Checks & Analyse rund um NIS2 & Compliance

In wenigen Tagen wissen Sie, ob NIS2, Dora, etc. Sie betrifft, wo Sie stehen und was in welcher Reihenfolge zu tun ist.

Klarheit darüber wo sie aktuell stehen

Offene Analyse

Sie wissen verlässlich, ob und in welcher Kategorie Ihr Unternehmen unter NIS2 fällt – statt es aus Fachartikeln herzuleiten.

Handlungsfähigkeit sichern

Ihre leitenden Mitarbeiter kennen die eigenen Pflichten und können Entscheidungen zur Cybersicherheit dokumentiert und begründet treffen.

Konkrete Abläufe

Sie arbeiten nach einer klaren Reihenfolge: Was zuerst, was kann warten, was betrifft Sie gar nicht – mit realistischem Aufwand je Maßnahme.

Die meisten Unternehmen wissen nicht, inwieweit NIS2 sie betrifft

NIS2 erweitert den Kreis regulierter Unternehmen erheblich und nimmt erstmals die Geschäftsleitung persönlich in die Pflicht. Gleichzeitig ist die Lage unübersichtlich: Betroffenheit hängt von Branche, Größe und Rolle in der Lieferkette ab, und viele Anforderungen klingen abstrakt, solange niemand sie auf das eigene Unternehmen übersetzt hat.

Genau diese Übersetzung ist unsere Leistung: Wir prüfen strukturiert Ihre Betroffenheit, gleichen Ihren Ist-Zustand gegen die Anforderungen ab und übersetzen das Ergebnis in einen priorisierten Maßnahmenplan. Ehrliche Diagnose statt Verkaufsdruck – wenn Sie nicht betroffen sind oder gut dastehen, sagen wir Ihnen auch das.

NIS2-Quick-Check Kurz-Assessment in ein bis zwei Tagen: Workshop plus strukturierter Fragebogen, als Ergebnis Ihr Betroffenheits- und Reifegradspiegel. ISO-27001-Gap-Analyse Detaillierter Soll-Ist-Abgleich Ihrer Organisation gegen die ISO-27001-Anforderungen – die belastbare Grundlage, wenn Kunden oder Auditoren eine Zertifizierung erwarten. Priorisierter Maßnahmenplan Jede Lücke wird zu einer konkreten Maßnahme mit Priorität, Aufwandsindikation und Zuständigkeit – umsetzbar für IT und nachvollziehbar für die Geschäftsführung. Management-Briefing Ergebnisvorstellung auf Leitungsebene: Pflichten, Risiken und Fahrplan in der Sprache der Geschäftsführung – nicht der IT.

Security-Analyst prüft Code auf mehreren Monitoren

Diagnose und Umsetzung sind bei uns bewusst getrennt

Wer die Analyse verkauft und gleich die Umsetzung mitverkaufen will, hat einen Anreiz, mehr Lücken zu finden als nötig. Deshalb trennen wir beides konsequent: Die Diagnostik steht für sich, der Maßnahmenplan ist herstellerneutral formuliert, und ob Sie Maßnahmen mit uns, intern oder mit Dritten umsetzen, entscheiden Sie danach. Das Ergebnis muss auch dann Bestand haben, wenn Sie uns nie wieder beauftragen.

Damit können Sie bei Cyber>funk rechnen

Vier greifbare Ergebnisse – vom ersten Workshop bis zur Vorstandsvorlage

Betroffenheits- & Reifegradspiegel Dokumentierte Einstufung Ihres Unternehmens unter NIS2 plus Reifegradbewertung je Anforderungsbereich – als Bericht, nicht als Bauchgefühl. Gap-Analyse-Bericht Der vollständige Soll-Ist-Abgleich gegen ISO 27001 mit allen identifizierten Lücken, jeweils eingeordnet nach Kritikalität.

Priorisierter Maßnahmenplan Ihr Fahrplan als Arbeitsdokument: Maßnahmen mit Priorität, Aufwandsindikation und empfohlener Reihenfolge – direkt in die Umsetzungsplanung übernehmbar. Management-Summary Kompakte Entscheidungsvorlage für Geschäftsführung oder Vorstand – geeignet als Nachweis, dass sich die Leitungsebene strukturiert mit dem Thema befasst hat.

So läuft die Zusammenarbeit ab

01
Strategiegespräch

Wir klären Ihre Ausgangslage und ob Quick-Check, Gap-Analyse oder beides sinnvoll ist – auch das Ergebnis „aktuell kein Handlungsbedarf" ist ein valides Ergebnis.
02
Quick-Check

Workshop mit Ihren Schlüsselpersonen plus strukturierter Fragebogen, ein bis zwei Tage. Danach steht Ihr Betroffenheits- und Reifegradspiegel.
03
Gap-Analyse

Bei Bedarf folgt der detaillierte Soll-Ist-Abgleich gegen ISO 27001: Dokumentensichtung, Interviews, Bewertung je Anforderungsbereich.
04
Maßnahmenplan & Briefing

Sie erhalten den priorisierten Maßnahmenplan und wir stellen die Ergebnisse Ihrer Geschäftsführung vor – inklusive klarer Empfehlung für die nächsten 90 Tage.

Häufige Fragen zu NIS2 und
Compliance

01 Woher wissen wir, ob NIS2 uns überhaupt betrifft?

Genau das ist der erste Prüfschritt im Quick-Check. Betroffenheit hängt von Sektor, Unternehmensgröße und teils von Ihrer Rolle in der Lieferkette ab – pauschale Aussagen sind unseriös. Wir prüfen Ihre Einstufung strukturiert und dokumentieren das Ergebnis, sodass Sie es auch gegenüber Kunden oder Behörden belegen können. Falls Sie nicht betroffen sind, sagen wir Ihnen das genauso klar.

02 Ist das eine rechtsverbindliche Bewertung?

Nein, und das sagen wir bewusst deutlich: Wir sind Sicherheitsberater, keine Rechtsanwälte. Unsere Einstufung ist eine fachlich fundierte Bewertung auf Basis der Regulierung und der verfügbaren behördlichen Auslegungen – für rechtsverbindliche Fragen, etwa zur Haftung im Einzelfall, verweisen wir auf spezialisierte Kanzleien und arbeiten auf Wunsch mit Ihrer Rechtsberatung zusammen.

03 Brauchen wir Quick-Check und Gap-Analyse – oder reicht eines davon?

Das hängt von Ihrem Ziel ab. Der Quick-Check beantwortet in ein bis zwei Tagen die Fragen „Sind wir betroffen?" und „Wie reif sind wir grob?". Die Gap-Analyse geht deutlich tiefer und lohnt sich, wenn eine ISO-27001-Zertifizierung angestrebt wird oder Kunden konkrete Nachweise fordern. Viele starten mit dem Quick-Check und entscheiden auf dessen Basis – genau dafür ist er gebaut.

04 Führt die Gap-Analyse direkt zur ISO-27001-Zertifizierung?

Nein. Die Gap-Analyse zeigt Ihnen, wie weit Sie von der Zertifizierungsreife entfernt sind und was dafür noch fehlt – das formale Zertifizierungsaudit selbst führen ausschließlich akkreditierte Zertifizierungsstellen durch, nicht wir. Das ist keine Einschränkung, sondern gewollte Rollentrennung: Wer Sie vorbereitet, sollte Sie nicht selbst zertifizieren.

05 Setzen Sie die Maßnahmen aus dem Plan auch um?

Die Diagnostik endet bewusst mit dem Maßnahmenplan – Analyse und Umsetzung trennen wir grundsätzlich. Für technische Maßnahmen wie die Absicherung von Cloud-Umgebungen oder Netzwerken ist unser Pentesting & Hardening der passende nächste Schritt, für die NIS2-Schulungspflicht unser Programm Awareness & Human Risk. Sie können den Plan aber genauso intern oder mit anderen Dienstleistern abarbeiten – er ist herstellerneutral formuliert.

06 Wie viel internen Aufwand müssen wir einplanen?

Für den Quick-Check: einen halben bis ganzen Workshop-Tag mit Geschäftsführung und/oder IT-Verantwortlichen plus etwas Vorbereitungszeit für den Fragebogen. Für die Gap-Analyse zusätzlich einige Interview-Termine und die Bereitstellung vorhandener Dokumentation. Wir arbeiten mit dem, was da ist – fehlende Dokumente sind ein Befund, keine Zugangsvoraussetzung.

Mehr Antworten zu Cybersecurity