Stand: 3. August 2026. Rechtsgrundlage: BSIG in der Fassung des NIS2-Umsetzungsgesetzes.
Ein Geschäftsführer aus Norddeutschland bekam im Juli ein Angebot über 5.000 Euro. Gegenstand: eine "NIS2-Zertifizierung" für seinen Betrieb. Er rief an, weil ihm der Preis hoch vorkam. Der eigentliche Punkt war ein anderer: Das Produkt existiert nicht.
Seit die Registrierungsfrist beim BSI abgelaufen ist, wächst der Markt für Angebote, die einen echten Zeitdruck ausnutzen. Der Druck ist real. Manche Angebote sind es nicht. Hier sind die vier, bei denen Sie ruhig auflegen können.
1. Ein NIS2-Zertifikat gibt es nicht
Es existiert kein allgemeines Zertifikat, mit dem sich die Erfüllung der Anforderungen nachweisen ließe. Das BSI stellt das selbst klar. Was das Gesetz verlangt, steht in § 30 BSIG: technische und organisatorische Maßnahmen, umgesetzt und nachweisbar.
Ein Zertifikat nach ISO/IEC 27001 oder eine Zertifizierung nach BSI IT-Grundschutz sind sinnvolle Grundlagen. Sie sind aber kein NIS2-Nachweis und ersetzen die Prüfung der konkreten Anforderungen nicht. Wer Ihnen ein "NIS2-Siegel" verkauft, verkauft Ihnen ein Stück Papier ohne Adressaten.
2. Eine kostenpflichtige Betroffenheitsprüfung brauchen Sie nicht
Ob Ihr Unternehmen betroffen ist, können Sie kostenlos selbst feststellen. Das BSI stellt dafür eine Betroffenheitsprüfung mit Entscheidungsbaum bereit, die offenlegt, wie sich jede Ihrer Angaben auf das Ergebnis auswirkt.
Das dauert wenige Minuten und ist der ehrlichste erste Schritt, den es gibt. Erst wenn das Ergebnis "betroffen" lautet, beginnt die eigentliche Arbeit. Und die betrifft dann Ihre Maßnahmen, nicht Ihren Status.
3. Niemand muss Sie gegen Gebühr beim BSI anmelden
Die Registrierung läuft direkt über das Meldeportal des BSI. Sie ist kostenfrei.
Es gibt dabei eine echte praktische Hürde, und die wird oft unterschätzt: Sie brauchen ein ELSTER-Organisationszertifikat und ein Konto im Meldeportal. Beides hat einen Vorlauf von einigen Tagen bis Wochen. Wer heute anfängt, ist nicht morgen fertig.
Diese Hürde ist ein Grund, früh anzufangen. Sie ist kein Grund, für die Anmeldung selbst zu bezahlen.
4. Es gibt keine Pflicht, zertifizierte Berater zu beauftragen
Die europäische Richtlinie schreibt keine Zertifizierung für Beratende vor. Wer behauptet, die Umsetzung dürfe nur durch "zertifizierte NIS2-Auditoren" erfolgen, beschreibt eine Regel, die es nicht gibt.
Fachliche Qualifikation ist trotzdem sinnvoll. Fragen Sie nach Referenzen, nach Berufserfahrung und danach, wer die Arbeit tatsächlich macht. Fragen Sie nicht nach einem Titel, den keine Behörde vergibt.
Ein Nebenschauplatz, der echte Verwirrung stiftet
Es gibt zwei Organisationen mit dem Kürzel BSI:
- Das BSI ist das Bundesamt für Sicherheit in der Informationstechnik, erreichbar unter bsi.bund.de. Behörde. Zuständig für Registrierung, Aufsicht und die kostenlosen Hilfsmittel.
- Die BSI Group ist eine britische Normungsorganisation. Sie bietet kommerzielle Leistungen wie ISO-Zertifizierungen an. Das ist ein seriöses Angebot, aber es kommt nicht von einer Behörde.
Wenn ein Angebot mit "BSI" wirbt, lohnt der Blick auf die Domain.
Was tatsächlich zu tun ist
Der Druck ist echt. Die Nachfrist zur Registrierung ist abgelaufen, das BSI versendet Aufforderungsschreiben mit kurzen Fristen, und § 65 BSIG sieht Bußgelder bis zu 500.000 Euro vor. Nach § 38 BSIG haftet die Geschäftsleitung persönlich.
Nur führt dieser Druck eben nicht zu einem Zertifikat, sondern zu einer Liste von Maßnahmen. Der Weg dahin sieht in fast jedem Betrieb gleich aus:
- Betroffenheit kostenlos prüfen
- Bei Betroffenheit registrieren, ELSTER-Vorlauf einplanen
- Die zehn Mindestmaßnahmen nach § 30 BSIG gegen den Ist-Zustand halten
- Die Lücken schließen und dokumentieren, was umgesetzt wurde
Schritt drei ist der, für den sich Unterstützung lohnt. Die ersten beiden können Sie selbst, und Schritt vier ist Ihre eigene Dokumentation, die niemand für Sie besitzen sollte.
Der nächste Schritt
Prüfen Sie Ihre Betroffenheit beim BSI. Das kostet nichts und dauert Minuten.
Wenn danach feststeht, dass Sie betroffen sind, und Sie wissen möchten, wo Ihr Unternehmen bei den Mindestmaßnahmen steht, sprechen Sie uns an. Wir sagen Ihnen auch, wenn wir zu dem Ergebnis kommen, dass Sie uns nicht brauchen.