NIS2 und Microsoft 365

NIS2 ist die europäische Richtlinie (EU) 2022/2555 für ein hohes gemeinsames Cybersicherheitsniveau. In Deutschland gilt sie seit dem 6. Dezember 2025 – umgesetzt im neu gefassten BSI-Gesetz (BSIG) und ohne Übergangsfrist. Die Pflichten für Unternehmen stehen vor allem in den §§ 30 bis 38 BSIG.

Wer mit Microsoft 365 arbeitet, entscheidet viele dieser Pflichten im eigenen Tenant: wie sich Mitarbeitende anmelden, welche Geräte zugreifen dürfen, wie Daten geschützt und Angriffe erkannt werden. Microsoft 365 bringt die Werkzeuge für den Großteil der zehn Mindestmaßnahmen aus § 30 BSIG mit. Ab Werk sind sie aber nicht NIS2-gerecht konfiguriert. Genau hier setzt die InSys AG^® an: Wir konfigurieren Ihren Tenant nach den technischen Anforderungen von NIS2 und halten ihn dauerhaft auf diesem Stand.

Wer ist von NIS2 betroffen?

Betroffen sind Unternehmen aus den Sektoren der Anlagen 1 und 2 des BSIG, etwa Energie, Gesundheit, Transport, Finanzwesen, digitale Infrastruktur, Chemie, Lebensmittel und das verarbeitende Gewerbe mit Maschinenbau, Elektro- und Fahrzeugindustrie.

• Wichtige Einrichtungen: ab 50 Beschäftigten oder mit mehr als 10 Mio. € Jahresumsatz und mehr als 10 Mio. € Jahresbilanzsumme.
• Besonders wichtige Einrichtungen: ab 250 Beschäftigten oder mit mehr als 50 Mio. € Jahresumsatz und mehr als 43 Mio. € Jahresbilanzsumme. Betreiber kritischer Anlagen gehören unabhängig von ihrer Größe dazu.

Auch Unternehmen, die selbst nicht unter NIS2 fallen, sind häufig indirekt betroffen: NIS2-pflichtige Kunden müssen die Sicherheit ihrer Lieferkette prüfen und geben ihre Anforderungen vertraglich an Lieferanten und Dienstleister weiter.

Hinweis: Ob Ihr Unternehmen unter NIS2 fällt, klären Sie bitte mit Ihrem Rechts- oder Compliance-Berater. Die InSys AG^® bietet keine Rechtsberatung und keine Betroffenheitsprüfung an – wir sorgen dafür, dass Ihr Microsoft 365 die technischen Anforderungen erfüllt.

NIS2 nimmt die Geschäftsleitung persönlich in die Pflicht. Nach § 38 BSIG muss sie die Maßnahmen zum Risikomanagement nicht nur billigen, sondern ihre Umsetzung auch überwachen. Verletzt sie diese Pflicht schuldhaft, haftet sie dem eigenen Unternehmen nach den Regeln des Gesellschaftsrechts. Ein Verzicht des Unternehmens auf diese Ansprüche ist unwirksam. Zusätzlich müssen Geschäftsleiter regelmäßig an Schulungen teilnehmen, um Risiken erkennen und Sicherheitsmaßnahmen beurteilen zu können.

Bei Verstößen drohen Bußgelder von bis zu 10 Mio. € für besonders wichtige und bis zu 7 Mio. € für wichtige Einrichtungen, bei großen Unternehmen auch bis zu 2 % bzw. 1,4 % des weltweiten Jahresumsatzes. Die Frist für die Registrierung beim BSI ist im März 2026 abgelaufen – wer sich noch nicht registriert hat, sollte das umgehend nachholen.

Was das für Ihren Alltag bedeutet

Als Geschäftsführer müssen Sie belegen können, dass die Sicherheitsmaßnahmen umgesetzt sind und wirken. Im Microsoft Secure Score Managed Service (SSMS) erhalten Sie dazu ein regelmäßiges Reporting zur Sicherheitslage Ihres Microsoft 365 Tenants: Entwicklung des Secure Score, umgesetzte Maßnahmen und offene Risiken – verständlich aufbereitet als Grundlage für Ihre Überwachungspflicht.

Wir sind Ihr technischer Umsetzungspartner für Microsoft 365. Unsere Security System Engineers konfigurieren Ihren Tenant so, dass er die technischen Anforderungen von NIS2 erfüllt, und halten ihn dauerhaft auf diesem Stand.

Das übernehmen wir:

• Analyse Ihres Tenants und Abgleich mit den zehn Maßnahmen nach § 30 BSIG
• Lizenzempfehlung und Lizenzierung als Microsoft Direct CSP
• Konfiguration von Identitäten, Geräten, Daten, Protokollierung und Angriffserkennung
• Dokumentation der umgesetzten Maßnahmen für Ihre Nachweise
• Laufende Betreuung mit Monitoring, Maßnahmenplan und Reporting im SSMS

Das übernehmen wir nicht: Rechtsberatung, die Prüfung, ob Ihr Unternehmen unter NIS2 fällt, die Registrierung beim BSI, die Meldung von Vorfällen an das BSI, Audits und Zertifizierungen sowie die Schulung der Geschäftsleitung. Dafür arbeiten Sie mit Ihrem Rechtsberater oder Informationssicherheitsbeauftragten zusammen – wir stimmen uns gern direkt mit ihm ab.

NIS2 umfasst neben der Technik auch organisatorische Pflichten wie Sicherheitsrichtlinien, Notfallpläne und das Management Ihrer Lieferanten. Microsoft 365 deckt davon den technischen Teil ab. Die Dokumentation unserer Konfiguration fließt in Ihre organisatorischen Nachweise ein.

1. Tenant Check: Im gemeinsamen Live-Check per Teams erfassen wir den Ist-Zustand Ihres Tenants inklusive Secure Score. Den Report stellen wir Ihnen persönlich vor. Mehr zum Microsoft 365 Tenant Check
2. Abgleich mit § 30 BSIG: Wir ordnen jede Lücke einer der zehn NIS2-Maßnahmen zu und priorisieren sie nach Risiko.
3. Lizenzempfehlung: Sie erfahren, ob Ihre vorhandenen Lizenzen ausreichen oder welche Add-ons sinnvoll sind.
4. Umsetzung: Wir konfigurieren Identitäten (MFA, Conditional Access, phishing-resistente Anmeldung, Schutz privilegierter Konten), Geräte (Intune, Verschlüsselung, Defender), Daten (Vertraulichkeitsbezeichnungen, Data Loss Prevention, Aufbewahrung, Backup) sowie Protokollierung und Angriffserkennung. Mit Pilotgruppen und ohne Betriebsunterbrechung.
5. Dokumentation: Sie erhalten eine Dokumentation, welche Maßnahme wie umgesetzt ist – als Nachweis für Geschäftsleitung, Prüfer und Ihre Kunden.
6. Übergabe in den Betrieb: Im SSMS halten wir Ihren Tenant dauerhaft auf dem erreichten Sicherheitsniveau.

Eine einmalige Härtung reicht für NIS2 nicht aus. § 30 BSIG verlangt Verfahren, mit denen Sie die Wirksamkeit Ihrer Maßnahmen regelmäßig bewerten. Gleichzeitig verändert sich Ihr Tenant ständig: neue Mitarbeitende, Gastkonten, Apps und Ausnahmen in Richtlinien. Und Microsoft selbst ändert laufend Funktionen, Standardeinstellungen und Lizenzinhalte.

Im InSys AG^® | Microsoft Secure Score Managed Service (SSMS) betreuen unsere Security System Engineers Ihren Tenant in monatlichen Terminen:

• Monitoring: Wir beobachten die Sicherheitslage und den Secure Score Ihres Tenants.
• Abweichungen erkennen: Geänderte Richtlinien, neue Ausnahmen und neue Administratoren fallen auf, bevor sie zur Lücke werden.
• Neuerungen bewerten: Neue Funktionen und Empfehlungen von Microsoft prüfen wir auf ihre Relevanz für Ihre NIS2-Konfiguration.
• Maßnahmenplan: Sie erhalten priorisierte nächste Schritte, die wir mit Ihrem IT-Team umsetzen.
• Reporting: IT-Leitung und Geschäftsführung erhalten einen verständlichen Bericht über umgesetzte Maßnahmen und offene Risiken.

So bleibt Ihr Microsoft 365 nicht nur am Tag der Übergabe NIS2-konform, sondern dauerhaft. Und Ihre Geschäftsleitung hat eine belastbare Grundlage für ihre Überwachungspflicht nach § 38 BSIG.

Microsoft Solutions Partner für Security: Die InSys AG^® ist von Microsoft als Solutions Partner für Security, KI-Geschäftslösungen und Azure Infrastructure ausgezeichnet.

Microsoft Direct CSP: Als Microsoft Direct CSP lizenzieren unsere Kunden über uns mehr als 80.000 Microsoft 365 Lizenzen – ohne Zwischenhandel und direkt von Microsoft berechnet.

Security System Engineers: Unsere Spezialisten für Entra ID, Intune und Defender setzen um, was NIS2 technisch verlangt – statt Konzeptpapiere zu schreiben.

Erfahrung seit 1991: Die InSys AG^® ist eines der führenden deutschen Systemhäuser mit Hauptsitz im H1 Bielefeld und Standorten in Hamburg und Dubai.

Schildern Sie uns kurz Ihre Ausgangslage im folgenden Kontaktformular: Ihre Microsoft 365 Lizenz, die ungefähre Anzahl der Nutzer und ob Ihr Unternehmen unter NIS2 fällt oder von Kunden zur Einhaltung verpflichtet wird. Unsere Security System Engineers melden sich innerhalb eines Werktages mit einer Einschätzung zum Vorgehen.

Lieber direkt sprechen? Rufen Sie uns an unter +49 (521) 260105-0.