FAQ
NIS-2 Compliance & CISO-as-a-Service
Antworten auf die Fragen, die mir Geschäftsführer im Mittelstand am häufigsten stellen.
Was ist NIS-2 – und betrifft die Richtlinie mein Unternehmen?
NIS-2 ist eine EU-Richtlinie zur Stärkung der Cybersicherheit, in Deutschland umgesetzt im BSIG. Betroffen sind nicht mehr nur KRITIS-Betreiber, sondern Unternehmen aus 18 Sektoren – darunter Maschinenbau, Chemie, Logistik, Lebensmittel und Produktion.
Die Größenschwelle gilt kumulativ: mehr als 50 Beschäftigte und mehr als 10 Mio. € Jahresumsatz oder Bilanzsumme. Entscheidend ist aber zuerst der Sektor. Ob Sie betroffen sind, klärt der kostenlose Betroffenheits-Check in zehn Minuten.
Was passiert, wenn ich nichts tue?
Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen – und haftet für Pflichtverletzungen persönlich. Zusätzlich schreibt das BSIG Schulungspflichten für die Geschäftsleitung vor. Ein Verzicht auf die Haftung durch Gesellschafterbeschluss ist ausgeschlossen.
Hinzu kommt der Druck aus der Lieferkette: Große Kunden fragen Sicherheitsnachweise inzwischen routinemäßig ab. Wer keine vorlegen kann, verliert Aufträge – oft früher, als die Behörde je nachfragen würde.
Was macht ein CISO konkret für Geschäftsführung und IT?
Ich ersetze Ihre IT nicht – ich mache Informationssicherheit steuerbar.
Für die Geschäftsführung liefere ich Entscheidungsgrundlagen: Wo stehen wir, welche Risiken tragen wir bewusst, welche Nachweise brauchen wir wann. Für die IT bedeutet es Entlastung: klare Anforderungen und Prioritäten statt diffuser Erwartungen – und jemanden, der gegenüber der Geschäftsführung erklärt, warum ein Budget nötig ist.
Wann lohnt sich ein externer CISO?
Wenn Sie NIS-2, ISO 27001 oder TISAX rechtssicher umsetzen müssen, aber keine Vollzeitstelle dafür schaffen können oder wollen. Ein interner CISO kostet mit Nebenkosten schnell sechsstellig im Jahr – für viele Mittelständler unverhältnismäßig, obwohl die Pflicht dieselbe ist.
Worin unterscheiden Sie sich von einem IT-Systemhaus?
Ein Systemhaus betrachtet Informationssicherheit technisch und verdient an Produkten und Projekten. Ich betrachte sie aus der Unternehmerperspektive: Prozesse, Organisation, Haftungsminimierung, Wirtschaftlichkeit. Ich verkaufe keine Technik und stehe damit nicht im Wettbewerb zu Ihrem Dienstleister – ich arbeite mit ihm zusammen.
Welche Schritte umfasst der Aufbau eines ISMS?
Vier Phasen: Gap-Analyse mit Ist-Zustand und Risikoprüfung, dann Risikomanagement und Governance mit Richtlinien und Notfallplänen, anschließend Awareness in der Belegschaft, zuletzt Auditvorbereitung und Nachweisführung gegenüber Kunden oder Behörden.
Was kostet das?
Der Einstieg ist ein Assessment zum Festpreis ab 2.900 €. Danach entscheiden Sie frei, ob Ihre IT übernimmt oder ich weiter begleite – es gibt keine automatische Folgeverpflichtung. Alle Pakete und Preise
Wie fange ich an?
Mit dem kostenlosen Betroffenheits-Check oder einem Erstgespräch von dreißig Minuten. Beides verpflichtet zu nichts.