die Anforderungen an die Cybersicherheit bereits jetzt vollständig erfüllen. Das BSI kann jederzeit Audits anordnen und bei Verstößen Sanktionen verhängen. In Berlin betrifft das viele KRITIS-Betreiber, Bundesdienstleister und Tech-Unternehmen.
NIS-2 betrifft Unternehmen ab 50 Mitarbeitenden oder mehr als 10 Millionen Euro Jahresumsatz in einem der 18 relevanten Sektoren. In Berlin sind besonders Unternehmen aus Energie, Wasser/Abwasser, Verkehr (BVG-Zulieferer), digitale Infrastruktur, Tech und Gesundheit (z. B. Charité-Zulieferer) betroffen — direkt oder indirekt über die Lieferkette zu Bundes- und Senatsbehörden.
Für wesentliche Einrichtungen drohen Bußgelder bis 10 Millionen Euro oder 2 % des Jahresumsatzes. Für wichtige Einrichtungen bis 7 Millionen Euro. Hinzu kommt die persönliche Haftung der Geschäftsführung. Das BSI kann ein temporäres Berufsverbot anordnen.
Risikomanagement, Zugangskontrollen, Verschlüsselung, Incident-Response-Prozesse mit 24-Stunden-Meldepflicht, Business Continuity, Lieferketten-Sicherheit und regelmäßige Schulungen. Ein ISMS nach ISO 27001 deckt etwa 70 % der Anforderungen ab.
Die vollständige NIS-2-Umsetzung dauert erfahrungsgemäß 6 bis 12 Monate. Wir empfehlen einen priorisierten Ansatz: Zuerst Meldeprozesse und Registrierung beim BSI, dann schrittweise das ISMS ausbauen.
ISO 27001 deckt etwa 70 % der NIS-2-Anforderungen ab. Zusätzlich verlangt NIS-2 Meldepflichten, Lieferketten-Sicherheit, BSI-Registrierung und persönliche Schulungspflichten der Geschäftsleitung.
Ja, die Geschäftsleitung muss persönlich an Cybersicherheits-Schulungen teilnehmen. Diese Pflicht ist nicht delegierbar. Auch Mitarbeitende mit Zugang zu kritischen Systemen müssen geschult werden.
Ja, NIS-2 sieht eine Registrierungspflicht beim BSI vor. Besonders wichtige und wichtige Einrichtungen müssen sich innerhalb einer festgelegten Frist beim Bundesamt für Sicherheit in der Informationstechnik registrieren und eine Kontaktstelle für Sicherheitsvorfälle benennen. Die Registrierung ist Voraussetzung für die Erfüllung der Meldepflichten. Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) konkretisiert die Fristen.
Die NIS-2-Richtlinie unterscheidet zwei Kategorien: Besonders wichtige Einrichtungen — dazu zählen Betreiber kritischer Anlagen, digitale Infrastruktur und Unternehmen ab 250 Mitarbeitenden in bestimmten Sektoren — unterliegen strengeren Sanktionen (bis 10 Millionen Euro) und proaktiver Aufsicht. Wichtige Einrichtungen (ab 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz) unterliegen reaktiver Aufsicht mit Bußgeldern bis 7 Millionen Euro. Die Leitungsorgane beider Kategorien haften persönlich.
NIS-2 verpflichtet betroffene Unternehmen zur Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern. Sie müssen Cyberrisiken Ihrer Zulieferer systematisch bewerten und vertraglich absichern. Auch Unternehmen, die selbst nicht in den Anwendungsbereich fallen, werden über Kundenanforderungen indirekt betroffen — in Berlin gilt das besonders für Dienstleister von Bundes- und Senatsverwaltung.
Unternehmen müssen ein dokumentiertes Informationssicherheits-Managementsystem implementieren, das Risikomanagement, Incident Response und Lieferketten-Sicherheit abdeckt. IT-Security-Maßnahmen wie Netzwerksegmentierung, Verschlüsselung und Schwachstellenmanagement sind gefordert. Die Einhaltung wird durch das BSI überwacht — mit Bußgeldern bei Verstößen.
Die Bedrohung ist erheblich: Seit das NIS2UmsuCG in Kraft getreten ist, haften Geschäftsführer persönlich für die Einhaltung der Cybersicherheitsanforderungen. Unternehmen müssen die geforderten Sicherheitsmaßnahmen implementieren — andernfalls drohen Bußgelder bis 10 Millionen Euro und ein temporäres Berufsverbot. Die persönliche Haftung ist nicht delegierbar und betrifft das Privatvermögen der Geschäftsleitung.
Die NIS-2-Richtlinie erweitert den Anwendungsbereich massiv: von 7 auf 18 Sektoren, von wenigen hundert auf rund 30.000 betroffene Unternehmen in Deutschland. Neue Anforderungen umfassen verschärfte Meldepflichten innerhalb von 24 Stunden, persönliche Haftung der Geschäftsführung und die Pflicht, IT-Security-Maßnahmen zur Informationssicherheit nachweisbar zu implementieren.
maximales Bußgeld
Erstmeldung bei Vorfällen
Bußgelder bei unseren Mandanten
NIS2 ist seit Dezember 2025 in Kraft. Das BSI kann jederzeit prüfen. Geschäftsführer haften persönlich. Wer jetzt nicht handelt, riskiert existenzielle Strafen.
Jetzt absichern — Erstgespräch buchenInformationssicherheit & Datenschutz in Hamburg
Logistik, Hafen, Medien, E-Commerce, Finanzdienstleister — jede Hamburger Branche hat ihre eigene Datenschutz-Baustelle. Wir kennen sie aus über 200 Mandaten.
Wir sitzen selbst in Hamburg und arbeiten regelmäßig mit der Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit (HmbBfDI) zusammen. Wir wissen, was die Behörde bei Prüfungen sehen will und was nicht.
Unser Büro in der Spaldingstraße 64-68, 20097 Hamburg ist gut mit dem ÖPNV erreichbar — Sie können vorbeikommen, statt nur zu telefonieren.
Persönlich vor Ort in Berlin
Wir betreuen Berlin von Hamburg aus persönlich. Erstgespräche, Audits und Schulungen finden bei Ihnen vor Ort statt — Sie wissen, mit wem Sie sprechen.
- Vor-Ort-Termine in Berlin und Umgebung
- Kurze Reaktionszeiten durch regionale Präsenz
- Kenntnis der zuständigen Landesdatenschutzbehörde
Passend dazu
Branchen, die wir in Berlin betreuen
Vom Handwerksbetrieb bis zur Steuerkanzlei — wir kennen die typischen Datenschutz-Themen pro Branche.
Nils Oehmichen & Jens Hagel — Ihre Ansprechpartner
Jetzt Erstgespräch vereinbaren
Oder: Lassen Sie Ihre Website kostenlos prüfen — in 60 Sekunden wissen Sie, wo Sie stehen.
Unverbindlich, persönlich, ohne versteckte Kosten.
100 % Datenverarbeitung in Deutschland · Hetzner · ISO 27001
Lieber erstmal schreiben? Kontaktformular
