Use Case:
Strukturierte NIS-2-Standortbestimmung und Maßnahmen-Fahrplan im Mittelstand
Mit dem Inkrafttreten des NIS-2-Umsetzungsgesetzes am 6. Dezember 2025 gelten für eine deutlich erweiterte Zahl mittelständischer Unternehmen verbindliche Anforderungen an Cybersicherheit, Resilienz und Geschäftsführungsverantwortung. Die Selbsteinstufung als pflichtige Einrichtung ist in vielen Fällen erfolgt, die Registrierung beim BSI ebenfalls. Was häufig fehlt, ist eine strukturierte Bewertung des eigenen Standorts gegen die zehn Maßnahmen nach §30 BSIG und ein priorisierter Pfad zur Erfüllung.
Herausforderung des Kunden
Die Geschäftsführung des Unternehmens hatte die NIS-2-Betroffenheit bestätigt und die fristgerechte Registrierung beim BSI vorgenommen. Die materielle Umsetzung der §30-Anforderungen war jedoch nicht systematisch angegangen worden. Über Jahre gewachsene Sicherheitsmaßnahmen wie Backup-Routinen, Multi-Faktor-Authentifizierung in Teilen der Organisation, einzelne Richtlinien bestanden nebeneinander, ohne als zusammenhängendes Sicherheitsmodell organisiert oder gegen die zehn §30-Maßnahmen bewertet zu sein.
Die IT-Leitung stand vor der Aufgabe, der Geschäftsführung eine belastbare Entscheidungsgrundlage zu liefern. Wo steht das Unternehmen gegenüber den gesetzlichen Anforderungen? Welche Lücken sind prioritär? Welche Maßnahmen kann die eigene IT-Abteilung stemmen, welche erfordern externe Kompetenz? Eine fundierte Beantwortung dieser Fragen war intern nicht leistbar. Es lag weder methodische Erfahrung mit einer strukturierten §30-Bewertung vor, noch eine Heuristik, anhand derer die Selbst-Umsetzbarkeit pro Maßnahme realistisch eingeschätzt werden konnte. Hinzu kam der Druck aus §38 BSIG: Die Verantwortung des Leitungsorgans ist persönlich und nicht delegierbar.
Zielsetzung und Anforderungen
Ziel war eine strukturierte Standortbestimmung des Unternehmens gegen die zehn Maßnahmen nach §30 BSIG sowie die Ableitung eines priorisierten Maßnahmenfahrplans mit zeitlicher Roadmap. Anforderung war eine geschäftsführungs-taugliche Darstellung, die als Entscheidungsgrundlage für die nächsten zwölf bis achtzehn Monate dient und zugleich das Fundament für eine dauerhaft steuerbare Sicherheitsarchitektur legt.
Über die Reifegradbewertung hinaus sollte der Fahrplan pro priorisierter Maßnahme eine Indikation enthalten, ob die Kunden-IT typischerweise eigenständig umsetzen kann, externe Begleitung sinnvoll ist oder die externe Übernahme empfohlen wird. Aus dieser Bewertung sollte sich — sofern vom Unternehmen gewünscht — ein konkreter Scope für die anschließende Umsetzung ableiten lassen, ohne dass dafür ein separater Akquiseschritt erforderlich wird.
Ergebnisse und Erfolge
Im Rahmen einer strukturierten Bestandsaufnahme wurden die zehn Maßnahmen nach §30 BSIG einzeln gegen den Ist-Stand des Unternehmens bewertet. Grundlage waren Interviews mit IT-Leitung, Geschäftsführung und ausgewählten Fachbereichen sowie die Sichtung vorhandener Sicherheitsdokumentationen, Lieferantenstrukturen und Geschäftsprozessen. Jede Maßnahme wurde in einer Ampel-Logik mit kurzer Begründung bewertet: erfüllt, teilweise erfüllt, offen.
Auf dieser Grundlage wurden die Lücken nach Risiko und Umsetzungsaufwand gewichtet. Aus der Priorisierung entstand ein Fahrplan mit sieben priorisierten Maßnahmen über einen Zeitraum von achtzehn Monaten. Jede Maßnahme enthält Bezug zur §30-Norm, Zielbeschreibung, groben Aufwandskorridor, empfohlenen Zeitraum und Verantwortlichkeitsempfehlung.
Ergänzend wurde pro Maßnahme eine Selbst-/Extern-Indikation erstellt. Auf Basis der typischen Komplexität der Maßnahmen, des im Discovery ermittelten Reifegrads der bestehenden Sicherheitsorganisation und der Kapazitäts- und Wunsch-Aussagen des Kunden. Drei Maßnahmen wurden als typischerweise selbst umsetzbar markiert, zwei mit Begleitung, zwei als extern empfohlen. Die Geschäftsführung erhielt damit nicht nur eine Liste an Aufgaben, sondern eine fundierte Indikation, an welchen Stellen die interne IT-Mannschaft realistisch tragen kann und welche externe Kompetenz die effiziente Alternative ist.
Der abschließende Workshop wurde gemeinsam mit Geschäftsführung und IT-Leitung durchgeführt. Die Empfehlungen wurden im Detail diskutiert, einzelne Indikationen auf Basis interner Kapazitätsaussagen angepasst und aus den als extern markierten Maßnahmen wurde ein konkreter Scopevorschlag für die anschließende Umsetzung formuliert.
Zusätzlicher Mehrwert
Durch die strukturierte Standortbestimmung verfügt die Geschäftsführung über eine belastbare, gegen die gesetzlichen Anforderungen referenzierbare Entscheidungsgrundlage. Die Verantwortung aus §38 BSIG steht damit auf dokumentierter Substanz und nicht auf Annahmen.
Die IT-Leitung gewinnt Klarheit darüber, welche Maßnahmen intern realistisch umsetzbar sind und wo externe Unterstützung sinnvoller ist. Diese Abgrenzung folgt keiner Verkaufslogik, sondern einer methodisch begründeten Eignung bei gleichzeitiger Tool-Unabhängigkeit und Befähigung der Kunden-IT.
Wird externe Umsetzungsunterstützung gewünscht, ergibt sich der Scope direkt aus der Analyse: transparent, nachvollziehbar und mit grober Aufwandsindikation für die einzelnen Maßnahmen.
Damit ist die Standortbestimmung mehr als eine Momentaufnahme. Sie schafft die Grundlage für ein dauerhaft steuerbares Sicherheitsmodell: Verantwortlichkeiten, Reifegrade und Maßnahmenlogik sind dokumentiert, die regulatorische Anschlussfähigkeit ist hergestellt, der Fahrplan definiert die nächsten Schritte für einen nachweisfähigen Sicherheitsbetrieb und bei Bedarf flankiert durch externe Compliance-Begleitung.
