Nachweise, die einer Prüfung standhalten
Die meisten Unternehmen begegnen NIS2 zuerst auf Papier: als Richtlinie, als Fragenkatalog oder als Anschreiben eines Kunden. Umgesetzt wird NIS2 aber in der Infrastruktur, also bei Berechtigungen, Protokollierung, Backup und Notfallplänen. Diesen technischen Teil übernehmen wir, und wir sagen Ihnen vorher, wie groß er ist.
NIS2 kann Sie auf drei Wegen erreichen. Den dritten haben viele nicht im Blick.
Das ist der Fall, wenn Ihr Unternehmen zu einem der erfassten Sektoren gehört und die Schwellen bei Mitarbeiterzahl und Umsatz erreicht. Ob das zutrifft, ist eine Rechtsfrage, die Ihr Justiziar oder Anwalt klären sollte und nicht wir.
Auch wer selbst nicht unter die Richtlinie fällt, bekommt sie über seine Kunden zu spüren, denn betroffene Unternehmen müssen ihre Lieferanten in die Pflicht nehmen. Für einen Zulieferer heißt das: Der Fragebogen kommt, und die Antwort entscheidet über den Auftrag.
Cyberversicherer fragen inzwischen dieselben Punkte ab. Wer sie nicht belegen kann, zahlt mehr oder bekommt keinen Versicherungsschutz.
In der Praxis kommt am häufigsten vor, dass ein Unternehmen nicht direkt betroffen ist, ein Großkunde aber Nachweise verlangt. Der technische Aufwand ist derselbe, allerdings ist der Zeitdruck größer, weil ein Auftrag daran hängt.
NIS2 verlangt Maßnahmen zum Risikomanagement. Technisch bedeutet das Folgendes:
Wer was darf, wird nachvollziehbar vergeben und regelmäßig überprüft. In diesem Bereich haben die meisten Unternehmen den größten Nachholbedarf, und genau das ist unser Kernthema.
Identity & Access ManagementMFA muss flächendeckend gelten, ohne Ausnahmen für Geschäftsführung und Altanwendungen. Gerade solche Ausnahmen fallen bei einer Prüfung auf.
Die Aussage „wir sichern täglich“ genügt nicht. Gefordert ist eine getestete Wiederherstellung mit dokumentiertem Ergebnis, denn ob ein Backup funktioniert, das nie zurückgespielt wurde, weiß niemand.
Sicherheitsrelevante Ereignisse müssen erfasst und ausgewertet werden. Protokolle, die niemand ansieht, erfüllen diesen Zweck nicht.
Bekannte Schwachstellen müssen zeitnah geschlossen werden. Außerdem sollen Systeme in einem festgelegten Zustand bleiben, damit Abweichungen auffallen.
Für den Ernstfall braucht es einen Ablauf, der festlegt, wer entscheidet, wer meldet, wer kommuniziert und in welcher Frist. Dieser Ablauf sollte geübt sein und nicht nur als Datei existieren.
Dieser Punkt verbindet alle anderen, denn es reicht nicht, sicher zu sein. Sie müssen es auch belegen können. Deshalb dokumentieren wir schon während der Umsetzung und nicht erst danach.
Wir vergleichen den Ist-Zustand mit den technischen Anforderungen. Sie erhalten einen schriftlichen Bericht, der die Lücken nach Risiko und Aufwand ordnet.
Wir legen fest, was zuerst kommt, was warten kann und was es kostet. Die Aufwandsschätzung ist realistisch und keine Wunschliste.
Wir setzen in Stufen im laufenden Betrieb um und dokumentieren dabei jeden Schritt.
Sie erhalten eine Dokumentation, die Sie einem Kunden oder Prüfer vorlegen können und die Ihnen gehört.
Was wir nicht übernehmen: die rechtliche Bewertung, ob Sie betroffen sind, Meldungen an Behörden und Zertifizierungen. Dafür gibt es Anwälte und Auditoren. Wir arbeiten mit ihnen zusammen, statt so zu tun, als bräuchten Sie sie nicht.
| Security-Assessment inkl. NIS2-Gap-Analyse | ab 6.900 € |
| IT-Sicherheits-Check (kleinerer Rahmen) | 2.490 € |
| Umsetzung und Projektleitung | 165 € / h |
| Identity & Access Management (IAM) | 140 € / h |
Die Kosten des Assessments werden auf ein Folgeprojekt angerechnet.
Der Aufwand richtet sich danach, was die Gap-Analyse findet:
| Zugriffskontrolle und Rollenmodell | ab 15.000 € |
| MFA flächendeckend | 4.000 bis 8.000 € |
| Backup mit Wiederherstellungstest | 3.000 bis 6.000 € |
| Protokollierung | 6.000 bis 12.000 € |
| Härtung und Patchprozess | 5.000 bis 10.000 € |
| Vorfallprozess inkl. Übung | 4.000 bis 7.000 € |
| Nachweispaket | 3.000 bis 5.000 € |
Typische Gesamtprojekte liegen bei 20.000 bis 60.000 €.
Gap-Analyse und Konzeption sind Beratungsleistungen und deshalb in mehreren Bundesländern förderfähig, typischerweise mit 50 Prozent des Honorars.
Wichtig ist die Reihenfolge: erst das Angebot, dann der Antrag, dann den Bescheid abwarten und erst danach beauftragen. Wer vorher startet, verliert den Anspruch. Beim Papierkram unterstützen wir Sie.
Mehr zu geförderter IT-BeratungAufbau und Einführung einer neuen ITSM-Lösung. Wir haben das Haus in engem Austausch beraten und von der Implementierung über den Go-live bis in den Nachsupport begleitet.
Ergebnis: Der geplante Zeitraum von zwölf Monaten zwischen Projektstart und Go-live wurde eingehalten. Danach folgte eine Hypercare-Phase, in der wir den Betrieb eng begleitet haben.
Vollständige Übernahme der IT eines international tätigen Forschungsbetriebs und Neuausrichtung in enger Abstimmung mit der Geschäftsführung.
Ergebnis: Eine vollständig automatisierte IT-Umgebung, die auf Sicherheits- und NIS2-Anforderungen ausgelegt ist: getrennte Admin- und Benutzerkonten sowie abgesichertes internationales VPN-Routing zwischen den Standorten.
Stand:
FAQ
Das ist eine Rechtsfrage, die wir nicht verbindlich beantworten, dafür ist Ihre Rechtsberatung zuständig. In der Praxis ist die Frage allerdings entschieden, sobald ein Kunde Ihnen einen Sicherheitsfragebogen schickt.
Das kann sein. Über die Lieferkette erreicht Sie das Thema trotzdem, weil betroffene Unternehmen die Anforderungen an ihre Zulieferer weitergeben.
Nicht allein. Eine Zertifizierung belegt ein Managementsystem, NIS2 verlangt zusätzlich, dass die technischen Maßnahmen tatsächlich greifen. Die Schnittmenge ist groß, trotzdem sind Zertifikat und Umsetzung nicht dasselbe.
Damit haben Sie den Grundschutz, aber noch kein Risikomanagement. NIS2 fragt nach Zugriffskontrolle, Nachvollziehbarkeit, getesteter Wiederherstellung und einem Vorfallprozess.
Die Gap-Analyse dauert zwei bis drei Wochen, die Umsetzung je nach Größe der Lücken mehrere Monate. Wer zum Stichtag eines Kundenaudits fertig sein muss, sollte ein halbes Jahr einplanen.
Nein, die Meldepflichten liegen beim Unternehmen. Wir sorgen dafür, dass Sie die technischen Informationen haben, die eine Meldung braucht.
IT-Sicherheit & NIS2
Viele Anbieter nutzen NIS2 als Druckmittel. Wir sehen uns Ihre Lage an und sagen Ihnen, was tatsächlich nötig ist, auch wenn das weniger ist, als Sie befürchtet haben.
