Die NIS2-Software für Unternehmen ohne eigene ISMS-Abteilung. Sechs
Module, ein Arbeitsbereich: Risiken, Vorfälle mit den Meldefristen
nach § 32 BSIG, Notfallplanung, Lieferkette, Schulungsnachweis und
die zehn Pflichtmaßnahmen nach § 30 BSIG — laufend geführt statt
einmal dokumentiert.
Kein Verkaufsgespräch, keine Kreditkarte. Wir melden uns, wenn es losgeht.
Der Arbeitsbereich: was gesetzlich fällig ist, was Sie sich selbst
vorgenommen haben, und die Risikomatrix aus dem eigenen Register.
Warum überhaupt eine Plattform
NIS2 ist kein Projekt. Es ist ein Zustand, den Sie halten müssen.
Die meisten Unternehmen kommen mit Vorlagen weit — bis zur ersten Prüfung
oder zum ersten Vorfall. Dann zählt nicht, ob ein Dokument existiert,
sondern ob es aktuell ist, wer es freigegeben hat und ob die Frist
eingehalten wurde. Genau das führt eine Datei nicht mit.
Mit Dateien auf dem Laufwerk
Sieben Arbeitsmappen, drei Stände, niemand weiß welcher gilt
Die 24-Stunden-Frist nach § 32 BSIG rechnet jemand von Hand — nachts
Der Restore-Test ist „irgendwann letztes Jahr“ gelaufen
Fragebögen an Lieferanten liegen als PDF im Postfach
Die Schulung der Geschäftsleitung ist ein Kalendereintrag ohne Nachweis
Vor der Prüfung: zwei Wochen Unterlagen zusammensuchen
Mit der Plattform
Ein Register je Pflicht, eine Version, sichtbarer Bearbeitungsstand
Fristen laufen automatisch ab dem Erkennungszeitpunkt und zeigen die Restzeit
Testtermine und Ergebnisse stehen an der Sicherung selbst
Lieferanten beantworten den Fragebogen über einen Link, die Bewertung rechnet die Plattform
Teilnahme, Dauer und Inhalt jeder Schulung sind belegt
Vor der Prüfung: die Nachweise sind der laufende Betrieb
Was die Plattform leistet
Sechs Pflichten, an einem Ort geführt
Kein allgemeines GRC-Werkzeug, das auf NIS2 konfiguriert wird, sondern
Bildschirme, die aus dem BSIG entstanden sind: die Felder sind die
Angaben, die das Gesetz verlangt, und die Fristen sind die Fristen,
die dort stehen.
Fristen, die selbst rechnen
24 Stunden, 72 Stunden, ein Monat — die drei Stufen des § 32 BSIG
laufen ab dem Erkennungszeitpunkt und zeigen, wie viel Zeit bleibt.
Dazu die Art. 33 und 34 DSGVO, in derselben Ansicht.
Register statt Dokumente
Assets, Prozesse, Risiken, Systeme, Lieferanten und Vorfälle sind
Datensätze mit Verantwortlichen, Terminen und Status — sortierbar,
durchsuchbar und exportierbar, wenn eine Behörde eine Liste möchte.
Alles auf einen Paragrafen bezogen
Jede Zeile trägt ihren Bezug zu den zehn Pflichtmaßnahmen des
§ 30 Abs. 2 BSIG. Die Abdeckung ist damit keine Behauptung, sondern
eine Auswertung: Nr. 3 hat acht Risiken, eine Richtlinie und zwei
offene Maßnahmen.
Ihre Arbeitsmappen kommen mit
Alle sechs Kits, die wir heute als Word- und Excel-Dateien
ausliefern, haben einen Import. Wer schon damit arbeitet, lädt die
Datei hoch und findet seine Zeilen wieder — nicht ein leeres System.
Mehrere Einrichtungen, ein Konto
Konzernstrukturen sind der Normalfall, nicht die Ausnahme. Jede
Gesellschaft wird eigenständig nach § 28 eingestuft, registriert
und geführt — sichtbar nebeneinander statt in getrennten Ordnern.
Daten in der EU, mandantengetrennt
Die Trennung zwischen Organisationen erzwingt die Datenbank selbst,
nicht eine Abfrage in der Anwendung. Die privaten Kontaktdaten in
der Krisenliste liegen zusätzlich verschlüsselt.
Die Module im Einzelnen
Was Sie in jedem Modul tatsächlich tun
Alle Bildschirme unten sind echte Aufnahmen aus der Anwendung, mit
Beispieldaten eines fiktiven Unternehmens. Nichts davon ist ein Entwurf
oder eine Illustration.
§ 30 Abs. 2 Nr. 1 BSIG
Risikomanagement
Die Grundlage, auf der jede andere Pflicht steht: was schützen
wir, wovor, und wie wahrscheinlich ist es. Vom Asset-Inventar über
die Geschäftsprozess-Analyse bis zum bewerteten Risiko mit
Maßnahme, Verantwortlichem und Termin.
Asset-Inventar mit Schutzbedarf — und dem Hinweis, wenn die Prozessanalyse einen höheren ergibt als das Inventar angibt
Business-Impact-Analyse mit RTO, RPO und Ausfallkosten je Prozess
Risikoregister mit 5×5-Matrix, Bedrohungskatalog und Restrisiko
Behandlung je Risiko: vermeiden, vermindern, übertragen oder bewusst akzeptieren
Jedes Risiko trägt seinen Bezug zu den zehn Pflichtmaßnahmen
Import aus dem Risikomanagement-Kit (RM_Mappe).
Risikoregister mit Bewertung, Behandlung und Paragrafenbezug.
§ 32 BSIG · Art. 33/34 DSGVO
Vorfallmanagement
Das Modul, in dem Zeit Geld kostet. Ein Vorfall wird mit dem
Erkennungszeitpunkt erfasst — ab da laufen die Fristen sichtbar,
und jede der vier Meldepflichten hat ihren eigenen Stand: offen,
Entwurf, eingereicht oder begründet nicht erforderlich.
Erstmeldung nach 24 Stunden, Folgemeldung nach 72 Stunden, Abschlussmeldung nach einem Monat
Prüfhilfe: ist dieser Vorfall überhaupt meldepflichtig — mit dokumentiertem Ergebnis, auch wenn die Antwort Nein ist
Meldeentwürfe aus der erfassten Faktenlage, statt vor leerem Formular
Ereignisprotokoll, das nur wächst: Korrekturen werden angehängt, nicht überschrieben — daraus entsteht die Abschlussmeldung
Import aus dem Incident-Response-Kit (IM_Tracker).
Sieben Vorfälle, und oben eine Frist, die in 19 Stunden abläuft.
§ 30, § 32, § 33, § 38 BSIG
Governance und Richtlinien
Der Nachweisteil. Hier steht, wie weit jede der zehn
Pflichtmaßnahmen umgesetzt ist, wer dafür verantwortlich ist,
wann sie zuletzt geprüft wurde — und was die anderen Module dazu
beitragen.
Die zehn Maßnahmen nach § 30 Abs. 2 mit Status, Verantwortung und Prüftermin
Die 21 BSI-Leitfragen als Selbsteinschätzung mit Beleg und Bewertung
18 Kennzahlen mit Vorperiodenvergleich — Patchzeit, Schulungsquote, MFA-Abdeckung
Registrierung nach § 33 und § 34 in sechs Schritten, mit Fristüberwachung
Geschäftsleitungsbeschlüsse und BSI-Warnungen mit Relevanzbewertung
Einrichtungsregister: § 28-Einstufung je Gesellschaft, auch im Konzern
Import aus dem Geschäftsleitungs-Kit (GL_Mappe) und dem Richtlinien-Kit (POL_Cockpit).
Die zehn Pflichtmaßnahmen — und was jede davon an Belegen trägt.
§ 30 Abs. 2 Nr. 3 BSIG
Business Continuity
Die Pflicht, bei der Absicht nicht zählt. § 30 verlangt nicht,
dass gesichert wird, sondern dass die Wiederherstellung
funktioniert — also einen Test mit Datum und Ergebnis.
Wiederanlaufpläne nach Priorität, mit RTO und RPO aus der Prozessanalyse statt aus dem Bauchgefühl
Backup-Register nach der 3-2-1-Regel: lokal, zweiter Ort, extern und unveränderlich
Restore-Tests mit Datum, Ergebnis und nächstem Termin — „nie getestet“ ist ein sichtbarer Zustand
Krisenkontaktliste, intern und extern, mit den privaten Rufnummern verschlüsselt
Zehn Punkte Notfallvorsorge als Checkliste mit Verantwortlichen
Import aus dem BCM-Kit (BCM_Mappe).
Zwölf Systeme in Wiederanlaufreihenfolge — und wer davon getestet ist.
§ 30 Abs. 2 Nr. 4 BSIG
Lieferkette
Die Pflicht, die am häufigsten unterschätzt wird: Sie haften auch
für die Sicherheit derer, von denen Sie abhängen. Das Modul
klassifiziert Lieferanten, verschickt den Fragebogen und rechnet
das Ergebnis aus.
Lieferantenregister mit Klasse A/B/C — und der Prüfkadenz, die daraus folgt
Der entscheidende Unterschied festgehalten: IT-Zugang, Datenzugang, beides oder keins
18 gewichtete Sicherheitsfragen, vom Lieferanten selbst über einen Einmal-Link beantwortet
Ergebnis in Punkten und Prozent, mit Urteil: akzeptabel, bedingt, nicht akzeptabel
Review-Termine, die die Plattform aus der Klasse ableitet — und meldet, wenn Ihr eigener Termin davon abweicht
Import aus dem Supply-Chain-Kit (SC_Mappe).
Dreizehn Lieferanten, sechs bewertete Fragebögen, einer bei 33 %.
§ 38 Abs. 3 BSIG
Schulung der Geschäftsleitung
Die einzige NIS2-Pflicht, die persönlich haftet. § 38 verlangt,
dass die Leitung regelmäßig geschult wird — und im Zweifel, dass
sie es belegen kann. Das Modul hält eine Schulung ab und schreibt
dabei den Nachweis.
43 Module in Lernpfaden: Einstieg, Risiko, Maßnahmen, Vorfall, Quartalsupdate
Präsentationsmodus für den Termin — kein PowerPoint, das jemand pflegen muss
Teilnahme, Umfang und Wissensstand je Person, direkt im Termin erfasst
Schulungsprotokoll mit Datum, Dauer, Inhalt und Teilnehmerliste als Dokument
Der Rechtsstand, gegen den geschult wurde, wird mitgeschrieben
Kein Import nötig — der Lehrplan gehört zum Modul.
Sechs Schulungen im Jahr, mit Dauer, Modulen und Teilnehmenden.
§ 28 BSIG · kostenlos
Betroffenheitsprüfung
Der Anfang von allem, und der Teil, der nichts kostet. Bevor
irgendeine Pflicht gilt, muss geklärt sein, ob und als was Sie
erfasst sind — und diese Einstufung ist selbst dokumentationspflichtig.
Prüfung nach Sektor, Anlage 1/2, Größenklasse und Tätigkeit
Ergebnis mit Begründung: nicht betroffen, wichtige oder besonders wichtige Einrichtung
Widerspruch möglich: Sie können der Einschätzung begründet nicht folgen — auch das ist Dokumentation
Aus dem Ergebnis folgt die Registrierungsfrist nach § 33, und die Plattform rechnet sie aus
Für jede Gesellschaft im Konzern einzeln
Kein Kit, kein Aufpreis: Die Betroffenheitsprüfung gehört zum
Konto und ist ab dem ersten Login da — auch für Einrichtungen,
die am Ende gar nicht betroffen sind.
Alles läuft im selben Arbeitsbereich zusammen.
Für wen wir das bauen
Für Unternehmen ohne eigene ISMS-Abteilung
NIS2 trifft in Deutschland rund 29.000 Einrichtungen — die allermeisten
davon ohne Sicherheitsorganisation, ohne Compliance-Team und ohne Budget
für ein sechsstelliges Beratungsprojekt. Für die ist diese Plattform
gebaut: bedienbar von einer Person, die noch andere Aufgaben hat.
50+
Beschäftigte oder 10 Mio. € Umsatz — ab hier greift § 28 BSIG für die erfassten Sektoren.
1
Person genügt, um die Plattform zu führen. Kolleginnen und Kollegen kommen mit eigenen Rollen dazu.
6
Module, einzeln buchbar. Sie zahlen nicht für Pflichten, die Sie schon anders erfüllen.
Launching very soon
Seien Sie dabei, bevor wir öffnen.
Sechs Module laufen. Was noch fehlt, ist der offene Start — und
eine überschaubare Zahl von Unternehmen, die vorher hineinschauen
und uns sagen, was in ihrem Alltag fehlt.
Zugang vor dem allgemeinen Start
Startkonditionen, die später nicht mehr gelten
Direkter Draht zu den Leuten, die die Plattform bauen
Ihre Kit-Arbeitsmappen werden beim Einstieg übernommen
Keine Verpflichtung, keine Kreditkarte, jederzeit abmeldbar
Häufige Fragen
Die NIS2 App für KMU — kurz beantwortet
Was ist eine NIS2-Software und brauchen wir als KMU eine?
NIS2 verlangt keine Software, sondern Nachweise: dass Risiken bewertet
wurden, dass ein Vorfall innerhalb von 24 Stunden gemeldet werden kann,
dass die Wiederherstellung getestet ist, dass Lieferanten geprüft sind und
dass die Geschäftsleitung geschult wurde. Das lässt sich in Excel führen —
bis die erste Frist läuft und niemand weiß, welcher Stand gilt. Eine
NIS2-Software hält die Register aktuell, rechnet die gesetzlichen Fristen
selbst und erzeugt die Dokumentation, die eine Prüfung verlangt.
Für welche Unternehmensgröße ist die Plattform gedacht?
Für Unternehmen ab etwa 50 Beschäftigten oder 10 Millionen Euro Umsatz —
die Größenklasse, die § 28 BSIG als wichtige oder besonders wichtige
Einrichtung erfasst und die typischerweise keine eigene ISMS-Abteilung hat.
Die Plattform ist so gebaut, dass eine Person mit anderen Aufgaben sie
nebenher führen kann.
Wann startet die Plattform und was kostet sie?
Sechs Module sind gebaut und laufen; der offene Start steht unmittelbar
bevor. Wer sich für den Frühzugang einträgt, wird vorher informiert und
erhält die Startkonditionen. Preise veröffentlichen wir mit dem Start —
die Module sind einzeln buchbar, damit niemand für Funktionen zahlt, die
er nicht braucht.
Was passiert mit den NIS2-Vorlagen, die wir schon gekauft haben?
Jedes Modul kann seine Arbeitsmappe importieren. Wer die Kits als Excel-
und Word-Dateien führt, lädt sie hoch und arbeitet in der Plattform weiter.
Asset-Inventar, Risikoregister, Incident-Log, Backup-Register,
Lieferantenregister und Richtlinienübersicht werden übernommen, nicht neu
getippt. Die Vorlagen-Kits bleiben verfügbar und
behalten ihren Wert.
Wo liegen die Daten?
In der EU. Jede Organisation sieht ausschließlich ihre eigenen Daten — das
erzwingt die Datenbank selbst über Row-Level-Security, nicht eine Abfrage
in der Anwendung. Besonders sensible Felder wie die privaten Rufnummern in
der Krisenkontaktliste werden zusätzlich verschlüsselt gespeichert.
Ersetzt die Plattform einen Berater?
Für den größten Teil der Umsetzung ja. Sie enthält die Struktur, die
Fristen und die Formulierungen, die ein Beratungsprojekt sonst erst
erarbeitet. Für Auslegungsfragen im Einzelfall — etwa eine strittige
Einstufung nach § 28 — bleibt fachlicher Rat sinnvoll, und die
Dokumentation dafür liegt dann bereits vor.
Gilt NIS2 auch, wenn Deutschland noch nicht vollständig umgesetzt hat?
Die Pflichten stehen im BSIG und knüpfen an die NIS2-Richtlinie an. Den
aktuellen Umsetzungsstand aller EU-Mitgliedstaaten führen wir laufend im
NIS2-Status-Tracker. Unabhängig vom Datum gilt:
Registrierung, Meldewege und Nachweise entstehen nicht in drei Wochen.
