Managed NIS2-Compliance
Konformität ist kein Projektergebnis, sondern ein Betriebszustand. Wir halten ihn — Maßnahmen, Nachweise, Wirksamkeit und Rechtsänderungen im festen Takt.
Was im laufenden Betrieb zählt
Der Unterschied zwischen erreichter und gehaltener Konformität
Nach dem Projekt beginnt die eigentliche Arbeit
Ein Compliance-Projekt endet mit einem guten Zustand: Register gefüllt, Richtlinien freigegeben, Nachweise vorhanden. Sechs Monate später sieht es anders aus. Der Penetrationstestbericht ist ein Jahr alt, der Verantwortliche für das Berechtigungskonzept hat das Unternehmen verlassen, zwei Systeme sind migriert, und eine Rechtsänderung wurde nicht nachgezogen.
Das ist kein Versäumnis Einzelner, sondern eine Frage der Zuständigkeit: Pflege ohne festen Takt und ohne benannte Verantwortung findet nicht statt. Genau diese Routine übernehmen wir — mit dem Anspruch, dass eine Aufsichtsanfrage zu jedem Zeitpunkt beantwortbar ist und nicht erst nach zwei Wochen Aufräumarbeit.
Wirksamkeit ist dabei der Kern. § 30 Abs. 2 BSIG verlangt ausdrücklich Konzepte zur Bewertung der Wirksamkeit der Risikomanagement-Maßnahmen. Das ist der Punkt, an dem Selbstauskunft nicht mehr ausreicht — und der Punkt, den Projekte am häufigsten offenlassen.
Was wann passiert
Fester Turnus statt anlassloser Termine — Sie wissen, was wann geliefert wird.
Monatlich
Maßnahmen- und Findings-Tracking, Aktualisierung des Reportings, Bearbeitung laufender Anfragen aus den Fachbereichen.
Quartalsweise
Compliance-Review mit Reifegrad und Evidenzprüfung, Kennzahlen und Risikoindikatoren, regulatorisches Monitoring.
Jährlich
Betroffenheits- und Scope-Prüfung, Management-Review, Incident-Übung als Tabletop, Evidenz-Refresh, Lieferantenreviews.
Anlassbezogen
Unterstützung bei Sicherheitsvorfällen, Meldungen, Behördenanfragen, Kundenaudits und Sicherheitsfragebögen.
Bei Änderungen
Bewertung neuer Systeme, Dienstleister und Geschäftsfelder, bevor sie produktiv gehen — nicht danach.
Vor Prüfungen
Gezielte Vorbereitung auf Zertifizierungsaudits, Kundenaudits und aufsichtsseitige Nachweisanforderungen.
Was wir liefern
- Aktuelles Maßnahmen- und Findings-Register mit Verantwortlichen und Fristen
- Quartalsberichte mit Reifegrad, Kennzahlen und Risikoindikatoren
- Gepflegtes Evidenzregister ohne abgelaufene Nachweise
- Dokumentiertes Management-Review
- Jährlicher Übungsnachweis
- Nachverfolgte Rechts- und Normänderungen mit Auswirkungsbewertung
- Unterstützung bei Behördenanfragen und Vorfällen
So arbeiten wir
Übernahme
Sichtung des vorhandenen Registers, der Nachweise und offenen Maßnahmen. Festlegung von Turnus, Ansprechpartnern und Berichtsformat.
Aufräumen
Einmalige Bereinigung: abgelaufene Nachweise, verwaiste Maßnahmen, Zuständigkeiten ohne Person. Danach ist der Ausgangsstand belastbar.
Regelbetrieb
Monatliches Tracking, quartalsweise Reviews, laufendes regulatorisches Monitoring.
Jahreszyklus
Die wiederkehrenden Pflichten terminiert und dokumentiert abarbeiten — Review, Übung, Scope-Prüfung, Lieferantenreviews.
Häufige Fragen
Ersetzt Managed Compliance unsere internen Kontrollen?
Nein. Der Betrieb Ihrer Kontrollen bleibt bei Ihnen — wir steuern, prüfen und dokumentieren. Diese Abgrenzung ist bewusst: Wer eine Maßnahme selbst betreibt, kann ihre Wirksamkeit nicht unabhängig bewerten.
Brauchen wir das zusätzlich zu einem externen ISB?
Meist nicht. Die Leistungen überschneiden sich erheblich. Wir kombinieren beides zu einem Mandat, statt zwei Verträge nebeneinanderzustellen — sagen Sie uns, welche Rollen bei Ihnen schon besetzt sind.
Warum reicht ein jährlicher Termin nicht?
Weil Compliance zwischen den Terminen verfällt. Sechs Monate nach dem Projektabschluss sind typischerweise Nachweise abgelaufen, Verantwortliche gewechselt, Systeme migriert und Rechtsänderungen nicht nachgezogen. Der Ordner ist noch da, der Zustand nicht.
Was passiert bei einem Sicherheitsvorfall?
Wir unterstützen bei der Bewertung der Meldepflicht, bei der Fristenkontrolle für die 24- und 72-Stunden-Meldung und bei der Dokumentation. Die technische Bewältigung liegt bei Ihrem IT-Betrieb beziehungsweise Ihrem Dienstleister.
Lesetipp: Welche Nachweispflichten das BSIG vorsieht, erläutert unser Glossareintrag zur Nachweispflicht.
Den Zustand halten, nicht nur erreichen
Sagen Sie uns, wo Sie nach Ihrem Projekt stehen. Wir schlagen einen Turnus vor, der zu Ihrer Größe passt.
Managed Compliance anfragen