Bestenlisten
Ein Einkaufsleitfaden, der fünf Plattformen für die NIS2-Richtlinie (Richtlinie (EU) 2022/2555) an dem misst, was über die Umsetzungsreife wirklich entscheidet: Risikomaßnahmen nach Artikel 21, die Meldefristen, Sicherheit der Lieferkette und die Verantwortung des Leitungsorgans.
NIS2 hat Tausende von Organisationen erstmals unter Cybersicherheitsregulierung gestellt, und vielen war gar nicht bewusst, dass sie in den Anwendungsbereich fallen.
Kurze Antwort
Die richtige NIS2-Plattform behandelt die Richtlinie als eigenständiges Rahmenwerk mit vollem Funktionsumfang. Unter den fünf hier verglichenen Lösungen: Venvera (der Herausgeber dieses Vergleichs) deckt NIS2 nativ ab, einschließlich der Risikomaßnahmen nach Artikel 21, der Meldefristen von 24 und 72 Stunden sowie der Sicherheit der Lieferkette, und ist auf Wiederverwendung über sich überschneidende EU-Rahmenwerke hinweg ausgelegt; OneTrust passt zu großen wesentlichen Einrichtungen, die die eigene GRC-Suite bereits nutzen; ServiceNow GRC eignet sich für Großunternehmen, die bereit sind, NIS2-Abläufe auf einer bereits vorhandenen Plattform selbst zu bauen; Vanta und Drata automatisieren die technische Nachweiserhebung gut und stützen sich laut ihrer öffentlichen Dokumentation bei den NIS2-Inhalten auf allgemeinere Rahmenwerksunterstützung. Welche passt, hängt von Ihrer Größe, Ihrem bestehenden Stack und den anderen Rahmenwerken ab, die Sie betreiben.
Die ursprüngliche NIS-Richtlinie von 2016 war eng gefasst und erfasste Betreiber kritischer Infrastruktur sowie einige wenige Anbieter digitaler Dienste, sodass die meisten Unternehmen sie berechtigterweise ignorieren konnten. NIS2 hat den Anwendungsbereich auf 18 Sektoren ausgeweitet, mittlere Unternehmen eingeschlossen (ab 50 Beschäftigten und €10 Millionen Umsatz), wodurch viele Organisationen erstmals erfasst wurden.
Die Umsetzungsfrist im Oktober 2024 verstrich, und die Mitgliedstaaten setzten die nationale Gesetzgebung in unterschiedlichem Tempo um. Organisationen, die das Thema verfolgt hatten, waren vorbereitet; andere mussten erst klären, ob sie eine „wesentliche Einrichtung" oder eine „wichtige Einrichtung" sind oder überhaupt in den Anwendungsbereich fallen, und parallel lernen, was die Richtlinie verlangt.
Man sollte offen sagen, dass der Anwendungsbereich der schwächste Teil der NIS2 in ihrer vorliegenden Fassung ist. Die Sektoranhänge lesen sich beim ersten Durchgang klar genug und verlieren diese Klarheit in dem Moment, in dem Ihr Unternehmen zwei Dinge zugleich tut. Und weil jeder Mitgliedstaat die Richtlinie selbst umsetzt, können zwei nationale Aufsichten zu unterschiedlichen und jeweils vertretbaren Antworten über dasselbe Unternehmen kommen. Das ist ein realer Kostenfaktor, und er wurde den Einrichtungen aufgebürdet statt vom Gesetzgeber aufgefangen.
Man sollte offen sagen, dass der Anwendungsbereich der schwächste Teil der NIS2 in ihrer vorliegenden Fassung ist. Die Sektoranhänge lesen sich beim ersten Durchgang klar genug und verlieren diese Klarheit in dem Moment, in dem Ihr Unternehmen zwei Dinge zugleich tut. Und weil jeder Mitgliedstaat die Richtlinie selbst umsetzt, können zwei nationale Aufsichten zu unterschiedlichen und jeweils vertretbaren Antworten über dasselbe Unternehmen kommen. Das ist ein realer Kostenfaktor, und er wurde den Einrichtungen aufgebürdet statt vom Gesetzgeber aufgefangen.
Das Werkzeug, das Sie für NIS2 wählen, sollte diese Unklarheit auflösen. Dieser Leitfaden legt dar, was die Richtlinie verlangt, wie bewertet wurde und wie fünf Plattformen abschneiden.
„Wir sind doch nur ein Softwareunternehmen": Der Anwendungsbereich folgt Sektor und Schwellenwerten
Beispielszenario zur Veranschaulichung (kein realer Kunde).
Nehmen wir ein mittelgroßes Softwareunternehmen, das Laborinformations- und Managementsysteme an Krankenhäuser und Diagnostiklabore liefert. Die Geschäftsleitung geht davon aus, NIS2 sei „für Energieversorger und Telekommunikation" und treffe auf sie nicht zu.
Anhang I der NIS2 führt „Gesundheitswesen" als Sektor für wesentliche Einrichtungen, und Anhang II enthält „digitale Infrastruktur" sowie „Verwaltung von IKT-Diensten" für wichtige Einrichtungen. Ein Unternehmen, das SaaS für Gesundheitsdienstleister bereitstellt und Diagnosedaten verarbeitet, kann als Anbieter digitaler Infrastruktur oder als Managed-Service-Provider unter der Verwaltung von IKT-Diensten erfasst werden, je nach Umsetzung im jeweiligen Mitgliedstaat.
Der Auslöser kommt oft von außen: Ein Kunde, der wesentliche Einrichtung ist, etwa ein Krankenhaus, muss nach den NIS2-Anforderungen an die Lieferkette die Cybersicherheit seiner Lieferanten beurteilen und schickt einen Fragebogen. Ein Lieferant, der sich für ausgenommen hielt, entdeckt dann eine Lücke: Risikomanagementmaßnahmen nur teilweise vorhanden, ein Prozess zur Vorfallreaktion, der die Anforderung an die Frühwarnung verfehlt, kein formales Lieferkettenprogramm für die eigenen Anbieter und kein Nachweis über die Einbindung des Leitungsorgans.
Die Lehre ist einfach: Bestimmen Sie den Anwendungsbereich anhand der Sektoren und Schwellenwerte. Das früh und mit einer Plattform zu tun, die die Arbeit strukturiert, ist weit günstiger als eine Notfallsanierung später.
Wesentlich oder wichtig: die Unterscheidung, die alle verwirrt
Wesentliche Einrichtungen (Anhang I) sind solche, deren Ausfall erheblichen Schaden für Gesellschaft oder Wirtschaft verursachen würde: Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten (B2B), öffentliche Verwaltung und Weltraum. Große Unternehmen in diesen Sektoren (ab 250 Beschäftigten oder €50 Mio. Umsatz) gelten automatisch als wesentlich. Manche Einrichtungen sind unabhängig von der Größe wesentlich, etwa qualifizierte Vertrauensdiensteanbieter und DNS-Diensteanbieter.
Wichtige Einrichtungen (Anhang II) decken ein breiteres Spektrum ab: Postdienste, Abfallwirtschaft, Chemieproduktion, Lebensmittelherstellung sowie die Herstellung von Medizinprodukten, Computern, Elektronik, Maschinen und Kraftfahrzeugen, dazu digitale Anbieter wie Online-Marktplätze, Suchmaschinen und Plattformen sozialer Netzwerke. Mittlere Unternehmen in wesentlichen Sektoren (50 bis 249 Beschäftigte oder €10 Mio. bis €50 Mio. Umsatz) werden als wichtig eingestuft.
Warum das für die Softwarewahl zählt
Die Pflichten sind für beide Kategorien weitgehend gleich; der Unterschied liegt in Aufsicht und Sanktionen. Wesentliche Einrichtungen unterliegen proaktiver Aufsicht und Bußgeldern von mindestens €10 Millionen oder 2 % des weltweiten Jahresgesamtumsatzes im Höchstmaß, je nachdem, welcher Betrag höher ist. Wichtige Einrichtungen unterliegen reaktiver Aufsicht und einem Höchstmaß von mindestens €7 Millionen oder 1,4 % des Umsatzes. Eine Plattform sollte beide Regime abbilden, denn die Sicherheitsmaßnahmen nach Artikel 21 sind unabhängig von der Einstufung dieselben.
Dass die Pflichten eine Bank und einen mittelständischen Hersteller weitgehend gleich treffen, ist der Teil der NIS2, der sich am schwersten verteidigen lässt. Die Sicherheitsmaßnahmen lassen immerhin Raum, Ihre Größe und Ihr Risikoprofil abzubilden. Die Meldefristen sind vollkommen starr: Dasselbe Frühwarnfenster gilt, ob Sie ein besetztes Security Operations Center betreiben oder einen einzigen Systemadministrator mit Telefon haben. Wenn Sie am kleineren Ende stehen, investieren Sie Ihr erstes Geld in den Vorfallprozess, denn das ist die Pflicht ohne jeden Spielraum.
Dass die Pflichten eine Bank und einen mittelständischen Hersteller weitgehend gleich treffen, ist der Teil der NIS2, der sich am schwersten verteidigen lässt. Die Sicherheitsmaßnahmen lassen immerhin Raum, Ihre Größe und Ihr Risikoprofil abzubilden. Die Meldefristen sind vollkommen starr: Dasselbe Frühwarnfenster gilt, ob Sie ein besetztes Security Operations Center betreiben oder einen einzigen Systemadministrator mit Telefon haben. Wenn Sie am kleineren Ende stehen, investieren Sie Ihr erstes Geld in den Vorfallprozess, denn das ist die Pflicht ohne jeden Spielraum.
Die Mitgliedstaaten haben zudem Spielraum bei der Einstufung von Einrichtungen, sodass die Auslegung etwa zwischen Belgien, Deutschland, den Niederlanden und Frankreich abweichen kann. Eine gute NIS2-Plattform sollte Ihnen helfen, diese Mehrdeutigkeit zu navigieren, statt so zu tun, als gäbe es sie nicht.
Die Meldefristen, die Ihnen das Wochenende verderben
Die Meldepflichten der NIS2 sind anspruchsvoller, als viele erkennen, bis tatsächlich ein Vorfall eintritt. So funktionieren sie.
24h
Frühwarnung
Ab Kenntnis des erheblichen Sicherheitsvorfalls
Sie müssen Ihr nationales CSIRT oder die zuständige Behörde binnen 24 Stunden informieren. Das ist eine Vorwarnung, die vollständige Analyse folgt später, doch sie sollte angeben, ob der Vorfall mutmaßlich auf rechtswidrige oder böswillige Handlungen zurückgeht und ob er grenzüberschreitende Auswirkungen haben könnte. Vierundzwanzig Stunden sind knapp, wenn Sie gleichzeitig einen laufenden Vorfall eindämmen und eine behördliche Meldung formulieren, daher hilft ein automatisierter Prozess. Als Regelung ist das Fenster vertretbar, denn Behörden brauchen frühe Sicht auf etwas, das sich womöglich ausbreitet. Zum Problem wird die dahinterliegende Freigabekette. Zählen Sie die Schritte in Ihrer Kette ehrlich: wer entscheidet, dass die Schwelle erreicht ist, wer gibt die Formulierung frei, wer hat die CSIRT-Kontaktdaten. Wenn diese Kette über mehrere Personen läuft und eine davon schläft, ist das Formulieren Ihr kleinstes Problem.
72h
Vorfallmeldung
Mehr Details
Binnen 72 Stunden liefern Sie eine ausführlichere Meldung: eine erste Einschätzung von Schwere und Auswirkung, verfügbare Kompromittierungsindikatoren und einen Stand zur Eindämmung. Die Uhr läuft ab Kenntnis, unabhängig vom Abschluss Ihrer Untersuchung. Wenn Sie zugleich Verantwortlicher nach der DSGVO sind, laufen möglicherweise zwei parallele Meldefristen gegenüber verschiedenen Behörden.
1m
Abschlussbericht
Umfassender Bericht nach dem Vorfall
Binnen eines Monats schulden Sie einen Abschlussbericht: eine detaillierte Beschreibung des Vorfalls samt Schwere und Auswirkung, Art der Bedrohung oder Grundursache, angewandte und laufende Gegenmaßnahmen sowie gegebenenfalls grenzüberschreitende Auswirkungen. Diesen Bericht prüfen Aufsichtsbehörden besonders genau. Ein Werkzeug, das Ihnen hilft, ihn schrittweise aufzubauen, Nachweise zu sammeln und den Zeitverlauf laufend festzuhalten, erspart Ihnen die spätere Rekonstruktion aus Erinnerung und Chatnachrichten.
Eine Wechselwirkung mit DORA ist zu beachten. Finanzunternehmen, die NIS2 und DORA zugleich unterliegen, folgen der Meldefrist aus DORA, die für schwerwiegende IKT-bezogene Vorfälle eine erste Meldung binnen weniger Stunden statt der 24 Stunden aus NIS2 verlangt. Artikel 4 der NIS2 behandelt DORA für Finanzunternehmen als Lex specialis, sodass die DORA-Anforderungen dort, wo sie mindestens gleichwertig sind, an die Stelle der entsprechenden NIS2-Pflichten treten.
Eine Plattform, die dieses Verhältnis versteht, vermeidet Doppelarbeit, indem sie dort, wo beides gilt, die strengere Frist verfolgt.
Sicherheit der Lieferkette: die Anforderung, die alle unterschätzen
Artikel 21 Absatz 2 Buchstabe d der NIS2 verlangt von Einrichtungen, „die Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern" zu adressieren. Das klingt geradlinig. Das ist es selten.
In der Praxis müssen Sie die Cybersicherheitslage Ihrer kritischen Lieferanten beurteilen, Cybersicherheitsanforderungen in Ihre Verträge aufnehmen, die Einhaltung überwachen und all das gegenüber Aufsichtsbehörden nachweisen können. Für ein Unternehmen mit 50 Lieferanten ist das machbar. Für eines mit mehreren Hundert ist es ein erhebliches Dauerprogramm.
Die Reibung entsteht selten bei der Beurteilung. Sie entsteht bei den Verträgen. Große Lieferanten öffnen einen unterzeichneten Rahmenvertrag nicht neu, weil ein Kunde eine neue Richtlinie zu erfüllen hat, und kleine wehren sich energisch gegen Auditrechte und Meldeklauseln, die sie personell nicht bedienen können. Rechnen Sie damit, dass die Klauselarbeit sich über Verlängerungszyklen zieht statt über ein Quartal. Konzentrieren Sie sich auf die Handvoll Lieferanten, deren Ausfall Ihren Dienst tatsächlich lahmlegen würde, und halten Sie schriftlich fest, warum die übrigen niedriger priorisiert sind. Genau diese schriftliche Begründung will eine Aufsicht sehen.
Die Reibung entsteht selten bei der Beurteilung. Sie entsteht bei den Verträgen. Große Lieferanten öffnen einen unterzeichneten Rahmenvertrag nicht neu, weil ein Kunde eine neue Richtlinie zu erfüllen hat, und kleine wehren sich energisch gegen Auditrechte und Meldeklauseln, die sie personell nicht bedienen können. Rechnen Sie damit, dass die Klauselarbeit sich über Verlängerungszyklen zieht statt über ein Quartal. Konzentrieren Sie sich auf die Handvoll Lieferanten, deren Ausfall Ihren Dienst tatsächlich lahmlegen würde, und halten Sie schriftlich fest, warum die übrigen niedriger priorisiert sind. Genau diese schriftliche Begründung will eine Aufsicht sehen.
Hier verdient sich ordentliches Werkzeug sein Geld. Eine Plattform mit Nachverfolgung der Lieferkettensicherheit, Abläufen zur Lieferantenbeurteilung, Überwachung von Vertragsklauseln und Anbindung an das breitere Risikomanagement macht die Anforderung handhabbar. Eine Tabelle ohne Feld für den Status der Cybersicherheitsbeurteilung schafft das nicht.
Wie dieser Vergleich entstanden ist
Methodik
| Stand der Prüfung | Juli 2026. |
| Prüfer | Alexander Sverdlov, Gründer von Venvera. |
| Interessenkonflikt | Venvera veröffentlicht diesen Vergleich und ist eines der bewerteten Produkte. Eine vollständige Offenlegung wird mit diesem Artikel angezeigt. |
| Wie die Funktionen bewertet wurden | Venvera wurde direkt im eigenen Produkt bewertet. Die anderen vier Plattformen wurden nicht praktisch getestet; ihre Funktionen wurden aus der öffentlichen Dokumentation des jeweiligen Anbieters entnommen. Das ist ein dokumentationsbasierter Vergleich der Wettbewerber. |
| Verglichene Produkte | Venvera, OneTrust, Vanta, ServiceNow GRC, Drata (5 Plattformen). |
| Bewertungskriterien | Risikomaßnahmen nach Artikel 21, die Meldefristen von 24 und 72 Stunden, Sicherheit der Lieferkette, Verantwortung des Leitungsorgans (Artikel 20), rahmenwerkübergreifende Nachweisnutzung (einschließlich DORA), EU-Daten-Hosting und Preise. Die Bewertung ist qualitativ; eine numerische Gewichtung wurde nicht angewandt. |
| Preisquelle | Die Venvera-Preise stammen aus der eigenen öffentlichen Preisliste. Wettbewerberpreise sind in der Regel nicht veröffentlicht; in diesem Fall werden sie als angebotsbasiert ausgewiesen. |
| Einschränkungen | Anbieterfunktionen und Tarife ändern sich, und die NIS2-Umsetzung unterscheidet sich je Mitgliedstaat. Aussagen zu den anderen Plattformen geben die im Juli 2026 gesichtete öffentliche Dokumentation wieder und sollten beim jeweiligen Anbieter bestätigt werden. Ließ sich eine Funktion aus dieser Dokumentation nicht bestätigen, ist sie als „nicht bestätigt" gekennzeichnet; eine Aussage über ihr Fehlen ist damit nicht verbunden. |
Fünf Plattformen im Vergleich
Bewertet an den tatsächlichen NIS2-Anforderungen. Die Venvera-Funktionen sind im Produkt verifiziert; die übrigen stammen aus der im Juli 2026 gesichteten öffentlichen Anbieterdokumentation.
Venvera
Am besten geeignet für: NIS2 im Zusammenspiel mit DSGVO, DORA oder ISO 27001, wenn Nachweise rahmenwerkübergreifend wiederverwendet werden sollen.
Venvera behandelt NIS2 als eigenständiges Rahmenwerk mit vollem Funktionsumfang. Im Produkt deckt das NIS2-Modul die Risikomanagementmaßnahmen nach Artikel 21 ab, mit strukturierter Nachverfolgung, Nachweisverknüpfung, Statusverwaltung und Zuweisung von Verantwortlichen je Maßnahme.
Die Vorfallmeldung folgt der NIS2-Zeitachse: Frühwarnung nach 24 Stunden, Meldung nach 72 Stunden und Abschlussbericht nach einem Monat, mit Fristenverfolgung und Vorlagen, die auf die Erwartungen nationaler CSIRTs zugeschnitten sind. Unterliegt eine Einrichtung zugleich DORA, kann die Plattform die strengere Erstmeldefrist aus DORA verfolgen und zeigen, wie deren Erfüllung sich zur 24-Stunden-Anforderung der NIS2 verhält.
Nachverfolgung der Lieferkettensicherheit, Dokumentation der Pflichten des Leitungsorgans, Gap-Assessments und Reife-KPIs sind enthalten, dazu vorgefertigte rahmenwerkübergreifende Maßnahmenzuordnungen, die NIS2 mit DSGVO, DORA, ISO 27001 und weiteren Rahmenwerken verbinden, sodass Nachweise bei überschneidenden Anforderungen wiederverwendet werden können.
Die Preise beginnen bei €399/Monat für ein Rahmenwerk und €899/Monat für drei, wobei mehrere EU- und internationale Rahmenwerke in einem Arbeitsbereich verfügbar sind, gehostet in Amsterdam.
Zu bedenken: Es ist eine jüngere Plattform mit geringerer Markenbekanntheit als die größten Etablierten, und ihr Integrations-Ökosystem wächst noch. Für Organisationen, deren Hauptbedarf NIS2 ist, insbesondere neben DSGVO, DORA oder ISO 27001, passt sie zu diesem Preispunkt gut.
OneTrust
Am besten geeignet für: große wesentliche Einrichtungen, die OneTrust GRC bereits betreiben.
Die öffentliche Dokumentation von OneTrust beschreibt NIS2-Funktionen innerhalb der GRC-Plattform: Vorlagen zur Risikobeurteilung, die an Artikel 21 ausgerichtet sind, Drittparteien-Risikomanagement für die Lieferkettenanforderungen sowie Abläufe zum Vorfallmanagement, die sich für die Fristen von 24 Stunden, 72 Stunden und einem Monat konfigurieren lassen. Das Unternehmen hat eine etablierte europäische Präsenz und Verständnis für den EU-Regulierungskontext.
Wenn Sie eine große wesentliche Einrichtung sind, die OneTrust bereits für Datenschutz nutzt, hält die Erweiterung um NIS2 alles in einem Ökosystem und nutzt vorhandenes Teamwissen. Für die vielen mittelgroßen Organisationen, die NIS2 neu erfasst und die schlanke Compliance-Teams haben, sind Enterprise-Preise, Einführungsdauer und Plattformkomplexität die wesentlichen Punkte. Klären Sie den aktuellen Stand und die Kosten mit OneTrust.
Vanta
Am besten geeignet für: Teams mit SOC-2- und ISO-27001-Fokus, die technische Nachweise automatisieren.
Die Automatisierung von Vanta hat für SOC 2 und ISO 27001 einen guten Ruf: Sie verbindet sich mit Cloud-Infrastruktur, sammelt Nachweise darüber, dass Maßnahmen wirksam sind, und zeigt ein Echtzeit-Dashboard, was manuelle Nachweisarbeit spart.
Für NIS2 hilft diese Automatisierung bei den Teilen der technischen Hygiene, etwa Netzwerksicherheitsüberwachung, Schwachstellenscans und Verifizierung der Zugriffskontrolle. Native Unterstützung für den 24-Stunden-Frühwarnablauf, die Nachverfolgung der Pflichten des Leitungsorgans nach Artikel 20, die Beurteilung der Lieferkettensicherheit und die regulierungsübergreifende Zuordnung zu DORA ließ sich aus der im Juli 2026 gesichteten öffentlichen Dokumentation nicht bestätigen. Auch ein standardmäßiges Daten-Hosting in der EU war nicht bestätigt. Klären Sie diese Punkte mit Vanta, wenn die inhaltliche NIS2-Substanz Ihre Priorität ist.
ServiceNow GRC
Am besten geeignet für: große ServiceNow-Umgebungen, die NIS2-Abläufe selbst bauen.
ServiceNow ist eine sehr leistungsfähige Plattform mit einer starken Workflow-Engine und guter Integration über IT-Service-Management, Security Operations und Change Management hinweg. Für Großunternehmen, die sie bereits betreiben, hat es eine gewisse Logik, NIS2-Abläufe darauf aufzusetzen.
Das Wort „bauen" trägt hier das ganze Gewicht. Ein NIS2-Modul ab Werk sowie die Meldefristen von 24 Stunden, 72 Stunden und einem Monat als ausgelieferte Funktionalität ließen sich aus der im Juli 2026 gesichteten öffentlichen Dokumentation nicht bestätigen; diese werden typischerweise konfiguriert. Risikomaßnahmen nach Artikel 21, Nachverfolgung des Leitungsorgans, Lieferkettenabläufe und die Zusammenarbeit mit CSIRTs wären in der Regel als individuelle Umsetzung einzurichten. Rechnen Sie Plattformlizenzen und Konfigurationsaufwand hinzu, dann passt es am besten dort, wo eine große ServiceNow-Investition und Entwicklungskapazität bereits vorhanden sind.
Drata
Am besten geeignet für: kontinuierliche Infrastrukturüberwachung.
Drata ist stark in der kontinuierlichen Überwachung: Agenten beobachten Ihre Konfigurationen und melden Abweichungen aus der Compliance heraus, was für SOC 2 wertvoll ist. Für NIS2 ist Überwachung eine notwendige Grundlage, auf der die prozessualen Pflichten noch aufsetzen.
Bei NIS2 geht es weitgehend darum, ob Ihre Organisation einen erheblichen Sicherheitsvorfall erkennen, das CSIRT binnen 24 Stunden informieren, binnen 72 Stunden eine detaillierte Meldung erstellen und binnen eines Monats einen Abschlussbericht liefern kann, ob sich Ihr Leitungsorgan mit Cybersicherheit befasst hat und ob Sie die Lieferkettensicherheit beurteilt haben. Ein 24-Stunden-Frühwarnablauf, die Nachverfolgung der Pflichten des Leitungsorgans und umfassende Lieferkettenfunktionen ließen sich aus der im Juli 2026 gesichteten öffentlichen Dokumentation nicht bestätigen; die regulierungsübergreifende Zuordnung zu DORA wirkt begrenzt. EU-Hosting ist als Option verfügbar. Klären Sie den aktuellen Stand mit Drata.
Worauf es bei NIS2 ankommt: der Direktvergleich
So lesen Sie diese Tabelle. Die Venvera-Einträge sind im Venvera-Produkt verifiziert (Juli 2026). Die Einträge der übrigen Plattformen stammen aus der im Juli 2026 gesichteten öffentlichen Anbieterdokumentation und sollten beim Anbieter bestätigt werden. „Nicht bestätigt" bedeutet, dass die Funktion in dieser öffentlichen Dokumentation nicht gefunden wurde; eine Aussage über ihr Fehlen ist damit nicht verbunden.
| NIS2-Anforderung | Venvera | OneTrust | Vanta | ServiceNow | Drata |
|---|---|---|---|---|---|
| Risikomaßnahmen nach Art. 21 | Vollständig (verifiziert) | Beschrieben (öffentliche Doku) | Teilweise (öffentliche Doku) | Nicht bestätigt (Eigenbau) | Teilweise (öffentliche Doku) |
| Frühwarnung nach 24 h | Nativ (verifiziert) | Konfigurierbar (öffentliche Doku) | Nicht bestätigt | Nicht bestätigt (Eigenbau) | Nicht bestätigt |
| Vorfallmeldung nach 72 h | Nativ (verifiziert) | Konfigurierbar (öffentliche Doku) | Nicht bestätigt | Nicht bestätigt (Eigenbau) | Nicht bestätigt |
| Sicherheit der Lieferkette | Vollständig (verifiziert) | Beschrieben (öffentliche Doku) | Grundlegend (öffentliche Doku) | Nicht bestätigt (Eigenbau) | Grundlegend (öffentliche Doku) |
| Nachverfolgung des Leitungsorgans (Art. 20) | Vollständig (verifiziert) | Teilweise (öffentliche Doku) | Nicht bestätigt | Nicht bestätigt (Eigenbau) | Nicht bestätigt |
| Crosswalk zu DORA | Ja (verifiziert) | Mittel (öffentliche Doku) | Nicht bestätigt | Nicht bestätigt (Eigenbau) | Nicht bestätigt |
| EU-Daten-Hosting | Amsterdam (verifiziert) | EU-Option (öffentliche Doku) | EU-Standard nicht bestätigt | Regionswahl (öffentliche Doku) | EU-Option (öffentliche Doku) |
| Einstiegspreis | Ab €399/Monat | Nicht öffentlich gelistet | Nicht öffentlich gelistet | Nicht öffentlich gelistet | Nicht öffentlich gelistet |
Die Überschneidung mit DORA, die leicht schlecht gemanagt wird
Das verdient einen eigenen Abschnitt, denn hier sammelt sich Doppelarbeit besonders gern an.
NIS2 und DORA überschneiden sich erheblich. Beide verlangen Risikomanagement-Rahmenwerke, Vorfallmeldung, Lieferkettensicherheit, Geschäftsfortführung und Verantwortung der Leitung. Für Finanzunternehmen, die beidem unterliegen, ist das Potenzial für Doppelarbeit beträchtlich.
Artikel 4 der NIS2 adressiert das: DORA ist Lex specialis für Finanzunternehmen, und wo die DORA-Anforderungen mindestens gleichwertig zu jenen der NIS2 sind, kann die Erfüllung von DORA die entsprechende NIS2-Pflicht erfüllen. In der Praxis vereinfacht das die Lage nur, wenn Ihre Plattform dieses Verhältnis versteht; NIS2 und DORA in getrennten Systemen zu führen, führt meist dazu, dass zwei Teams dieselbe Maßnahme zweimal dokumentieren.
Die rahmenwerkübergreifenden Zuordnungen von Venvera sind dafür ausgelegt. Wenn Sie eine Maßnahme zur Geschäftsfortführung für DORA umsetzen, kann die zugehörige Anforderung aus Artikel 21 Absatz 2 Buchstabe c der NIS2 als adressiert ausgewiesen werden, und für eine Vorfallmeldung, die die DORA-Frist einhält, lässt sich der Bezug zur 24-Stunden-Anforderung der NIS2 darstellen. Ob eine bestimmte DORA-Maßnahme eine bestimmte NIS2-Pflicht vollständig erfüllt, sollte weiterhin je Anforderung bestätigt werden.
Was Sie diese Woche tun sollten
NIS2 gilt, und die Durchsetzung zieht an. Wenn Sie noch nicht angefangen haben, hier eine Abfolge über fünf Tage, um in Bewegung zu kommen.
Behandeln Sie die Woche als Triage: Sie schaffen Klarheit über den Umfang. Anwendungsbereich und Einstufung passen tatsächlich in je einen Tag. Das Gap-Assessment hinter dem Mittwoch bedeutet einen Monat, in dem Sie Verantwortlichen Nachweise abringen, und die Lieferkettenarbeit dauert nochmals länger. Zweck der Woche ist, die Größe des Problems zu kennen, bevor Sie Budget dafür binden.
Behandeln Sie die Woche als Triage: Sie schaffen Klarheit über den Umfang. Anwendungsbereich und Einstufung passen tatsächlich in je einen Tag. Das Gap-Assessment hinter dem Mittwoch bedeutet einen Monat, in dem Sie Verantwortlichen Nachweise abringen, und die Lieferkettenarbeit dauert nochmals länger. Zweck der Woche ist, die Größe des Problems zu kennen, bevor Sie Budget dafür binden.
Montag: klären, ob Sie in den Anwendungsbereich fallen
Prüfen Sie Ihren Sektor gegen die Anhänge I und II und Ihre Größe gegen die Schwellenwerte (ab 50 Beschäftigten oder €10 Mio. Umsatz für die meisten Sektoren). Prüfen Sie das Umsetzungsgesetz Ihres Mitgliedstaats auf nationale Abweichungen. Wenn Sie unsicher sind, gehen Sie zunächst davon aus, dass Sie erfasst sind, und lassen Sie es bestätigen.
Dienstag: sich selbst einstufen
Wesentlich oder wichtig? Das bestimmt Ihr Aufsichtsregime und Ihr Sanktionsrisiko. Holen Sie Rechtsrat ein, wo es mehrdeutig ist, was für Unternehmen an Sektorgrenzen oder mit wesentlichen Einrichtungen als Kunden häufig vorkommt.
Mittwoch: ein Gap-Assessment durchführen
Bilden Sie Ihre aktuelle Lage gegen die Risikomanagementmaßnahmen aus Artikel 21 ab. „Wir haben eine Richtlinie" beschreibt eine Absicht; gefordert ist eine umgesetzte, wirksame Maßnahme. Fragen Sie, welcher Nachweis zeigt, dass jede Maßnahme tatsächlich funktioniert.
Donnerstag: Ihre Vorfallreaktion testen
Könnten Sie jetzt sofort eine 24-Stunden-Frühwarnung abgeben? Die Frage lautet konkret: Wenn heute um 22 Uhr ein Vorfall einträte, erreichte eine Meldung Ihr CSIRT bis morgen um 22 Uhr? Wenn die Antwort auf manueller Abstimmung und der Suche nach Kontaktdaten beruht, ist der Prozess noch nicht bereit.
Freitag: Ihr Werkzeug wählen
Sie kennen nun Ihre Lücken und wissen, ob Sie NIS2 allein oder NIS2 zusammen mit DORA, DSGVO oder ISO 27001 brauchen. Wählen Sie anhand der Eignungsempfehlungen unten eine Plattform passend zu Größe, Stack und Budget, und legen Sie los.
Welche der fünf zu Ihnen passt
NIS2 ist die breiteste Cybersicherheitsregulierung, die die EU erlassen hat: 18 Sektoren, viele zuvor unregulierte Unternehmen, echte Sanktionen, Verantwortung der Leitung und proaktive Aufsicht für wesentliche Einrichtungen. Kein einzelnes Werkzeug ist für alle richtig, stimmen Sie die Plattform also auf Ihre Situation ab:
- NIS2 zusammen mit DSGVO, DORA oder ISO 27001, mit Nachweiswiederverwendung: Venvera, mit Abdeckung von Artikel 21, NIS2-Vorfallmeldung und rahmenwerkübergreifenden Zuordnungen, im Produkt verifiziert. Als Herausgeber verweisen wir auf die mit diesem Artikel angezeigte Offenlegung.
- Große wesentliche Einrichtung, die OneTrust GRC bereits betreibt: OneTrust, vorbehaltlich der Klärung von Kosten und Konfigurationsaufwand.
- Große ServiceNow-Umgebung mit Entwicklungskapazität: ServiceNow GRC, um NIS2-Abläufe in einer Plattform zu halten.
- Team mit SOC-2- oder ISO-27001-Fokus, das technische Nachweise automatisiert: Vanta oder Drata, wobei die NIS2-spezifischen operativen Teile zu bestätigen oder zu ergänzen sind.
Welche Sie auch in die engere Wahl nehmen: Lassen Sie sich die NIS2-spezifischen Aussagen, die für Sie zählen, vor der Festlegung direkt vom jeweiligen Anbieter bestätigen.
Sehen Sie, wie Venvera NIS2 abbildet
Verwalten Sie Risikomaßnahmen nach Artikel 21, Vorfallmeldungen (24 h, 72 h und ein Monat) und Lieferkettensicherheit gemeinsam mit DSGVO, ISO 27001 und DORA, mit Nachweisen, die über sich überschneidende Rahmenwerke hinweg wiederverwendet werden. Ab €399/Monat, gehostet in Amsterdam.
Demo buchen →Vergleich zusammengestellt im Juli 2026 aus öffentlicher Anbieterdokumentation und dem Venvera-Produkt. Funktionen der Wettbewerber wurden nicht praktisch getestet. Die NIS2-Umsetzung unterscheidet sich je Mitgliedstaat. Bestätigen Sie aktuelle Preise und Funktionen bei jedem Anbieter.
