NIS2- und DORA-Readiness

Was ich liefere

Einen schriftlichen Readiness-Bericht. Ein gefülltes Lieferantenregister, das den DORA-Artikel-28-Feldern oder der NIS2-Anhang-II-Nachweispfad-Struktur folgt. Eine Bewertung der Kontrolllücken, gemappt auf die von der Richtlinie geforderten Kontrollen. Ein Vorfallmeldungs-Runbook mit den 24-Stunden-, 72-Stunden- und Ein-Monats-Fristen, vorab auf Ihren spezifischen Stack abgebildet. Eine 60-minütige Begehung mit Ihrem operativen Team.

Warum WordPress-Bestände das anders brauchen

Die meiste Readiness-Arbeit zielt auf Individualsoftware oder SaaS. WordPress und WooCommerce bringen spezifische Compliance-Flächen mit: Plugins mit Administrator-Rechten, Themes, die die Datenbank berühren, Zahlungs-Gateways, die zu Drittparteien fächern, und eine redaktionelle Schicht, die häufig außerhalb formalen Change-Managements läuft. Diese als erstklassige Objekte im Lieferantenregister zu führen ist der Unterschied zwischen einem belastbaren Bericht und einer Checkbox-Übung.

Für wen das ist

• Mittlere und große Einheiten in wesentlichen und wichtigen NIS2-Sektoren (Anhang I, Anhang II)
• Regulierte Finanzeinheiten unter DORA
• Kritische IKT-Drittparteien-Anbieter, die DORA-pflichtige Kunden bedienen
• Beschaffungen der öffentlichen Hand, die vor einem WordPress-Vergabeabschluss eine Readiness-Erklärung Dritter verlangen

Zertifizierung vs. operative Realität

ISO-, DSGVO- und NIS2-Papier garantiert nicht, dass eine Abteilung tatsächlich eine verschlüsselte E-Mail versenden kann. Klassischer Praxisfall: Behörde oder Mittelstand hat Auditor, Richtlinien und Zertifikat, aber die älteren Ricoh- und Nashuatec-Multifunktionsdrucker können kein TLS zum Mailserver aushandeln und scheitern still beim Scan-to-E-Mail. Das gescannte PDF landet auf einem USB-Stick, die Beweiskette bricht, und es gibt kein Log darüber, wer die Datei in der Hand hatte. Diese Geräteklasse hat selten eine Ausnahme im ISO-Anwendbarkeitsbericht, im DSGVO-Verzeichnis von Verarbeitungstätigkeiten oder im polnischen KSC-Register. Unser Audit deckt deshalb sowohl Dokumente als auch das ab, was tatsächlich am Schreibtisch passiert, und mappt jedes solche Gerät in die Asset- und Lieferantenliste.

Deutsche NIS2-Umsetzung: NIS2UmsuCG und das BSI

Die deutsche NIS2-Umsetzung erfolgt über das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) als zentraler Aufsichts- und Meldebehörde. Artikel 20 der NIS2-Richtlinie verankert direkt persönliche Verantwortung der Leitungsorgane: das Management muss Risikomanagement-Maßnahmen genehmigen, deren Umsetzung überwachen und an entsprechenden Schulungen teilnehmen. In der Praxis trifft die Haftung nicht nur den Vorstand, sondern auch die operative Führungsebene, die in den Geltungsbereich fallende Bereiche verantwortet: IT-Direktor, CISO, Compliance-Leiter, Datenschutzbeauftragter und Operations-Direktor. Wir liefern Risikoregister, Incident-Runbook und Lieferantenverzeichnis in einer Form, die einer Prüfung durch das BSI standhält.

Polnische Umsetzungsnotiz (relevant für Kunden mit PL-Operationen)

Polens NIS2-Umsetzung startet das Register Krajowy System Cyberbezpieczeństwa (KSC) über eine Online-Anwendung der Regierung ab 7. Mai 2026, mit Selbsteintragungsfrist 3. Oktober 2026. Behörden, Telekomanbieter und digitale Diensteanbieter werden am 6. Mai automatisch eingetragen. Sanktionen bis 100 Mio. PLN; Geschäftsleitung haftet bis zum dreifachen Monatsgehalt, und die Novelle vom April 2026 erweitert diese persönliche Haftung über Vorstandsmitglieder hinaus auf die operative Führungsebene, die KSC-relevante Bereiche verantwortet. Quelle: polnische Fachpresse via Ministerium für Digitalisierung, Mai 2026. Internationale Gruppen mit polnischen Tochtergesellschaften sollten damit rechnen, dass diese in den Geltungsbereich fallen; wir decken das im Lieferantenregister und Nachweispfad ab.

Engagement-Modell

Senior-B2B-Verträge unter EU-Jurisdiktion. Vier-Wochen-Fenster vom Kickoff bis zum Bericht. Quartals-Review-Retainer verfügbar. Preisgestaltung individuell.