# NIS2-Modul: §30 BSIG, Meldewesen, Lieferkette | SpeamCore

> Betroffenheitscheck nach §28 BSIG, §30-Check mit Reifegrad, IT-Inventar, Dienstleister-Check und Melde-Uhr: das NIS2-Modul in SpeamCore.

Quelle: https://speam.io/nis2/

[Alle Module ](https://speam.io/speamcore/#module) 

SpeamCore Modul · Compliance

# NIS2 fragt nicht, ob Sie es ernst meinen. Es fragt, was Sie belegen können.

Das NIS2-Modul führt Betroffenheitsprüfung, die zehn Maßnahmenbereiche des §30 BSIG, IT-Inventar, Lieferkette, Dokumentenlenkung und das Meldewesen an einer Stelle — mit Reifegrad statt Bauchgefühl.

[Fällt mein Unternehmen unter NIS2?](#check) [Demo anfragen](#kontakt) 

10

Maßnahmenbereiche nach §30 BSIG

A–E

Reifegrad je Bereich und gesamt

24 / 72 h

Erst- und Bewertungsmeldung

## Woran NIS2-Projekte in der Praxis scheitern

„Sind wir überhaupt betroffen?"

Sektor, Größenklasse und Sonderfälle entscheiden — und niemand will die Frage verbindlich beantworten. Ohne Antwort startet kein Projekt.

„Der Dienstleister macht das schon."

NIS2 verlangt Sicherheit in der Lieferkette. Ohne Klauseln zu Meldepflichten, Audit-Rechten und Exit steht das Risiko bei Ihnen.

„Die Richtlinie haben wir geschrieben."

Geschrieben reicht nicht. Nachweisbar ist sie erst mit Revisionsstand, Freigabe und Lesebestätigung.

## Von der Betroffenheit bis zur fristgerechten Meldung.

Betroffenheit

### Geführter Check nach §28 BSIG

Sektor nach Anlage 1 oder 2, Größenklasse und Sonderfälle — das Ergebnis sagt, ob Sie besonders wichtige oder wichtige Einrichtung sind, samt Überblick über Registrierung, Meldepflichten und Bußgeldrahmen.

§30-Check

### Zehn Maßnahmenbereiche, ein Reifegrad

Von Risikomanagement über Backup und Zugriffskontrolle bis Kryptografie und Personalsicherheit. Jede Frage wird bewertet, das Ergebnis ist ein Reifegrad von A bis E je Bereich — Lücken werden auf Klick zu Maßnahmen.

IT-Inventar

### Was geschützt werden muss

Systeme, externe Ressourcen und Informationen mit Schutzkategorie, Netzsegment und den Wiederanlauf-Parametern MTD, Wiederanlaufzeit und Notbetrieb. Aktive Systeme ohne Wiederanlaufplan werden angemahnt.

Lieferkette

### Fünf Klauseln je Dienstleister

Kategorie, Zugriff auf Systeme, Daten und Standorte — und der Vertragscheck auf Sicherheitsanforderungen, Meldepflichten, Audit-Rechte, Unterauftragnehmer und Exit-Strategie. Fehlende Klauseln und Restrisiko auf einen Blick.

Dokumentenlenkung

### In Kraft, nicht nur vorhanden

Leitlinien, Richtlinien, Verfahren und Pläne mit Revisionsstand, nächstem Prüftermin, Freigabe durch die zuständige Rolle und Lesebestätigungen der Mitarbeiter.

Meldewesen

### 24 h, 72 h, ein Monat

Die Melde-Uhr überwacht alle drei Stufen. Die Pflichtangaben nach §32 BSIG füllen Sie strukturiert aus und exportieren sie als PDF — übermittelt wird im BSI-Portal, danach stoppt die Uhr per „Jetzt gemeldet".

## Zehn Bereiche. Ein ehrlicher Reifegrad.

Der §30-Check erhebt den Ist-Stand über alle zehn Maßnahmenbereiche des BSIG. Jede Antwort wird bewertet, jeder Bereich bekommt einen Reifegrad von A bis E — und wo eine Lücke sichtbar wird, entsteht daraus direkt eine Maßnahme mit Verantwortlichem und Frist. Einzelne Bereiche lassen sich als Zulieferung an Fachverantwortliche delegieren; deren Entwürfe übernehmen Sie per Klick.

Der Aufbau orientiert sich als Wegweiser an VdS 10100\. Die Richtlinie wird mit Fundstelle referenziert, nicht wiedergegeben.

Risikomanagement und Konzepte

§30 Abs. 2 Nr. 1

Reifegrad B 

Backup, Wiederanlauf und Krisenmanagement

§30 Abs. 2 Nr. 4

Reifegrad C 

Sicherheit in der Lieferkette

§30 Abs. 2 Nr. 5

Reifegrad D 

Zugriffskontrolle und Kryptografie

§30 Abs. 2 Nr. 8 und 9

Reifegrad B 

## Die Fristen, die das BSIG setzt

Erstmeldung eines erheblichen Sicherheitsvorfalls §32 BSIG 24 Stunden 

Bewertungsmeldung mit Ersteinschätzung §32 BSIG 72 Stunden 

Abschlussmeldung mit Ursachen und Maßnahmen §32 BSIG 1 Monat 

Registrierung beim BSI nach Betroffenheit §33 BSIG einmalig, dann bei Änderung 

Schulung der Geschäftsleitung und Mitarbeiter §38 BSIG regelmäßig 

Nachweis der Umsetzung gegenüber dem BSI §39 BSIG alle drei Jahre 

## Fällt mein Unternehmen unter NIS2?

Sektor und Größenklasse genügen für die Ersteinschätzung nach §28 BSIG. Konzernstrukturen und Bereichsausnahmen gehören anwaltlich geprüft.

1Sektor nach BSIG

Anlage 1 — Sektoren hoher Kritikalität

Anlage 2 — Sonstige kritische Sektoren

2Unternehmensgröße

Beschäftigte

Personen

Jahresumsatz

Mio. €

Schwellen nach §28 BSIG: ab 250 Beschäftigten oder 50 Mio. € Umsatz gilt die höhere Klasse, ab 50 Beschäftigten oder 10 Mio. € die niedrigere. Eine Angabe genügt.

[Gemeinsam durchgehen ](#kontakt)

## In fünf Schritten zum belastbaren Stand

1 

### Betroffenheit klären

Der geführte §28-Check sagt, ob Sie besonders wichtige oder wichtige Einrichtung sind — und welche Pflichten daraus folgen.

2 

### Beim BSI registrieren

Der Registrierungsassistent führt zu den amtlichen Portalen und hält den Fortschritt unter Fristen & Pflichten nachweisbar fest.

3 

### §30-Check erheben

Zehn Bereiche bewerten, Reifegrad ermitteln, Lücken in Maßnahmen überführen — bei Bedarf delegiert an Fachverantwortliche.

4 

### Inventar und Lieferkette

IT-Systeme mit Wiederanlauf-Parametern erfassen und Dienstleisterverträge auf die fünf Klauseln prüfen.

5 

### Meldewesen proben

Einen Vorfall durchspielen: Melde-Uhr, Pflichtangaben nach §32, PDF-Export. Im Ernstfall ist der Ablauf dann bekannt.

## Der Katalog wird gepflegt, nicht einmal geschrieben.

Prüffragen, Pflichten und Meldeschritte kommen als zentral gepflegter Fachpartner-Katalog ins System und werden bei Rechtsänderungen aktualisiert. Ist zusätzlich KRITIS gebucht, tragen beide Module denselben Vorfall über zwei Meldepfade — BSI für NIS2, BBK-Pfad für KRITIS. Sie pflegen einmal, die Melde-Uhr überwacht beide Fristenketten.

Bis zur fachlichen Freigabe durch den Partner trägt der NIS2-Katalog den Hinweis „Katalog: Entwurf". Arbeiten können Sie bereits vollständig damit.

## Ein Preis für das gesamte NIS2-Modul.

299,00 € / Monat

zzgl. USt · Preis im Entwurfsstand, gemeinsam mit dem Fachpartner in Abstimmung

Betroffenheitscheck und BSI-Registrierungsassistent 

§30-Check über alle zehn Maßnahmenbereiche 

IT-Inventar mit Wiederanlaufplanung 

Dienstleister-Vertragscheck und Dokumentenlenkung 

Meldewesen mit Melde-Uhr und PDF-Export 

Gemeinsamer Compliance-Kern mit KRITIS und QM 

[Demo anfragen](#kontakt) 

Modul-Familie Compliance

## Ein Compliance-Kern. Ein Modul je Regelwerk.

Schreibtisch, Nachweisakte, Aktionsplan, Vorfälle und Risikoregister liegen im Compliance-Kern. Jedes Regelwerk kommt als eigenes Modul dazu — Sie buchen nur, was für Sie gilt.

[ Qualitätsmanagement (ISO 9001) verfügbar Prozesse mit Freigaben, interne Audits, Managementbewertung, CAPA und Qualitätsziele. ](https://speam.io/qualitaetsmanagement/) [ KRITIS (KRITIS-DachG / CER) verfügbar Physischer Schutz kritischer Anlagen: Pflichtenkatalog, Checks, Begehungen, Melde-Uhr. ](https://speam.io/kritis/) 

NIS2 (BSIG) Sie sind hier 

Informationssicherheit nach §30 BSIG, Meldewesen und Lieferkette — teilt Schreibtisch, Vorfälle und Nachweisakte mit KRITIS.

ISO 27001 geplant 

Informationssicherheits-Managementsystem mit Maßnahmenkatalog und Auditvorbereitung.

DORA geplant 

Digitale operationale Resilienz für Finanzunternehmen und ihre IKT-Dienstleister.

## Fragen, die wir oft hören

Wie hängt NIS2 mit KRITIS zusammen? 

NIS2 ist Informationssicherheit, KRITIS physischer Schutz und Resilienz. Beide Module teilen Schreibtisch, Vorfälle, Nachweisakte und Risikoregister — ein Vorfall kann beide Meldepfade tragen.

Übermittelt das System die Meldung an das BSI? 

Nein. Es bereitet die Pflichtangaben nach §32 vor und überwacht die Fristen. Übermittelt wird über das BSI-Portal; danach markieren Sie „Jetzt gemeldet" und die Uhr stoppt.

Was bedeutet der Reifegrad A bis E? 

Er verdichtet die Antworten je Maßnahmenbereich zu einer Note. So sehen Geschäftsleitung und Auditor auf einen Blick, wo Sie stehen und wo die Lücken sitzen.

Brauchen wir dafür eine ISO-27001-Zertifizierung? 

Nein. NIS2 verlangt angemessene Maßnahmen, keine Zertifizierung. Der Fahrplan für VdS 10000 ist hinterlegt, falls Sie den Nachweis formalisieren wollen.

Warum steht am Katalog „Entwurf"? 

Die fachliche Endabnahme durch den Partner steht noch aus. Inhaltlich arbeiten können Sie bereits vollständig damit.

Wer pflegt Änderungen am Gesetz ein? 

Der Fachpartner. Ändert sich eine Anforderung, ändert sich der Katalog — der Delta-Vergleich zeigt, welche Ihrer Nachweise betroffen sind.

## Eine Stunde, ein ehrlicher Reifegrad.

Wir gehen den Betroffenheitscheck mit Ihren Zahlen durch und erheben zwei bis drei Bereiche des §30-Checks live — danach wissen Sie, wo Sie stehen.

[Demo anfragen ](mailto:info@speam.io) [SpeamCore ansehen](https://speam.io/speamcore/)