Passgenaue Lösungen für den Mittelstand
Im Mittelstand kümmert sich oft eine Person um Informationssicherheit, Datenschutz und Qualität, meist neben der eigentlichen Arbeit. Gleichzeitig kommen NIS2, Kundenaudits und Fragebögen dazu. Sightadel führt durch die Frameworks, hängt jeden Nachweis an alle Anforderungen, die er erfüllt, und zeigt der Geschäftsführung den Stand.
Ausgangslage
Mittelständische Unternehmen haben selten eine eigene Abteilung für Informationssicherheit. Die Aufgabe liegt bei der IT-Leitung, beim Qualitätsmanagement oder bei einer Person aus der Geschäftsführung. Externe Dienstleister betreuen Netz, Server oder Software. Das Wissen, wie das Unternehmen tatsächlich arbeitet, ist auf wenige Köpfe verteilt.
Die Anforderungen kommen von mehreren Seiten zugleich. Seit Dezember 2025 gilt das neue BSI-Gesetz, und viele Unternehmen ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz und Bilanzsumme sind als wichtige Einrichtung erfasst. Große Kunden verlangen ein Zertifikat nach ISO 27001 oder schicken eigene Kataloge. Der Datenschutz gilt ohnehin.
Wer jede Anforderung für sich bearbeitet, macht vieles doppelt. Zugriffsrechte, Datensicherung, Schulungen und der Umgang mit Lieferanten tauchen in ISO 27001, NIS2 und DSGVO auf. Mit einer gemeinsamen Grundlage entsteht jeder Nachweis einmal und zählt für alle Frameworks, die ihn verlangen.
Warum jetzt
Das BSI-Gesetz erfasst viele Sektoren, die bisher keine Pflichten hatten, etwa Maschinenbau, Elektronik, Chemie, Lebensmittel, Logistik und Abfallwirtschaft. Ab mittlerer Größe gelten Registrierung, Risikomanagement und Meldepflichten.
Im Vertrag oder in der Ausschreibung steht ein Zertifikat als Bedingung. Oft gibt es einen Termin, bis zu dem der Nachweis vorliegen muss.
Kunden unter NIS2 oder DORA müssen ihre Lieferanten bewerten. Die Fragebögen landen bei Ihnen, und jeder sieht etwas anders aus.
Nach § 38 BSIG billigt die Geschäftsleitung die Maßnahmen, überwacht die Umsetzung und nimmt regelmäßig an Schulungen teil. Sie braucht dafür einen verlässlichen Überblick.
Steckt das Wissen in einer Excel-Datei und im Kopf einer Person, beginnt mit jedem Wechsel die Suche von vorn. Ein gepflegtes System bleibt, auch wenn Personen wechseln.
Cyberversicherer und Banken fragen vor Abschluss oder Verlängerung nach Maßnahmen wie Datensicherung, Mehr-Faktor-Anmeldung und Notfallplan. Belegte Antworten machen das Gespräch einfacher.
Relevante Frameworks
In eigenen Worten zusammengefasst, keine Rechtsberatung. Maßgeblich ist der Originaltext in der geltenden Fassung.
Ob Sie erfasst sind, hängt von Sektor und Größe ab. Wichtige Einrichtungen beginnen ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz und Bilanzsumme, besonders wichtige ab 250 Beschäftigten oder mehr als 50 Mio. € Umsatz und 43 Mio. € Bilanzsumme. Dazu gehören Registrierung beim BSI, Risikomanagement nach § 30 BSIG und Meldungen innerhalb von 24 Stunden.
Zum Framework →Der übliche Nachweis gegenüber Kunden und die beste Grundlage für NIS2. Das Zertifikat einer akkreditierten Stelle gilt drei Jahre, mit jährlichen Überwachungsaudits. Viele Maßnahmen aus § 30 BSIG finden sich in Anhang A wieder.
Zum Framework →Gilt für jedes Unternehmen, das personenbezogene Daten verarbeitet. Dazu gehören das Verzeichnis von Verarbeitungstätigkeiten, Verträge mit Auftragsverarbeitern, technische und organisatorische Maßnahmen und ein Ablauf für Datenpannen.
Zum Framework →Viele Mittelständler sind bereits nach ISO 9001 zertifiziert. Dokumentenlenkung, internes Audit und Managementbewertung nutzen Sie für ISO 27001 mit, statt ein zweites System aufzubauen.
Zum Framework →Empfohlene Reihenfolge
Fällt Ihr Unternehmen unter NIS2, und was verlangen Ihre wichtigsten Kunden? Der kostenlose NIS2-Check gibt eine erste Einordnung. Die rechtliche Bewertung im Einzelfall bleibt bei Ihrer Beratung.
Eine Person verantwortet das Thema und hat Zeit dafür. Die Geschäftsführung billigt die Ziele. IT, Personal und Einkauf liefern zu, externe Dienstleister arbeiten bei ihren Aufgaben mit.
Risikoanalyse, Richtlinien, Zugriffe, Datensicherung, Notfallplan und Lieferanten. Mit ISO 27001 als Gerüst decken Sie den größten Teil von NIS2 und die technischen Maßnahmen der DSGVO zugleich ab.
Was fehlt, wird zur Aufgabe mit Frist und verantwortlicher Person. Vieles ist schon vorhanden und braucht nur einen Beleg. Neu ist meist das, was bisher niemand aufgeschrieben hat.
Für ISO 27001 folgt das Audit einer akkreditierten Zertifizierungsstelle. Für NIS2 halten Sie die Unterlagen für das BSI bereit. Kunden erhalten Zertifikat und Antworten über das Trust Center.
Schwerpunkt
Im Mittelstand entscheidet die verfügbare Zeit. Vier Dinge helfen, damit das Thema nicht an einer Person hängen bleibt.
Ein Beleg zur Datensicherung gilt für ISO 27001, NIS2 und die DSGVO. Sie legen ihn einmal ab und verknüpfen ihn mit allen Anforderungen, die er erfüllt.
Die Personalabteilung lädt die Schulungsnachweise hoch, der IT-Dienstleister die Protokolle der Datensicherung. Jeder sieht nur seine Aufgaben und muss kein neues Werkzeug lernen.
Das Dashboard zeigt je Framework den Fortschritt, offene Aufgaben und überfällige Termine. Die Geschäftsführung schaut als Viewer zu und muss keine Berichte anfordern.
Bei schwierigen Fragen wie dem Geltungsbereich oder der Risikobewertung buchen Sie Beratung als Paket dazu. Haben Sie Vorgaben, die der Standard nicht abdeckt, passen wir Sightadel nach Absprache an.
So hilft Sightadel
ISO 27001, NIS2 und DSGVO werden Frage für Frage durchgearbeitet, mit Erklärung und Antwortoptionen. Wo sich Anforderungen decken, sehen Sie das sofort und beantworten sie einmal.
Mehr erfahren →Richtlinien beginnen mit einer Vorlage für Ihre Branche. Die KI schlägt Formulierungen aus Ihren bisherigen Angaben vor. Entscheidungen, die die Norm von Ihnen verlangt, bleiben markiert.
Mehr erfahren →Jede Lücke wird zur Aufgabe mit Frist und verantwortlicher Person. Sightadel erinnert vor Ablauf, und die Geschäftsführung sieht, was überfällig ist.
Mehr erfahren →Belege tragen Datum, Version und Ablaufdatum und hängen an allen Kontrollen, die sie belegen. Im Audit finden Sie jeden Nachweis an derselben Stelle.
Mehr erfahren →IT-Dienstleister, Cloud-Dienste und Wartungspartner stehen mit Risiko, Vertrag und Nachweisen in einer Liste. Die Bewertung dient NIS2, ISO 27001 und DSGVO zugleich.
Mehr erfahren →Sightadel prüft, wie Ihre Domains von außen aussehen, und zeigt jedes Problem mit Anleitung zur Behebung. Den Bericht können Sie an Ihren IT-Dienstleister weitergeben.
Mehr erfahren →Nach Absprache
Viele Mittelständler arbeiten nach Vorgaben einer Konzernmutter, eines Großkunden oder nach eigenen Abläufen. Vieles davon richten Sie in Sightadel selbst ein. Was darüber hinausgeht, setzen wir nach Absprache für Sie um. Umfang und Kosten stehen vorher im Angebot.
Unternehmen mit Konzernvorgaben, großen Kundenkatalogen oder eigenen Abläufen
Jede Anpassung beginnt mit einem Gespräch. Umgesetzt wird erst, wenn Umfang und Kosten feststehen.
Individuelle Anpassungen ansehenAufwand und Dauer
Die Spannen sind Erfahrungswerte, keine Zusage. Den größten Einfluss haben die Zahl der Standorte, die Größe des Geltungsbereichs und wie viel Zeit die zuständige Person neben dem Tagesgeschäft aufbringt.
Was Sie lizenzieren · typisch Professional
Ein typischer Mittelständler mit NIS2-Pflicht führt NIS2 und DSGVO zusammen mit ISO 27001 in der Edition Professional. Sie umfasst zehn Nutzer, zehn Assets und 25 Lieferanten, genug für Geschäftsführung, IT, Personal und Einkauf. Lizenz für ISO 27001: ab 750 € im Monat. Weil ISO 27001 dabei ist, kosten NIS2 und DSGVO dauerhaft weniger. Mit mehreren Gesellschaften oder vielen Lieferanten passt Enterprise.
Lizenz je Framework, Mindestlaufzeit ein Jahr, monatlich oder jährlich zahlbar. Alle Preise, Rabatte und einen Rechner finden Sie auf der Preisseite. Kosten einer Zertifizierungs- oder Prüfstelle kommen getrennt hinzu.
Das hängt von zwei Fragen ab. Gehört Ihre Tätigkeit zu einem der Sektoren in Anlage 1 oder 2 des BSIG? Und haben Sie mindestens 50 Beschäftigte oder mehr als 10 Mio. € Umsatz und Bilanzsumme? Treffen beide zu, sind Sie in der Regel wichtige Einrichtung. Der NIS2-Check gibt eine erste Einordnung, die rechtliche Bewertung klären Sie mit Ihrer Beratung.
Es ist eine sehr gute Grundlage, ersetzt die gesetzlichen Pflichten aber nicht. Registrierung beim BSI, Meldepflichten und die Schulungspflicht der Geschäftsleitung kommen hinzu. In Sightadel sehen Sie, welche Anforderungen aus NIS2 Ihr ISMS bereits abdeckt.
Ja. Ihr IT-Dienstleister arbeitet als Contributor an seinen Aufgaben mit und lädt dort Belege hoch. Die Verantwortung bleibt im Unternehmen, die Arbeit verteilt sich auf die, die sie erledigen können.
Für den Aufbau rechnen viele Unternehmen mit einigen Stunden pro Woche für die zuständige Person über mehrere Monate. Danach geht es um Pflege: Nachweise erneuern, Aufgaben abarbeiten, jährlich prüfen. Eine genaue Zahl hängt vom Geltungsbereich ab.
Ja. Kontext, Leitung, Dokumentenlenkung, internes Audit und Managementbewertung führen Sie für beide Normen gemeinsam. Neu kommen vor allem Risikoanalyse und die Maßnahmen aus Anhang A hinzu.
Sie legen ihn als eigenes Framework an, auch per Import aus Excel oder Word, und verknüpfen vorhandene Nachweise. Ist der Katalog sehr umfangreich, bereiten wir ihn nach Absprache für Sie auf.
Vieles richten Sie selbst ein, etwa Zuständigkeiten, Fristen, Erinnerungen und eigene Frameworks. Was darüber hinausgeht, etwa eine weitere Anbindung oder eine bestimmte Auswertung, besprechen wir mit Ihnen und setzen es nach Angebot um.
14 Tage, voller Zugriff, keine Zahlungsdaten. Was Sie anlegen, bleibt im bezahlten Plan erhalten.
