Von der Betroffenheitsprüfung über die Gap-Analyse bis zur laufenden Umsetzung im Managed-Service-Paket: NIS2-Beratung, orientiert an ISO 27001 und BSI-Grundschutz – ohne Panikrhetorik und ohne Papierberge, die niemand liest.
Die europäische NIS2-Richtlinie weitet die Pflichten zur Cybersicherheit massiv aus: Waren bisher vor allem Betreiber kritischer Infrastrukturen im Fokus, nimmt NIS2 ganze Branchen in die Pflicht, und mit ihnen einen erheblichen Teil des deutschen Mittelstands. Eine fundierte NIS2-Beratung beginnt deshalb nicht mit Maßnahmen, sondern mit einer nüchternen Antwort auf die Frage: Fallen Sie überhaupt darunter?
NIS2 ist die zweite EU-Richtlinie zur Netzwerk- und Informationssicherheit („Network and Information Security“). Sie verpflichtet Unternehmen aus vielen Sektoren, ihre IT-Risiken systematisch zu managen, erhebliche Sicherheitsvorfälle innerhalb kurzer Fristen zu melden und ihre Mitarbeiter regelmäßig zu schulen, und nimmt die Geschäftsführung dafür persönlich in die Verantwortung. In Deutschland wird die Richtlinie durch ein nationales Umsetzungsgesetz verbindlich.
Die Richtlinie unterscheidet zwischen wichtigen und besonders wichtigen Einrichtungen. Erfasst werden Unternehmen aus einer langen Liste von Sektoren – darunter Energie, Transport, Gesundheit, Wasser, digitale Infrastruktur, aber auch verarbeitendes Gewerbe, Maschinenbau, Lebensmittelproduktion, Chemie und Entsorgung. Als Faustregel für die Größenschwellen gilt: Wer in einem erfassten Sektor tätig ist und mindestens 50 Mitarbeiter beschäftigt oder mehr als 10 Millionen Euro Jahresumsatz erzielt, muss sich mit NIS2 auseinandersetzen; größere Unternehmen ab 250 Mitarbeitern fallen in die strengere Kategorie.
Selbst wer unter diesen Schwellen bleibt, ist nicht automatisch raus: NIS2 wirkt über die Lieferkette. Wenn Ihre Kunden zu den betroffenen Einrichtungen gehören, werden diese Sicherheitsanforderungen an ihre Lieferanten und Dienstleister weiterreichen – vertraglich, nicht freiwillig. Wer dann keine belastbaren Antworten hat, fliegt aus der Lieferantenliste, lange bevor eine Behörde anklopft.
Die deutsche Umsetzung der Richtlinie in nationales Recht ist auf dem Weg; an der Stoßrichtung und an den Pflichten für betroffene Unternehmen ändert das nichts mehr. Wer jetzt anfängt, arbeitet mit Vorlauf – wer wartet, arbeitet später unter Zeitdruck zu höheren Kosten.
Hinter dem Kürzel stehen vier Pflichtenblöcke, die Sie als Geschäftsführung kennen müssen:
Sie müssen Ihre IT-Risiken systematisch erfassen und mit angemessenen Maßnahmen absichern – von Zugriffskontrollen über Verschlüsselung und Multifaktor-Authentifizierung bis zu Backup-Konzepten und der Absicherung Ihrer Lieferkette.
Erhebliche Sicherheitsvorfälle müssen innerhalb kurzer Fristen an die zuständige Behörde gemeldet werden – die Erstmeldung binnen 24 Stunden. Ohne vorbereitete Prozesse ist das im Ernstfall schlicht nicht zu leisten.
NIS2 macht Cybersicherheit ausdrücklich zur Leitungsaufgabe. Die Geschäftsführung muss die Maßnahmen billigen und überwachen. Sie haftet persönlich, wenn sie das Thema ignoriert. Delegieren können Sie die Arbeit, nicht die Verantwortung.
Führungsebene und Mitarbeiter müssen regelmäßig geschult werden, denn die meisten erfolgreichen Angriffe beginnen nicht an der Firewall, sondern im Posteingang.
Finden Sie in wenigen Minuten heraus, ob Ihr Unternehmen unter NIS2 fällt und wo Ihre größten Lücken liegen – kompakt, verständlich, ohne Juristendeutsch.
Viele Anbieter verkaufen Ihnen zu NIS2 vor allem Dokumente. Wir verkaufen Ihnen einen Zustand: eine IT, die den Anforderungen tatsächlich genügt und das jederzeit belegen kann. Der Weg dorthin hat vier Schritte:
Wir klären, ob und in welcher Kategorie Ihr Unternehmen unter NIS2 fällt – auf Basis Ihres Sektors, Ihrer Größe und Ihrer Rolle in der Lieferkette. Das Ergebnis ist eine klare Aussage, keine Vielleicht-Broschüre.
Wir gleichen Ihren Ist-Zustand mit den Anforderungen ab, orientiert an ISO 27001 und BSI-Grundschutz. Sie bekommen keine abstrakte Mängelliste, sondern priorisierte Vorschläge samt Aufwand und Reihenfolge. Sie sehen sofort, was zuerst dran ist und warum.
Multifaktor-Authentifizierung, Backup und Wiederherstellung, Patch-Management, Zugriffskonzepte, Notfallpläne, Meldeprozesse: Das meiste davon ist bei uns kein Sonderprojekt, sondern Bestandteil der laufenden Managed-IT-Betreuung. Sie kaufen keine hundert Einzelmaßnahmen, sondern einen Betrieb, in dem die Maßnahmen enthalten sind.
NIS2 ist kein Projekt mit Enddatum. Wir halten die Maßnahmen im Betrieb aktuell, dokumentieren fortlaufend und sorgen dafür, dass Sie gegenüber Behörden und Kunden jederzeit auskunftsfähig sind – auch wenn morgen ein Fragebogen Ihres größten Auftraggebers auf dem Tisch liegt.
Eine reine Beratung übergibt Ihnen am Ende ein Konzept. Die eigentliche Arbeit beginnt erst danach, bei Ihnen. Wir sind in der umgekehrten Position: Als Ihr laufender IT-Partner setzen wir die Maßnahmen selbst um, in Systemen, die wir ohnehin betreuen, und halten sie über Jahre auf Stand. Das senkt nicht nur die Kosten, weil nichts doppelt erklärt und doppelt beauftragt werden muss. Vor allem sorgt es dafür, dass aus Anforderungen tatsächlich Zustände werden. Wie unsere Sicherheitsleistungen im Einzelnen aussehen (von der BSI-Grundschutz-Beratung bis zu Penetrationstests), lesen Sie auf der Seite IT-Sicherheitsberatung.
Ob eine NIS2-Umsetzung gelingt, entscheidet weniger das Konzeptpapier als der Partner, der die Maßnahmen dauerhaft betreibt. Woran Sie den Unterschied festmachen:
Ob wir überhaupt unter NIS2 fallen, konnte uns vorher niemand verbindlich sagen, auch der Branchenverband nicht. Der Betroffenheits-Check hat das in kurzer Zeit geklärt: Wir gehören dazu, als wichtige Einrichtung. Mit dieser Klarheit ließ sich endlich planen statt spekulieren.
Unser größter Auftraggeber hat uns einen Sicherheitsfragebogen geschickt, mit Frist. Dank der Gap-Analyse wussten wir genau, wo wir stehen, und konnten jede Frage belegen statt auszuweichen. Ohne diese Vorarbeit hätten wir die Frist nicht gehalten.
Uns war wichtig, dass NIS2 kein Ordner im Schrank wird. Vieles läuft jetzt einfach in der laufenden Betreuung mit – Backups, Multifaktor-Anmeldung, die Dokumentation wird fortlaufend gepflegt. Wenn eine Behörde oder ein Kunde fragt, sind wir auskunftsfähig, ohne erst Unterlagen zusammensuchen zu müssen.
Betroffen sind Unternehmen aus einer Vielzahl von Sektoren (von Energie und Gesundheit bis zum verarbeitenden Gewerbe), in der Regel ab 50 Mitarbeitern oder mehr als 10 Millionen Euro Jahresumsatz. Zusätzlich wirkt NIS2 über die Lieferkette: Wer betroffene Unternehmen beliefert, muss mit vertraglichen Sicherheitsanforderungen rechnen. Der Betroffenheits-Check von Staufenberg Advisory schafft in kurzer Zeit Klarheit.
NIS2 verlangt ein systematisches Risikomanagement mit technischen und organisatorischen Schutzmaßnahmen, die Meldung erheblicher Sicherheitsvorfälle binnen kurzer Fristen, regelmäßige Schulungen sowie die aktive Einbindung der Geschäftsführung. Die Leitungsebene haftet, wenn sie ihre Pflichten vernachlässigt.
Der Einstieg ist bei Staufenberg Advisory kostenlos: Erstgespräch und erste Betroffenheitseinschätzung kosten Sie 30 Minuten Zeit, kein Geld. Gap-Analyse und Umsetzung kalkulieren wir nach Umfang zum Festpreis; ein großer Teil der laufenden Maßnahmen ist bereits im Managed-Service-Paket ab 19 € pro Nutzer und Monat enthalten und kostet nicht extra.
Die europäische Richtlinie ist in Kraft, die deutsche Umsetzung in nationales Recht ist auf dem Weg. Betroffene Unternehmen sollten die Anforderungen daher nicht auf die lange Bank schieben. Wer früh startet, verteilt Aufwand und Kosten über Monate statt Wochen und ist gegenüber Kunden schon heute auskunftsfähig.
Die Anforderungen selbst umzusetzen ist möglich, bindet aber über Monate interne Kapazität und setzt Sicherheits-Know-how voraus, das die meisten Mittelständler nicht vorhalten. Ein IT-Partner wie Staufenberg Advisory setzt die Maßnahmen direkt in den betreuten Systemen um und hält sie dauerhaft aktuell. Die Übersetzung zwischen Konzeptpapier und Technik entfällt. Entscheidend ist, dass der Partner nicht nur berät, sondern auch betreibt.
Betroffenheits-Check und Gap-Analyse sind in wenigen Wochen abgeschlossen; die Umsetzung der Maßnahmen dauert je nach Ausgangslage typischerweise einige Monate. Unternehmen, die bereits professionell betreut werden, starten deutlich weiter vorn, weil Grundlagen wie Backup und Multifaktor-Authentifizierung dann schon stehen. Danach geht NIS2 in den laufenden Betrieb über. Es ist kein Projekt mit Enddatum.
Das lässt sich seriös erst nach einer Gap-Analyse sagen. In der Praxis fehlen bei den meisten Mittelständlern belastbare Meldeprozesse, geprobte Notfallpläne und eine saubere Dokumentation, selbst wenn die Technik ordentlich aufgestellt ist. Genau diese Lücken macht unsere Analyse sichtbar, priorisiert nach Risiko und Aufwand.
IT-Notfall? Jetzt anrufen – Hotline 24/7.
Innerhalb kurzer Zeit meldet sich ein geschulter Ansprechpartner – je nach Thema auch der Geschäftsführer persönlich. Das Erstgespräch dauert 30 Minuten. Sie nehmen eine Einschätzung zu Machbarkeit und Zeitrahmen sowie konkrete Optimierungsvorschläge mit – eine fertige Erstberatung, die Sie theoretisch auch zu Ihrem bisherigen Dienstleister tragen könnten. Wir liefern zuerst Wert, dann reden wir über Zusammenarbeit.
