Cybersecurity &
Compliance.

In vielen Unternehmen läuft ein paralleles Spiel. Auf der einen Seite ein Compliance-Projekt: eine Richtlinie, eine Matrix, ein Statement of Applicability, am Ende ein Zertifikat an der Wand. Auf der anderen Seite die eigentliche IT: eine Active-Directory-Landschaft, die seit Jahren mitgeschleppt wird, ein OT-Netz, das man lieber nicht anfasst, eine SaaS-Wildnis, die keine Abteilung vollständig überblickt. Beide Seiten bewegen sich, aber sie treffen sich nie.

Die Folge ist ein Zustand, den man aus Konzernen kennt und der im Mittelstand gerade wiederholt wird: dokumentierte Kontrollen ohne technische Wirkung. Ein Passwort-Policy-Dokument ersetzt kein Conditional Access. Ein Patch-Management-Prozess in einer Richtlinie patcht keine SPS in der Produktion. Ein Lieferantenkatalog mit Risikoklassifizierung verhindert keinen Angriff über einen Wartungszugang, den niemand mehr auf dem Schirm hatte.

Der Reflex ist häufig, beim Auditor nachzuhaken, statt in der Architektur. Das bringt das nächste Zertifikat, aber nicht die nächste Stufe an Reife. Interessant wird es dort, wo ein echter Vorfall die Lücke offenlegt — dann wird sichtbar, dass die meisten Organisationen nicht an Dokumentation scheitern, sondern an Durchsetzung.

Die regulatorische Landschaft für Informationssicherheit hat sich in den letzten drei Jahren grundlegend verschoben. Was früher für Banken, KRITIS-Betreiber und ein paar DAX-Konzerne galt, wird zunehmend Pflichtprogramm für Mittelstand und Industrie. Vier Regelwerke prägen das Bild, und sie greifen ineinander.

NIS2 ist in der EU seit dem 17. Oktober 2024 anwendbar. Die deutsche Umsetzung — das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz — erweitert den Kreis der betroffenen Einrichtungen erheblich: Hersteller, Logistiker, Lebensmittelproduzenten, Abfallentsorger, digitale Diensteanbieter. Wer bislang nie mit dem BSI zu tun hatte, fällt plötzlich unter Registrierungs-, Melde- und Nachweispflichten — mit persönlicher Verantwortung der Geschäftsleitung. Parallel greifen ab August 2026 die Hochrisiko-Pflichten des EU AI Act — für Unternehmen, die KI-Systeme im HR- oder Scoring-Bereich einsetzen, entsteht regulatorische Überlappung.

ISO/IEC 27001 bleibt die praktischste Grundlage, um diese Anforderungen strukturiert umzusetzen. Die Revision von 2022 hat den Controls-Katalog modernisiert — Threat Intelligence, Cloud-Sicherheit, Datenmaskierung, sichere Softwareentwicklung sind nicht mehr optional. Wer jetzt baut, baut gegen die aktuelle Fassung.

Ein Zertifikat belegt, dass ein Managementsystem existiert. Es belegt nicht, dass es funktioniert. Diese beiden Sätze lassen sich nur dann zur Deckung bringen, wenn jemand die Kontrollen tatsächlich betreibt — und nicht nur beschreibt.

Hinzu kommen zwei Regelwerke, die für bestimmte Zielgruppen relevant werden: Der Cyber Resilience Act (CRA) verpflichtet Hersteller von Produkten mit digitalen Elementen — eingebettete Software, IoT-Geräte, Industriekomponenten — zu Security-by-Design, Schwachstellenmanagement und Meldepflichten über die gesamte Produktlaufzeit. DORA adressiert die Finanzbranche und ihre IT-Dienstleister und definiert erstmals verbindliche Anforderungen an Drittanbieter-Risikomanagement und Resilienztests.

Kein einzelnes dieser Regelwerke ist überraschend. Überraschend ist die Geschwindigkeit, mit der sie zusammengreifen — und die Tatsache, dass die meisten Organisationen Strukturen aufgebaut haben, die für eines davon passen, aber nicht für alle.

Die folgenden fünf Bereiche decken den weitaus größten Teil der Mandate ab. Manchmal ist es ein einzelner Baustein — ein NIS2-Readiness-Assessment, ein OT-Review vor einem Werkumbau, eine Bewertung der Security-Posture im Rahmen einer Transaktion. Manchmal ist es der komplette Aufbau eines Informationssicherheits-Programms für eine Organisation, die erstmals einen CISO bräuchte, aber keinen einstellen kann.

Stellvertretend für die größeren Mandate der typische Ablauf einer ISO-27001-Einführung. Je nach Größe der Organisation und Reife der bestehenden IT dauert der Weg zwischen sechs und vierzehn Monaten. Nicht, weil die Arbeit so umfangreich wäre, sondern weil ein Managementsystem erst dann echt ist, wenn es mindestens ein paar volle Quartalsrhythmen überstanden hat.

Die meisten Security-Berater waren irgendwann einmal Techniker und sind es nicht mehr. Das ist selten böswillig, sondern eine Folge der Branche: Wer lange genug auditiert, verliert den Zugang zu den Systemen, die er bewertet. Ich habe mich bewusst anders organisiert. Sechs Jahre Enterprise Security bei einem DAX-40-Konzern — OT-Security in Produktionswerken, Application Security für Konzernanwendungen, klassische Enterprise-IT-Sicherheit inklusive Incident-Response-Einsätzen. Parallel CISSP-zertifiziert bei ISC².

Heute baue ich als CTO eines PropTech-AI-Startups produktive Systeme — Cloud-Architektur, LLM-Pipelines, Integrationen mit Drittdiensten. Das ist kein Nebensatz, sondern der Grund, warum Secure SDLC bei mir kein abstraktes Kapitel ist: Ich schreibe die CI/CD-Policies, mit denen ich arbeite, selbst. Beratung und Betrieb kreuzen sich wöchentlich, und das merkt man den Empfehlungen an.

Die NIS2-Richtlinie erweitert die Pflichten zur Netz- und Informationssicherheit auf eine Breite, die den meisten Mittelständlern nicht bewusst ist. Betroffen sind Unternehmen ab 50 Mitarbeitern oder 10 Millionen Euro Jahresumsatz in 18 definierten Sektoren — von der Lebensmittelproduktion über die Chemie bis zum digitalen Dienstleister. Und auch wer selbst nicht direkt betroffen ist, kann über seine Lieferkette in die Pflicht genommen werden: §30 Abs. 2 Nr. 4 BSIG verpflichtet betroffene Unternehmen, die Cybersicherheit ihrer Zulieferer zu prüfen.

Die konkreten Anforderungen lassen sich auf fünf Kernbereiche reduzieren: Registrierung beim BSI innerhalb von drei Monaten nach Betroffenheit. Risikomanagement als operativer Prozess, nicht als Excel-Datei. Incident Response mit Erstmeldung innerhalb von 24 Stunden. Lieferketten-Sicherheit mit vertraglichen Anforderungen an Dienstleister. Und die persönliche Haftung der Geschäftsleitung — ein Novum, das viele Geschäftsführer unterschätzen.

Wer bereits ein ISMS nach ISO 27001 betreibt, hat einen Vorsprung: etwa 70–80 % der NIS2-Anforderungen sind damit abgedeckt. Die verbleibenden Lücken betreffen die BSI-Registrierung, die spezifischen Meldepflichten und die dokumentierte Einbindung der Geschäftsleitung. Wer kein ISMS hat, braucht keines, das dem eines Konzerns gleicht — aber einen pragmatischen Rahmen, der die gesetzlichen Mindestanforderungen abdeckt und im operativen Alltag funktioniert. Genau dafür biete ich eine Gap-Analyse an: in zwei bis drei Wochen bewerten wir den Ist-Zustand, identifizieren die konkreten Lücken und liefern einen Umsetzungsplan mit Prioritäten und Aufwandsschätzungen.