NIS-2 Beratung: von der Betroffenheit zum prüffesten Nachweis.

Über drei Kriterien: Sektor, Unternehmensgröße und Ihre Kunden. Als wichtige Einrichtung gelten Unternehmen eines regulierten Sektors ab 50 Mitarbeitenden oder 10 Mio. Euro Umsatz, als besonders wichtige Einrichtung ab 250 Mitarbeitenden oder 50 Mio. Euro Umsatz; einzelne Branchen sind unabhängig von der Größe erfasst. Dazu kommt die Lieferkette: Regulierte Kunden reichen Anforderungen vertraglich an Zulieferer weiter. Eine erste Einordnung liefert die BSI-Betroffenheitsprüfung, die belastbare Antwort klären wir im Erstgespräch.

Im Kern drei Dinge: Risikomanagement mit technischen und organisatorischen Maßnahmen (unter anderem Incident-Handling, Backup und Wiederherstellung, Lieferkettensicherheit, Zugriffskontrolle, Verschlüsselung, Schulung), ein Meldeprozess für erhebliche Sicherheitsvorfälle mit Erstmeldung binnen 24 Stunden und Folgemeldung binnen 72 Stunden sowie die Registrierung beim BSI. Die Geschäftsleitung muss die Maßnahmen billigen, überwachen und sich selbst schulen lassen.

Eine sehr gute Basis, aber nicht deckungsgleich. NIS-2 bringt zusätzlich Registrierungs- und Meldepflichten mit engen Fristen, konkrete Anforderungen an die Lieferkette und persönliche Pflichten der Leitungsorgane. Wir mappen Ihr bestehendes ISMS gegen die NIS-2-Anforderungen und schließen gezielt die Lücken, statt ein zweites System aufzubauen.

Mit einem bestehenden ISMS oft wenige Monate, ohne Vorarbeiten eher sechs bis zwölf Monate. Entscheidend sind Reifegrad, Anzahl der Standorte und Systeme sowie die Verfügbarkeit interner Ansprechpartner. Nach dem Readiness-Check nennen wir Ihnen einen realistischen Zeitplan mit Meilensteinen.

Der Readiness-Check ist ein klar umrissenes Paket zum Festpreis. Die anschließende Umsetzung hängt davon ab, wie viel Sie selbst leisten und wo wir unterstützen; wir arbeiten mit Festpreisen für definierte Pakete oder einem monatlichen Kontingent als externer Informationssicherheitsbeauftragter. Konkrete Zahlen nennen wir nach dem Erstgespräch.

Eine persönliche. Die Leitungsorgane müssen die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen; bei Verstößen können sie haften. Wir bereiten die Entscheidungen so auf, dass die Geschäftsführung sie fundiert treffen und nachweislich dokumentieren kann, und übernehmen auf Wunsch die vorgeschriebene Schulung der Leitungsebene.