Verstehen Sie Ihre Pflichten. Bauen Sie einen klaren Weg zur Compliance.

Weil Sie drei Menschen zu drei verschiedenen Rechtsakten befragt haben. NIS2 ist eine Richtlinie und bindet Sie deshalb nicht unmittelbar — sie wirkt über das Umsetzungsgesetz Ihres Landes, und Schwellenwerte, Registrierungspflicht und Auditregime unterscheiden sich je Mitgliedstaat. Das ist das Wichtigste, was man über NIS2 wissen muss, und der Grund, warum die Antworten auseinandergingen.

Stabil ist die Struktur der Richtlinie selbst. Sie fallen in den Anwendungsbereich, wenn Sie in einem der aufgeführten Sektoren tätig und mindestens ein mittleres Unternehmen sind — grob ab 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz. Ab etwa 250 Beschäftigten oder 50 Millionen Euro in einem Sektor hoher Kritikalität sind Sie eine wesentliche Einrichtung; die meisten übrigen sind wichtige Einrichtungen, und der Unterschied liegt in der Aufsichtsintensität, nicht darin, ob die Pflichten gelten. Einige Einrichtungen sind unabhängig von der Größe erfasst, darunter DNS- und TLD-Betreiber, Vertrauensdiensteanbieter und öffentliche elektronische Kommunikation.

Die Einordnung ist eine eigene Aufgabe mit einem schriftlichen Ergebnis, das die Geschäftsleitung freigibt und das wir nicht unterstellen. Es ist das Erste, was wir liefern.

Sie bauen einmal und weisen dreimal nach.

Der Aufbau überschneidet sich stark. Ein Maßnahmenset, ein Asset- und Lieferantenverzeichnis, ein Nachweisspeicher und ein Risikoprozess bedienen alle drei: Anhang A der ISO 27001 deckt das meiste ab, was Artikel 21 NIS2 verlangt, und das ICT-Risikomanagement-Kapitel der DORA ist erkennbar dasselbe Material mit finanzsektorspezifischen Ergänzungen.

Was nicht verschmilzt, ist der Nachweis. ISO 27001 wird von einer akkreditierten Zertifizierungsstelle zertifiziert. NIS2 beaufsichtigt eine nationale Behörde nach nationalem Recht. DORA beaufsichtigt Ihre Finanzaufsicht unmittelbar. Drei Adressaten, drei Mechanismen, drei Nachweispakete — aus derselben Arbeit.

Die Plattform hinter unserer Beratungspraxis bewertet Ihre Lage aus denselben Antworten getrennt nach jedem Rahmenwerk. Genau das macht aus „einmal bauen“ Wirklichkeit statt Absichtserklärung.

Eine Untersuchung — und daraus zwei Dokumente: eine Geltungsbereichserklärung und eine Gap-Analyse.

Den Geltungsbereich überspringen die meisten, und alles Weitere ruht darauf: welche juristische Person, welche Systeme, wo die Grenzen verlaufen. Er wird von der Geschäftsleitung freigegeben, nicht von uns unterstellt.

Die Gap-Analyse entsteht aus strukturierten Fragebögen mit Ihren IT- und Sicherheitsverantwortlichen, externem Scannen Ihrer aus dem Internet sichtbaren Adressen und Dienste sowie interner Prüfung von Identitäts-, Endpunkt- und Cloud-Konfiguration. Zurück kommt: Ihre Lage bewertet am tatsächlich für Sie geltenden Rahmenwerk, die Lücken nach Risiko und Dringlichkeit priorisiert statt alphabetisch aufgelistet, und ein Plan, in dem hinter jeder Aufgabe ein Verantwortlicher und ein Datum steht.

Die Untersuchung ist auch einzeln als einmalige, kostenpflichtige Leistung erhältlich, wenn Sie das Bild sehen wollen, bevor Sie ein Programm starten.

Wenn Sie einen Audit- oder Aufsichtstermin haben, rechnen Sie mit etwa sechs Monaten konzentrierter Arbeit. Genau deshalb ist unser Vorbereitungsprogramm auf 180 Tage gebaut: etwa der erste Monat für Geltungsbereich und Gap-Analyse, dreieinhalb Monate Aufbau und Korrektur, die letzten sechs Wochen Nachweisführung — geordnete Nachweise, ein internes Probeaudit und ein begründetes Go oder No-Go für die Leitung vor dem echten Termin.

Liegt Ihr Termin weiter entfernt, dehnt sich dieselbe Abfolge. Die Reihenfolge ändert sich nicht.

Der ehrliche Aufwand ist nicht unsere Zeit, sondern Ihre. Rechnen Sie in der Aufbauphase mit ein bis anderthalb Tagen pro Woche aus dem IT-Betrieb, denn die Änderungen muss jemand in Ihrem Haus vornehmen und vorführen. Wo 180 Tage nicht für alles reichen, werden die Feststellungen dreigeteilt: auditkritisch und schaffbar; auditkritisch, aber länger — sofort begonnen, mit kompensierender Maßnahme und dokumentiertem Fortschritt; und nicht auditkritisch. Diese Aufteilung genehmigt Ihre Leitung am sechzigsten Tag, statt sie am Ende vorgesetzt zu bekommen.

Wir. Richtlinien, Verfahren, der Systemsicherheitsplan und die dahinterliegenden Asset-, Daten- und Lieferantenverzeichnisse sind unsere Arbeit — erzeugt gegen Ihre tatsächliche Umgebung und das für Sie geltende Rahmenwerk, dann zugeschnitten. Kein Vorlagenpaket mit Ihrem Logo.

Bei Ihnen bleibt die Umsetzung. Wir können festlegen, dass Mehrfaktor-Authentifizierung erzwungen wird, das überprüfen und den Nachweis dafür schreiben — aber die Änderung muss jemand mit Zugriff auf Ihre Systeme vornehmen. Wir fassen Ihre Systeme nicht an.

Diese Grenze ist bewusst gezogen, und Sie sollten sie vor der Unterschrift kennen und nicht im zweiten Monat entdecken.

Unter NIS2 ist es konkret: Das Leitungsorgan muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und an Schulungen teilnehmen — und seine Mitglieder können persönlich haftbar gemacht werden. Bei wesentlichen Einrichtungen reichen die Sanktionen bis zu einem vorübergehenden Verbot für die Geschäftsführung oder den gesetzlichen Vertreter, Leitungsaufgaben wahrzunehmen. Die DORA sagt dasselbe mit eigenen Worten: Die letztendliche Verantwortung für das IKT-Risiko trägt das Leitungsorgan, das dafür genügend Kenntnisse vorhalten muss.

Praktisch heißt Nachweisen: eine dokumentierte Spur — datierte Freigaben, protokollierte Entscheidungen, ein Schulungsnachweis und ein Bericht, der zeigt, was sich gegenüber der Vorperiode verändert hat.

Sie bekommen diese Spur als Nebenprodukt der Arbeit und nicht als etwas, das in der Woche vor der Aufsichtsratssitzung zusammengesucht wird: ein monatlicher Leitungsbericht über den Fortschritt an den Meilensteinen, offene Risiken und die von Ihnen benötigten Entscheidungen, dazu eine periodische Managementbewertung, die den neuen Bericht neben den alten stellt. Er kommt aus demselben System, das die Arbeit führt, und kann sich deshalb nicht unbemerkt davon entfernen.

Nein, und wir könnten es auch nicht, wenn wir wollten. Zertifiziert wird durch eine akkreditierte Zertifizierungsstelle nach einem zweistufigen Audit, und die Akkreditierungsregeln verlangen, dass ein Haus, das Ihr Managementsystem beratend aufgebaut hat, es nicht zertifiziert. Dieselbe Trennung gilt für das NIS2-Audit, das ein registrierter unabhängiger Auditor durchführt und dessen Honorar nicht Teil unseres ist.

Wir machen alles bis zur Tür des Auditors — und stehen dort neben Ihnen: das Managementsystem aufbauen, ein internes Probeaudit mit der Methode des echten Audits führen — Dokumentenprüfung, stichprobenhafte Nachweise, Interviews, vorgeführte statt beschriebene Maßnahmen —, die Gesprächspartner vorbereiten, der Leitung ein begründetes Go oder No-Go geben und das offizielle Audit koordinieren.

Wir können Ihnen sagen, dass Sie nicht antreten sollten. Manchmal tun wir das.

ISO/IEC 27001 halten wir selbst: erlangt Anfang 2025 über eine UKAS-akkreditierte Stelle, im Geltungsbereich unseres eigenen Betriebs als Managed Security Service Provider. Wir haben das also von Ihrer Seite des Tisches aus durchlaufen.

Nein. Die Uhr läuft bei der Einrichtung, und daran ändert kein Überwachungsvertrag etwas.

NIS2 verlangt eine Frühwarnung an Ihre nationale Behörde binnen 24 Stunden ab Kenntnis eines erheblichen Sicherheitsvorfalls, eine ausführlichere Meldung binnen 72 Stunden und einen Abschlussbericht binnen eines Monats. Die DORA ist bei schwerwiegenden IKT-Vorfällen noch enger, auf den Vorlagen der Aufsicht.

Ein Security Operations Center erkennt, triagiert und sagt Ihnen Bescheid. Die Beurteilung, ob ein Vorfall erheblich ist, die Meldung selbst und die Folgen einer verspäteten oder falschen Meldung bleiben bei Ihnen. Managed-Service-Verträge halten das schriftlich fest: Die Aufbewahrung von Protokollen zu regulatorischen Zwecken liegt beim Kunden, und Plattformausgaben ersetzen ausdrücklich nicht das eigene rechtliche und regulatorische Urteil des Kunden.

Was die Lücke tatsächlich schließt, ist die Verbindung dazwischen: ein vorab vereinbartes Klassifizierungsregelwerk an den Kriterien Ihrer Aufsicht, eine benannte entscheidungsbefugte Person, die auch um drei Uhr nachts erreichbar ist, vorformulierte Meldeinhalte und ein einmal geprobter Gesamtablauf, solange nichts brennt. Das ist Governance-Arbeit, und genau dafür gibt es die Beratung.

Drei Dinge, in steigender Unannehmlichkeit.

Erstens der Vertrag. NIS2 verpflichtet Ihren Kunden, Lieferkettenrisiken zu steuern, und so kommen seine Pflichten als Sicherheitsklauseln, Fragebögen, Auditrechte und Meldepflichten bei Ihnen an. Das ist der übliche Weg, und er ist Ihnen gegenüber als Vertragsrecht durchsetzbar, nicht als Regulierung.

Zweitens: Prüfen Sie den Größen- und Sektortest noch einmal, denn „nicht reguliert“ stimmt häufig nicht. Verwaltete IKT-Dienstleister, Cloud-, Rechenzentrums-, CDN- und Vertrauensdiensteanbieter sind unter NIS2 selbst benannte Sektoren — ein IT-Lieferant eines regulierten Unternehmens fällt recht oft aus eigenem Recht in den Anwendungsbereich.

Drittens: Sind Ihre Kunden Finanzunternehmen, kann die DORA Sie unmittelbar erreichen. Als kritisch eingestufte IKT-Anbieter unterliegen einem EU-Überwachungsrahmen, und jeder Finanzkunde muss Sie in einem Informationsregister führen, das er seiner Aufsicht vorlegt — zu vorgeschriebenen Vertragsbedingungen.

Praktisch: Der erste Schritt ist dieselbe Geltungsbereichsbestimmung, der zweite die Fähigkeit, Lieferantenfragebögen mit Nachweisen statt mit Behauptungen zu beantworten. Das ist erheblich günstiger, als an ihnen zu scheitern.