Unsere Lösungen · Governance & Compliance
Sicher sein reicht nicht. Sie müssen es nachweisen können.
Wir erheben, wo Ihr Unternehmen wirklich steht — belegt, nachvollziehbar und in einer Form, die Sie gegenüber Geschäftsführung, Auftraggebern und Behörde vertreten können.
Auch wenn Sie nicht betroffen sind, werden Sie gefragt.
Das NISG 2026 tritt am 1. Oktober 2026 in Kraft. Betroffene Einrichtungen müssen sich bis 31. Dezember 2026 registrieren.
Betroffene Einrichtungen sind verpflichtet, die Sicherheit ihrer Lieferkette zu steuern. Ihre Auftraggeber werden diese Pflicht weitergeben — in Form von Fragebögen, Vertragsklauseln und Nachweispflichten.
Wer darauf innerhalb weniger Tage sauber antworten kann, hat im Vergabeprozess einen Vorteil. Wer es nicht kann, verliert Zeit oder das Geschäft.
Ob Ihr Unternehmen unmittelbar erfasst ist, hängt an der Sektorzuordnung. Das sollte belegt und nicht angenommen werden.
Erst wissen, wo Sie stehen.
Ein Assessment ist so viel wert wie das, was danach damit gearbeitet werden kann. Deshalb bekommen Sie mehrere Formate für unterschiedliche Adressaten.
Dauer
Vier bis fünf Wochen ab Kick-off
Ihr Aufwand
Rund zwei Personentage, verteilt über den gesamten Zeitraum
Preis
Fixpreis, nicht nach Aufwand
Enthalten
Technischer Durchgang, Managementpräsentation und ein Check-in nach 30 Tagen
Was Sie in der Hand haben.
1
Management-Summary
Maximal fünf Seiten: Lagebild, die fünf wesentlichen Risiken in Geschäftssprache, Aufwand und Wirkung der Schritte, klare Empfehlung. Ohne Fachjargon, direkt in einer Sitzung verwendbar.
2
Detailbericht
Je Befund: Sachverhalt, Nachweis, Risikoeinordnung, Empfehlung, geschätzter Aufwand und sinnvoller Verantwortlicher.
3
Reifegradprofil
Ihr Ist-Stand je Bereich auf einer Skala von 0 bis 5, dazu ein gemeinsam festgelegtes Zielbild für zwölf Monate. Dieselbe Grafik ist in einem Jahr die Fortschrittsmessung.
4
Maßnahmen-Backlog
Priorisiert nach Wirkung und Aufwand, gegliedert in Sofortmaßnahmen, 90-Tage- und 12-Monats-Horizont. Direkt in Ihre Planung übernehmbar, ohne Abtippen.
5
Werkzeug- und Lizenzlandkarte
Was ist vorhanden, was überschneidet sich, was ist bezahlt und ungenutzt, was fehlt wirklich. Daraus ergeben sich regelmäßig Einsparungen, nicht nur Investitionen.
6
Kurzgutachten NIS-2-Betroffenheit
Dokumentierte Prüfung mit Begründung und Datum — als Nachweis gegenüber Geschäftsführung, Auftraggebern und Behörde.
7
Antwortbaustein für Kundenfragebögen
Eine vorbereitete, belegbare Darstellung Ihrer Maßnahmen. Sicherheitsfragebögen von Auftraggebern lassen sich damit in Stunden statt in Tagen beantworten.
8
Make-or-Buy-Einordnung
Für jede größere Maßnahme die Einschätzung, ob sie intern, über Ihren bestehenden Partner oder als Service sinnvoll erbracht wird.
Bewertet entlang etablierter Referenzen.
Wir bewerten nicht nach Bauchgefühl, damit die Ergebnisse auch gegenüber Auftraggebern und Prüfern Bestand haben.
- Technisch: CIS Controls v8.1, Umsetzungsstufen IG1 und IG2 als realistische Messlatte für den Mittelstand.
- Regulatorisch: Abbildung auf die Risikomanagementmaßnahmen nach NIS-2 beziehungsweise NISG 2026 — die Gap-Analyse liegt damit vor, sobald sie gebraucht wird.
- Organisatorisch: Struktur der ISO/IEC 27001, ohne daraus ein Zertifizierungsprojekt zu machen.
Reifegradskala: Von 0 (nicht vorhanden) über 2 (vorhanden, aber personenabhängig) und 3 (definiert und dokumentiert) bis 5 (gesteuert und gemessen).
Für die meisten Bereiche ist Stufe 3 das wirtschaftlich sinnvolle Ziel. Stufe 5 empfehlen wir nur dort, wo das Geschäft es verlangt.
Wie wir dabei arbeiten
Wir erheben Konfigurationen, Auswertungen und Nachweise ohne Änderungen an Ihren Systemen. Kein Penetrationstest, kein Ausnutzen von Schwachstellen, keine Betriebsunterbrechung. Jeder Zugriff wird vorher abgestimmt und protokolliert.
Siehe auch die fünf Punkte unter „Was Sie von uns erwarten können“ auf unserer Startseite.
Wir stehen dahinter, nicht davor.
Eine neu geschaffene Rolle für Informationssicherheit scheitert selten am Fachwissen. Sie scheitert an unklarem Mandat, fehlender Rückendeckung in schwierigen Gesprächen und der Einsamkeit der Entscheidung. Genau dort setzen wir an.
Was es nicht ist:
ein Ersatz für Ihren Sicherheitsverantwortlichen, eine Schattenrolle oder ein Weg, Aufgaben nach außen zu verlagern. Er führt die Themen, er berichtet, er entscheidet.
Standortbestimmung der Rolle
Mandat, Aufgabenkatalog, Abgrenzung zum IT-Betrieb, Berichts- und Eskalationswege werden schriftlich festgelegt. Das beendet die meisten Reibungsverluste, bevor sie entstehen.
Einmalig, ein Tag
Regelmäßiges Sparring
Ein fixer Termin pro Monat plus Zeitreserve für kurzfristige Fragen. Themen bringt Ihr Verantwortlicher mit: anstehende Entscheidungen, Formulierungen für heikle Gespräche, Bewertung von Angeboten.
Monatlich
Arbeitsmittel statt Papierberge
Richtlinienvorlagen nach österreichischer Rechtslage, Risikoregister, Maßnahmen-Backlog, ein Kennzahlenset von fünf Werten, das man auch pflegen kann, und eine Berichtsvorlage für die Geschäftsführung.
Enthalten
Auftrittsvorbereitung
Vor jedem Bericht an die Geschäftsführung gehen wir Inhalt, Aufbau und die zu erwartenden Einwände gemeinsam durch. Wer zum ersten Mal ein Sicherheitsbudget vertritt, sollte die Fragen kennen, bevor sie kommen.
Anlassbezogen
Fachliche Begleitung
Wir arbeiten inhaltlich mit, wo es gebraucht wird — bei Umstellungen, Segmentierungen und der Beantwortung von Kundenfragebögen. Nicht nur beraten.
Anlassbezogen
Rückhalt im Ernstfall
Ein benannter erfahrener Ansprechpartner mit definierter Reaktionszeit, wenn etwas passiert.
Enthalten
Weitere Leistungen
NIS-2 / NISG
Betroffenheitsprüfung mit Nachweis, Registrierung und Umsetzung der technischen wie organisatorischen Anforderungen.
DORA
Umsetzung für Finanzdienstleister, inklusive Steuerung Ihrer IKT-Drittparteien.
ISO 27001
Aufbau eines Managementsystems in Tranchen bis zur Zertifizierungsreife, ohne Stillstand im Tagesgeschäft.
DSGVO & Datenschutz
Externe Datenschutzbeauftragte, Gap-Analysen und ein Verarbeitungsverzeichnis, das gepflegt wird statt zu existieren.
Zertifizierte Datenschutzexpertise
Lieferanten- und Drittparteienrisiko
Die Abhängigkeit von externen Partnern wird strukturiert behandelt — das beantwortet zugleich die Frage, die Ihre eigenen Auftraggeber Ihnen stellen werden.
Third-Party Risk Management
Pentests & Audits
Technische Nachweise, die einem Prüfer standhalten — wiederholbar statt einmalig.
Horizon3.ai NodeZero, manuelle Tests
OT-Security / IEC 62443
Normkonforme Absicherung von Produktions- und Industrieanlagen, mit Referenz aus einem Industriekonzern.
IEC 62443
Was wir Ihnen nicht anbieten:
Wir prüfen und verrechnen nur, was in Ihrer Umgebung eine Rolle spielt. Wenn Sie keine Microsoft-365-Umgebung betreiben, bleiben die entsprechenden Module außen vor, bis sich das ändert. Bereiche, die bei Ihnen nicht existieren, tauchen in unserem Angebot nicht auf.
Kostenloses Erstgespräch – Angebot in 24 Stunden.