Was der FitNIS2-Navigator ist
Der FitNIS2-Navigator ist ein kostenloses Online-Werkzeug von Deutschland sicher im Netz e. V. (DsiN). Nach Angaben von DsiN ist er gemeinsam mit der Transferstelle Cybersicherheit im Mittelstand und der Universität Paderborn entstanden und wird vom Bundeswirtschaftsministerium gefördert (Quelle: sicher-im-netz.de, abgerufen am 21.09.2026).
Das Werkzeug führt in drei Stufen durch das Thema: eine Betroffenheitsprüfung, eine Bestandsaufnahme der vorhandenen Sicherheitsmaßnahmen und Handlungsempfehlungen mit einem Aktionsplan.
Wichtig zur Einordnung: Diese Seite ist kein Angebot von DsiN, und es besteht keine Verbindung zwischen der Infosec Technologie GmbH und DsiN, der Universität Paderborn oder dem FitNIS2-Projekt. Wir erklären hier nur, wie Sie mit dem Ergebnis weiterarbeiten können.
Das Ergebnis richtig lesen
Am Ende haben Sie zwei Dinge in der Hand: eine Einschätzung, ob Ihr Unternehmen unter die NIS-2-Regeln fällt, und eine Liste von Themen, bei denen etwas fehlt. Beides ist eine Selbsteinschätzung auf Grundlage Ihrer Antworten. Sie ersetzt keine rechtliche Prüfung und ist kein Nachweis gegenüber dem BSI.
Was dagegen fehlt, sind die Unterlagen selbst: Richtlinien, Verfahren, Register, Nachweise. Genau die werden gebraucht, denn das BSI-Gesetz verlangt, dass Risikomanagementmaßnahmen umgesetzt und dokumentiert werden (§ 30 BSIG, in Kraft seit dem 6. Dezember 2025, seither mehrfach geändert; geprüft am 21.09.2026).
Fünf Schritte vom Ergebnis zur Dokumentation
- Betroffenheit schriftlich festhalten. Notieren Sie Sektor, Unternehmensgröße, Ergebnis, Datum und wer geprüft hat. Auch ein Ergebnis "nicht betroffen" gehört in die Akte, mit Begründung. Ändern sich Größe oder Geschäft, prüfen Sie erneut.
- Registrierung klären. Wichtige und besonders wichtige Einrichtungen müssen sich nach § 33 BSIG registrieren, spätestens drei Monate, nachdem sie als solche gelten. Das BSI beschreibt dafür zwei Schritte: ein ELSTER-Organisationszertifikat über "Mein Unternehmenskonto" beantragen, dann im BSI-Portal registrieren (Quelle: bsi.bund.de, abgerufen am 21.09.2026). Verlangt werden unter anderem Name, Rechtsform, Anschrift, Kontaktdaten und Sektor.
- Lücken den zehn Maßnahmenbereichen zuordnen. § 30 Abs. 2 BSIG nennt zehn Bereiche, von der Risikoanalyse über Vorfallbewältigung, Backup und Lieferkette bis zu Schulung, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung. Ordnen Sie jede Empfehlung aus dem Navigator einem Bereich zu. So sehen Sie, wo ein Dokument fehlt und wo nur der Nachweis.
- Dokumente erstellen und anpassen. Je Bereich brauchen Sie mindestens eine Regelung (Richtlinie oder Verfahren) und einen Nachweis, dass sie gelebt wird (Protokoll, Liste, Register). Beginnen Sie mit Leitlinie, Risikoanalyse und Vorfallprozess, weil die anderen Dokumente darauf verweisen.
- Geschäftsleitung einbinden. § 38 BSIG verpflichtet die Geschäftsleitung, die Maßnahmen umzusetzen, die Umsetzung zu überwachen und regelmäßig an Schulungen teilzunehmen. Halten Sie Beschlüsse, Berichte und Schulungen schriftlich fest.
Nicht vergessen: der Meldeprozess
Unabhängig vom Stand Ihrer Dokumentation gelten für erhebliche Sicherheitsvorfälle die Meldestufen des § 32 BSIG. Der Ablauf sollte feststehen, bevor etwas passiert. Maßgeblich ist der Zeitpunkt, zu dem Sie von dem Vorfall Kenntnis erlangen.
| Stufe | Frist | Inhalt |
|---|---|---|
| Frühe Erstmeldung | unverzüglich, spätestens innerhalb von 24 Stunden | Verdacht auf böswillige Handlung, mögliche grenzüberschreitende Auswirkungen |
| Meldung | unverzüglich, spätestens innerhalb von 72 Stunden | Bestätigung oder Aktualisierung, erste Bewertung mit Schweregrad und Auswirkungen |
| Zwischenmeldung | auf Ersuchen des Bundesamts | Statusaktualisierung |
| Abschlussmeldung | spätestens einen Monat nach der 72-Stunden-Meldung | Ausführliche Beschreibung, Art der Bedrohung, Abhilfemaßnahmen |
| Fortschrittsmeldung | statt der Abschlussmeldung, wenn der Vorfall dann noch andauert | Stand der Bearbeitung; die Abschlussmeldung folgt nach Abschluss (§ 32 Abs. 2 BSIG) |
Gemeldet wird an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe. Den Wortlaut finden Sie in § 32 BSIG auf gesetze-im-internet.de.
Selbst schreiben oder Vorlagen nutzen
Sie können jede Richtlinie selbst verfassen. Das kostet vor allem Zeit für Struktur und Formulierung, bevor Sie zum eigentlichen Inhalt kommen: den Regeln Ihres Betriebs. Vorlagen nehmen Ihnen den ersten Teil ab. Den zweiten Teil nimmt Ihnen niemand ab, auch keine Vorlage.
Unser NIS2-Paket ist nach den zehn Bereichen des § 30 Abs. 2 BSIG gegliedert und enthält zusätzlich Meldeprozess, Nachweisvorlagen für die Geschäftsleitung, Registrierungs-Checkliste, Dokumentation der Betroffenheitsprüfung und ein Risikoregister in Excel. Die Vorlagen müssen an Ihr Unternehmen angepasst werden und sind keine Rechtsberatung.
Dieser Ratgeber gibt einen Überblick und ist keine Rechtsberatung.