Falsche Einstufung, teure Folgen
Die meisten Unternehmen, mit denen wir sprechen, stellen sich nicht die Frage "Sind wir sicher genug?", sondern zunächst die viel grundlegendere: "Sind wir überhaupt betroffen — und wenn ja, wie stark?"
Zwischen "besonders wichtiger Einrichtung" und "wichtiger Einrichtung" liegen unterschiedliche Bußgeldrahmen, unterschiedliche Prüfrechte des BSI und unterschiedliche Erwartungen an die Dokumentationstiefe. Wer diese Einstufung falsch vornimmt, plant am Bedarf vorbei — in beide Richtungen: zu viel Aufwand kostet Budget, zu wenig Aufwand kostet im Ernstfall die persönliche Haftungsfreiheit der Geschäftsleitung nach § 38 BSIG.
Hinzu kommt: § 30 BSIG beschreibt zehn Maßnahmenbereiche, aber keine Schritt-für-Schritt-Anleitung. Für ein Unternehmen ohne etabliertes ISMS ist der Abstand zwischen "wir haben eine Firewall und ein Passwort-Richtlinie" und "wir können dem BSI ein wirksames Risikomanagement nachweisen" oft größer, als in internen Einschätzungen sichtbar wird.
Rechtssichere Einordnung, technische Substanz, klarer Fahrplan
Die NIS2-Gap-Analyse ist der strukturierte Ausgangspunkt jedes NIS2-Projekts bei NEXGAP. Wir verbinden juristische Einordnung mit technischer Substanz — statt einer reinen Checklisten-Abfrage prüfen unsere Sicherheitsarchitekten und Analysten, was hinter Ihren bestehenden Maßnahmen tatsächlich steckt.
· Systematischer Abgleich Ihres Unternehmens mit den Kriterien der Anlagen 1 und 2 des BSI-Gesetzes (BSIG). Sie erhalten eine belastbare und rechtssichere Einschätzung Ihres Betroffenheitsstatus. Diese dient als verbindliche Grundlage für die gesetzliche Registrierung gemäß § 33 BSIG und definiert den Fahrplan für alle weiteren Compliance-Schritte.
· Für jeden der zehn Bereiche — von der Risikoanalyse über Lieferkettensicherheit bis zur MFA — bewerten wir den aktuellen Reifegrad anhand von Dokumenten-Review, technischen Stichproben und Interviews mit den relevanten Verantwortlichen.
· Nicht jede vorhandene Maßnahme ist auch belastbar dokumentiert. Wir prüfen gezielt, ob Ihre bestehenden Prozesse im Fall einer BSI-Prüfung oder eines Sicherheitsvorfalls tatsächlich nachweisbar sind — inklusive der nach § 38 BSIG geforderten Geschäftsleitungsbeschlüsse.
· Ergebnis der Gap-Analyse ist keine reine Mängelliste, sondern eine nach Risiko und Umsetzungsaufwand priorisierte Roadmap — abgestimmt darauf, was regulatorisch zwingend ist, was operativ am dringlichsten ist, und was sich aus vorhandenen Mitteln kurzfristig umsetzen lässt.
· Da § 38 BSIG die Verantwortung explizit auf Geschäftsführungs- und Vorstandsebene verortet, bereiten wir die Ergebnisse so auf, dass sie dort tatsächlich entscheidungsfähig ankommen — inklusive der Formulierungshilfen für die erforderlichen dokumentierten Beschlüsse.
Das Ergebnis ist ein klares Bild Ihrer aktuellen NIS2-Konformität, eine belastbare Grundlage für Registrierung und Budgetplanung, und ein priorisierter Fahrplan, der direkt in die operativen NEXGAP-Leistungen — Offensive-Security, Threat Intelligence, Incident-Response-Aufbau — übergeht.
Warum § 32 BSIG die Praxis vor logistische Probleme stellt
§ 32 BSIG verlangt bei erheblichen Sicherheitsvorfällen ein dreistufiges Meldeverfahren gegenüber dem BSI: eine Erstmeldung binnen 24 Stunden, eine Folgemeldung binnen 72 Stunden und einen Abschlussbericht binnen eines Monats. Auf dem Papier klingt das nach einem administrativen Ablauf. In der Praxis ist die erste Frist die härteste: 24 Stunden ab Kenntnisnahme reichen kaum aus, um einen Vorfall überhaupt zuverlässig zu erkennen und einzuordnen — wenn Erkennung, Eskalation und Meldeprozess nicht vorher aufgebaut und geübt wurden.
Viele Unternehmen verfügen über technische Monitoring-Lösungen, aber nicht über einen klar definierten organisatorischen Prozess: Wer entscheidet, ob ein Ereignis "erheblich" im Sinne des Gesetzes ist? Wer formuliert die Meldung? Wer verantwortet die fristgerechte Übermittlung? Ohne klare Antworten auf diese Fragen wird die erste Krise zum Test — mit Bußgeldrisiko und Reputationsschaden als möglicher Konsequenz eines verpassten Zeitfensters.
Vom Playbook bis zur BSI-Meldung
Wir entwickeln gemeinsam mit Ihnen einen Meldeprozess, der die Fristen nach § 32 BSIG operationalisiert: Eskalationswege, Verantwortlichkeiten, Vorlagen für Erst-, Folge- und Abschlussmeldung sowie die Schnittstelle zur Geschäftsleitung, die im Rahmen ihrer Haftung nach § 38 BSIG informiert sein muss.
Für die für Ihr Unternehmen relevantesten Bedrohungsszenarien (Ransomware, Datenexfiltration, Kompromittierung von OT-Systemen, Lieferketten-Angriffe) erstellen wir konkrete, umsetzbare Playbooks — wer tut was, in welcher Reihenfolge, mit welchen Tools.
Ein Meldeprozess ist nur so gut wie die Fähigkeit, einen Vorfall überhaupt rechtzeitig zu erkennen. Wir bewerten Ihre bestehende Detektionsfähigkeit und schließen die Lücke zu den in § 30 BSIG geforderten Prozessen zur Bewältigung von Sicherheitsvorfällen — bei Bedarf in Verbindung mit unserem Threat-Intelligence-Monitoring, das Vorfälle bereits im Vorfeld sichtbar machen kann.
Realitätsnahe Simulationen mit den beteiligten Fachbereichen (IT, Recht, Kommunikation, Geschäftsleitung) trainieren den Ablauf, bevor er im Ernstfall gebraucht wird — inklusive der Entscheidung, ob und wie ein Vorfall die Meldeschwelle erreicht.
Im Ernstfall unterstützt NEXGAP bei forensischer Analyse, Eindämmung und der fristgerechten Formulierung und Einreichung der BSI-Meldungen — als Verlängerung Ihres eigenen Teams, nicht als Ersatz.
Das Ergebnis ist ein dokumentierter, geübter Meldeprozess, der die Fristen nach § 32 BSIG zuverlässig einhält, klare Verantwortlichkeiten bis zur Geschäftsleitungsebene, und spürbar reduzierte Reaktionszeit im tatsächlichen Ernstfall.
Warum Angreifer sich nicht an Prüfkataloge halten
§ 30 Nr. 6 BSIG verlangt von betroffenen Einrichtungen ausdrücklich die "Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit". Diese Formulierung lässt wenig Interpretationsspielraum: Eine Firewall-Regel, eine Richtlinie oder ein Schulungsnachweis allein belegt nicht, dass Ihre Sicherheitsmaßnahmen tatsächlich wirken. Wirksamkeit lässt sich nur durch eine unabhängige, technische Prüfung nachweisen — durch den Versuch, die eigenen Verteidigungsmaßnahmen gezielt zu überwinden.
Gleichzeitig zeigen die Zahlen, warum das mehr als eine regulatorische Formalie ist: 81% der Unternehmen verzeichneten im vergangenen Jahr mindestens eine erfolgreiche Kompromittierung. Die Angreifer, die diesen Anteil verursachen, orientieren sich nicht an Prüfkatalogen, sondern an dem, was tatsächlich funktioniert.
Lückenlose Validierung Ihrer technischen Angriffsfläche
Black- und Grey-Box-Assessments Ihrer IT-Infrastruktur sowie — wo relevant — Ihrer OT. Gerade in Industrie, Chemie und produzierendem Gewerbe ist die Absicherung der Produktionsumgebung ein eigener, hochspezialisierter Prüfbereich, den klassische IT-Sicherheitsanalysen nicht abdecken.
Bevor ein echter Angreifer technisch aktiv wird, sammelt er öffentlich verfügbare Informationen über Ihr Unternehmen, Mitarbeitende und Infrastruktur. Unsere OSINT-Assessments zeigen, welche Angriffsfläche allein aus offen zugänglichen Quellen entsteht — häufig eine unterschätzte Grundlage für Social Engineering und gezielte Angriffe.
Kontinuierliche, automatisierte Simulation realer Angriffstechniken gegen Ihre bestehenden Sicherheitskontrollen — ergänzend zu punktuellen Penetrationstests, um Wirksamkeit auch zwischen den turnusmäßigen Prüfzyklen sichtbar zu machen.
Realitätsnahe, zielgerichtete Angriffssimulationen, die nicht einzelne Systeme, sondern das Gesamtbild aus Technik, Prozessen und Mitarbeitenden prüfen — mit dem Anspruch, tatsächlich zu zeigen, wie ein motivierter Bedrohungsakteur vorgehen würde.
Für Unternehmen mit SAP®-Landschaften: gezielte Prüfung von Berechtigungskonzepten, Schnittstellen und Konfiguration — ein häufig unterschätztes Einfallstor, das in klassischen Infrastruktur-Sicherheitsanalysen oft ausgespart bleibt.
Revisionssichere Nachweise für Geschäftsleitung und BSI
Jedes Audit endet mit einem Bericht, der nicht nur Schwachstellen auflistet, sondern so aufbereitet ist, dass er als Nachweis der Wirksamkeitsbewertung nach § 30 Nr. 6 BSIG gegenüber dem BSI und als Entscheidungsgrundlage für die nach § 38 BSIG verantwortliche Geschäftsleitung dient — inklusive priorisierter Handlungsempfehlungen statt reiner Findings-Listen.
Das Ergebnis ist ein belastbarer, wiederholbarer Nachweis der Wirksamkeit Ihrer Sicherheitsmaßnahmen — als gesetzlich geforderter Baustein Ihrer NIS2-Konformität und als tatsächlicher Beitrag zur Reduktion Ihres realen Angriffsrisikos.
Warum Vermutungen kein Sicherheitskonzept sind
§ 30 Nr. 1 BSIG verlangt "Konzepte zur Risikoanalyse und zur Sicherheit der Informationssysteme" — doch eine Risikoanalyse, die einmal jährlich auf Basis interner Annahmen erstellt wird, bildet die tatsächliche Bedrohungslage nur unzureichend ab. Bedrohungsakteure, kompromittierte Zugangsdaten und Angriffskampagnen entwickeln sich in Wochen, nicht in Jahreszyklen. Wer seine Risikoanalyse nicht mit aktuellen, externen Daten unterfüttert, bewertet Risiken auf Basis von Vermutungen — ein Zustand, der weder dem Anspruch des Gesetzes noch der Bedrohungslage gerecht wird.
Ein zusätzlicher, oft übersehener Risikofaktor: Zugangsdaten und sensible Informationen Ihres Unternehmens können längst kompromittiert und in einschlägigen Foren im Umlauf sein, ohne dass dies innerhalb der eigenen Infrastruktur sichtbar wird. Diese Informationslücke zu schließen, ist der Kern von Threat Intelligence.
20 Milliarden Leaks im Blick: Proaktives Darknet- und Foren-Monitoring
Unsere Plattform überwacht kontinuierlich über 58.000 aktive Telegram-Kanäle und einschlägige Foren sowie mehr als 160 Cybercrime-Foren im Clear- und Darknet — und wertet dabei wöchentlich über 1,3 Millionen neu identifizierte kompromittierte Identitäten sowie einen Bestand von mehr als 20 Milliarden geleakten Zugangsdaten aus.
Frühzeitige Erkennung, wenn Daten Ihres Unternehmens abfließen oder in einschlägigen Marktplätzen und Foren zum Verkauf angeboten werden — bevor daraus ein meldepflichtiger Sicherheitsvorfall nach § 32 BSIG wird.
Gezielte, verdeckte digitale Aufklärung zu Akteuren und Kampagnen, die für Ihren Sektor oder Ihr Unternehmen konkret relevant sind — statt generischer Bedrohungsfeeds ohne Bezug zur eigenen Risikolage.
Identifikation von Angriffsvorbereitungen (z.B. Zielaufklärung, Infrastruktur-Setup, Zugangsdatenhandel), bevor daraus ein aktiver Angriff wird — der entscheidende Zeitgewinn für Prävention statt Reaktion.
Systematische Prüfung, ob Zugangsdaten, Mitarbeiter- oder Kundendaten Ihres Unternehmens auf einschlägigen Marktplätzen gehandelt werden.
Wie Echtzeit-Monitoring Ihre Risikoanalyse revolutioniert
Die Ergebnisse des Threat-Intelligence-Monitorings fließen direkt in Ihre Risikoanalyse nach § 30 Nr. 1 BSIG ein und liefern der Geschäftsleitung die aktuellen, belastbaren Daten, die für eine dokumentierte Entscheidung im Sinne des § 38 BSIG erforderlich sind. Erkennt das Monitoring einen relevanten Vorfall — etwa eine bestätigte Datenexfiltration —, greift nahtlos unser Incident-Response- und Meldeprozess nach § 32 BSIG.
Das Ergebnis ist eine Risikoanalyse, die den tatsächlichen, aktuellen Stand der Bedrohungslage abbildet, statt auf veralteten Annahmen zu beruhen — und ein Frühwarnsystem, das Vorfälle im besten Fall verhindert, statt sie nur zu melden.
