Ausgangslage
NIS-2 unterwirft rund 29.000 deutsche Unternehmen erstmals einem Cybersicherheitsregime. Die meisten davon sind Mittelständler ohne Sicherheitsabteilung, und ihre Geschäftsleitung haftet nun persönlich für die Billigung und Überwachung der Maßnahmen (§ 38 BSIG). Drei Fragen kommen gleichzeitig und in der falschen Reihenfolge an: Sind wir überhaupt betroffen? Was bedeuten die zehn Maßnahmenbereiche konkret für uns? Und wie weisen wir das gegenüber einem Prüfer nach?
Die Beratung hatte diese Fragen in Projekten beantwortet, und die Antworten lagen dort, wo Beratungsantworten üblicherweise liegen: in Tabellenkalkulationen. Ein Entscheidungsbaum für die Betroffenheit, ein Maßnahmenkatalog mit hunderten Umsetzungsschritten, ein Selbstbewertungsfragebogen — alles korrekt, alles von Hand gepflegt, und nichts davon für ein Unternehmen ohne Berater im Raum nutzbar. Gewünscht war ein Produkt, das die erste Einschätzung im Browser übernimmt — und dann zu dem Werkzeug wird, mit dem das Unternehmen NIS-2 umsetzt.
Lösung
Der öffentliche Einstieg ist eine geführte Betroffenheitsprüfung entlang § 28 BSIG: Sektor, Unternehmensgröße, Umsatz und Bilanzsumme klären, ob das Unternehmen in den Anwendungsbereich fällt und ob es als wichtige oder besonders wichtige Einrichtung gilt. Betroffene Unternehmen gehen weiter in eine GAP-Selbstbewertung, und jedes Nein wird zu einer Aufgabe. Die Registrierung legt Mandant, ersten Administrator und Maßnahmenplan in einem Schritt an.
Der Tabellenkatalog der Beratung wurde mit einem eigens gebauten Parser importiert und zu Referenzdaten: Maßnahmen über die zehn Maßnahmenbereiche des BSIG, ihre Umsetzungsschritte und die Kriterien, die entscheiden, welche Maßnahme für welches Unternehmen gilt — nach Sektor, Größe, Umsatz, Bilanz und NIS-2-Einstufung. Administrationsmasken erlauben der Beratung, all das ohne Entwickler zu pflegen. Entwickeln sich BSIG und BSI-Hilfestellungen weiter, ist das eine Inhaltsänderung und kein Release.
In der Plattform ist jede Maßnahme eine Aufgabe mit Unteraufgaben auf einem Kanban-Board: Priorität, Verantwortlicher, Fälligkeit, Status, ein Review-Schritt vor „erledigt“ und Kommentare. Änderungen sind sofort für alle sichtbar, Benachrichtigungen und eine tägliche Zusammenfassung halten Verantwortliche auf dem Laufenden, und der Fortschritt wird je Maßnahme, je Bereich und insgesamt für die Berichterstattung an die Geschäftsleitung gemessen. Jede Änderung landet mit dem Zustand davor und danach in einer nur anhängenden Historie; gelöscht wird nur als Markierung.
Der NIS-2-Assistent ist ein Chat, dessen Antworten auf BSIG, BSI-IT-Grundschutz-Kompendium und ISO/IEC-27001-Material beruhen. Geöffnet wird er aus einer Aufgabe heraus, sodass „Wie setzen wir das um?“ für diese Maßnahme in diesem Unternehmen beantwortet wird. Gespräche bleiben je Aufgabe und je Mandant und überschreiten nie eine Unternehmensgrenze.
Für die Lieferkette bildet die Plattform die Anforderung aus Art. 21 Abs. 3 direkt ab: ein Lieferantenregister, eine strukturierte Bewertung je Lieferant mit Risikowert, dokumentierte Behandlung hoher Risiken, eine Vertragscheckliste mit Nachweis-Uploads und ein Überprüfungszyklus mit Erinnerungen. Die Lieferkettenmaßnahme lässt sich nicht abschließen, solange ein kritischer Lieferant keine gültige Bewertung hat. Der Prüfbericht für Behörde, Prüfer und Gremien wird als PDF serverseitig aus den Live-Daten gerendert — Maßnahmenplan, Umsetzungsstand, Verantwortlichkeiten und Lieferantenregister inklusive.
- Geführte Betroffenheitsprüfung nach § 28 BSIG als öffentlicher Einstieg
- Maßnahmenkatalog mit Umsetzungsschritten, von der Beratung selbst gepflegt
- Kanban-Board mit Review-Schritt, Echtzeit-Updates und nur anhängender Historie
- KI-Assistent auf Grundlage von BSIG, IT-Grundschutz und ISO/IEC 27001, geöffnet aus der Aufgabe heraus
- Lieferantenregister und Bewertung je Lieferant nach Art. 21 Abs. 3
- Prüfbericht als PDF aus Live-Daten, für Behörde, Prüfer und interne Gremien
- Mandantentrennung, rollenbasierte Berechtigungen und Zwei-Faktor-Authentifizierung
Ergebnis
Die Plattform ist im produktiven Einsatz, und die Kunden der Beratung setzen NIS-2 damit um. Die erste Einschätzung ist jetzt ein öffentlicher Ablauf im Browser: Ein Unternehmen erfährt ohne Termin, ob es betroffen ist, und erhält seinen eigenen Maßnahmenplan — der Beginn der Zusammenarbeit statt einer Broschüre. Katalog, Fragebogen und Kriterien bleiben Daten, die die Beratung selbst pflegt; eine Gesetzesänderung ist damit eine Inhaltsaktualisierung und kein Entwicklungsticket.
Drei Entscheidungen haben das getragen: den öffentlichen Einstieg zuerst und als echten Ablauf zu bauen, die Tabelle der Berater als Domänenmodell ernst zu nehmen und den Assistenten in der Quelle zu verankern statt in einem generischen Sprachmodell.
- Die erste Einschätzung als öffentlicher Ablauf, der im eigenen Maßnahmenplan mündet
- Die Beratung besitzt ihre Inhalte: Katalog, Fragebogen und Kriterien pflegt sie ohne Entwickler
- Compliance als Projekt mit Verantwortung, Fristen und Review auf einem Board statt in E-Mail-Threads und Tabellen
- Ein Assistent, dem Kunden vertrauen, weil seine Antworten aus Gesetz und Normen stammen
- Prüfungsfertige Nachweise auf Knopfdruck, einschließlich einer Lieferkettenakte je Lieferant