NIS-2-Beratung – Klarheit statt Aktionismus
Das NIS2-Umsetzungsgesetz macht IT-Sicherheit für Unternehmen in zahlreichen Branchen verbindlich, vom Gesundheitswesen über die Energieversorgung bis zur Lebensmittelproduktion. Für viele Betriebe stellt sich zuerst eine ganz einfache Frage: Betrifft uns das überhaupt? Wir beantworten sie, bevor Sie Geld in Maßnahmen stecken, die Sie vielleicht gar nicht brauchen.
Ist Ihr Unternehmen betroffen?
Die Betroffenheit hängt von drei Dingen ab: Ihrer Branche, Ihrer Unternehmensgröße und Ihrer Kundenstruktur. Der letzte Punkt wird regelmäßig übersehen. Auch wer selbst nicht unter die Richtlinie fällt, bekommt die Anforderungen häufig über Kunden aus regulierten Sektoren durchgereicht.
Eine individuelle Prüfung schafft hier Klarheit. Sie dauert in der Regel wenige Stunden und erspart Ihnen im Zweifel ein ganzes Projekt.
Für wen diese Beratung gedacht ist
- Sie haben gehört, dass NIS-2 Sie betreffen könnte, finden aber keine belastbare Antwort in den Übersichten im Netz
- Ein Kunde aus einem regulierten Sektor hat Ihnen einen Fragebogen zur Informationssicherheit geschickt
- Sie wissen, dass Sie betroffen sind, und suchen jemanden, der die Anforderungen in umsetzbare Schritte übersetzt
- Sie haben bereits ein Managementsystem nach ISO 9001 und möchten die Sicherheitsanforderungen darin unterbringen, statt ein zweites System danebenzustellen
Was Sie erhalten
- Eine schriftliche Betroffenheitseinschätzung – mit Begründung, nicht nur mit Ja oder Nein
- Einen Überblick über die konkreten Anforderungen für Ihre Branche, übersetzt in Ihre Sprache
- Eine priorisierte Maßnahmenliste: was Sie zuerst tun müssen, was warten kann, was Sie bereits erfüllen
- Begleitung bei der Registrierung beim Bundesamt für Sicherheit in der Informationstechnik
- Auf Wunsch die Umsetzung der technischen und organisatorischen Maßnahmen, inklusive der Nachweisführung
Muss man NIS-2 wirklich umsetzen?
Diese Frage kommt in fast jedem Erstgespräch. Die ehrliche Antwort: NIS-2 verlangt nichts Radikales. Im Kern fordert die Richtlinie Maßnahmen, die verantwortungsvolle Unternehmen ohnehin umsetzen sollten, um ihre IT-Systeme, Geschäftsprozesse und ihre Handlungsfähigkeit zu schützen.
Der Unterschied zu vorher ist weniger das Was als das Nachweisen. Vieles davon tun Sie vermutlich längst – es ist nur nirgends dokumentiert. Genau da setzen wir an.
Was NIS-2 konkret verlangt
Die Richtlinie nennt in Artikel 21 zehn Bereiche. Sie klingen technisch, sind es aber nur zum Teil:
- Risiken kennen – welche Systeme tragen Ihr Geschäft, und was bedeutet deren Ausfall
- Vorfälle behandeln – wer bemerkt einen Angriff, wer entscheidet, wer meldet, in welcher Frist
- Weiterarbeiten können – Sicherungen, die sich nachweislich zurückspielen lassen, und ein Plan für den Krisenfall
- Lieferkette prüfen – Ihre IT-Dienstleister und Softwarelieferanten gehören zum eigenen Sicherheitsniveau dazu
- Sicher beschaffen und warten – Anforderungen an Einkauf, Entwicklung, Updates und den Umgang mit Schwachstellen
- Wirksamkeit bewerten – nachweisen, dass die Maßnahmen greifen, nicht nur, dass es sie gibt
- Mitarbeiter schulen – Grundregeln für alle, die einen Rechner benutzen
- Verschlüsseln – eine Regelung, was wann verschlüsselt wird und warum
- Zugriffe ordnen – wer darf was, wer ist ausgeschieden, welche Geräte gehören zum Betrieb
- Zugänge absichern – Mehr-Faktor-Anmeldung und ein Kommunikationsweg, der auch im Notfall funktioniert
Der größere Teil davon ist organisatorisch. Diese Punkte brauchen keine neue Software, sondern eine Regelung, eine Zuständigkeit und einen Nachweis.
Wer im Unternehmen dafür geradesteht
Die Richtlinie nimmt die Leitungsebene direkt in die Pflicht. Die Geschäftsführung muss die Maßnahmen billigen, ihre Umsetzung überwachen und sich selbst schulen lassen. Die Arbeit lässt sich an die IT delegieren, die Verantwortung nicht.
Praktisch heißt das dreierlei: ein dokumentierter Beschluss, eine regelmäßige Berichterstattung an die Leitung und ein Nachweis der eigenen Schulung. Diese drei Punkte bereiten wir so vor, dass sie in bestehende Termine passen. Wo ein Managementsystem läuft, hängen wir die Berichterstattung an die Managementbewertung, dann entsteht kein zweiter Kreislauf daneben.
Wie wir vorgehen
Betroffenheit klären
Branche, Größe, Kundenstruktur, Lieferkette. Ergebnis ist eine schriftliche Einschätzung. Dauer: wenige Stunden.
Bestandsaufnahme
Was ist an Sicherheitsmaßnahmen, Prozessen und Dokumentation bereits vorhanden? Erfahrungsgemäß mehr, als die Beteiligten glauben.
Maßnahmen priorisieren
Nicht alles gleichzeitig. Wir sortieren nach Pflicht, Risiko und Aufwand. Sie entscheiden über Reihenfolge und Tempo.
Umsetzen und nachweisen
Registrierung, Meldewege für erhebliche Sicherheitsvorfälle, technische und organisatorische Maßnahmen. Und die Nachweisführung, die im Ernstfall zeigt, dass alles greift.
Dranbleiben
Ein Meldeweg, den niemand kennt, hilft nicht. Wir schulen die Beteiligten und prüfen die Wirksamkeit im internen Audit.
Wer das bei uns macht
Rüdiger Rammé – IRCA certified and registered QMS / OHSMS Lead Auditor #01192806, Fachgebiete unter anderem ISO/IEC 27001 und Informationssicherheit. Als Entwickler von Datenbanken und Schnittstellen kennt er beide Seiten: die Anforderung und das System, das sie erfüllen muss.
Das ist der Unterschied zu einer reinen Sicherheitsberatung – wenn die Nachweisführung eine technische Lösung braucht, bauen wir sie.
Telefon: +49 4131 2198634
Ein Fall aus der Praxis
Ausgangslage: Ein produzierender Kleinbetrieb, nach dem neuen Recht als wichtige Einrichtung eingestuft, mit eigener Anlagensteuerung in der Fertigung und einem bereits zertifizierten ISO-Managementsystem. Die Betroffenheit war anwaltlich geprüft, die Registrierung beim BSI erfolgt. Für die Umsetzung lag eine Checkliste vor, die ein Dritter beigesteuert hatte. Sie sollte als Grundlage dienen.
Vorgehen: Erster Schritt war, diese Checkliste zu prüfen statt sie zu übernehmen. Sie folgte der Fassung der ISO 27001 von 2013, deren Übergangsfrist Ende Oktober 2025 abgelaufen ist. Die alte Fassung führt 114 Maßnahmen in 14 Kapiteln, die aktuelle 93 in vier Themenfeldern. Elf Maßnahmen der neuen Fassung hätte die alte Liste nicht erfasst, darunter Themen, die für einen Betrieb mit Produktionsnetz zentral sind. Drei Nummerierungsfehler kamen dazu. Danach zwei getrennte Fragenkataloge statt eines einzigen: 121 technische Fragen für die IT-Leitung, 86 für die Geschäftsführung, davon 36 zum Bestand und 50 zu Entscheidungen. Die Trennung ist Absicht, damit niemand in Entscheidungen gedrängt wird, die ihm nicht zustehen. Der Anwendungsbereich umfasst ausdrücklich auch die Produktionstechnik, nicht nur die Büro-IT.
Ergebnis: Der Betrieb hat eine Netzübersicht, ein Asset-Inventar mit dem Übergang zur Risikobewertung und eine unterschriftsreife Rollenbeschreibung für die Informationssicherheit in der Hand, dazu einen Fahrplan auf die zehn Mindestmaßnahmen des Gesetzes und die Meldefristen von 24 Stunden, 72 Stunden und einem Monat. Das Mandat läuft, die Auswertung der Fragenkataloge steht als nächstes an.
Kundenname, Branche und alle Angaben zur Netzstruktur bleiben vertraulich.
Verwandte Themen
- ISO/IEC 27001 – Informationssicherheitsmanagement
- ISO 22301 – Betriebskontinuität
- Software & Datenbanken
Häufige Fragen
Was kostet eine NIS-2-Beratung?
Die Betroffenheitsprüfung ist ein überschaubarer Einstieg von wenigen Stunden. Was danach kommt, hängt vollständig davon ab, was die Prüfung ergibt – von „Sie sind nicht betroffen, hier ist die Begründung für Ihre Unterlagen“ bis zum mehrmonatigen Umsetzungsprojekt. Wir sagen Ihnen nach der Prüfung, womit Sie rechnen müssen, bevor Sie sich festlegen.
Wir haben schon ISO 27001 – brauchen wir trotzdem etwas?
Sie haben dann einen erheblichen Teil erledigt, aber nicht alles. NIS-2 enthält Pflichten, die über die Norm hinausgehen, etwa die Registrierung und die Meldepflichten mit ihren Fristen. Wir prüfen die Lücke, statt Ihnen ein zweites System zu verkaufen.
Wer haftet, wenn wir nichts tun?
Die Richtlinie nimmt ausdrücklich die Leitungsebene in die Pflicht. Das ist einer der Gründe, warum das Thema derzeit so schnell auf Geschäftsführungsebene landet.
Machen Sie auch die technische Umsetzung?
Die organisatorische Seite und die Nachweisführung ja, inklusive individueller Datenbanklösungen. Für den Betrieb Ihrer IT-Infrastruktur arbeiten wir mit Ihrem bestehenden Dienstleister zusammen.
Wie lange dauert die Betroffenheitsprüfung?
In der Regel wenige Stunden, verteilt auf ein Gespräch und die schriftliche Auswertung.
Sprechen wir darüber
Das Erstgespräch ist kostenlos und unverbindlich. Es dauert meist eine halbe Stunde, danach wissen Sie, was auf Sie zukommt und ob wir die Richtigen für Ihr Projekt sind.
- Rüdiger Rammé, Lüneburg – Telefon: +49 4131 2198634
- Marion Rammé, Hamburg
- E-Mail: all@bout-quality.de
Lieber schreiben? Über das Kontaktformular erreichen Sie uns genauso.