REGULATORIK & COMPLIANCE
NIS2, EU AI Act, DORA, CRA, ISO 27001. Compliance ist Chefsache, seit dem KI-MIG auch persönlich. Die Regulierungslage für B2B-Unternehmen verändert sich schneller als in den letzten zehn Jahren. Wir helfen Ihnen, den Überblick zu behalten und die richtigen Schritte zur richtigen Zeit zu setzen.
REGULIERUNGS-CHECK
Welche Pflichten gelten für Sie?
Stand: März 2026. Wird laufend aktualisiert.
Regulierungs-Check von Convios. Aktueller Stand, keine Rechtsberatung.
29.500
Unternehmen in Deutschland NIS2-pflichtigBSI-Schätzung, Dezember 2025. Offizielle Zahl: 29.850 betroffene Unternehmen.
39 %
davon bis März 2026 beim BSI registriertBSI-Portal, 7. März 2026. 11.500 von ca. 29.850 Unternehmen fristgerecht registriert.
bis 10 Mio. €
Bußgeld bei Verstößen, oder 2 % des Jahresumsatzes§30 Abs. 2 BSIG, besonders wichtige Einrichtungen. Oder 2% des weltweiten Jahresumsatzes, je nachdem was höher ist.
KOMMT IHNEN DAS BEKANNT VOR?
Sie sind sich nicht sicher, ob Ihr Unternehmen unter NIS2 fällt. Die BSI-Registrierungsfrist ist abgelaufen.
Ihre Cyberversicherung verlangt Nachweise, die Sie noch nicht liefern können.
Die High-Risk-Pflichten des EU AI Act greifen ab August 2026. Ihr Unternehmen setzt bereits KI-Tools ein, ohne dokumentierte Governance.
Sie brauchen einen Governance-Rahmen, der NIS2, AI Act und ISO 27001 abdeckt, ohne drei separate Projekte.
LEISTUNGEN
BAUSTEIN 1
Klärt Betroffenheit, zeigt Lücken, liefert einen Fahrplan.
2 Tage (remote oder vor Ort)
ab 3.500 €
WAS SIE ERHALTEN
Betroffenheitsanalyse für NIS2, EU AI Act und, falls relevant, DORA. Gap-Analyse gegen die zehn Sicherheitsdomänen des §30 BSIG. Priorisierter 12-Monats-Umsetzungsfahrplan. Bewertung Ihrer Cyberversicherungssituation, einschließlich der Obliegenheiten nach §28 VVG. Vorstandstaugliches Ergebnisdokument, nutzbar als Nachweis für Compliance-Aktivität.
FÜR WEN
Geschäftsführer, die Klarheit brauchen: Sind wir betroffen, wo stehen wir, was hat Priorität?
OHNE COMPLIANCE
Fehlende NIS2-Compliance kann Ihre Cyberversicherung wertlos machen (§28 VVG). BSI-Audits starten Mitte 2026. Bußgelder bis 10 Mio. EUR oder 2% des Jahresumsatzes.
BAUSTEIN 2
Governance-Rahmen aufbauen. Meldeprozesse einrichten. Audit-bereit in vier bis acht Wochen.
4 bis 8 Wochen, projektbasiert
ab 12.000 €
WAS SIE ERHALTEN
ISMS-Grundstruktur nach ISO 27001, vom BSI als NIS2-Backbone empfohlen. Incident-Response-Prozess mit 24-Stunden-Erstmeldung gemäß §32 BSIG. Lieferketten-Sicherheitsbewertung nach §30 Abs. 2 Nr. 4 BSIG. Geschäftsführer-Schulung mit Nachweis nach §38 Abs. 3 BSIG, ein direkter Enthaftungsbaustein. Multi-Regulierungs-Scan: NIS2, EU AI Act und DORA in einem Projekt. Audit-Vorbereitung für BSI-Stichprobenprüfungen ab Mitte 2026.
FÜR WEN
Unternehmen, die betroffen sind und innerhalb von zwei Monaten audit-bereit sein müssen.
OHNE COMPLIANCE
§38 Abs. 3 BSIG verlangt einen Schulungsnachweis der Geschäftsführung. Ohne diesen Nachweis haften Sie persönlich. Die Kombination NIS2 + AI Act + DORA in einem Projekt spart bis zu 40% Implementierungsaufwand (ADVISORI-Referenz). Drei separate Projekte kosten mehr und dauern länger.
BAUSTEIN 3
Regulatorik ändert sich quartalsweise. Ihr Governance-Rahmen muss mithalten.
Quartalsweise oder monatlich, Retainer
ab 2.500 €/Monat
WAS SIE ERHALTEN
Quartalsweiser Compliance-Review mit Analyse neuer Anforderungen, geänderter Auslegungen und BSI-Updates. Vorbereitung auf regulatorische Meilensteine: KRITIS-Dachgesetz im Juli 2026, CRA im September 2026, EU AI Act High-Risk im August 2026. Ansprechpartner für Ad-hoc-Fragen bei Audit-Anforderungen oder Sicherheitsvorfällen. Jährliche Aktualisierung des gesamten Governance-Rahmens. Geschäftsführer-Sparring zu regulatorischen Entscheidungen.
FÜR WEN
Geschäftsführer, die das Thema dauerhaft vom Tisch haben wollen, ohne eine interne Compliance-Stelle aufzubauen.
OHNE COMPLIANCE
2026 bringt vier regulatorische Meilensteine in acht Monaten: KRITIS-Dachgesetz (Juli), EU AI Act High-Risk (August), CRA (September), BSI-Audits (laufend). Wer den Governance-Rahmen nicht aktuell hält, startet bei jedem Meilenstein von vorne.
Dr. Oliver Gausmann
Geschäftsführer, Convios
WAS VIELE ÜBERSEHEN
Seit NIS2 in Kraft ist, sind die gesetzlichen Anforderungen automatisch vertragliche Obliegenheiten in Ihrer Cyberversicherung geworden. Fehlende Compliance kann dazu führen, dass Ihr Versicherer im Schadenfall die Leistung vollständig verweigert. Das ergibt sich aus §28 VVG. Die meisten Geschäftsführer, mit denen ich spreche, haben diesen Zusammenhang nicht auf dem Schirm.
§28 VVG, Versicherungsvertragsgesetz
SO ARBEITEN WIR
01
30 Minuten, kostenfrei
Erstgespräch
Betroffenheit klären, Regulierungen identifizieren, Handlungsbedarf priorisieren.
02
2 Tage
Compliance-Check
Gap-Analyse, Fahrplan, vorstandstaugliches Ergebnisdokument.
03
4 bis 8 Wochen
Umsetzung
Governance-Rahmen, Meldeprozesse, Team-Schulung. Audit-bereit.
04
Laufend, quartalsweise
Begleitung
Governance aktuell halten, Meilensteine vorbereiten, GF-Sparring.
WARUM CONVIOS
Convios berät seit 2006 Unternehmen bei Regulatorik und Governance. BaFin, FINMA, EASA. Über 40 Unternehmen in acht Branchen.
Compliance hält auf und erzeugt gefühlt keinen Wert. Wir machen es schnell und sauber, damit Sie sich wieder auf Ihr Geschäft konzentrieren können. Zwei Tage für den Check, acht Wochen bis audit-bereit.
Strukturierte Frameworks, KI-gestützte Dokumentation, erprobte Prozesse. Das reduziert Abstimmungsrunden und Kosten. Sie erhalten Ergebnisse.
Governance-Rahmen, abgestimmt auf die Anforderungen von Big 4, DAkkS-Auditoren und Regulierungsbehörden. Aufgebaut aus Erfahrung in BaFin-, FINMA- und EASA-regulierten Umgebungen.
Gründer von Ethenios, einer GRC-Plattform für Predictive Compliance Intelligence. Regulatorik ist unser Kerngeschäft.
AKTUELLE INSIGHTS
Praxis-Impuls für den Mittelstand: ein Prüfkatalog für verantwortbaren KI-Einsatz, sechs Entscheidungen und die rechtliche Einordnung (EU AI Act, DSGVO, NIS2).…
8. Juni 2026 · 4 Min. Lesezeit
Die Framework-Frage ist die falsche erste Frage. Drei Architekturentscheidungen entscheiden, ob Ihre KI-Compliance-Architektur einen Audit besteht.
13. April 2026 · 9 Min. Lesezeit
Sechs EU-Regulierungen gleichzeitig aktiv, NIS2 seit Dezember 2025 in Kraft, Omnibus im Trilog. Was der Mittelstand bis Herbst 2026 umsetzen muss.
8. April 2026 · 8 Min. Lesezeit
Wir klären, welche Regulierungen für Ihr Unternehmen gelten und wo Sie stehen.