NIS2 Beratung für mittelständische Organisationen
Betroffenheit, Governance, Readiness, Umsetzung und laufende Steuerung sind unterschiedliche Aufgaben. ITD Busch trennt diese Aufgaben bewusst, damit aus Regulierung ein handhabbarer Arbeitsauftrag wird.
Eine mögliche Betroffenheit ist nicht dasselbe wie ein belastbarer Readiness Stand. Eine 90 Tage Basisroadmap ist noch kein vollständiges Umsetzungsprogramm. Und laufende Governance Begleitung ersetzt keine ungeklärte Erstaufnahme.
Darum beginnt ITD Busch nicht automatisch mit dem größten Produkt, sondern mit der tatsächlichen Ausgangslage.
Automatisiertes Orientierungstool
Der NIS2 Betroffenheits-Quickcheck führt Sie durch standardisierte Fragen zu Organisation, Tätigkeit, Größe und möglichen Sonderfällen. Das Ergebnis ist eine erste Orientierung auf Basis Ihrer Angaben und des ausgewiesenen Rule Sets. Es ist keine verbindliche rechtliche Einstufung.
Wenn Betroffenheit, Untersuchungseinheit oder wesentliche Tatsachen noch offen sind. Die Vorprüfung dokumentiert Annahmen und fehlende Informationen ausdrücklich.
Danach wissen Sie: welche erste Einordnung sich aus den verfügbaren Fakten ergibt und was noch geklärt werden muss.
Wenn Betroffenheit bekannt ist oder als Arbeitshypothese transparent feststeht und eine schnelle organisatorische Orientierung gebraucht wird.
Danach wissen Sie: welche Hauptbeobachtungen und kurzfristigen Prioritäten im vereinbarten Umfang erkennbar sind.
Wenn Management und IT eine vertiefte, nachvollziehbare Grundlage für Maßnahmen und Entscheidungen brauchen.
Danach haben Sie: ein belegorientiertes Lagebild, priorisierte Findings, eine Readiness Heatmap und eine 90 Tage Basisroadmap.
Wenn belastbare Findings vorhanden sind, aber noch kein steuerbares Programm existiert.
Danach haben Sie: Arbeitspakete, Abhängigkeiten, Verantwortungen, Backlog, Management Decision Log und eine vertiefte Roadmap.
Wenn Geschäftsleitung oder Führungskreis ein gemeinsames Verständnis und konkrete Entscheidungsfragen brauchen, ohne ein vollständiges Assessment zu beauftragen.
Danach haben Sie: gemeinsame Kernbotschaften, offene Entscheidungen und dokumentierte nächste Schritte.
Wenn Handlungsbedarf bekannt ist und Maßnahmen, ausgewählte Evidence Punkte und Managemententscheidungen im Regelbetrieb nachgehalten werden sollen.
Danach haben Sie: einen klar abgegrenzten Governance Rhythmus mit Status, Review Protokollen und Entscheidungstracking.
Beim NIS2 Scope & Readiness Assessment nutzt ITD Busch sieben methodische Domains:
Wichtig: Diese sieben Domains sind ITD Busch Methodik. Sie sind keine gesetzlichen NIS2 Kategorien und ersetzen nicht die gesetzliche Struktur der anwendbaren Anforderungen.
ITD Busch trennt Kundenaussagen, vorhandene Unterlagen, Evidence, eigene Bewertung und Empfehlung. Wenn eine Aussage im vereinbarten Scope nicht ausreichend bewertbar ist, bleibt sie als nicht bewertbar sichtbar.
Die ITD Busch Evidence Methodik dient der strukturierten Nachvollziehbarkeit einer Bewertung. Sie wird nicht mit gesetzlichen Dokumentations oder Nachweispflichten gleichgesetzt.
Bei erheblichen Sicherheitsvorfällen können gesetzliche Meldepflichten und kurze Fristen greifen. Ob ein konkreter Vorfall die einschlägigen Kriterien erfüllt und welche Sonderregime zu beachten sind, muss im jeweiligen Kontext bewertet werden.
Deshalb betrachtet ITD Busch bei Governance und Readiness nicht nur Technik, sondern auch Rollen, Eskalationswege, Entscheidungsfähigkeit und dokumentierte Abläufe.
Allgemeine IT Steuerungsfragen ohne regulatorischen Prüfauftrag gehören zur IT Governance Beratung.
Nein. Wenn Betroffenheit und Scope bereits belastbar geklärt sind, kann ein anderer Einstieg sinnvoller sein.
Nein. Eine gleichwertige, aktuelle und belastbare Ausgangsbasis kann verwendet werden. Bei fremden oder widersprüchlichen Findings kann vorab eine Validierung oder zusätzliche Analyse erforderlich sein.
Nein. Penetrationstests, Schwachstellenscans und andere technische Prüfungen sind nicht Bestandteil des Standard Assessments.
Nein. ITD Busch kann extern unterstützen, strukturieren, bewerten und Entscheidungen vorbereiten. Gesetzliche Verantwortungszuordnungen und interne Owner Rollen verbleiben beim Kunden.
Derzeit nicht. Der konkrete Preis richtet sich nach dem vereinbarten Scope. Interne Kalkulationswerte sind keine öffentlichen Listenpreise.
Sie müssen vor dem ersten Gespräch weder ein Produkt auswählen noch alle Unterlagen vorbereitet haben. Entscheidend ist, welche Frage Sie belastbar beantworten oder welche Entscheidung Sie ermöglichen möchten.