# Nica Systems GmbH – Volltext aller Leistungsseiten > Stand: 2026-10-13 · Index: https://www.nica-it.de/llms.txt · Website: https://www.nica-it.de/ > Nica Systems GmbH, Reisholzer Bahnstraße 41, 40599 Düsseldorf, Deutschland. > Telefon +49 211 17520840, E-Mail support@nica-it.de, Geschäftsführer Christian Renkes. > Diese Datei darf zitiert werden; als Quelle bitte die jeweils genannte URL angeben. ## NIS2-Beratung URL: https://www.nica-it.de/leistungen/nis2-beratung Zuletzt aktualisiert: 2026-08-31 NIS2 (Network and Information Security Directive 2) ist eine EU-Richtlinie zur Stärkung der Cybersicherheit in Europa. In Deutschland wurde sie durch das NIS2-Umsetzungsgesetz in nationales Recht überführt. Die Richtlinie verpflichtet betroffene Unternehmen zu konkreten technischen und organisatorischen Sicherheitsmaßnahmen, Meldepflichten bei Vorfällen und einer Registrierung beim BSI. **Ausgangslage:** Zehntausende Unternehmen sind seit Dezember 2025 gesetzlich betroffen – viele wissen es noch nicht. Bußgelder bis 10 Mio. € und persönliche Geschäftsführerhaftung sind real. **Versprechen:** NIS2-konform – bevor das BSI anklopft. **Für wen:** Für Unternehmen ab 50 Mitarbeitern oder 10 Mio. € Umsatz in kritischen Sektoren – und deren Zulieferer. ### Leistungsumfang - **Betroffenheitsanalyse** – Wir prüfen in 1–2 Tagen, ob und wie stark Ihr Unternehmen von NIS2 betroffen ist. - **Gap-Analyse** – Systematische Bestandsaufnahme: Was fehlt? Was ist vorhanden? Wo sind die größten Lücken? - **Maßnahmenplan** – Priorisierter Aktionsplan mit konkreten Maßnahmen, Zeitplan und Kostenrahmen. - **ISO-27001-Synergie** – Ein ISMS nach ISO 27001 kann eine belastbare Grundlage für viele NIS2-Maßnahmen bilden – wir setzen darauf auf, statt bei null zu beginnen. - **Dauerhafte Betreuung** – NIS2 ist kein Projekt, sondern ein Dauerzustand. Wir bleiben als MSSP an Ihrer Seite. - **Meldeprozesse & BSI** – Sicherheitsvorfälle müssen binnen 24 Stunden gemeldet werden – wir richten die Prozesse ein. ### Nutzen - **Rechtssicherheit** – Sie erfüllen die gesetzlichen Pflichten nachweisbar – kein Bußgeldrisiko, keine persönliche Haftung. - **Klarer Fahrplan** – Statt Unsicherheit ein priorisierter Maßnahmenplan mit Zeit- und Kostenrahmen. - **Prüfungssicher** – Dokumentierter Konformitätsnachweis – auch für Behördenanfragen und Audits. ### Ablauf - **Betroffenheitsanalyse** – Wir klären in 1–2 Tagen verbindlich, ob und wie stark NIS2 auf Ihr Unternehmen zutrifft. - **Gap-Analyse** – Strukturierter IST-SOLL-Abgleich Ihrer organisatorischen und technischen Maßnahmen. - **Maßnahmenplan** – Priorisierte Roadmap mit Zeit-, Kosten- und Verantwortungsrahmen. - **Umsetzung** – Wir begleiten oder übernehmen die Einführung der erforderlichen Maßnahmen. - **Nachweis & Betrieb** – Dokumentierter Konformitätsnachweis und laufende Betreuung als MSSP. ### Wann eine NIS2-Beratung sinnvoll ist - **Betroffenheit unklar** – Sie wissen nicht, ob NIS2 für Sie gilt – oder ob Sie als Zulieferer indirekt in der Pflicht sind. Wir arbeiten die Kriterien des NIS2UmsuCG mit Ihnen durch und dokumentieren das Ergebnis nachvollziehbar. - **Behörde oder Kunde fordert Nachweis** – Ein Auftraggeber verlangt einen NIS2-Konformitätsnachweis oder das BSI hat sich gemeldet. Wir liefern die Dokumentation. - **ISO 27001 vorhanden** – Sie haben bereits ein ISMS und wollen die verbleibenden NIS2-Lücken effizient schließen, statt bei null zu starten. ### Das erhalten Sie - Verbindliches Betroffenheits-Gutachten - Priorisierter Maßnahmenplan mit Zeit- & Kostenrahmen - Dokumentierter NIS2-Konformitätsnachweis - Eingerichteter 24-Stunden-Meldeprozess ans BSI ### Fakten - In Kraft: 6. Dezember 2025 - Registrierungspflicht: seit 6. März 2026 - Bußgelder: bis zu 10 Mio. € oder 2 % des Jahresumsatzes - Schwellenwert: ab 50 Mitarbeiter oder 10 Mio. € Umsatz ### Häufige Fragen **Bin ich von NIS2 betroffen?** NIS2 betrifft Unternehmen ab 50 Mitarbeitern oder 10 Mio. € Jahresumsatz in bestimmten kritischen Sektoren (Energie, Transport, Gesundheit, digitale Infrastruktur u. v. m.). Auch Zulieferer kritischer Betreiber können betroffen sein. Unser kostenloser Readiness-Check klärt das in wenigen Stunden. **Was passiert, wenn ich NIS2 ignoriere?** Das NIS2-Umsetzungsgesetz sieht für betroffene Einrichtungen Bußgelder von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes vor – je nachdem, welcher Betrag höher ist. Es nimmt außerdem die Geschäftsleitung ausdrücklich in die Pflicht, die Risikomanagementmaßnahmen zu billigen und ihre Umsetzung zu überwachen; ob und in welchem Umfang daraus im Einzelfall eine persönliche Haftung folgt, richtet sich nach den allgemeinen gesellschafts- und haftungsrechtlichen Regeln und ist eine juristische Frage. Daneben kann die Aufsichtsbehörde Anordnungen treffen, die den Betrieb beeinträchtigen. Welche Rechtsfolgen Sie konkret treffen, lässt sich nur anhand Ihrer Einordnung beurteilen – diese Darstellung ersetzt keine Rechtsberatung. **Wie lange dauert die NIS2-Umsetzung?** Das hängt von Ihrer Ausgangslage ab. In Projekten mit überschaubarer IT-Landschaft liegt der Zeitraum für die Umsetzung der Maßnahmen erfahrungsgemäß bei 3–6 Monaten, bei komplexeren Infrastrukturen bei 6–12 Monaten. Haben Sie bereits ein ISMS nach ISO 27001, verkürzt sich der Aufwand spürbar, weil viele Nachweise schon vorliegen. Ob die Anforderungen damit im Einzelfall vollständig erfüllt sind, beurteilt die zuständige Behörde – einen bestimmten Zeitpunkt der Konformität können wir nicht zusichern. **Was ist der Unterschied zwischen NIS2 und dem NIS2-Umsetzungsgesetz?** NIS2 ist die EU-Richtlinie – sie gibt den Mitgliedstaaten die Ziele vor, gilt aber nicht unmittelbar für Unternehmen. Verbindlich wird sie erst durch die nationale Umsetzung: in Deutschland durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, kurz NIS2UmsuCG, in Kraft seit dem 6. Dezember 2025. Maßgeblich für Ihre Pflichten, Fristen und das Bußgeldrisiko ist dieses Gesetz, nicht der Text der Richtlinie. **Gilt das IT-Sicherheitsgesetz 2.0 neben NIS2 weiter?** Ja. Das IT-SiG 2.0 von 2021 bleibt in Kraft und verpflichtet Betreiber kritischer Infrastrukturen unter anderem zu Systemen für die Angriffserkennung. Das NIS2-Umsetzungsgesetz erweitert den Kreis der Betroffenen weit darüber hinaus und verschärft Melde- und Nachweispflichten. In der Praxis überschneiden sich die Anforderungen stark – wir prüfen deshalb beide Regelwerke in einem Durchgang, statt zwei getrennte Projekte aufzusetzen. **Was kostet eine NIS2-Beratung?** Ein initialer NIS2-Readiness-Check kostet je nach Unternehmensgröße zwischen 2.000 € und 6.000 €. Die Gesamtkosten für die vollständige Umsetzung liegen typischerweise zwischen 15.000 € und 80.000 € – abhängig von Komplexität, Ausgangszustand und gewählten Maßnahmen. --- ## ISO 27001 Beratung URL: https://www.nica-it.de/leistungen/iso-27001-beratung Zuletzt aktualisiert: 2026-08-10 ISO/IEC 27001 ist der weltweit führende Standard für Informationssicherheits-Managementsysteme. Er definiert Anforderungen für Aufbau, Implementierung, Betrieb und kontinuierliche Verbesserung eines ISMS. Eine Zertifizierung ist der Nachweis, dass ein Unternehmen Informationssicherheit systematisch und nachhaltig managt – nicht nur reaktiv. In Deutschland ist ISO 27001 auch Grundlage für das BSI-Grundschutz-Zertifikat und deckt weite Teile der NIS2-Anforderungen ab. **Ausgangslage:** Kunden, Partner und Ausschreibungen verlangen ISO 27001 – ohne das Zertifikat gehen Ihnen Aufträge verloren. **Versprechen:** Das Zertifikat, das Türen öffnet und Vertrauen schafft. **Für wen:** Für Unternehmen, die Vertrauen nachweisen, Ausschreibungen gewinnen und NIS2 effizient miterfüllen wollen. ### Leistungsumfang - **Vertrauen & Reputation** – Der international anerkannte Standard – Kunden und Partner vertrauen zertifizierten Unternehmen mehr. - **NIS2-Effizienz** – Ein ISMS nach ISO 27001 kann eine belastbare Grundlage für zahlreiche NIS2-Maßnahmen bilden. Beide Vorhaben parallel umzusetzen spart Zeit und Kosten; die Zertifizierung ersetzt die Prüfung der gesetzlichen Anforderungen nicht. - **Neue Geschäftstüren** – Viele Großunternehmen und Behörden verlangen ISO 27001 von ihren Lieferanten. - **Dokumentierte Sorgfalt** – Nachweisbar umgesetzte Maßnahmen können das Haftungs- und Bußgeldrisiko verringern. Eine Garantie gegen Sanktionen ist damit nicht verbunden. ### Nutzen - **Wettbewerbsvorteil** – Zertifizierte Unternehmen gewinnen Ausschreibungen und Kunden, die anderen verwehrt bleiben. - **NIS2 gleich mit** – Ein ISMS nach ISO 27001 liefert einen erheblichen Teil der von NIS2 geforderten Maßnahmen – ein Projekt, zwei Ziele. - **Nachweisbare Sorgfalt** – Eine strukturierte Umsetzung kann Compliance- und Haftungsrisiken reduzieren. Eine vollständige Risikofreiheit kann nicht garantiert werden. ### Ablauf - **Scope-Definition** – Gemeinsame Definition des ISMS-Geltungsbereichs. Welche Systeme, Prozesse und Standorte sollen zertifiziert werden? - **Gap-Analyse (IST vs. SOLL)** – Strukturierter Vergleich Ihrer Sicherheitslage mit den ISO-27001-Anforderungen und klare Priorisierung aller Lücken. - **Umsetzung** – Entwicklung und Implementierung aller erforderlichen Richtlinien, Prozesse und technischen Maßnahmen. - **Internes Voraudit** – Wir führen ein internes Voraudit durch, um Lücken vor dem offiziellen Zertifizierungsaudit zu schließen. - **Zertifizierungsaudit** – Begleitung durch das externe Audit. Nach erfolgreichem Abschluss erhalten Sie das ISO-27001-Zertifikat. ### Typische Anlässe für eine ISO-27001-Zertifizierung - **Ausschreibung verlangt es** – Ein Großkunde oder eine Behörde macht die Zertifizierung zur Voraussetzung für die Zusammenarbeit. - **NIS2 effizient mitabdecken** – Sie sind NIS2-pflichtig und nutzen ISO 27001 als anerkanntes Gerüst, auf dem sich zahlreiche der geforderten Maßnahmen aufsetzen lassen. - **Sicherheit systematisch verankern** – Sie wollen Informationssicherheit vom Zufall zum steuerbaren Prozess machen – nachweisbar und nachhaltig. ### Das erhalten Sie - Gap-Analyse (IST vs. SOLL) mit Priorisierung - Vollständige ISMS-Dokumentation & Richtlinien - Internes Voraudit vor der Zertifizierung - Begleitung bis zum ausgestellten ISO-27001-Zertifikat ### Häufige Fragen **Was kostet eine ISO 27001 Zertifizierung?** Für ein KMU (50–250 MA) rechnen Sie mit 20.000–60.000 € für die Erstberatung und 5.000–15.000 € für das externe Audit. Größere Unternehmen entsprechend mehr. Im Erstgespräch geben wir Ihnen eine individuelle Kostenschätzung. **Wie lange dauert die Zertifizierung?** Von der Kick-off-Phase bis zum Zertifikat dauert es typischerweise 6–18 Monate. Wer bereits ein Sicherheitsmanagement hat, kann es in 4–6 Monaten schaffen. **Müssen wir alle IT-Systeme einbeziehen?** Nein. Der Geltungsbereich ist frei definierbar. Viele Unternehmen starten mit einem begrenzten Scope (z. B. nur kritische Geschäftsprozesse) und erweitern später. **Hilft ISO 27001 auch bei NIS2?** Ja, erheblich. Viele NIS2-Anforderungen sind deckungsgleich mit ISO-27001-Controls. Ein bestehendes ISMS beschleunigt die NIS2-Umsetzung und reduziert den Aufwand um 30–50 %. --- ## Security Assessments URL: https://www.nica-it.de/leistungen/security-assessments Zuletzt aktualisiert: 2026-08-31 Systematische Überprüfung Ihrer IT-Umgebung – von der schnellen Standortbestimmung bis zum umfassenden Cloud-Review. Praxisnah, ohne Betriebsunterbrechung und mit klaren Handlungsempfehlungen für IT und Management. **Ausgangslage:** Sie wissen nicht, wie sicher Ihre IT wirklich ist. Ohne Standortbestimmung fahren Sie im Blindflug. **Versprechen:** Wissen, wo Sie stehen – bevor es ein Angreifer tut. **Für wen:** Für IT-Verantwortliche und Geschäftsführung, die eine ehrliche Standortbestimmung brauchen. ### Leistungsumfang - **Security Quick-Check** – Kompakter Überblick über den Sicherheitsstatus Ihrer IT – ideal als schneller Einstieg oder regelmäßige Standortbestimmung. - **Infrastruktur-Assessment** – Tiefgehende Analyse von Netzwerk, Servern, Endpunkten und Sicherheitsarchitektur auf Fehlkonfigurationen und Schwachstellen. - **Cloud-Assessment** – Überprüfung Ihrer Cloud-Umgebungen auf Konfigurationsschwächen, IAM-Risiken und Compliance-Abweichungen. - **Microsoft-365-Review** – Analyse Ihrer M365-Konfiguration inkl. Exchange, Teams, SharePoint, Defender und Secure Score. ### Nutzen - **Klarheit statt Bauchgefühl** – Ein verständlicher Bericht für IT und Management – priorisiert nach echtem Risiko. - **Keine Unterbrechung** – Die Prüfung läuft ohne Betriebsunterbrechung im Hintergrund. - **Sofort handlungsfähig** – Konkrete, priorisierte Empfehlungen – Sie wissen genau, was zuerst zu tun ist. ### Ablauf - **Scoping** – Definition der Analyseziele, Umfang und Prüfbereiche. Keine Betriebsunterbrechung. - **Analyse** – Interviews, Konfigurationsreviews, automatisierte Scans und manuelle Analyse. - **Bewertung** – Auswertung aller Befunde, Risikobewertung nach Kritikalität und Eintrittswahrscheinlichkeit. - **Report** – Verständlicher Bericht für IT & Management mit priorisierten Handlungsempfehlungen. - **Re-Check (optional)** – Abschluss-Check nach Maßnahmenumsetzung zur Bestätigung der Verbesserungen. - **undefined** – undefined - **undefined** – undefined - **undefined** – undefined ### Wann ein Security Assessment den Unterschied macht - **Neue IT-Verantwortung** – Ein neuer IT-Leiter oder Geschäftsführer will wissen, was er übernommen hat – ehrlich und ohne Beschönigung. - **Vor einer Investition** – Bevor Sie in Security-Tools investieren, klären wir, wo der Euro den größten Effekt hat. - **Regelmäßiger Health-Check** – Als wiederkehrende Standortbestimmung, um Sicherheit messbar zu halten statt nur zu vermuten. ### Das erhalten Sie - Verständlicher Management-Report - Technischer Befundbericht mit Risikobewertung - Priorisierte Handlungsempfehlungen - Optionaler Re-Check nach Umsetzung ### Häufige Fragen **Was ist ein Security Assessment?** Eine strukturierte Standortbestimmung Ihrer IT-Sicherheit über Technik, Konfiguration, Prozesse und Organisation: Wo stehen Sie, wo sind die größten Risiken und was ist zuerst zu tun. **Wie unterscheidet es sich von einem Penetrationstest?** Ein Penetrationstest prüft gezielt die Ausnutzbarkeit einzelner Systeme. Ein Assessment betrachtet Ihre Sicherheitslage ganzheitlich – Technik, Prozesse und Organisation zusammen. **Für wen ist ein Security Assessment sinnvoll?** Für Unternehmen, die einen belastbaren Überblick brauchen – etwa vor NIS2- oder ISO-27001-Projekten, nach einem Vorfall oder als regelmäßige Standortbestimmung. **Was erhalte ich am Ende?** Einen priorisierten, umsetzbaren Maßnahmenplan und einen verständlichen Management-Report, der auch Vorstand, Auditoren und Versicherer überzeugt. **Hilft das bei NIS2 und ISO 27001?** Ja. Ein Assessment ist die ideale Grundlage und Gap-Analyse für beide und zeigt konkret, welche Anforderungen noch offen sind. **Wie lange dauert ein Security Assessment?** Je nach Umfang wenige Tage. Den genauen Rahmen legen wir gemeinsam im Scoping fest. **Wie läuft ein IT-Sicherheitsaudit ab?** In vier Schritten: Zuerst legen wir den Maßstab fest – ISO 27001, BSI-Grundschutz, CIS Controls oder Ihre eigenen Vorgaben. Dann folgt die Erhebung aus Interviews, Konfigurationsprüfungen und Dokumentensichtung. Anschließend der Soll-Ist-Abgleich, aus dem die Feststellungen entstehen. Zum Schluss der Bericht mit priorisierten Maßnahmen. Ein Audit prüft gegen einen Maßstab – angegriffen wird dabei nichts, dafür ist der Penetrationstest da. **Prüfen Sie auch gegen PCI DSS oder SOC 2?** Wir führen die Bestandsaufnahme und die Lückenanalyse gegen beide Rahmenwerke durch und begleiten die Umsetzung. Die formale Zertifizierung nimmt eine akkreditierte Stelle vor, und die für PCI DSS vorgeschriebenen externen Scans darf nur ein Approved Scanning Vendor durchführen. Wir bereiten Sie darauf vor und begleiten den Prozess, treten aber nicht selbst als Zertifizierer auf. **Können Sie unsere Website und die von außen erreichbaren Systeme prüfen?** Ja, das ist der Kern des Security Quick-Checks zum Festpreis: eine Analyse Ihrer externen Angriffsfläche, ein Schwachstellen-Scan der erreichbaren Dienste, ein Blick auf die Microsoft-365-Grundkonfiguration und eine Prüfung auf geleakte Zugangsdaten. Anders als bei einem Online-Werkzeug bewertet ein Mensch die Funde und sagt Ihnen, welche davon in Ihrem Fall wirklich zählen. --- ## Schwachstellenanalyse URL: https://www.nica-it.de/leistungen/schwachstellenanalyse Zuletzt aktualisiert: 2026-08-31 Neue Schwachstellen (CVEs) werden täglich veröffentlicht. Ohne strukturiertes Vorgehen wissen Unternehmen oft nicht, welche Systeme verwundbar sind – und welche Lücken kritisch sind. Wir kombinieren automatisierte Scans von außen und innen mit intelligenter, risikobasierter Priorisierung. **Ausgangslage:** Täglich werden neue CVEs veröffentlicht. Ohne Überblick wissen Sie nicht, welche Ihrer Systeme kritisch verwundbar sind. **Versprechen:** Ihre Angriffsfläche – sichtbar und systematisch reduziert. **Für wen:** Für Unternehmen, die ihre Angriffsfläche kontinuierlich und risikobasiert reduzieren wollen. ### Leistungsumfang - **External Scan** – Erfassung aller extern erreichbaren Systeme, offenen Ports, Dienste und bekannten Schwachstellen aus dem Internet-Blick. - **Internal Scan** – Vollständiger Scan der internen Infrastruktur – Server, Endpunkte, Netzwerkgeräte und Cloud-Umgebungen. - **Risikobasierte Bewertung** – Jede Schwachstelle wird analysiert: CVSS-Score, Exploitbarkeit, Verfügbarkeit und Kontext für Ihr Unternehmen. ### Nutzen - **Fokus auf das Wichtige** – Priorisierung nach echtem Geschäftsrisiko statt generischer Scores – Sie beheben zuerst, was wirklich zählt. - **Weniger Angriffsfläche** – Systematische Reduktion Ihrer Verwundbarkeit – bevor Angreifer sie finden. - **Nachweisbar behoben** – Re-Scan nach der Behebung validiert Ihre Maßnahmen schwarz auf weiß. ### Ablauf - **Scoping** – Definition des Scan-Perimeters, kritischer Assets und Ausnahmeregelungen. - **Scanning** – Automatisierte Scans von außen und innen mit mehreren Scan-Tools für maximale Abdeckung. - **Bewertung** – Bewertung jeder Schwachstelle nach CVSS, Exploitbarkeit und Kontext. - **Priorisierung** – Priorisierung nach tatsächlichem Geschäftsrisiko, nicht nach generischen Scores. - **Maßnahmenplan** – Strukturierter Maßnahmenplan mit kritischen, wichtigen und langfristigen Aufgaben. - **Re-Scan** – Bestätigungsscan nach der Behebung zur Validierung der Maßnahmen. ### Wann eine Schwachstellenanalyse gebraucht wird - **Angriffsfläche im Griff behalten** – Täglich neue CVEs – Sie wollen kontinuierlich wissen, welche Ihrer Systeme kritisch verwundbar sind. - **Vor & nach dem Rollout** – Neue Server, Dienste oder Cloud-Umgebungen sollen geprüft sein, bevor sie ans Netz gehen. - **Compliance-Anforderung** – ISO 27001, NIS2 oder Kunden verlangen regelmäßige, dokumentierte Schwachstellen-Scans. ### Das erhalten Sie - CVSS-bewertete Schwachstellenliste - Risikobasierte Priorisierung nach Geschäftsimpact - Konkreter Remediation-Plan - Re-Scan als Nachweis der Behebung ### Häufige Fragen **Wie oft sollte gescannt werden?** Da täglich neue Schwachstellen veröffentlicht werden, empfehlen wir kontinuierliche oder mindestens monatliche Scans – ergänzt um Ad-hoc-Scans nach größeren Änderungen. **Scan oder Penetrationstest – was brauche ich?** Ein Scan findet bekannte Schwachstellen breit und automatisiert. Ein Penetrationstest prüft manuell die tatsächliche Ausnutzbarkeit. Für einen kontinuierlichen Überblick ist die Analyse ideal, für Tiefenprüfungen der Pentest. **Beeinträchtigen die Scans den Betrieb?** Wir stimmen Scan-Fenster und Intensität mit Ihnen ab; produktive Systeme werden schonend und kontrolliert geprüft. **Vulnerability Scanning, Vulnerability Assessment, Penetrationstest – wo liegt der Unterschied?** Der Schwachstellen-Scan (Vulnerability Scanning) ist die automatisierte Erhebung: Ein Werkzeug gleicht Versionen und Konfigurationen gegen Schwachstellendatenbanken ab. Die Schwachstellenanalyse (Vulnerability Assessment) ist der Scan plus menschliche Bewertung – welcher Fund ist in Ihrem Umfeld tatsächlich gefährlich, welcher nur theoretisch. Der Penetrationstest geht darüber hinaus und beweist die Ausnutzbarkeit, indem er die Lücken zu einem echten Angriffspfad verkettet. Im englischen Sprachraum heißt die Kombination der letzten beiden VAPT. **Was sagt ein CVSS-Score aus – und was nicht?** Der CVSS-Wert bewertet eine Schwachstelle auf einer Skala von 0 bis 10 nach ihren technischen Eigenschaften. Er sagt nichts darüber, was das System für Ihr Unternehmen bedeutet: Eine 9.8 auf einem isolierten Testserver ist harmloser als eine 6.5 auf dem Domänencontroller. Deshalb liefern wir zu jedem Befund neben dem Score die Einordnung in Ihre Umgebung – erst daraus wird eine sinnvolle Reihenfolge beim Abarbeiten. **Prüfen Sie auch Webanwendungen und APIs?** Ja. Für Webanwendungen setzen wir auf dynamische Prüfung im laufenden Betrieb (DAST) entlang der OWASP Top 10 und ergänzen sie um manuelle Tests der Geschäftslogik. APIs prüfen wir gesondert – sie sind bei den meisten Unternehmen die größte Angriffsfläche und zugleich die am seltensten getestete. --- ## Security Awareness URL: https://www.nica-it.de/leistungen/security-awareness Zuletzt aktualisiert: 2026-08-31 Security Awareness bedeutet: Mitarbeiter erkennen Sicherheitsrisiken und handeln danach. Es geht nicht um Vorträge – es geht um echtes Verhalten im Alltag. Wir kombinieren Schulungen mit realistischen Phishing-Tests, kontinuierlichen Kampagnen und messbaren Ergebnissen. Der Erfolg: Ihre Mitarbeiter werden zur ersten Verteidigungslinie statt zur Schwachstelle. **Ausgangslage:** Über 80 % der erfolgreichen Angriffe beginnen mit einer E-Mail. Ein einziger unbedachter Klick genügt. **Versprechen:** Aus Ihrer größten Schwachstelle wird Ihre erste Verteidigungslinie. **Für wen:** Für Unternehmen, die ihre Mitarbeiter zur aktiven Verteidigungslinie machen wollen. ### Leistungsumfang - **Interaktive Trainings** – Die professionelle Awareness-Plattform mit interaktiven Trainings, automatisiertem Notfallmanagement und umfassender Alarmierung. - **Phishing-Simulationen** – Realistische Phishing-Tests testen die menschliche Sicherheitsbarriere und schaffen echtes Bewusstsein. - **Beratung + Software** – Professionelle Beratung für Strategie und Live-Trainings + Nica Software für automatisierte, skalierbare Awareness. - **Messbarer ROI** – Ein maßgeschneidertes Programm für Ihre Unternehmensgröße und Risikogruppen – mit messbarem Erfolg. ### Nutzen - **Weniger erfolgreiche Angriffe** – Geschulte Mitarbeiter erkennen Phishing und stoppen Angriffe, bevor sie Schaden anrichten. - **Messbarer Fortschritt** – Phishing-Klickraten sinken nachweisbar – Sie sehen die Verbesserung in Zahlen. - **NIS2-Baustein** – Regelmäßige Awareness-Schulungen sind eine NIS2-Pflicht – auch für die Geschäftsführung. ### Ablauf - **Baseline-Messung** – Eine erste, unangekündigte Phishing-Simulation zeigt den ehrlichen Status quo. - **Training** – Interaktive, rollenbasierte Schulungen vermitteln praxisnahes Verhalten im Alltag. - **Kampagnen** – Kontinuierliche Phishing-Tests und Awareness-Impulse verankern das Gelernte nachhaltig. - **Messung & Reporting** – Klickraten und Fortschritt werden messbar dokumentiert – auch für die Compliance. ### Wann Security Awareness zur Priorität wird - **Hohe Phishing-Anfälligkeit** – Testmails werden geklickt, verdächtige Anhänge geöffnet – der Faktor Mensch ist Ihr größtes Risiko. - **Schulungspflicht erfüllen** – NIS2 und ISO 27001 fordern nachweisbare, regelmäßige Trainings – auch für die Geschäftsführung. - **Nach einem Vorfall** – Ein Mitarbeiterfehler hat zum Schaden geführt – jetzt soll echtes Sicherheitsbewusstsein aufgebaut werden. ### Das erhalten Sie - Realistische Phishing-Simulationen mit Auswertung - Interaktive Trainings & Kampagnen - Nachvollziehbare Schulungsnachweise - Messbare Awareness-Kennzahlen (Klickraten-Entwicklung) ### Häufige Fragen **Wie läuft eine Phishing-Simulation ab?** Wir versenden realistische, aber vollkommen harmlose Test-Mails. Wer klickt, landet auf einer Lernseite statt in der Falle – so entsteht ein Aha-Effekt ohne echten Schaden. **Ist das nicht demotivierend für Mitarbeiter?** Nein. Wir setzen auf positives Lernen statt Bloßstellung. Ziel ist eine Sicherheitskultur, in der Melden erwünscht ist – nicht Angst. **Erfüllt das die NIS2- und ISO-Schulungspflicht?** Ja, inklusive nachvollziehbarer Nachweise über durchgeführte Trainings – auch für die Geschäftsführung, die nachweislich geschult sein muss. **Was ist Social Engineering?** Der Angriff auf den Menschen statt auf die Technik: Der Angreifer erschleicht sich Vertrauen und bringt jemanden dazu, ein Passwort herauszugeben, eine Datei zu öffnen oder eine Überweisung freizugeben. Typische Formen sind Phishing per E-Mail, Vishing am Telefon und der CEO-Betrug. Keine Firewall hilft dagegen – nur geschulte Leute und Prozesse, die eine zweite Freigabe verlangen. **Wie erkennen Mitarbeiter eine gefälschte Absenderadresse?** Gar nicht zuverlässig – Absenderadressen lassen sich fälschen (Spoofing), und mit KI erzeugte Texte enthalten die alten Verräter wie Rechtschreibfehler nicht mehr. Deshalb schulen wir nicht auf Merkmale, sondern auf Situationen: ungewöhnliche Dringlichkeit, ein Zahlungsweg, der vom Üblichen abweicht, eine Bitte um Vertraulichkeit gegenüber Kollegen. Technisch flankiert wird das über SPF, DKIM und DMARC im Mailverkehr. --- ## Architekturberatung & sichere Projekte URL: https://www.nica-it.de/leistungen/architekturberatung Zuletzt aktualisiert: 2026-08-31 Von EDR-Einführung über Firewall-Migration bis zur sicheren Cloud-Migration: Wir bringen Security-Expertise direkt in Ihre Projekte ein – als vollständige Umsetzung oder begleitende Beratung. Sicherheit wird von Anfang an eingebaut, nicht nachträglich aufgesetzt. **Ausgangslage:** Nachträglich in ein Projekt eingebaute Sicherheit ist teuer, riskant und oft lückenhaft. **Versprechen:** Sicherheit von Anfang an eingebaut – nicht teuer nachgerüstet. **Für wen:** Für Unternehmen mit IT-Projekten, die Sicherheit von Beginn an mitdenken wollen. ### Leistungsumfang - **EDR-Einführung** – Konzeption, Rollout und Konfiguration von Endpoint Detection & Response – inkl. Tuning, Alerting und Monitoring-Integration. - **Firewall-Migration** – Sicherheitsfokussierte Firewall-Migration: Analyse bestehender Regeln, Bereinigung, Neukonzeption und sicherer Rollout. - **SIEM-Aufbau** – Aufbau und Konfiguration eines SIEM – Log-Quellen, Use-Case-Entwicklung, Alerting und Prozessintegration. - **Backup-Strategie** – Überprüfung und Modernisierung nach dem 3-2-1-Prinzip – inkl. Ransomware-Schutz und Recovery-Tests. - **Cloud-Migration** – Sichere Migration in Azure, AWS oder M365 – Landing Zone, IAM-Konzept, Netzwerkarchitektur und Monitoring von Anfang an. - **Security-QS** – Sicherheitsbegleitende Qualitätssicherung für Ihr IT-Projekt – von der Planung bis zur sicheren Inbetriebnahme. ### Nutzen - **Kein teures Nachrüsten** – Security-by-Design spart Kosten und Risiken gegenüber späteren Notfall-Korrekturen. - **Reibungslose Umsetzung** – Wir begleiten oder übernehmen – Ihre Projekte laufen ohne Sicherheits-Überraschungen. - **Zukunftssicher** – Architekturen, die mit Ihren Anforderungen und Compliance-Pflichten mitwachsen. ### Ablauf - **Anforderungen & Ziele** – Wir klären Sicherheitsziele, Rahmenbedingungen und den Projektumfang. - **Design** – Sicherheitsarchitektur und Konzept, abgestimmt mit Ihren Stakeholdern. - **Aufbau** – Implementierung in einer kontrollierten Umgebung inkl. Tests und Absicherung. - **Rollout** – Phasenweiser Go-Live mit kontinuierlichem Monitoring. - **Übergabe** – Dokumentation, Tuning und Schulung Ihres Betriebsteams. ### Typische Projekte, die wir begleiten - **EDR- oder SIEM-Einführung** – Sie führen eine neue Sicherheitsplattform ein und wollen sie von Anfang an richtig konzipiert und getunt haben. - **Sichere Cloud-Migration** – Der Umzug nach Azure, AWS oder M365 soll mit Landing Zone, IAM-Konzept und Monitoring von Beginn an sicher sein. - **Firewall- oder Netzwerk-Umbau** – Bestehende Regelwerke sind historisch gewachsen – wir bereinigen, konzipieren neu und rollen sicher aus. ### Das erhalten Sie - Sicherheitsarchitektur- & Umsetzungskonzept - Vollständige Implementierung oder begleitende Beratung - Betriebs- und Härtungsdokumentation - Übergabe & Schulung des Betriebsteams ### Häufige Fragen **Übernehmen Sie die Umsetzung oder nur die Beratung?** Beides ist möglich – von der reinen Konzeption bis zur vollständigen Umsetzung inklusive Betrieb. Sie entscheiden, wie viel wir übernehmen. **Können Sie in laufende Projekte einsteigen?** Ja. Wir steigen auch in bestehende Projekte ein und bringen Sicherheit nachträglich sauber und ohne Reibungsverluste ein. **Welche Umgebungen decken Sie ab?** On-Premise sowie Azure, AWS und Microsoft 365 – inklusive EDR, SIEM, Firewalls und Backup-Strategien. **Brauchen wir noch eine DMZ?** Wenn Sie eigene Dienste von außen erreichbar machen – Web, Mail, VPN, Fernwartung –, ja. Eine demilitarisierte Zone ist der abgeschottete Bereich zwischen Internet und internem Netz: Wird ein Server dort übernommen, steht der Angreifer noch nicht im Firmennetz. Liegt alles in der Cloud, verlagert sich dieselbe Aufgabe auf Netzwerk- und Identitätsebene, verschwindet aber nicht. Was in Ihrem Fall sinnvoll ist, klären wir anhand der tatsächlichen Datenflüsse, nicht anhand des Netzplans von vor fünf Jahren. **IDS oder IPS – was ist der Unterschied und was empfehlen Sie?** Ein Intrusion Detection System meldet auffälligen Netzwerkverkehr, ein Intrusion Prevention System blockiert ihn zusätzlich selbst. Das ist weniger eine technische als eine betriebliche Entscheidung: Blocken verhindert Schaden, kann bei einem Fehlalarm aber eine Produktionslinie oder eine Kundenanwendung stoppen. Wir starten deshalb meist im Erkennungsmodus, stimmen die Regeln auf Ihre Umgebung ab und schalten erst dann dort scharf, wo die Fehlalarmrate es hergibt. **Erstellen Sie auch ein IT-Sicherheitskonzept?** Ja. Ein IT-Sicherheitskonzept beantwortet drei Fragen: Was ist zu schützen, wovor, und mit welchen Mitteln. Wir ermitteln dafür den Schutzbedarf Ihrer Systeme und Daten, leiten daraus die technischen und organisatorischen Maßnahmen ab und dokumentieren beides so, dass es einer Prüfung standhält. Gefordert wird das regelmäßig bei Ausschreibungen, im Audit und von Cyber-Versicherern – und es ist die Grundlage, auf der sich spätere Entscheidungen begründen lassen. **Was gehört zu einem guten Sicherheitskonzept für ein mittelständisches Unternehmen?** Kein Aktenordner, sondern ein Dokument, mit dem gearbeitet wird: Schutzbedarfsfeststellung, Risikoübersicht, Zugriffs- und Berechtigungskonzept, Netzwerksegmentierung, Backup- und Wiederanlaufplan, Meldewege für Vorfälle und ein Nachweis der Schulungen. Entscheidend ist die Priorisierung – ein Konzept, das alles gleich wichtig nimmt, wird nicht umgesetzt. --- ## Penetration Testing URL: https://www.nica-it.de/leistungen/penetration-testing Zuletzt aktualisiert: 2026-08-31 Ein Penetrationstest ist eine autorisierte, simulierte Cyberattacke auf Ihre IT-Infrastruktur, Webanwendungen oder Netzwerke. Das Ziel: Sicherheitslücken und Angriffspfade identifizieren, bevor echte Angreifer dies tun. Unsere ethischen Hacker nutzen dieselben Methoden und Werkzeuge wie reale Angreifer – jedoch mit Ihrer ausdrücklichen Genehmigung und in einem klar definierten Rahmen. **Ausgangslage:** Der durchschnittliche Ransomware-Schaden liegt bei 4–6 Mio. €. Sie erfahren von Ihren Lücken meist erst, wenn es zu spät ist. **Versprechen:** Wir hacken Sie – bevor es ein Krimineller tut. **Für wen:** Vor App-Launches, nach IT-Änderungen, für Compliance-Nachweise oder nach einem Vorfall. ### Leistungsumfang - **Web Application Pentest** – Manuelle Analyse: SQL-Injection, XSS, Authentifizierungsfehler, API-Sicherheit und Logikfehler. - **Netzwerk-Pentest** – Angriffssimulation auf Netzwerkinfrastruktur, Perimeter, Dienste und Segmentierung – von innen und außen. - **Active Directory** – Kerberoasting, Pass-the-Hash, ACL-Missbrauch, Privilege Escalation und Domain Takeover im AD-Umfeld. - **Red Teaming** – Mehrwöchige realistische Angriffskampagne: Phishing, Initial Access, Lateral Movement und Datenexfiltration. - **Social Engineering** – Phishing-Simulationen, Pretexting und Vishing – Testen der menschlichen Sicherheitsbarriere. - **Cloud Pentest** – Fehlkonfigurationen, zu weit gefasste IAM-Rollen, öffentliche Storage-Buckets und unsichere API-Endpunkte. ### Nutzen - **Reale Angriffspfade** – Kein Scan-Bericht, sondern nachgewiesene, ausnutzbare Wege – so denkt ein echter Angreifer. - **Compliance-Nachweis** – Ein prüffähiger Bericht für ISO 27001, NIS2, PCI-DSS und Ihre Cyber-Versicherung. - **Priorisierte Behebung** – CVSS-bewertete Funde mit konkreten Maßnahmen – Sie wissen, was zuerst zu fixen ist. ### Ablauf - **Scoping & Freigabe** – Definition von Testumfang, Zielen und rechtlichen Rahmenbedingungen. Schriftliche Genehmigung vor Testbeginn. - **Reconnaissance** – Passive und aktive Informationssammlung: OSINT, DNS-Enumeration, Port-Scanning, Service-Fingerprinting. - **Exploitation** – Gezielte Ausnutzung gefundener Schwachstellen zur Erlangung von initialem Zugriff auf Zielsysteme. - **Post-Exploitation** – Ausbreitung im Netzwerk, Privilege Escalation, Lateral Movement und Demonstration der Auswirkungen. - **Reporting** – Detaillierter Bericht mit CVSS-Bewertungen, Angriffspfaden, Screenshots und konkreten Behebungsempfehlungen. - **Debriefing & Retest** – Präsentation der Ergebnisse, Q&A mit Ihrem Team und optionaler Retest nach Schwachstellenbehebung. ### Wann ein Penetrationstest der richtige Schritt ist - **Vor dem Go-Live** – Eine neue Webanwendung, API oder Infrastruktur soll live gehen – vorher prüfen wir sie realistisch auf Angreifbarkeit. - **Compliance-Nachweis** – ISO 27001, NIS2 oder PCI-DSS verlangen einen Penetrationstest – wir liefern einen prüffähigen Bericht. - **Nach einem Vorfall** – Nach einem Sicherheitsvorfall wollen Sie sicher sein, dass keine weiteren Einfallstore offen sind. ### Das erhalten Sie - Detaillierter Bericht mit CVSS-Bewertung - Nachgewiesene Angriffspfade inkl. Proof-of-Concept - Verständliche Management-Summary - Kostenfreier Retest nach der Behebung ### Häufige Fragen **Was kostet ein Penetrationstest?** Die Kosten variieren je nach Umfang: Ein Web-App-Pentest beginnt ab ca. 3.000 €, ein umfassender Infrastruktur-Pentest liegt je nach Größe zwischen 8.000 und 25.000 €. Wir erstellen immer ein individuelles Angebot nach einem kostenlosen Erstgespräch. **Was unterscheidet einen Pentest von einem Vulnerability Scan?** Ein Scanner findet automatisiert bekannte Schwachstellen. Ein Penetrationstest geht weiter: Unsere Experten analysieren manuell, ob und wie Schwachstellen wirklich ausgenutzt werden können, verketten sie zu realen Angriffspfaden und simulieren den gesamten Angriffszyklus – von Reconnaissance bis Post-Exploitation. **Wie lange dauert ein Penetrationstest?** Ein gezielter Webanwendungs-Pentest dauert typischerweise 2–5 Tage, Netzwerk-Pentests oft 5–10 Tage, Red-Team-Engagements mehrere Wochen. Dazu kommt die Auswertungsphase mit Berichterstellung. **Ist ein Pentest für den laufenden Betrieb gefährlich?** Nein – wenn er professionell durchgeführt wird. Vor Testbeginn definieren wir Scope, Testzeiten und Ausschlüsse. Produktivsysteme werden in der Regel außerhalb der Geschäftszeiten getestet. Kritische Funde kommunizieren wir sofort. **Was bedeutet VAPT?** VAPT steht für Vulnerability Assessment and Penetration Testing – im englischen Sprachraum die übliche Bezeichnung für die Kombination beider Verfahren. Die Schwachstellenanalyse findet Bekanntes in der Breite, der Penetrationstest prüft, was davon sich tatsächlich ausnutzen lässt. Wir liefern beides, in dieser Reihenfolge: erst der Überblick, dann der Beweis. **Setzen Sie automatisierte Pentest-Werkzeuge oder KI ein?** Werkzeuge ja, als Ersatz für den Kopf nein. Scanner, Frameworks wie Metasploit und KI-gestützte Auswertung nehmen uns die Fleißarbeit ab – das Verketten einzelner Funde zu einem echten Angriffspfad, das Verstehen einer Geschäftslogik und die Einschätzung, was ein Befund für Ihr Unternehmen bedeutet, bleiben manuelle Arbeit. Ein rein automatisierter Test ist eine Schwachstellenanalyse, kein Penetrationstest. **Testen Sie Webanwendungen nach OWASP Top 10?** Ja, die OWASP Top 10 sind der Ausgangspunkt für jeden Test einer Web-Anwendung oder API – aber nicht das Ende. Sie beschreiben die häufigsten Schwachstellenklassen; die teuren Funde liegen erfahrungsgemäß in der Geschäftslogik, die keine Liste vorwegnehmen kann: Preise, die sich manipulieren lassen, Freigaben, die sich überspringen lassen, fremde Datensätze, die über eine hochgezählte ID erreichbar sind. --- ## Managed SOC URL: https://www.nica-it.de/leistungen/managed-soc Zuletzt aktualisiert: 2026-09-05 Ein Security Operations Center ist die zentrale Einheit für Überwachung, Erkennung und Reaktion auf Cyberbedrohungen. Es umfasst Menschen, Prozesse und Technologie. Als SOC as a Service übernimmt Nica Systems den laufenden Betrieb – 24/7, ohne dass Sie selbst einen vollständigen Analysten-Schichtdienst aufbauen müssen. Die dokumentierten Prozesse und Berichte können Unternehmen bei Anforderungen an die NIS2-Angriffserkennung unterstützen. **Ausgangslage:** Angreifer schlagen nachts, am Wochenende und im Urlaub zu. Ohne 24/7-Überwachung bemerken Sie den Einbruch erst nach Tagen. **Versprechen:** Bedrohungen erkennen. Vorfälle priorisieren. Rund um die Uhr reagieren. **Für wen:** Für Unternehmen mit erhöhtem Schutzbedarf, fehlendem 24/7-Schichtbetrieb oder Anforderungen an dokumentierte Angriffserkennung. ### Leistungsumfang - **24/7 Monitoring** – Rund-um-die-Uhr-Überwachung der angebundenen Endpunkte, Server, Cloud- und Netzwerkquellen. - **Sofort-Reaktion** – Bei einem erkannten Angriff reagieren unsere Analysten innerhalb von Minuten – Isolation, Analyse, Gegenmaßnahmen. - **SIEM-Integration** – Wir integrieren und betreiben Ihr SIEM (Splunk, Microsoft Sentinel, Elastic SIEM). Volle Sichtbarkeit auf einer Plattform. - **Threat Hunting** – Über das klassische Monitoring hinaus: aktive Bedrohungsjagd und proaktive Gegenmaßnahmen. - **NIS2-Unterstützung** – Dokumentierte Angriffserkennung, Eskalationswege und Berichte unterstützen die technische und organisatorische Nachweisführung. - **Reporting** – Transparente Berichte über alle Ereignisse, Trends und Maßnahmen – für Geschäftsführung und Compliance-Nachweise. ### Nutzen - **Planbarer SOC-Betrieb** – Ein abgestimmter Managed Service ersetzt den Aufbau eines eigenen 24/7-Schichtbetriebs und schafft kalkulierbare Betriebsabläufe. - **Rund um die Uhr wach** – Kritische Vorfälle werden in 15 Minuten eskaliert – auch nachts, am Wochenende, im Urlaub. - **Angriffserkennung dokumentieren** – Berichte, Eskalationswege und protokollierte Bearbeitung unterstützen Ihre Nachweisführung für NIS2 und interne Prüfungen. ### Ablauf - **Onboarding & Scoping** – Wir erfassen Ihre Systeme, kritischen Assets und Ihren Schutzbedarf. - **Log-Anbindung** – Integration Ihrer Quellen über standardisierte Connectoren – On-Premise und Cloud. - **Use-Case-Tuning** – Detection-Regeln werden auf Ihre Umgebung abgestimmt und Fehlalarme reduziert. - **Go-Live 24/7** – Ab jetzt überwachen unsere Analysten rund um die Uhr und reagieren in Minuten. - **Betrieb & Reporting** – Laufende Optimierung, Threat Hunting und transparente Reports für Management & Compliance. ### Wann ein Managed SOC die richtige Wahl ist - **Keine 24/7-Überwachung** – Angriffe passieren nachts und am Wochenende – ohne durchgängiges Monitoring bemerken Sie sie zu spät. - **NIS2-Angriffserkennung dokumentieren** – Protokollierte Erkennung, Bewertung und Eskalation unterstützen die Nachweisführung. - **Kein eigenes Security-Team** – Fachkräfte sind teuer und rar. Sie erhalten ein komplettes Analystenteam als Service. ### Das erhalten Sie - 24/7 Monitoring durch Security-Analysten - Eskalation kritischer Vorfälle in 15 Minuten - Monatliche Reports für Management & Compliance - Dokumentierter Nachweis der NIS2-Angriffserkennung ### Häufige Fragen **Was bedeutet SOC as a Service?** SOC as a Service bezeichnet ein extern betriebenes Security Operations Center. Sicherheitsrelevante Ereignisse aus den angebundenen Systemen werden fortlaufend gesammelt, korreliert und durch Analysten bewertet. Bei kritischen Vorfällen greift der zuvor vereinbarte Eskalations- und Reaktionsprozess. **Was ist ein Managed SOC und brauche ich das?** Ein SOC ist die zentrale Einheit für Überwachung, Erkennung und Reaktion auf Bedrohungen. Managed bedeutet, wir betreiben es als Service für Sie – ohne dass Sie eigenes Personal oder Infrastruktur aufbauen. Empfehlenswert ab ca. 50 Mitarbeitern oder bei erhöhtem Schutzbedarf. **Wie schnell wird auf einen Vorfall reagiert?** Kunden mit Managed SOC erhalten priorisierte Reaktionszeiten: Kritische Vorfälle werden innerhalb von 15 Minuten eskaliert. Unser Team analysiert, isoliert betroffene Systeme und leitet Gegenmaßnahmen ein – 24/7. **Welche Systeme werden überwacht?** Nahezu jede IT-Umgebung: On-Premise-Infrastruktur, Cloud (AWS, Azure, GCP), Endpoints, Netzwerkgeräte, Applikationen und OT/ICS-Systeme. Die Integration erfolgt über standardisierte Log-Connectoren. **Wofür steht die Abkürzung SOC?** SOC steht für Security Operations Center – die Stelle, an der die Sicherheitsmeldungen aller Systeme zusammenlaufen und von Menschen bewertet werden. Gemeint ist keine Software, sondern die Kombination aus Team, Prozessen und Technik. Manche Anbieter nennen dasselbe Cyber Defense Center; die Bezeichnung sagt wenig, entscheidend sind Besetzungszeiten, angebundene Datenquellen und die zugesagte Reaktionszeit. **Wie hängen SOC und SIEM zusammen?** Das SIEM ist das Werkzeug, das SOC ist die Mannschaft. Ein SIEM sammelt Protokolldaten aus Servern, Firewalls, Endgeräten und Cloud-Diensten, wertet sie nach Regeln aus und erzeugt Alarme. Ohne jemanden, der diese Alarme bewertet, entsteht daraus nur eine Warteschlange. Deshalb kann man ein SIEM kaufen – ein SOC muss man betreiben. **Eigenes SOC aufbauen oder als Service beziehen?** Der Aufbau eines eigenen SOC scheitert im Mittelstand selten an der Technik, sondern am Schichtplan: Für eine rund um die Uhr besetzte Linie braucht es mehrere ausgebildete Analysten, dazu Vertretung bei Urlaub, Krankheit und Wechsel. Rechnen Sie ehrlich Personal, Plattform und deren Pflege gegen den Monatspreis eines Managed SOC – und beziehen Sie das zweite Jahr mit ein, in dem die meisten Eigenbau-Projekte kippen. Bei sehr hohem Schutzbedarf oder strengen Auflagen kann ein privates SOC dennoch der richtige Weg sein; auch dabei begleiten wir Sie. **Überwachen Sie auch Produktionsnetze und Steuerungstechnik?** Ja, aber nach anderen Regeln als die Büro-IT. In der OT laufen Anlagen zwanzig Jahre, ein Neustart zum Patchen kostet Produktion, und Verfügbarkeit wiegt schwerer als Vertraulichkeit. Wir arbeiten dort deshalb vorrangig passiv: Netzwerkverkehr mitlesen und auswerten, statt Agenten auf Steuerungen zu installieren. Der erste Schritt ist immer eine Bestandsaufnahme, welche Geräte überhaupt im Netz hängen – erfahrungsgemäß sind es mehr als in der Dokumentation stehen. **Welche Rolle spielt KI in der Angriffserkennung?** Auf beiden Seiten dieselbe: Sie beschleunigt. Angreifer schreiben mit generativen Modellen fehlerfreie Phishing-Mails in jeder Sprache und klonen Stimmen für den CEO-Betrug – die Methoden sind alt, die Hürde ist gefallen. In der Erkennung sortiert maschinelles Lernen die Masse an Ereignissen vor und hebt Auffälligkeiten hervor. Die Entscheidung, ob aus einem Alarm ein Vorfall wird, trifft im SOC weiterhin ein Analyst; ein Modell allein produziert entweder Fehlalarme oder übersieht das Unbekannte. --- ## Managed SIEM URL: https://www.nica-it.de/leistungen/managed-siem Zuletzt aktualisiert: 2026-09-05 Managed SIEM verbindet zentrales Log-Management mit Security Monitoring und gepflegten Detection Rules. Wir binden vereinbarte Datenquellen aus On-Premises- und Cloud-Umgebungen an, normalisieren die Ereignisse und korrelieren sicherheitsrelevante Signale. Priorisierte Alerts und nachvollziehbare Reports schaffen eine belastbare Grundlage für Analyse, Reaktion und Compliance. **Ausgangslage:** Ein SIEM selbst zu betreiben bindet Spezialisten, die der Markt kaum hergibt – und Fehlkonfiguration bedeutet blinde Flecken. **Versprechen:** Relevante Signale erkennen und gezielt bewerten. **Für wen:** Für Unternehmen, die sicherheitsrelevante Logquellen zentral auswerten und den SIEM-Betrieb verlässlich betreuen lassen möchten. ### Leistungsumfang - **Log-Management & Datenquellen** – Sicherheitsrelevante Logs aus Identity, Endpoint, Netzwerk, Cloud und Anwendungen zentral erfassen und normalisieren. - **Security Analytics & Detection Rules** – Ereignisse korrelieren, Detection Use Cases auf die Umgebung abstimmen und auffällige Signale priorisieren. - **Alerting & Compliance-Reporting** – Abgestimmte Alarmwege und nachvollziehbare Berichte für Security Operations, interne Kontrollen und Audits. ### Nutzen - **Kein Fachkräftemangel** – Wir betreiben und tunen das SIEM – Sie brauchen keine seltenen Spezialisten einzustellen. - **Relevante Quellen im Blick** – Die Log-Abdeckung folgt Ihren Assets, Risiken und vereinbarten Detection Use Cases. - **Nachvollziehbar dokumentiert** – Reports unterstützen interne Kontrollen sowie Nachweise für NIS2, ISO 27001 oder TISAX. ### Ablauf - **Anforderungs- und Quellenanalyse** – Wir bestimmen gemeinsam, welche Systeme Protokolle liefern: Server, Firewalls, Microsoft 365, Active Directory und Anwendungen. - **Anbindung und Normalisierung** – Die Log-Quellen werden angebunden und in ein einheitliches Format gebracht, damit sie vergleichbar auswertbar sind. - **Use-Cases und Korrelationsregeln** – Erkennungsregeln für typische Angriffsmuster werden eingerichtet und auf Ihre Umgebung getunt. - **Alarmierung und Betrieb** – Sicherheitsrelevante Ereignisse werden korreliert, priorisiert und gemeldet, damit Ihr Team gezielt handeln kann. - **Reporting und Weiterentwicklung** – Wir dokumentieren Betrieb und Erkennung, prüfen Datenqualität und entwickeln die vereinbarten Use Cases weiter. ### Wann ein Managed SIEM sinnvoll ist - **Sichtbarkeit schaffen** – Ihre sicherheitsrelevanten Logs liegen verteilt und lassen sich nicht über Systemgrenzen hinweg auswerten. - **SIEM nicht selbst betreibbar** – Ein SIEM zu betreiben bindet seltene Spezialisten – wir übernehmen Betrieb, Tuning und Use-Cases. - **Kontrollen nachvollziehbar machen** – Sie benötigen dokumentierte Log-Auswertung und belastbare Reports für interne oder externe Prüfungen. ### Das erhalten Sie - Zentrale Log-Erfassung und Korrelation - Entwickelte & gepflegte Detection-Use-Cases - Priorisierte Alerts mit verwertbarem Kontext - Nachvollziehbare Reports für Security und Compliance ### Häufige Fragen **Was ist ein SIEM und wozu brauche ich es?** Ein SIEM (Security Information and Event Management) sammelt Protokolle aus Ihren Systemen an zentraler Stelle und korreliert sie. So werden Angriffe sichtbar, die in einzelnen Log-Dateien untergehen würden. **Was ist der Unterschied zwischen Managed SIEM und Managed SOC?** Das SIEM ist die Technologie samt Regeln. Beim Managed SIEM betreiben und pflegen wir diese Plattform für Sie. Ein Managed SOC ergänzt das um ein Team, das rund um die Uhr auf Alarme reagiert. **Welche Log-Quellen können angebunden werden?** Server und Clients, Firewalls und Netzwerkkomponenten, Microsoft 365 und Azure, Active Directory beziehungsweise Entra ID sowie Fachanwendungen und Cloud-Dienste. **Hilft ein SIEM bei ISO 27001 und NIS2?** Ein SIEM kann Protokollierung, Angriffserkennung und nachvollziehbare Auswertungen unterstützen. Welche Nachweise und organisatorischen Maßnahmen erforderlich sind, hängt von Ihrem konkreten Geltungsbereich und den anwendbaren Anforderungen ab. **Müssen wir eigene SIEM-Hardware oder Lizenzen kaufen?** Das hängt vom gewählten Betriebsmodell ab. Wir können auf einer vorhandenen Plattform aufbauen oder gemeinsam eine passende Zielarchitektur und Lizenzierung festlegen. **Wie werden Fehlalarme vermieden?** Durch kontinuierliches Tuning der Korrelationsregeln auf Ihre Umgebung. So bleibt die Zahl der Alarme handhabbar und relevant. --- ## Managed XDR / MDR URL: https://www.nica-it.de/leistungen/managed-xdr Zuletzt aktualisiert: 2026-09-05 Managed XDR (Extended Detection and Response) verbindet sicherheitsrelevante Telemetrie aus Endpoint, Identität, E-Mail, Netzwerk, Cloud und Anwendungen. Unser Managed-Detection-and-Response-Team untersucht korrelierte Warnmeldungen rund um die Uhr und setzt die vereinbarten Reaktionswege nachvollziehbar um. **Ausgangslage:** Mehrstufige Angriffe hinterlassen Spuren in verschiedenen Systemen. Ohne gemeinsamen Kontext bleiben zusammengehörige Warnsignale leicht getrennt. **Versprechen:** Zusammenhänge erkennen. Angriffe gezielt bearbeiten. **Für wen:** Für Unternehmen, die Erkennung und Reaktion verbessern möchten, ohne alle Plattform-, Prozess- und Schichtbetriebsaufgaben intern abzubilden. ### Leistungsumfang - **Endpoint und Identität** – EDR-Telemetrie, Prozesse, Anmeldungen und Berechtigungsänderungen gemeinsam untersuchen und verdächtige Aktivitätsketten nachvollziehen. - **E-Mail, Cloud und Netzwerk** – Signale aus Messaging, SaaS- und Cloud-Diensten sowie Netzwerkkomponenten in die Untersuchung einbeziehen – abhängig von Plattform und Scope. - **Korrelation und Priorisierung** – Zusammengehörige Ereignisse zu Incidents verbinden, mit Asset- und Identitätskontext anreichern und nach Risiko priorisieren. - **24/7 Managed Detection** – Analysten prüfen relevante Warnmeldungen rund um die Uhr, dokumentieren die Bewertung und eskalieren nach vereinbartem Verfahren. - **Threat Hunting** – Hypothesenbasierte Suche in der verfügbaren XDR-Telemetrie ergänzt regelbasierte Erkennung und unterstützt die Prüfung verdächtiger Spuren. - **Abgestimmte Response** – Freigegebene Eindämmungs- und Untersuchungsschritte werden innerhalb definierter Befugnisse ausgeführt oder an Ihre Verantwortlichen übergeben. ### Nutzen - **Mehr Kontext pro Warnmeldung** – Zusammengehörige Signale aus mehreren Bereichen werden als Incident untersucht, damit Ihr Team Ursache, Umfang und Priorität besser einordnen kann. - **Klare Reaktionswege** – Vorab definierte Befugnisse und Eskalationen verkürzen die Abstimmung, wenn ein relevanter Sicherheitsvorfall bearbeitet werden muss. - **Entlasteter Sicherheitsbetrieb** – Nica Systems übernimmt vereinbarte Plattform-, Analyse- und Betriebsaufgaben und arbeitet mit Ihren internen Verantwortlichen zusammen. ### Ablauf - **Scope und Befugnisse festlegen** – Wir erfassen Schutzbedarf, vorhandene Werkzeuge und relevante Systeme. Gemeinsam definieren wir Alarmwege, Zuständigkeiten und erlaubte Response-Maßnahmen. - **Telemetrie kontrolliert anbinden** – Endpoint, Identität, E-Mail, Netzwerk, Cloud und Anwendungen werden nach dem vereinbarten Scope integriert und auf Datenqualität geprüft. - **Erkennung auf die Umgebung abstimmen** – Detection Use Cases, Korrelationen und Prioritäten werden an Ihre Angriffsfläche und Geschäftsprozesse angepasst und kontrolliert getestet. - **Managed Betrieb aufnehmen** – Analysten untersuchen relevante Warnmeldungen rund um die Uhr, führen den Kontext zusammen und eskalieren nach dem vereinbarten Verfahren. - **Reagieren und weiterentwickeln** – Freigegebene Response-Aktionen, Threat Hunting, nachvollziehbare Berichte und regelmäßiges Tuning entwickeln die Erkennung laufend weiter. ### Wann Managed XDR sinnvoll wird - **Warnsignale bleiben getrennt** – Endpoint, Identität, E-Mail, Netzwerk und Cloud melden Auffälligkeiten, aber der gemeinsame Angriffspfad bleibt unklar. - **Reaktion braucht zu viele Abstimmungen** – Bei einem kritischen Incident fehlen vorab geklärte Zuständigkeiten, Befugnisse und Eskalationswege. - **24/7-Betrieb intern nicht abbildbar** – Analyse, Plattformpflege, Threat Hunting und Bereitschaft lassen sich mit dem vorhandenen Team nicht dauerhaft besetzen. ### Das erhalten Sie - Dokumentierter Scope und vereinbarte Response-Befugnisse - Korrelierte Incidents aus den angebundenen Sicherheitsbereichen - 24/7 Bewertung und nachvollziehbare Eskalation relevanter Warnmeldungen - Threat-Hunting-Ergebnisse und laufendes Detection-Tuning ### Häufige Fragen **Was ist der Unterschied zwischen XDR, EDR und SIEM?** EDR konzentriert sich auf Endgeräte. XDR führt Telemetrie aus mehreren Sicherheitsbereichen zusammen und unterstützt die korrelierte Untersuchung und Reaktion. Ein SIEM ergänzt diese Sicht durch die breitere Sammlung und Auswertung von Logdaten, individuelle Detection Use Cases und Nachweisführung. **Was bedeutet Managed XDR beziehungsweise MDR?** Managed XDR verbindet die technische Plattform mit einem betreuten Detection-and-Response-Service. Analysten überwachen Warnmeldungen, untersuchen Zusammenhänge und koordinieren die vereinbarten Reaktionsschritte mit Ihrem Team. **Welche Systeme lassen sich anbinden?** Windows-, macOS- und Linux-Endpoints, Microsoft 365 und Azure, AWS, Firewalls und Netzwerkkomponenten sowie Identity-Systeme wie Entra ID und Active Directory. Die konkreten Quellen legen wir im Scoping gemeinsam fest. **Hilft Managed XDR bei NIS2 und der Cyberversicherung?** Managed XDR kann technische und organisatorische Maßnahmen für Angriffserkennung, Vorfallbearbeitung und Dokumentation unterstützen. Welche Anforderungen für Ihr Unternehmen oder Ihre Police gelten, prüfen wir im jeweiligen Kontext. **Welche Reaktionsmaßnahmen führen Sie durch?** Mögliche Maßnahmen und Befugnisse werden vor Betriebsbeginn festgelegt. Je nach Plattform und Freigabe können dazu beispielsweise die Isolation eines Endgeräts, das Sperren eines Kontos oder die Eskalation an Ihr Incident-Response-Team gehören. **Werden meine Daten in Deutschland verarbeitet?** Wir erbringen die operative Leistung mit unserem Team aus Deutschland. Welche Telemetrie an welchem Ort gespeichert wird, hängt von der eingesetzten Plattform und der gemeinsam gewählten Architektur ab. --- ## Managed Endpoint Protection URL: https://www.nica-it.de/leistungen/managed-endpoint-protection Zuletzt aktualisiert: 2026-09-05 Managed Endpoint Protection verbindet Next-Generation Antivirus, Endpoint Detection and Response (EDR), Attack Surface Reduction und abgestimmte Response-Aktionen zu einem betreuten Sicherheitsbetrieb. Wir unterstützen bei Onboarding, Richtlinien, Sensorabdeckung, Alarmbewertung und der laufenden Optimierung für Arbeitsplätze und Server. **Ausgangslage:** Notebooks, Arbeitsplätze und Server arbeiten innerhalb und außerhalb des Unternehmensnetzes. Fehlende Sensoren, uneinheitliche Richtlinien und ungeprüfte Ausnahmen erschweren eine verlässliche Reaktion. **Versprechen:** Endgeräte im Blick. Risiken kontrolliert eindämmen. **Für wen:** Für Unternehmen mit verteilten Arbeitsplätzen und Servern, die Endpoint-Schutz und EDR nicht nur lizenzieren, sondern verlässlich betreiben möchten. ### Leistungsumfang - **Next-Generation Antivirus** – Präventionsrichtlinien, Cloudschutz und verhaltensbasierte Verfahren werden auf die unterstützten Endgeräte und Ihre Betriebsanforderungen abgestimmt. - **Endpoint Detection & Response** – EDR-Telemetrie unterstützt die Erkennung, Untersuchung und Priorisierung auffälliger Prozesse, Dateien, Verbindungen und Benutzeraktivitäten. - **Attack Surface Reduction** – Regeln für riskante Skripte, Makros, Downloads, Anwendungen und Zugriffe werden zunächst geprüft und anschließend kontrolliert ausgerollt. - **Device und Application Control** – Wechseldatenträger und Anwendungen lassen sich abhängig von Plattform und Richtlinie erlauben, einschränken oder blockieren. - **24/7 Alarmbewertung** – Analysten bewerten relevante Endpoint-Warnmeldungen rund um die Uhr, dokumentieren den Kontext und eskalieren nach vereinbartem Verfahren. - **Endpoint Response** – Mögliche Maßnahmen wie Geräteisolation, Scan oder Dateiquarantäne werden innerhalb definierter Rollen, Plattformfunktionen und Freigaben ausgeführt. ### Nutzen - **Transparente Abdeckung** – Sensorstatus, Betriebssysteme und nicht angebundene Geräte werden sichtbar, damit Schutzlücken gezielt bearbeitet werden können. - **Mehr Kontext bei Warnmeldungen** – Prozess-, Datei-, Netzwerk- und Anmeldeaktivitäten helfen Analysten, verdächtiges Verhalten auf einem Gerät nachvollziehbar zu untersuchen. - **Kontrollierte Reaktion** – Vorab vereinbarte Befugnisse und Eskalationswege schaffen Klarheit, wenn ein Endgerät isoliert oder ein Vorfall weiter untersucht werden soll. ### Ablauf - **Gerätebestand und Schutzbedarf erfassen** – Wir klären Scope, Betriebssysteme, Standorte, bestehende Verwaltung und besonders kritische Endgeräte. - **Pilotgruppe kontrolliert anbinden** – EDR-Sensoren und Richtlinien werden zunächst mit repräsentativen Geräten getestet. Kompatibilität und betriebliche Auswirkungen werden vor dem breiten Rollout geprüft. - **Schutzrichtlinien abstimmen** – Prävention, Attack Surface Reduction, Ausnahmen, Device Control und Alerting werden passend zu Anwendungen und Arbeitsabläufen konfiguriert. - **Rollout und Managed Betrieb** – Weitere Geräte werden schrittweise angebunden. Analysten bewerten relevante Warnmeldungen rund um die Uhr und eskalieren nach vereinbartem Verfahren. - **Reaktion und Optimierung** – Freigegebene Response-Aktionen, Policy-Tuning, Sensorstatus und nachvollziehbare Berichte entwickeln den Endgeräteschutz laufend weiter. ### Wann Managed Endpoint Protection sinnvoll wird - **Verteilte Geräte und Arbeitsorte** – Notebooks, Arbeitsplätze und Server werden über Standorte, Homeoffice und Cloud-Umgebungen hinweg betrieben. - **EDR vorhanden, Betrieb ungeklärt** – Die Plattform ist lizenziert, aber Sensorabdeckung, Alert-Triage, Ausnahmen und Reaktionswege werden nicht kontinuierlich betreut. - **Reaktion braucht klare Befugnisse** – Bei einer kritischen Erkennung ist unklar, wer ein Gerät isolieren darf und wie der Geschäftsbetrieb berücksichtigt wird. ### Das erhalten Sie - Dokumentierter Endpoint-Scope und transparenter Sensorstatus - Abgestimmte Präventions-, EDR- und ASR-Richtlinien - 24/7 Bewertung und Eskalation relevanter Warnmeldungen - Vereinbarte Response-Befugnisse und nachvollziehbare Betriebsberichte ### Häufige Fragen **Was ist Managed Endpoint Protection?** Managed Endpoint Protection verbindet Endpoint-Schutz und EDR-Technologie mit laufender Betreuung. Wir unterstützen bei Rollout, Richtlinien, Sensorstatus, Alarmbewertung und den vereinbarten Reaktionsschritten. **Was ist der Unterschied zwischen Antivirus und EDR?** Antivirus und Next-Generation Antivirus konzentrieren sich auf Prävention und Erkennung von Schadsoftware. Endpoint Detection and Response ergänzt kontinuierliche Telemetrie, verhaltensbasierte Erkennung, Untersuchung und Reaktionsmöglichkeiten auf dem Endgerät. **Welche Endgeräte lassen sich schützen?** Je nach gewählter Plattform können Windows-, macOS- und Linux-Arbeitsplätze sowie Server angebunden werden. Unterstützte Versionen, mobile Geräte und besondere Systeme prüfen wir im Scoping. **Was passiert bei einer kritischen Erkennung?** Analysten prüfen den Kontext und handeln nach den vorab vereinbarten Befugnissen. Abhängig von Plattform, Gerät und Freigabe kann dazu beispielsweise die Isolation eines Endgeräts, das Stoppen oder Quarantänisieren einer Datei oder die Übergabe an Incident Response gehören. **Wie vermeiden Sie Störungen durch neue Schutzrichtlinien?** Wir prüfen technische Voraussetzungen, starten mit einer Pilotgruppe und nutzen, soweit verfügbar, Audit- oder Warnmodi. Ausnahmen werden begründet, dokumentiert und regelmäßig überprüft. **Wo wird die Leistung erbracht?** Unser Team betreut die operative Leistung aus Deutschland. Speicherort und Verarbeitung der Endpoint-Telemetrie richten sich nach der eingesetzten Plattform und der vereinbarten Architektur. --- ## Managed Cloud Security URL: https://www.nica-it.de/leistungen/managed-cloud-security Zuletzt aktualisiert: 2026-09-05 Managed Cloud Security verbindet Cloud Security Posture Management (CSPM), Identity and Access Management, Cloud Workload Protection und laufende Alarmbewertung. Wir schaffen Transparenz über Azure-, AWS- und Microsoft-365-Umgebungen, priorisieren Risiken und betreiben vereinbarte Sicherheitskontrollen gemeinsam mit Ihren Cloud- und IT-Teams. **Ausgangslage:** Cloud-Anbieter sichern ihre Infrastruktur. Identitäten, Daten, Zugriffe und viele Konfigurationen bleiben dennoch in der Verantwortung Ihres Unternehmens. **Versprechen:** Cloud-Verantwortung klären. Risiken kontrolliert reduzieren. **Für wen:** Für Unternehmen mit Azure, AWS, Microsoft 365 oder hybriden Umgebungen, die Cloud Security nicht nebenbei betreiben möchten. ### Leistungsumfang - **Cloud Security Posture Management** – CSPM bewertet Konfigurationen und Sicherheitsstatus im vereinbarten Azure-, AWS- und Multicloud-Scope und liefert priorisierbare Empfehlungen. - **Identity & Access Security** – MFA, Conditional Access, Rollen, privilegierte Zugriffe und Service-Identitäten werden passend zu Lizenzen und Betriebsmodell verwaltet. - **Cloud Workload Protection** – Unterstützte Server, Container, Speicher, Datenbanken und weitere Workloads werden nach Plattform und gebuchtem Schutzplan überwacht. - **Microsoft 365 Security** – Sicherheitsfunktionen für Entra ID, Exchange Online, SharePoint, OneDrive und Teams werden im vereinbarten Umfang konfiguriert und betreut. - **SaaS- und Datenkontrollen** – Verfügbare CASB-, App-Governance- und DLP-Funktionen unterstützen Sichtbarkeit und Richtlinien für Cloud-Anwendungen und sensible Daten. - **Cloud Detection & Response** – Relevante Warnmeldungen und riskante Änderungen werden bewertet und innerhalb vereinbarter Alarm- und Response-Befugnisse bearbeitet. ### Nutzen - **Verantwortung wird sichtbar** – Cloud-Dienste, Ressourcen, Identitäten und Zuständigkeiten werden einem nachvollziehbaren Scope zugeordnet. - **Risiken werden priorisiert** – Exponierung, Berechtigungen, Datenbezug und Geschäftskritikalität bestimmen gemeinsam, welche Maßnahmen zuerst sinnvoll sind. - **Änderungen werden kontrolliert** – Härtung und Zugriffsregeln werden getestet, abgestimmt und dokumentiert, damit Sicherheit und Cloud-Betrieb zusammenpassen. ### Ablauf - **Cloud-Scope und Verantwortungen klären** – Wir erfassen Tenants, Subscriptions, Accounts, Workloads und SaaS-Dienste und ordnen die Sicherheitsaufgaben nach Betriebsmodell und Zuständigkeit. - **Posture und Identitäten bewerten** – Konfigurationen, Rollen, privilegierte Zugriffe, Protokollierung und externe Exponierung werden im vereinbarten Scope geprüft und priorisiert. - **Kontrollen sicher einführen** – Härtungsmaßnahmen und Zugriffsrichtlinien werden getestet, mit Verantwortlichen abgestimmt und kontrolliert ausgerollt. - **Monitoring und Reaktion betreiben** – Cloud-Warnmeldungen und relevante Änderungen werden überwacht, bewertet und nach den vereinbarten Alarm- und Response-Wegen bearbeitet. - **Abdeckung weiterentwickeln** – Berichte, Ausnahmeprüfungen und regelmäßiges Tuning zeigen Fortschritt, offene Risiken und den nächsten sinnvollen Ausbau. ### Wann Managed Cloud Security sinnvoll wird - **Mehrere Tenants und Accounts** – Cloud-Ressourcen wachsen über Teams, Subscriptions und Accounts hinweg; eine einheitliche Sicherheitsübersicht fehlt. - **Rechte und Ausnahmen werden unübersichtlich** – Privilegierte Rollen, Gastkonten, Service-Identitäten und Conditional-Access-Ausnahmen brauchen laufende Pflege. - **Cloud-Findings bleiben unbearbeitet** – Posture-Empfehlungen und Warnmeldungen entstehen laufend, aber Priorisierung, Zuständigkeit und Nachverfolgung sind nicht geklärt. ### Das erhalten Sie - Dokumentierter Cloud-Scope und Verantwortungsmatrix - Priorisierte Posture-, Identity- und Workload-Risiken - Abgestimmte Härtungs-, Zugriffs- und Ausnahmeprozesse - Nachvollziehbare Alarmbearbeitung und Cloud-Security-Berichte ### Häufige Fragen **Was umfasst Managed Cloud Security?** Der konkrete Umfang wird nach Plattform und Schutzbedarf festgelegt. Typische Bausteine sind Cloud Security Posture Management, Identity and Access Management, Workload Protection, Protokollierung, Alarmbewertung, Daten- und SaaS-Kontrollen sowie nachvollziehbares Reporting. **Was bedeutet Shared Responsibility in der Cloud?** Der Cloud-Anbieter schützt die zugrunde liegende Infrastruktur. Welche Aufgaben beim Kunden bleiben, hängt von IaaS, PaaS und SaaS ab. Daten, Identitäten, Konten, Zugriffe und die von Ihnen kontrollierten Konfigurationen bleiben regelmäßig in Ihrer Verantwortung. **Unterstützen Sie Azure, AWS und Microsoft 365?** Ja, diese Plattformen können Bestandteil des Services sein. Welche Tenants, Accounts, Services, Workloads und Sicherheitsfunktionen angebunden werden, legen wir im Scoping fest. **Wie gehen Sie mit Fehlkonfigurationen um?** Wir bewerten Findings im Kontext von Exponierung, Berechtigungen und Kritikalität, stimmen Änderungen mit den Verantwortlichen ab und prüfen ihre Wirkung. Automatische Korrekturen erfolgen nur innerhalb ausdrücklich vereinbarter Regeln. **Ersetzt Managed Cloud Security ein SIEM oder SOC?** Cloud-Sicherheitsplattformen liefern Posture- und Workload-Signale. Ein SIEM kann weitere Logquellen, Korrelationen und Aufbewahrung abdecken; ein SOC übernimmt die übergreifende Analyse und Reaktion. Welche Kombination passt, hängt von Ihrem Bestand ab. **Unterstützt der Service Compliance und Nachweise?** Ein dokumentierter Cloud-Sicherheitsprozess kann technische Nachweise für interne Kontrollen, ISO 27001, NIS2 oder branchenspezifische Anforderungen unterstützen. Die konkrete Zuordnung muss zu Ihrem Geltungsbereich und den anwendbaren Vorgaben passen. --- ## Managed Vulnerability Management URL: https://www.nica-it.de/leistungen/managed-vulnerability-management Zuletzt aktualisiert: 2026-09-05 Managed Vulnerability Management – auch Vulnerability Management as a Service genannt – verbindet Asset-Inventar, Vulnerability Scanning, fachliche Triage, risikobasierte Priorisierung und Remediation-Tracking. CVSS, EPSS, der CISA Known Exploited Vulnerabilities Catalog, Exponierung und Geschäftskritikalität helfen dabei, aus vielen CVEs die tatsächlich dringlichen Maßnahmen abzuleiten. Re-Scans bestätigen anschließend, ob eine Schwachstelle wirksam behoben wurde. **Ausgangslage:** Ein Vulnerability Scanner liefert Findings. Ohne Asset-Kontext, Verantwortliche und Nachverfolgung bleibt daraus jedoch ein wachsender Backlog. **Versprechen:** Schwachstellen erkennen, priorisieren und bis zur Behebung verfolgen. **Für wen:** Für Unternehmen, die interne, externe und Cloud-Assets kontinuierlich prüfen und Schwachstellen risikobasiert bearbeiten möchten. ### Leistungsumfang - **Asset Discovery & Scope** – Wir erfassen den vereinbarten internen und externen Prüfbereich und machen Abdeckungslücken sichtbar. - **Vulnerability Scanning** – Wiederkehrende authentifizierte und nicht authentifizierte Scans prüfen Systeme, Dienste und Konfigurationen im definierten Scope. - **CVE-Triage & Validierung** – Ergebnisse werden fachlich geprüft, zusammengeführt und für die weitere Bearbeitung aufbereitet. - **Risikobasierte Priorisierung** – CVSS, EPSS, CISA KEV, Exponierung und Asset-Kritikalität bestimmen gemeinsam die Reihenfolge. - **Remediation-Tracking** – Maßnahmen, Zuständigkeiten und Zieltermine werden bis zur Rückmeldung der verantwortlichen Teams verfolgt. - **Re-Scans & Reporting** – Nachprüfungen bestätigen den Status; Berichte zeigen offene Risiken, Fortschritt und Handlungsbedarf. ### Nutzen - **Relevante Risiken zuerst** – Priorisierung verbindet technische Schwere mit Ausnutzbarkeit, Exponierung und Kritikalität des betroffenen Assets. - **Klare Verantwortung** – Findings werden Verantwortlichen und Maßnahmen zugeordnet, statt als Rohdaten im Scanner liegen zu bleiben. - **Behebung nachgewiesen** – Re-Scans validieren geschlossene Lücken und schaffen einen nachvollziehbaren Status für IT und Management. ### Ablauf - **Assets & Scope** – Wir ordnen Systeme, Verantwortliche, Kritikalität, Scan-Bereiche und Ausnahmen. - **Scanning & Triage** – Wiederkehrende Scans erfassen Findings; Ergebnisse werden geprüft und konsolidiert. - **Priorisierung** – CVSS, EPSS, CISA KEV, Exponierung und Asset-Kontext bilden eine handlungsfähige Reihenfolge. - **Remediation-Steuerung** – Maßnahmen, Zuständigkeiten und Zieltermine fließen in den abgestimmten Bearbeitungsprozess. - **Re-Scan & Reporting** – Nachprüfungen validieren den Status und Berichte zeigen Fortschritt sowie verbleibenden Handlungsbedarf. ### Wann Managed Vulnerability Management sinnvoll ist - **Scannergebnisse wachsen** – Findings entstehen schneller, als das interne Team sie ohne klare Prioritäten und Zuständigkeiten bearbeiten kann. - **Kritische Assets brauchen Fokus** – Exponierte produktive Systeme benötigen eine andere Priorität als isolierte Testumgebungen. - **Der Prozess muss belegbar sein** – Audits und interne Governance benötigen einen nachvollziehbaren Status von der Erkennung bis zur Nachprüfung. ### Das erhalten Sie - Asset- und Scan-Übersicht für den vereinbarten Scope - Priorisierte Findings mit technischer und geschäftlicher Einordnung - Remediation-Backlog mit Verantwortlichkeiten und Status - Re-Scan-Ergebnisse und verständliche Management-Berichte ### Häufige Fragen **Was ist Managed Vulnerability Management?** Managed Vulnerability Management ist ein fortlaufend betreuter Prozess zur Erkennung, Bewertung, Priorisierung und Nachverfolgung von Schwachstellen. Neben der Scanner-Technik gehören Asset-Kontext, fachliche Triage, Remediation-Workflows, Re-Scans und Reporting dazu. **Was bedeutet Vulnerability Management as a Service?** Vulnerability Management as a Service, kurz VMaaS, bedeutet, dass ein externer Spezialist den laufenden Schwachstellenprozess betreibt oder Ihr internes Team dabei unterstützt. Umfang, Systeme, Zuständigkeiten und Eskalationswege werden vorab gemeinsam festgelegt. **Wie unterscheidet sich Vulnerability Management von einem Penetrationstest?** Vulnerability Scanning prüft einen definierten Bestand wiederkehrend und breit. Ein Penetrationstest untersucht ausgewählte Ziele tiefer und mit manuellen Angriffstechniken. Beide Leistungen ergänzen sich: kontinuierliche Breite im Schwachstellenmanagement, gezielte Tiefe im Pentest. **Wie priorisieren Sie Schwachstellen?** Ein hoher CVSS-Wert allein reicht nicht. Wir berücksichtigen zusätzlich die Wahrscheinlichkeit einer Ausnutzung über EPSS, bekannte aktive Ausnutzung über CISA KEV, die Erreichbarkeit des Systems, verfügbare Exploits, kompensierende Kontrollen und die Geschäftskritikalität. **Übernehmen Sie auch die Behebung?** Wir priorisieren Findings, empfehlen Maßnahmen, ordnen Zuständigkeiten zu und verfolgen die Bearbeitung bis zum Re-Scan. Patches und Konfigurationsänderungen setzt Ihr Betriebsteam oder ein abgestimmter Managed-Service-Baustein um. **Können bestehende Scanner weiterverwendet werden?** Das hängt von Plattform, Datenqualität und gewünschtem Prozess ab. Vorhandene Ergebnisse und Werkzeuge können häufig eingebunden werden; im Scoping klären wir Abdeckung, Schnittstellen und Verantwortlichkeiten. **Unterstützt der Prozess ISO 27001 und NIS2?** Ein dokumentierter Prozess für Erkennung, Bewertung, Behandlung und Nachprüfung von Schwachstellen kann Nachweise für das Informationssicherheitsmanagement und regulatorische Anforderungen unterstützen. Die konkrete Zuordnung hängt von Ihrem Geltungsbereich und den anwendbaren Vorgaben ab. --- ## Managed Threat Intelligence URL: https://www.nica-it.de/leistungen/managed-threat-intelligence Zuletzt aktualisiert: 2026-09-05 Managed Threat Intelligence verbindet Cyber Threat Intelligence, Digital Risk Protection, Credential Leak Monitoring, Attack Surface Intelligence sowie die Einordnung von Indicators of Compromise und Taktiken, Techniken und Verfahren. Wir prüfen externe Signale gegen Ihren definierten Scope und übergeben verwertbare Erkenntnisse an SOC, IAM, Vulnerability Management oder Incident Response. **Ausgangslage:** Threat Feeds, Leak-Hinweise und Branchenmeldungen erzeugen erst dann Nutzen, wenn Relevanz, Betroffenheit und nächste Schritte geklärt sind. **Versprechen:** Aus externen Signalen werden priorisierte Entscheidungen für Ihr Sicherheitsteam. **Für wen:** Für Unternehmen, die externe Bedrohungen, exponierte Assets, Identitätsrisiken und Markenmissbrauch strukturiert beobachten und bewerten lassen möchten. ### Leistungsumfang - **Credential & Exposure Monitoring** – Vereinbarte Domains, E-Mail-Domänen und externe Assets werden auf relevante Leak-, Exponierungs- und Missbrauchshinweise geprüft. - **Digital Risk & Brand Monitoring** – Verdächtige Domains, Phishing-Infrastruktur und Markenmissbrauch werden geprüft, dokumentiert und an definierte Bearbeitungswege übergeben. - **Attack Surface Intelligence** – Extern sichtbare Domains, Hosts, Zertifikate und Dienste werden dem bekannten Bestand zugeordnet und für die weitere Prüfung priorisiert. - **Threat Actor & Campaign Context** – Verfügbare Berichte zu Akteuren, Kampagnen und betroffenen Branchen werden nach Relevanz für Ihre Technologien und Geschäftsprozesse bewertet. - **IOC- und TTP-Enrichment** – Technische Indikatoren werden um Quelle, Zeitbezug, Confidence und MITRE-ATT&CK-Kontext ergänzt, bevor sie operativ genutzt werden. - **Intelligence Reporting** – Ad-hoc-Hinweise und regelmäßige Lagebilder zeigen bestätigte Erkenntnisse, offene Prüfungen und daraus abgeleitete Maßnahmen. ### Nutzen - **Relevanz statt Feed-Rauschen** – Signale werden mit Ihrem Asset-, Identitäts- und Branchenkontext abgeglichen, bevor sie Ihr Team erreichen. - **Klare nächste Schritte** – Jede bestätigte Erkenntnis erhält eine Priorität, einen Empfänger und eine empfohlene Behandlung. - **Intelligence wird operativ** – Verwertbare IOCs und TTPs fließen kontrolliert in Detection, Hunting, Härtung und Incident Response ein. ### Ablauf - **Scope und Intelligence Requirements** – Wir definieren Assets, Marken, Identitäten, Technologien, Branchenrisiken und die Entscheidungen, die Intelligence unterstützen soll. - **Collection** – Vereinbarte kommerzielle, offene und technische Quellen liefern Signale zum definierten Such- und Schutzprofil. - **Analyse und Enrichment** – Analysten prüfen Aktualität, Quelle, Confidence, Betroffenheit sowie IOC- und TTP-Kontext. - **Dissemination** – Relevante Erkenntnisse gehen im passenden Format an SOC, IAM, Vulnerability Management, IT oder Kommunikation. - **Feedback und Tuning** – Ergebnisse, False Positives und neue Assets schärfen Suchprofile, Prioritäten und Übergabeprozesse. ### Wann Managed Threat Intelligence sinnvoll wird - **Credential Exposure einordnen** – Sie erhalten Leak-Hinweise, aber Validierung, Betroffenheit, Zurücksetzung und Nachverfolgung sind nicht verbindlich geregelt. - **Externe Angriffsfläche beobachten** – Domains, Cloud-Dienste und öffentlich erreichbare Systeme verändern sich schneller als das interne Inventar. - **Threat Feeds nutzbar machen** – IOC-Feeds und Branchenwarnungen sind vorhanden, liefern Ihrem SOC aber noch zu wenig Kontext für Entscheidungen. ### Das erhalten Sie - Dokumentierter Intelligence-Scope und Suchprofile - Validierte Findings mit Quelle, Confidence und Betroffenheit - Abgestimmte Übergaben an SOC, IAM, VM und Incident Response - Regelmäßige Lagebilder und nachvollziehbarer Maßnahmenstatus ### Häufige Fragen **Was ist Managed Threat Intelligence?** Der Service sammelt und bewertet externe Bedrohungsinformationen für einen definierten Unternehmens-Scope. Dazu können technische Indikatoren, TTPs, Leak-Hinweise, exponierte Assets, verdächtige Domains und relevante Branchen- oder Akteursberichte gehören. **Was ist der Unterschied zwischen Threat Data und Threat Intelligence?** Ein einzelner Hash, eine IP-Adresse oder ein Leak-Hinweis ist zunächst ein Signal. Nutzbare Intelligence entsteht durch Kontext: Quelle, Aktualität, Confidence, Bezug zu Ihren Assets und eine klare Entscheidung darüber, wie die Information verwendet werden soll. **Überwachen Sie Dark Web und Credential Leaks?** Je nach vereinbartem Scope können verfügbare Leak-Quellen, Marktplatz- und Forenhinweise sowie Credential-Exposure-Daten einbezogen werden. Funde werden validiert und nach Betroffenheit bewertet; eine vollständige Sicht auf geschlossene oder nicht zugängliche Quellen kann nicht zugesagt werden. **Werden gefundene IOCs automatisch blockiert?** Nicht pauschal. Indikatoren können veraltet, geteilt genutzt oder falsch zugeordnet sein. Vor einer technischen Maßnahme prüfen wir Kontext und Confidence und nutzen die mit Ihnen vereinbarten Freigabe- und Reaktionswege. **Wie fließt Threat Intelligence in SOC und SIEM ein?** Bestätigte IOCs und relevante TTPs können Detection Rules, Threat Hunting, Alarmbewertung und Incident Response unterstützen. Welche Plattformen und Integrationen genutzt werden, wird im technischen Scoping festgelegt. **Unterstützen Sie bei verdächtigen Domains oder Phishing-Seiten?** Wir dokumentieren den Fund, sichern verfügbare Belege und unterstützen den abgestimmten Melde- oder Takedown-Prozess. Die tatsächliche Abschaltung liegt beim zuständigen Registrar, Hoster, Plattformbetreiber oder einer Behörde und kann daher nicht garantiert werden. --- ## Managed Security Services URL: https://www.nica-it.de/leistungen/managed-security-services Zuletzt aktualisiert: 2026-09-05 Managed Security Services bündeln Menschen, Prozesse und Technologien für klar definierte Sicherheitsaufgaben. Je nach Bedarf übernehmen wir Bausteine aus SOC, SIEM, XDR, Endpoint Protection, Cloud Security, Vulnerability Management und Threat Intelligence. Verantwortlichkeiten, Service-Level, Datenquellen, Eskalationen und Reaktionsbefugnisse werden vor dem Betrieb gemeinsam festgelegt. **Ausgangslage:** Einzelne Security-Werkzeuge schaffen keinen verlässlichen Betrieb, wenn Zuständigkeiten, Überwachung, Reaktion und Weiterentwicklung ungeklärt bleiben. **Versprechen:** Ein Sicherheitsbetrieb mit geklärtem Scope, festen Übergaben und nachvollziehbaren Ergebnissen. **Für wen:** Für Unternehmen, die ausgewählte Security-Aufgaben oder einen abgestimmten Teil ihres Sicherheitsbetriebs an ein spezialisiertes Team übergeben möchten. ### Leistungsumfang - **Managed SOC & Security Monitoring** – Sicherheitsrelevante Ereignisse werden im vereinbarten Scope überwacht, bewertet und über definierte Alarmwege eskaliert. - **Managed SIEM** – Logquellen, Parser, Korrelationen und Detection Rules werden für priorisierte Anwendungsfälle angebunden und betrieben. - **Managed XDR & Endpoint Security** – Signale aus Endpunkten, Identitäten, E-Mail, Netzwerk und Cloud werden zusammengeführt und abgestimmt bearbeitet. - **Managed Vulnerability Management** – Assets und Findings werden wiederkehrend erfasst, risikobasiert priorisiert und bis zur Nachprüfung verfolgt. - **Managed Cloud Security** – Cloud-Konfigurationen, Identitäten, Workloads und relevante Warnmeldungen werden nach Plattform und Scope betreut. - **Managed Threat Intelligence** – Externe Bedrohungssignale, exponierte Assets, Credential-Hinweise sowie IOC- und TTP-Kontext werden eingeordnet. ### Nutzen - **Verantwortung wird eindeutig** – Aufgaben, Freigaben, Ansprechpartner und Eskalationswege werden je Service und System dokumentiert. - **Werkzeuge werden betrieben** – Plattformen, Regeln, Sensoren und Datenquellen werden im vereinbarten Scope überwacht und weiterentwickelt. - **Ergebnisse bleiben nachvollziehbar** – Berichte, Maßnahmenstatus und Reviews zeigen Leistung, offene Risiken und den nächsten sinnvollen Ausbau. ### Ablauf - **Ausgangslage und Ziele** – Wir erfassen Schutzbedarf, Systeme, vorhandene Werkzeuge, Prozesse und interne Verantwortlichkeiten. - **Scope und Betriebsmodell** – Leistungsbausteine, Servicezeiten, Schnittstellen, Datenverarbeitung, SLAs und Reaktionsbefugnisse werden festgelegt. - **Onboarding und Abnahme** – Datenquellen, Sensoren, Regeln, Kontakte und Runbooks werden kontrolliert angebunden, getestet und dokumentiert. - **Managed Betrieb** – Vereinbarte Aufgaben werden überwacht, bewertet, bearbeitet und über definierte Wege berichtet. - **Service Review und Ausbau** – Kennzahlen, offene Risiken, Änderungen und Lessons Learned steuern die kontinuierliche Weiterentwicklung. ### Wann ein Managed-Security-Betriebsmodell sinnvoll wird - **Security-Aufgaben bleiben liegen** – Ihr Team betreibt Infrastruktur und Projekte; Detection, Tuning, Reviews und Nachverfolgung konkurrieren ständig mit dem Tagesgeschäft. - **Werkzeuge arbeiten als Inseln** – SIEM, EDR, Cloud und Scanner sind vorhanden, aber Daten, Prozesse und Verantwortliche greifen noch nicht zuverlässig ineinander. - **Außerhalb der Kernzeit fehlt Abdeckung** – Warnmeldungen entstehen rund um die Uhr, während intern nur begrenzte Bereitschaft oder kein Schichtmodell vorhanden ist. ### Das erhalten Sie - Dokumentierter Service-Scope mit Rollen und Verantwortlichkeiten - Abgestimmte Alarm-, Eskalations- und Response-Matrix - Nachvollziehbare Betriebsberichte und Maßnahmenstatus - Regelmäßige Service-Reviews und priorisierte Weiterentwicklung ### Häufige Fragen **Was sind Managed Security Services?** Managed Security Services sind dauerhaft vereinbarte Sicherheitsleistungen, bei denen ein spezialisierter Dienstleister definierte Betriebs-, Überwachungs-, Analyse- oder Reaktionsaufgaben übernimmt. Umfang und Verantwortung werden je Service, Plattform und Schutzbedarf festgelegt. **Welche Leistungen können wir einzeln beziehen?** Mögliche Bausteine sind Managed SOC, SIEM, XDR, Endpoint Protection, Cloud Security, Vulnerability Management und Threat Intelligence. Welche Kombination sinnvoll ist, ergibt sich aus vorhandenen Werkzeugen, Risiken und internen Zuständigkeiten. **Ersetzt ein MSSP unsere IT- oder Security-Abteilung?** Der Service ergänzt Ihre internen Teams um definierte Aufgaben und Kapazitäten. Geschäftsverantwortung, Risikofreigaben, Systemwissen und bestimmte technische Entscheidungen bleiben bei den zuständigen Rollen Ihres Unternehmens. **Können vorhandene Security-Plattformen weitergenutzt werden?** Häufig ja. Im Scoping prüfen wir Plattform, Lizenz, Datenqualität, Integrationen und Betriebsfähigkeit. Danach wird festgelegt, welche Systeme übernommen, ergänzt oder schrittweise konsolidiert werden. **Wie werden Reaktionsbefugnisse geregelt?** Vor Betriebsbeginn definieren wir Alarmstufen, Ansprechpartner, Freigaben und erlaubte Maßnahmen. Kritische Aktionen wie Isolation, Sperrung oder Konfigurationsänderungen erfolgen nur innerhalb der vereinbarten Befugnisse. **Unterstützen Managed Security Services NIS2 und ISO 27001?** Dokumentierte Rollen, Überwachung, Schwachstellenbehandlung, Incident-Prozesse und Reports können Nachweise für regulatorische und ISMS-Anforderungen unterstützen. Ob konkrete Anforderungen erfüllt sind, hängt vom Geltungsbereich und der individuellen Umsetzung ab. --- ## Incident Response URL: https://www.nica-it.de/leistungen/incident-response Zuletzt aktualisiert: 2026-08-31 Incident Response ist die koordinierte Reaktion auf Sicherheitsvorfälle wie Ransomware, Datenabfluss oder kompromittierte Konten und Systeme. Wir strukturieren das Lagebild, stimmen Eindämmungsmaßnahmen mit Ihren Verantwortlichen ab, sichern verfügbare Spuren und unterstützen bei Untersuchung, Wiederanlauf und Nachbereitung. Der konkrete Umfang richtet sich nach Vorfall, Systemzugang und vereinbartem Auftrag. **Ausgangslage:** Bei einem aktiven Angriff müssen technische Maßnahmen, Geschäftsfolgen, Beweissicherung und Kommunikation unter Zeitdruck zusammengeführt werden. **Versprechen:** Angriff eindämmen. Handlungsfähigkeit zurückgewinnen. **Für wen:** Für Unternehmen mit einem akuten Sicherheitsvorfall oder dem Bedarf an vorbereiteten Incident-Response-Abläufen. ### Leistungsumfang - **Triage & Isolation** – Ersteinschätzung des Vorfalls, sofortige Eindämmung und Isolation betroffener Systeme. - **Digitale Forensik** – Sicherung und Analyse verfügbarer digitaler Spuren mit dokumentiertem Vorgehen und nachvollziehbarer Beweiskette. - **Wiederanlauf** – Planung und technische Begleitung eines kontrollierten Wiederanlaufs mit abgestimmten Prüf- und Freigabeschritten. - **Meldeunterstützung** – Aufbereitung technischer Informationen für zuständige interne Stellen und deren rechtliche oder regulatorische Bewertung. - **Abstimmung mit Dritten** – Technische Zuarbeit für Versicherer, Rechtsberatung, Behörden oder weitere Beteiligte im vereinbarten Umfang. - **Abschluss und Lessons Learned** – Dokumentation von Erkenntnissen, Maßnahmen, offenen Risiken und sinnvollen Verbesserungen für Prävention und Reaktion. ### Nutzen - **Gemeinsames Lagebild** – Betroffene Systeme, Geschäftsfolgen und offene Fragen werden nachvollziehbar zusammengeführt. - **Abgestimmte Maßnahmen** – Eindämmung, Untersuchung und Wiederanlauf folgen dokumentierten Zuständigkeiten und Freigaben. - **Nutzbare Nachbereitung** – Erkenntnisse und Maßnahmen werden für technische Teams, Management und weitere Beteiligte aufbereitet. ### Ablauf - **Erstkontakt und Lagebild** – Wir erfassen Symptome, betroffene Systeme, Geschäftsfolgen und bereits ausgeführte Maßnahmen. - **Triage & Isolation** – Ersteinschätzung, Eindämmung und Isolation der betroffenen Systeme. - **Untersuchung** – Verfügbare Spuren werden gesichert und analysiert, um Eintrittsweg, Umfang und mögliche Persistenz einzuordnen. - **Wiederanlauf** – Wiederherstellung und Härtung werden mit Prüfungen, Zuständigkeiten und Freigaben koordiniert. - **Nachbereitung** – Erkenntnisse, Maßnahmen, offene Risiken und technische Zuarbeit für weitere Beteiligte werden dokumentiert. ### Wann Sie Incident Response brauchen - **Aktiver Ransomware-Angriff** – Systeme sind verschlüsselt oder verdächtig – jede Minute zählt, falsche Sofortmaßnahmen verschlimmern den Schaden. - **Datenabfluss & mögliche Meldepflicht** – Bei einem möglichen Datenabfluss müssen technische Fakten zügig gesichert und durch die zuständigen Stellen rechtlich eingeordnet werden. - **Versicherungsfall** – Der Versicherungsvertrag kann Vorgaben zu Meldung, Dienstleistern und technischer Dokumentation enthalten, die früh berücksichtigt werden sollten. ### Das erhalten Sie - Dokumentiertes Lagebild und abgestimmte Eindämmung - Technische Untersuchung verfügbarer Spuren - Plan für Wiederanlauf und Härtung - Technische Dokumentation für interne und externe Beteiligte ### Häufige Fragen **Was tun bei einem Cyberangriff?** Ruhe bewahren und professionelle Hilfe holen. Sofortmaßnahmen: (1) Betroffene Systeme vom Netzwerk trennen, aber NICHT ausschalten – Beweise gehen verloren. (2) IT-Sicherheitsexperten kontaktieren. (3) Dokumentation aller Beobachtungen starten. (4) Keine Lösegeldzahlungen ohne Beratung. (5) Behörden informieren (BSI, Datenschutzbehörde). Nica Systems ist 24/7 erreichbar. **Wann muss ich einen Cyberangriff melden?** Ob und wann eine Meldung erforderlich ist, hängt unter anderem von Vorfall, betroffenen Daten, Rolle des Unternehmens und anwendbaren Regelungen ab. Technische Fakten sollten früh gesichert und durch Datenschutz, Rechtsberatung und die zuständigen Verantwortlichen bewertet werden. Wir unterstützen mit der technischen Dokumentation. **Wie schnell können Sie reagieren?** Die Notfallnummer ist 24/7 erreichbar. Reaktionsform und Beginn der technischen Unterstützung hängen von Lage, benötigten Zugängen, Verfügbarkeit und vereinbartem Einsatzumfang ab und werden im Erstkontakt geklärt. **Ich habe eine Erpresser-Mail von meiner eigenen Adresse bekommen – bin ich gehackt?** Mit hoher Wahrscheinlichkeit nicht. Bei dieser Massenmasche wird die Absenderadresse gefälscht (Spoofing) – das ist ohne jeden Zugriff auf Ihr Postfach möglich. Auch ein angeblich als Beweis genanntes Passwort stammt in aller Regel aus einem alten Datenleck, nicht aus Ihrem Rechner. Zahlen Sie nichts, antworten Sie nicht. Sinnvoll ist trotzdem: das genannte Passwort überall ändern, wo es noch im Einsatz ist, Mehr-Faktor-Anmeldung aktivieren und prüfen lassen, ob Ihre Domain mit SPF, DKIM und DMARC gegen den Missbrauch als Absender abgesichert ist. Wenn Sie unsicher sind, ob doch mehr dahintersteckt, klären wir das in einem kurzen Telefonat. **Was kostet ein Incident-Response-Einsatz?** Die Kosten hängen von Lage, Umfang, benötigten Fachrollen, Systemzugängen sowie Dauer der Untersuchung und Wiederherstellung ab. Ob eine Versicherung Kosten übernimmt, richtet sich nach dem jeweiligen Vertrag und der Abstimmung mit dem Versicherer. --- ## KI-Prozessautomatisierung URL: https://www.nica-it.de/leistungen/ki-prozessautomatisierung Zuletzt aktualisiert: 2026-08-10 KI-Prozessautomatisierung verbindet regelbasierte Abläufe, Sprachmodelle und vorhandene Geschäftssysteme. Wir analysieren den Prozess, definieren Datenzugriffe, Validierungen, Ausnahmen und menschliche Freigaben und setzen einen klar abgegrenzten Workflow um. Die Technologie folgt dem Use Case und den Anforderungen an Sicherheit, Datenschutz und Betrieb. **Ausgangslage:** Manuelle Übergaben und wiederkehrende Prüfaufgaben binden Kapazität. Ohne saubere Regeln, Datenzugriff und Fehlerbehandlung verlagert Automatisierung das Problem nur. **Versprechen:** Routine automatisieren. Entscheidungen kontrollierbar halten. **Für wen:** Für Unternehmen, die manuelle Aufwände reduzieren und Fachkräfte entlasten wollen. ### Leistungsumfang - **Workflow-Automatisierung** – Automatisierung wiederkehrender Prozesse – von Dokumentenverarbeitung über Genehmigungsworkflows bis zum Reporting, inkl. Fehlerbehandlung. - **KI-gestützte Arbeitsschritte** – Agentische oder modellgestützte Komponenten können klar begrenzte Aufgaben übernehmen und bei Ausnahmen an verantwortliche Mitarbeitende übergeben. - **Dokumentenanalyse** – Automatische Extraktion, Klassifizierung und Zusammenfassung von Dokumenten, Verträgen und Rechnungen mit LLMs. - **Systemintegration** – Nahtlose Anbindung an ERP (SAP, Dynamics), CRM (Salesforce, HubSpot), Microsoft 365, SharePoint und Jira. - **Auswertung** – Nutzungs- und Prozessdaten können für nachvollziehbare Auswertungen und die fachliche Verbesserung des Workflows bereitgestellt werden. - **Monitoring & Betrieb** – Status, Fehlerfälle und ausgewählte Qualitätsmerkmale werden überwacht und über vereinbarte Wege bearbeitet. ### Nutzen - **Klare Prozessgrenzen** – Automatisierte Schritte, Ausnahmen und menschliche Entscheidungen werden eindeutig voneinander getrennt. - **Nachvollziehbare Qualität** – Validierung, Protokollierung und definierte Fehlerwege machen Ergebnisse prüfbar. - **Steuerbarer Ausbau** – Nutzung, Durchlaufzeiten und Fehlerfälle liefern eine Grundlage für die weitere Verbesserung. ### Ablauf - **Prozessanalyse** – Wir erfassen Ablauf, Volumen, Ausnahmen, Datenzugriffe und Verantwortliche und grenzen einen geeigneten Use Case ein. - **Design** – Datenfluss, Systemintegration, Fehlerbehandlung und Sicherheitskonzept. - **Pilot** – Ein klar abgegrenzter Workflow wird mit geeigneten Testdaten umgesetzt und fachlich wie technisch validiert. - **Rollout & Betrieb** – Skalierung weiterer Prozesse, Schulung und kontinuierliches Monitoring. ### Prozesse für einen kontrollierten Einstieg - **E-Mail- & Dokumenten-Triage** – Eingehende Anfragen, Rechnungen und Dokumente werden automatisch klassifiziert und weiterverarbeitet. - **Datenpflege zwischen Systemen** – CRM, ERP und Datenbanken bleiben automatisch synchron – konsistent und aktuell, ohne Handarbeit. - **Fachkräfte entlasten** – Wiederkehrende Vorbereitung und Zuordnung kann automatisiert werden; fachliche Entscheidungen bleiben bei den verantwortlichen Mitarbeitenden. ### Das erhalten Sie - Maßgeschneiderte KI-Workflows in Ihrer Umgebung - Systemintegration (ERP, CRM, M365, Jira …) - Monitoring inkl. Fehlerbehandlung - Betriebs- und Auswertungskonzept für Nutzung und Fehlerfälle ### Häufige Fragen **Welche Tools nutzen Sie?** Wir sind toolagnostisch – von REST-API-Integrationen bis zu Low-Code-Plattformen wie n8n, Make, Power Automate oder Zapier. Wir wählen das beste Werkzeug für Ihren Use Case. **Wie wird Datenschutz berücksichtigt?** Wir erfassen Datenarten, Zweck, beteiligte Systeme und gewünschte Betriebsform. Die rechtliche Bewertung bleibt vom konkreten Use Case und Ihrer Datenschutzorganisation abhängig. **Wie schnell sehen wir Ergebnisse?** Die Dauer hängt von Prozess, Datenzugang, Schnittstellen, Freigaben und Testumfang ab. Nach der Analyse grenzen wir einen realistischen Pilotumfang und einen nachvollziehbaren Zeitplan ein. --- ## Private LLM Deployment URL: https://www.nica-it.de/leistungen/private-llm Zuletzt aktualisiert: 2026-08-10 Ein Private LLM wird in einer kontrollierten On-Premises- oder Cloud-Umgebung betrieben und lässt sich über Retrieval-Augmented Generation mit freigegebenem Unternehmenswissen verbinden. Wir planen Modell, Infrastruktur, Datenzugriffe, Rollen, Protokollierung und Integration als zusammenhängendes System. Rechtliche und regulatorische Konformität wird dabei anhand des konkreten Einsatzes bewertet. **Ausgangslage:** Sensible Daten, interne Wissensbestände und fachliche Berechtigungen brauchen eine KI-Architektur, die Zugriff und Betrieb nachvollziehbar steuert. **Versprechen:** Unternehmenswissen nutzen. Datenhoheit konsequent behalten. **Für wen:** Für Unternehmen, die Sprachmodelle mit erhöhten Anforderungen an Datenhoheit, Zugriffskontrolle und Integration einsetzen möchten. ### Leistungsumfang - **Private Deployment** – Betrieb geeigneter Sprachmodelle in einer On-Premises- oder privaten Cloud-Umgebung mit definierten Netzwerkverbindungen. - **Datenfluss und Governance** – Datenquellen, Verarbeitung, Aufbewahrung und mögliche externe Verbindungen werden dokumentiert und technisch begrenzt. - **RAG-Integration** – Anbindung Ihrer Dokumente, Wikis und Datenbanken via Retrieval-Augmented Generation – das Modell antwortet auf Basis Ihrer Daten. - **Zugriffskontrolle** – Rollenbasierte Zugriffsrechte, eine zum Zweck passende Protokollierung und die mögliche Integration in bestehende IAM-Systeme. - **Modellanpassung** – Je nach Use Case prüfen wir Prompting, RAG, Fine-Tuning oder eine Kombination und validieren die Qualität anhand geeigneter Beispiele. - **Betriebsunterstützung** – Updates, Kapazität, Überwachung und Störungsbearbeitung werden passend zur gewählten Infrastruktur und zum vereinbarten Serviceumfang geplant. ### Nutzen - **Kontrollierte Datenflüsse** – Betriebsort, Wissensquellen und externe Verbindungen werden passend zum gewählten Architekturmodell festgelegt. - **Geregelter Zugriff** – Rollen und Berechtigungen begrenzen Nutzung und verfügbares Wissen nach dem fachlichen Bedarf. - **Kontextbezogene Antworten** – RAG kann freigegebene Wissensquellen einbinden und Quellenbezug für Antworten bereitstellen. ### Ablauf - **Discovery** – Use Cases, Datenschutzanforderungen und Infrastruktur gemeinsam klären. - **Architektur** – Auswahl von Basismodell und Ansatz (RAG, Fine-Tuning oder Hybrid). - **Deployment** – Setup der GPU-Infrastruktur, Sicherheits-Konfiguration und Netzwerkisolierung. - **Integration** – Anbindung Ihrer Wissensbasis, Vektordatenbank und bestehender Systeme. - **Betrieb** – Managed Betrieb, Modell-Updates und laufende Optimierung. ### Wann ein privates LLM sinnvoll sein kann - **Sensible Daten** – Für vertrauliche Unternehmensdaten kann eine kontrollierte Betriebsumgebung mit klar begrenzten Datenflüssen erforderlich sein. - **Planbarer Eigenbetrieb** – Bei regelmäßigem Volumen kann ein eigenes Betriebsmodell gegenüber rein nutzungsabhängigen APIs geprüft werden. - **Erhöhte Governance-Anforderungen** – Kontrollierte Datenflüsse, differenzierte Berechtigungen und nachvollziehbarer Betrieb können eine private Architektur begründen. ### Das erhalten Sie - Privates LLM in Ihrer Infrastruktur - RAG-Anbindung an Ihre Wissensbasis - Rollen- und Protokollierungskonzept - Managed Betrieb inkl. Updates & Skalierung ### Häufige Fragen **Welche Modelle setzen Sie ein?** Die Auswahl richtet sich nach Use Case, Sprache, Qualitätsanforderung, Hardware, Lizenzbedingungen und gewünschter Betriebsform. Geeignete offene Modelle werden anhand dieser Kriterien verglichen und mit repräsentativen Aufgaben validiert. **Verlassen unsere Daten die kontrollierte Umgebung?** Die Architektur kann für On-Premises- oder private Cloud-Umgebungen mit begrenzten externen Verbindungen geplant werden. Welche Datenflüsse tatsächlich bestehen, wird im Architektur- und Betriebsmodell dokumentiert. **Wann ist ein privates LLM sinnvoll?** Wenn Datenhoheit, spezifische Wissensquellen, fein gesteuerte Berechtigungen oder eine tiefe Systemintegration den zusätzlichen Infrastruktur- und Betriebsaufwand rechtfertigen. Das prüfen wir anhand Ihres Use Cases. --- # Branchen ## IT-Sicherheit für Industrie und Maschinenbau URL: https://www.nica-it.de/branchen/industrie-maschinenbau Branche: Industrie & Maschinenbau Zuletzt aktualisiert: 2026-09-01 In der Fertigung steht die Anlage im Mittelpunkt, nicht der Rechner. Genau das macht Produktionsnetze angreifbar: Steuerungen laufen zwei Jahrzehnte, Wartungszugänge bleiben offen, und ein Stillstand kostet ab der ersten Minute Geld. Wir prüfen Büro- und Produktionsnetz gemeinsam – und trennen sie dort, wo sie nie hätten zusammenwachsen dürfen. ### Kennzahlen - IEC 62443 – die Normenreihe für Sicherheit in der Automatisierungstechnik – unser Maßstab im OT-Netz - Dez. 2027 – ab dann gelten die vollen Anforderungen des Cyber Resilience Act für vernetzte Produkte - 100 % – Durchführung in Deutschland, ohne Unterauftrag ins Ausland ### Geltende Vorgaben - **NIS2** – Das verarbeitende Gewerbe – unter anderem Maschinenbau, Fahrzeugbau, Elektrotechnik und Medizinprodukte – steht in Anhang II des NIS2-Umsetzungsgesetzes. Ab 50 Beschäftigten oder 10 Mio. € Jahresumsatz greifen Registrierung, Meldepflichten und Nachweispflichten. - **TISAX** – Wer die Automobilindustrie beliefert, weist Informationssicherheit über TISAX nach: auf Grundlage des VDA-ISA-Katalogs, geprüft von einem zugelassenen Prüfdienstleister und ausgetauscht über die ENX-Plattform. - **IEC 62443** – Die Normenreihe beschreibt Sicherheit für industrielle Automatisierungs- und Steuerungssysteme: Zonen und Übergänge, Zugriffe, Härtung. Sie ist der Bezugsrahmen, wenn Büro- und Produktionsnetz sauber auseinandergehalten werden sollen. - **Cyber Resilience Act** – Die Verordnung (EU) 2024/2847 nimmt Hersteller vernetzter Produkte in die Pflicht. Die Meldepflicht für aktiv ausgenutzte Schwachstellen gilt ab dem 11. September 2026, die übrigen Anforderungen ab dem 11. Dezember 2027. ### Warum ein Pentest im Produktionsnetz anders abläuft Im Büronetz darf ein Test umwerfen, was er findet – im Produktionsnetz nicht. Ein Portscan, der eine Steuerung zum Neustart bringt, legt eine Linie still. In der Fertigung arbeiten wir deshalb zweistufig: passive Aufnahme im laufenden Betrieb, aktive Prüfung nur nach ausdrücklicher Freigabe und, wo möglich, im Wartungsfenster oder am Ersatzsystem. - Passive Netzaufnahme: welche Geräte sprechen tatsächlich miteinander, über welche Protokolle - Trennung von Büro- und Produktionsnetz – belastbar geprüft, nicht nur im Netzplan behauptet - Fernwartungszugänge der Maschinenlieferanten: wer kommt wann von wo herein - Der Weg vom Besucher-WLAN oder vom Bürorechner bis an die Steuerung - Altsysteme ohne Update-Pfad: was sich absichern lässt, wenn Patchen ausscheidet ### Der Stillstand bestimmt die Sicherheitsfrage Ransomware zielt in der Industrie selten auf Daten, sondern auf Verfügbarkeit. Wer nicht produzieren kann, verhandelt schneller. Im Mittelpunkt unserer Projekte steht deshalb nicht die Verschlüsselung, sondern die Frage, wie lange Sie ohne IT weiterlaufen und wie schnell Sie wieder anfahren können. - Wiederanlaufreihenfolge: welche Systeme die Fertigung wirklich zuerst braucht - Sicherungen getrennt vom Produktivnetz, mit belegtem Rückspielen statt geglaubtem - Notbetrieb ohne ERP – schriftlich festgelegt, bevor er gebraucht wird - Meldewege nach NIS2 und DSGVO, geübt statt improvisiert ### Typische Angriffswege - **Fernwartung des Maschinenlieferanten** – Ein dauerhaft offener Zugang, oft mit gemeinsam genutztem Passwort und ohne zweiten Faktor. Er steht selten in der Firewall-Dokumentation und noch seltener unter Beobachtung. - **Flaches Netz zwischen Büro und Halle** – Ein infizierter Bürorechner erreicht die Steuerung, weil beide im selben Segment liegen. Das ist der häufigste Weg von der Phishing-Mail zum Produktionsstillstand. - **Wechseldatenträger am Bedienpanel** – Programmstände kommen per USB-Stick an die Maschine, weil es der kürzeste Weg ist. Für Schadsoftware gilt dasselbe – eine Netztrennung schützt davor nicht. ### Passende Leistungen - Penetration Testing: https://www.nica-it.de/leistungen/penetration-testing - Security Assessments: https://www.nica-it.de/leistungen/security-assessments - Architekturberatung & sichere Projekte: https://www.nica-it.de/leistungen/architekturberatung - Managed SOC: https://www.nica-it.de/leistungen/managed-soc - Managed XDR / MDR: https://www.nica-it.de/leistungen/managed-xdr - Managed Endpoint Protection: https://www.nica-it.de/leistungen/managed-endpoint-protection - Managed Cloud Security: https://www.nica-it.de/leistungen/managed-cloud-security - Managed Threat Intelligence: https://www.nica-it.de/leistungen/managed-threat-intelligence - Managed Security Services: https://www.nica-it.de/leistungen/managed-security-services - Incident Response: https://www.nica-it.de/leistungen/incident-response ### Häufige Fragen **Können Sie im laufenden Betrieb testen, ohne die Produktion zu gefährden?** Ja, mit dem passenden Vorgehen. Wir beginnen passiv: mitlesen, Geräte und Protokolle aufnehmen, Netzgrenzen prüfen. Aktive Tests gegen Steuerungen führen wir nur nach ausdrücklicher Freigabe durch, bevorzugt im Wartungsfenster oder an einem Test- beziehungsweise Ersatzsystem. Was riskant ist, sagen wir vorher – und lassen es lieber weg, als eine Linie stillzulegen. **Fällt unser Maschinenbau-Unternehmen unter NIS2?** Das verarbeitende Gewerbe steht in Anhang II des NIS2-Umsetzungsgesetzes; maßgeblich sind Sektor und Größe, in der Regel ab 50 Beschäftigten oder 10 Mio. € Jahresumsatz. Und selbst wenn Sie nicht unmittelbar betroffen sind, erreichen Sie die Anforderungen über Ihre Kunden: NIS2 verpflichtet betroffene Unternehmen, die Sicherheit ihrer Lieferanten zu steuern. Unser kostenloser Readiness-Check klärt die Betroffenheit in wenigen Minuten. **Bereiten Sie auf TISAX vor?** Wir führen die Gap-Analyse gegen den VDA-ISA-Katalog durch, setzen die fehlenden Maßnahmen mit Ihnen um und begleiten Sie durch das Verfahren. Das Assessment selbst nimmt ein von der ENX zugelassener Prüfdienstleister ab – als Vorbereiter treten wir dabei nicht zugleich als Prüfer auf. **Wir haben Maschinen, für die es keine Updates mehr gibt. Was nun?** Das ist der Normalfall, nicht die Ausnahme. Wenn Patchen ausscheidet, bleibt die Umgebung: ein eigenes Netzsegment, eng gefasste Übergänge, keine direkte Internetverbindung, befristete und protokollierte Fernwartung sowie Überwachung dessen, was mit dem Gerät spricht. Damit sinkt das Risiko erheblich, ohne dass die Anlage selbst angefasst wird. **Was kostet ein Assessment der Produktions-IT?** Der Rahmen hängt an der Zahl der Standorte, Linien und Netzübergänge. Wir legen den Umfang im Scoping gemeinsam fest und nennen den Preis vorher – nicht nach Aufwand hinterher. Ein kompakter Einstieg ist der Security Quick-Check zum Festpreis von 1.490 € netto. --- ## IT-Sicherheit für Logistik und Transport URL: https://www.nica-it.de/branchen/logistik-transport Branche: Logistik & Transport Zuletzt aktualisiert: 2026-09-01 Logistik lebt von Terminen. Fällt die Lagerverwaltung aus, steht nicht nur ein Rechner still, sondern die Rampe – und mit ihr die Produktion Ihrer Kunden. Dazu kommt eine IT, die nach außen offen sein muss: Kundenportale, EDI-Anbindungen, Telematik in den Fahrzeugen, Subunternehmer mit Zugriff auf Ihre Systeme. ### Kennzahlen - 24 h – Frist für die Erstmeldung eines erheblichen Vorfalls an das BSI nach NIS2 - Anhang II – Post- und Kurierdienste zählen nach NIS2 zu den wichtigen Einrichtungen - 24/7 – Erreichbarkeit unserer Notfallnummer – auch nachts, am Wochenende und an Feiertagen ### Geltende Vorgaben - **NIS2** – Der Sektor Verkehr steht in Anhang I des NIS2-Umsetzungsgesetzes, Post- und Kurierdienste stehen in Anhang II. Wer die Schwellen von 50 Beschäftigten oder 10 Mio. € Jahresumsatz erreicht, muss sich registrieren, erhebliche Vorfälle melden und Maßnahmen nachweisen. - **Lieferkettenpflichten** – Auch ohne eigene Betroffenheit erreichen die Pflichten Sie über Ihre Auftraggeber: NIS2 verlangt von betroffenen Unternehmen, die Sicherheit ihrer Lieferanten zu steuern. In der Praxis kommt das als Fragebogen, Vertragsklausel oder Lieferantenaudit. - **DSGVO** – Sendungsdaten sind personenbezogen, sobald ein Empfänger dahintersteht. Ein Abfluss ist damit meldepflichtig – binnen 72 Stunden an die zuständige Aufsichtsbehörde. - **ISO 27001** – Große Verlader verlangen den Nachweis zunehmend schon in der Ausschreibung. Er deckt zugleich weite Teile der NIS2-Anforderungen ab – ein Projekt, zwei Ziele. ### Die Angriffsfläche liegt nach außen Anders als in der Fertigung ist Logistik-IT auf Öffnung angelegt: Kunden verfolgen Sendungen im Portal, Auftraggeber liefern Daten per EDI, Fahrer melden sich aus dem Fahrzeug, Subunternehmer buchen in Ihren Systemen. Jede dieser Verbindungen ist ein Eingang, den besser jemand in Ihrem Auftrag prüft als jemand anderes ungefragt. - Kunden- und Sendungsportale: Rechtetrennung zwischen Mandanten, Zugriff auf fremde Sendungsdaten - EDI- und Schnittstellenzugänge – oft jahrelang unverändert und ohne zweiten Faktor - Telematik und mobile Geräte im Fahrzeug - Zugänge von Subunternehmern und Zeitpersonal, die nach Auftragsende bestehen bleiben - Die externe Angriffsfläche insgesamt: was von außen erreichbar ist und nicht sein sollte ### Wenn das Lagerverwaltungssystem steht Der Ausfall der Lagerverwaltung ist in der Logistik der teuerste Vorfall, weil er sofort sichtbar wird: Ware ohne Buchung, Rampe ohne Freigabe, Kunden ohne Auskunft. Über den Schaden entscheidet der Notbetrieb – und der muss stehen, bevor er gebraucht wird. - Papier- und Notbetrieb je Standort, schriftlich festgelegt und geübt - Wiederanlaufreihenfolge über Lagerverwaltung, Transportmanagement, Telematik und Kundenportal - Sicherungen getrennt vom Produktivnetz, mit belegtem Rückspielen - Kunden- und Behördenkommunikation vorbereitet, samt Meldefristen ### Typische Angriffswege - **Rechnungs- und Frachtbriefbetrug** – Gefälschte Mails im Namen bekannter Auftraggeber sind in der Logistik Alltag, weil Dokumentenaustausch zum Geschäft gehört. Eine geänderte Bankverbindung in der Rechnung fällt oft erst bei der Mahnung auf. - **Zugänge von Subunternehmern** – Konten für Partner und Zeitpersonal bleiben nach Auftragsende häufig bestehen. Sie stehen auf keiner Austrittsliste und fallen erst wieder auf, wenn sich jemand damit anmeldet. - **Ransomware zur Unzeit** – Angriffe laufen bevorzugt nachts, am Wochenende und vor Feiertagen – also genau dann, wenn Ihre Disposition am dünnsten besetzt ist und die Rampe trotzdem läuft. ### Passende Leistungen - Penetration Testing: https://www.nica-it.de/leistungen/penetration-testing - NIS2-Beratung: https://www.nica-it.de/leistungen/nis2-beratung - Managed SOC: https://www.nica-it.de/leistungen/managed-soc - Managed XDR / MDR: https://www.nica-it.de/leistungen/managed-xdr - Managed Endpoint Protection: https://www.nica-it.de/leistungen/managed-endpoint-protection - Managed Cloud Security: https://www.nica-it.de/leistungen/managed-cloud-security - Managed Threat Intelligence: https://www.nica-it.de/leistungen/managed-threat-intelligence - Managed Security Services: https://www.nica-it.de/leistungen/managed-security-services - Incident Response: https://www.nica-it.de/leistungen/incident-response - Security Awareness: https://www.nica-it.de/leistungen/security-awareness ### Häufige Fragen **Fällt eine Spedition unter NIS2?** Das kommt auf die Tätigkeit an. Verkehrsbetriebe stehen als Sektor Verkehr in Anhang I, Post- und Kurierdienste in Anhang II des NIS2-Umsetzungsgesetzes; klassische Speditions- und Kontraktlogistik fällt nicht automatisch darunter. Unabhängig davon erreichen die Anforderungen viele Logistiker über ihre Auftraggeber, weil betroffene Unternehmen ihre Lieferkette absichern müssen. Die Betroffenheitsanalyse klärt beides in ein bis zwei Tagen. **Unser Auftraggeber hat einen Sicherheitsfragebogen geschickt. Helfen Sie dabei?** Ja, das ist ein häufiger Anlass. Wir gehen den Fragebogen mit Ihnen durch, trennen sauber zwischen dem, was bereits erfüllt ist, und dem, was fehlt, und schätzen Aufwand und Kosten für die offenen Punkte. Wo ein technischer Nachweis verlangt wird – etwa ein Penetrationstest oder ein Schwachstellenbericht –, liefern wir ihn in prüffähiger Form gleich mit. **Können Sie testen, ohne den Betrieb zu stören?** Ja. Tests gegen die von außen erreichbaren Systeme laufen ohne jede Betriebsunterbrechung. Für Prüfungen im internen Netz und an der Lagerverwaltung stimmen wir das Zeitfenster ab; alles, was die Verfügbarkeit gefährden könnte, kündigen wir vorher an und führen es nur nach Freigabe durch. **Wie schnell sind Sie bei einem Vorfall erreichbar?** Die Notfallnummer 0211 17520840 ist rund um die Uhr besetzt. Telefonische Erstberatung ist innerhalb von Minuten möglich, Remote-Unterstützung in der Regel innerhalb von ein bis zwei Stunden, Vor-Ort-Einsätze in Nordrhein-Westfalen üblicherweise innerhalb eines halben Tages. **Was ist der sinnvolle erste Schritt?** Die Sicht von außen. Bevor wir über Konzepte reden, sehen wir uns an, was ein Angreifer heute von Ihnen sieht: erreichbare Systeme, offene Dienste, Zugänge, geleakte Zugangsdaten Ihrer Domain. Das ergibt eine nach Risiko sortierte Prioritätenliste statt einer Wunschliste – und ist als Security Quick-Check zum Festpreis von 1.490 € netto zu haben. --- ## IT-Sicherheit im Gesundheitswesen URL: https://www.nica-it.de/branchen/gesundheitswesen Branche: Gesundheitswesen Zuletzt aktualisiert: 2026-09-01 Im Krankenhaus hängt an der IT die Versorgung. Ein verschlüsseltes Klinikinformationssystem bedeutet Abmeldung von der Notfallversorgung, verschobene Eingriffe und Dokumentation auf Papier. Gleichzeitig ist die Systemlandschaft heterogen wie in kaum einer anderen Branche: Medizingeräte mit alten Betriebssystemen, Speziallösungen je Fachabteilung, Zugriffe niedergelassener Ärzte. ### Kennzahlen - § 391 SGB V – verpflichtet Krankenhäuser auf den Stand der Technik – vormals § 75c SGB V - 30.000 – vollstationäre Fälle im Jahr – ab dieser Schwelle gilt ein Krankenhaus als kritische Anlage - 72 h – Frist für die Meldung einer Datenpanne mit Patientendaten nach Artikel 33 DSGVO ### Geltende Vorgaben - **§ 391 SGB V und B3S** – Krankenhäuser müssen nach dem Stand der Technik angemessene organisatorische und technische Vorkehrungen treffen; ausdrücklich genannt sind auch verpflichtende Maßnahmen zur Sensibilisierung der Mitarbeitenden. Als erfüllt gilt das insbesondere bei Anwendung eines branchenspezifischen Sicherheitsstandards (B3S), dessen Eignung das BSI festgestellt hat. Die Vorschrift wurde bis zur Neunummerierung als § 75c SGB V geführt. - **Kritische Anlagen** – Ab 30.000 vollstationären Fällen im Jahr gilt ein Krankenhaus nach Anhang 5 der BSI-Kritisverordnung als kritische Anlage. Daran hängen der Einsatz von Systemen zur Angriffserkennung nach § 31 BSIG und der Nachweis gegenüber dem BSI alle drei Jahre nach § 39 BSIG. - **NIS2** – Der Sektor Gesundheit steht in Anhang I des NIS2-Umsetzungsgesetzes. Erfasst sind neben Krankenhäusern auch Labore, Forschungseinrichtungen und Hersteller bestimmter Medizinprodukte. - **DSGVO** – Gesundheitsdaten sind besondere Kategorien personenbezogener Daten nach Artikel 9. Für sie gilt ein erhöhtes Schutzniveau – und im Schadensfall ein entsprechend höheres Bußgeldrisiko. ### Medizingeräte sind IT, die niemand anfassen darf Ein Computertomograf läuft auf dem Betriebssystem, das der Hersteller freigegeben hat – und nur auf diesem. Ein Update außerhalb der Freigabe kostet im Zweifel den Support, ein Eingriff am Gerät die Konformität. Die Antwort liegt deshalb nicht am Gerät, sondern um das Gerät herum. - Eigene Netzsegmente für Medizintechnik, mit eng gefassten Übergängen - Bestandsaufnahme: welches Gerät spricht wohin, und aus welchem Grund - Fernwartungszugänge der Gerätehersteller – befristet, protokolliert, überwacht - Abstimmung mit der Medizintechnik statt an ihr vorbei ### Über den Schaden entscheidet der Notbetrieb Häuser, die einen Angriff vergleichsweise gut überstanden haben, hatten eines gemeinsam: einen geübten Betrieb ohne IT. Wer erst im Ernstfall überlegt, wie Aufnahme, Labor und Medikation auf Papier laufen, verliert die ersten und teuersten Stunden. - Ausfallkonzept je Fachabteilung, schriftlich und regelmäßig geübt - Wiederanlaufreihenfolge über Klinikinformationssystem, Bildarchiv, Labor und Medikation - Sicherungen getrennt vom Produktivnetz, mit belegtem Rückspielen - Melde- und Informationswege: BSI, Aufsichtsbehörde, Patienten, Presse ### Typische Angriffswege - **Phishing in den Fachabteilungen** – Bewerbungen, Arztbriefe, Rechnungen – im Klinikalltag werden täglich Anhänge von Unbekannten geöffnet. Das ist keine Nachlässigkeit, sondern Teil der Arbeit. Die Technik dahinter muss es abfangen. - **Stationsrechner mit Sammelkonto** – Ein Konto, das die ganze Station kennt, lässt sich weder gezielt entziehen noch einer Person zuordnen. Nach einem Vorfall ist damit nicht mehr rekonstruierbar, wer was getan hat. - **Altsysteme in der Medizintechnik** – Geräte, deren Betriebssystem seit Jahren keine Updates mehr erhält, stehen im selben Netz wie die Verwaltung. Von dort ist der Weg kurz. ### Passende Leistungen - Security Assessments: https://www.nica-it.de/leistungen/security-assessments - Penetration Testing: https://www.nica-it.de/leistungen/penetration-testing - Managed SOC: https://www.nica-it.de/leistungen/managed-soc - Managed XDR / MDR: https://www.nica-it.de/leistungen/managed-xdr - Managed Endpoint Protection: https://www.nica-it.de/leistungen/managed-endpoint-protection - Managed Cloud Security: https://www.nica-it.de/leistungen/managed-cloud-security - Managed Threat Intelligence: https://www.nica-it.de/leistungen/managed-threat-intelligence - Managed Security Services: https://www.nica-it.de/leistungen/managed-security-services - Incident Response: https://www.nica-it.de/leistungen/incident-response - Security Awareness: https://www.nica-it.de/leistungen/security-awareness ### Häufige Fragen **Gilt unser Krankenhaus als kritische Anlage?** Maßgeblich ist die BSI-Kritisverordnung: Ab 30.000 vollstationären Fällen im Jahr gilt ein Krankenhaus als kritische Anlage. Daran hängen der Einsatz von Systemen zur Angriffserkennung nach § 31 BSIG und der Nachweis gegenüber dem BSI alle drei Jahre nach § 39 BSIG. Unterhalb der Schwelle bleibt § 391 SGB V bestehen – die Pflicht zum Stand der Technik gilt für jedes Krankenhaus. **Was verlangt § 391 SGB V – früher § 75c – konkret?** Angemessene organisatorische und technische Vorkehrungen nach dem Stand der Technik, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit zu vermeiden, und ausdrücklich auch verpflichtende Maßnahmen zur Sensibilisierung der Mitarbeitenden. Als Weg, die Anforderung zu erfüllen, nennt das Gesetz den branchenspezifischen Sicherheitsstandard B3S. Praktisch heißt das: dokumentiertes Sicherheitsmanagement, nicht nur eingekaufte Technik. Die Vorschrift ist inhaltlich dieselbe wie der frühere § 75c, sie trägt nur eine neue Nummer. **Dürfen Sie an Medizingeräten testen?** Nicht ohne den Hersteller und Ihre Medizintechnik – und in der Regel auch nicht am Gerät selbst. Wir prüfen die Umgebung: Netzsegmentierung, Übergänge, Fernwartungszugänge, Rechte und Protokollierung. Genau dort liegt der Weg, den ein Angreifer nimmt; das Gerät selbst ist fast nie der Einstieg, sondern das Ziel. **Wir sind ein MVZ, eine Praxis oder eine Pflegeeinrichtung – gilt das auch für uns?** Die Schwellen für kritische Anlagen und § 391 SGB V zielen auf Krankenhäuser. Die DSGVO gilt jedoch unabhängig von der Größe, und Gesundheitsdaten stehen unter dem besonderen Schutz von Artikel 9. Für kleinere Einrichtungen ist der sinnvolle Zuschnitt deshalb ein anderer: die Grundlagen absichern – Sicherungen, Mehr-Faktor-Anmeldung, Fernzugänge, Endgeräte – statt eines Managementsystems, das niemand pflegen kann. **Wie fangen wir an, ohne den Betrieb zu belasten?** Mit einer Standortbestimmung, die ohne Betriebsunterbrechung läuft: externe Angriffsfläche, Grundkonfiguration von Microsoft 365, Netzübergänge, Sicherungskonzept. Daraus entsteht eine nach Risiko priorisierte Liste. Erst danach entscheiden Sie, was davon Projekt wird – und in welcher Reihenfolge. --- ## IT-Sicherheit für Rüstung und Verteidigung URL: https://www.nica-it.de/branchen/ruestung-verteidigung Branche: Rüstung & Verteidigung Zuletzt aktualisiert: 2026-09-01 Wer für die Bundeswehr oder deren Auftragnehmer arbeitet, arbeitet unter Beobachtung – von Auftraggebern, die Nachweise verlangen, und von Angreifern, die es auf Konstruktionsdaten und Lieferbeziehungen abgesehen haben. Nachrichtendienstlich motivierte Angriffe zielen dabei selten auf den Hauptauftragnehmer, sondern auf den Mittelständler in der zweiten oder dritten Reihe. ### Kennzahlen - VS-NfD – die niedrigste Einstufung – und die, mit der Zulieferer am häufigsten zu tun haben - SÜG – das Sicherheitsüberprüfungsgesetz regelt, wer Zugang zu Verschlusssachen erhält - 100 % – Durchführung in Deutschland, ohne Unterauftrag ins Ausland ### Geltende Vorgaben - **Geheimschutz** – Wer eingestufte Aufträge bearbeitet, wird in die Geheimschutzbetreuung des Bundes aufgenommen. Die personelle Seite regelt das Sicherheitsüberprüfungsgesetz, die materielle das Geheimschutzhandbuch – von Zutritt und Verwahrung bis zur Frage, welche IT überhaupt eingesetzt werden darf. - **VS-NfD** – Für die Verarbeitung von Verschlusssachen des Grades VS-NfD sind nur vom BSI zugelassene beziehungsweise freigegebene Lösungen zulässig. Das betrifft Verschlüsselung, Datenträger und in vielen Fällen die gesamte Arbeitsumgebung. - **NIS2** – Je nach Produktspektrum greifen zusätzlich die Pflichten des NIS2-Umsetzungsgesetzes; für Tätigkeiten im Bereich der nationalen Sicherheit und Verteidigung sieht das Gesetz Ausnahmen vor. Was davon auf Sie zutrifft, klärt die Betroffenheitsanalyse. - **ISO 27001 und TISAX** – Viele Auftraggeber verlangen zusätzlich einen anerkannten Nachweis über das Informationssicherheits-Managementsystem – meist ISO 27001, im automobilnahen Bereich TISAX. ### Der Angriff gilt der Lieferkette Der Hauptauftragnehmer hat ein Sicherheitsteam, der Zulieferer mit achtzig Beschäftigten in der Regel nicht. Genau dort setzen staatlich gelenkte Angreifer an: über Bewerbungen, Fachkontakte auf Karriereplattformen, übernommene Postfächer von Geschäftspartnern. Ziel sind Konstruktionsdaten, Zeitpläne und die Frage, wer wem was liefert. - Externe Angriffsfläche und Fernzugänge – der Weg von außen ins Haus - Postfächer und Identitäten: Mehr-Faktor-Anmeldung, Rechteausweitung, stille Weiterleitungen - Datenabfluss: wohin Konstruktions- und Angebotsdaten das Haus verlassen dürfen - Partner- und Dienstleisterzugänge, befristet und nachvollziehbar - Erkennung gezielter, langsamer Angriffe statt nur automatisierter Massenangriffe ### Sicherheit, die der Auftraggeber prüfen kann Im Verteidigungsgeschäft genügt es nicht, sicher zu sein – es muss belegbar sein. Was wir liefern, ist deshalb auf Prüfbarkeit ausgelegt: nachvollziehbare Berichte, dokumentierte Behebung, Retest mit Beleg. - Prüfberichte mit CVSS-Bewertung und nachvollziehbarem Vorgehen - Dokumentierte Behebung und Retest als Nachweis gegenüber dem Auftraggeber - ISO 27001 als anerkannte Grundlage für das Managementsystem - Nachweise, die in Lieferantenaudits Bestand haben ### Typische Angriffswege - **Gezielte Ansprache über Karriereplattformen** – Angebliche Recruiter oder Fachkontakte bauen über Wochen Vertrauen auf, bevor die erste Datei kommt. Das ist kein Massen-Phishing und wird von Filtern nicht erkannt. - **Langer, leiser Aufenthalt im Netz** – Staatlich gelenkte Gruppen verschlüsseln nichts – sie bleiben. Ohne kontinuierliche Überwachung fällt ein monatelanger Zugriff schlicht nicht auf. - **Der Umweg über den Partner** – Die Mail kommt aus einem echten Postfach eines echten Geschäftspartners, mit Bezug auf ein laufendes Projekt. Genau deshalb wird sie geöffnet. ### Passende Leistungen - Penetration Testing: https://www.nica-it.de/leistungen/penetration-testing - ISO 27001 Beratung: https://www.nica-it.de/leistungen/iso-27001-beratung - Managed XDR / MDR: https://www.nica-it.de/leistungen/managed-xdr - Managed Endpoint Protection: https://www.nica-it.de/leistungen/managed-endpoint-protection - Managed Cloud Security: https://www.nica-it.de/leistungen/managed-cloud-security - Managed Threat Intelligence: https://www.nica-it.de/leistungen/managed-threat-intelligence - Managed Security Services: https://www.nica-it.de/leistungen/managed-security-services - Incident Response: https://www.nica-it.de/leistungen/incident-response ### Häufige Fragen **Arbeiten Sie im eingestuften Bereich?** Für Arbeiten mit Verschlusssachen gelten besondere Anforderungen an Personal, Räume und Technik. Ob und in welchem Rahmen wir einen konkreten Auftrag übernehmen können, klären wir vorab verbindlich mit Ihnen und, wo nötig, mit der zuständigen Stelle. Der überwiegende Teil unserer Arbeit für Zulieferer betrifft ohnehin die nicht eingestufte Unternehmens-IT: Perimeter, Identitäten, Endgeräte, Erkennung – und dort liegt auch der übliche Einstiegsweg der Angreifer. **Was bedeutet VS-NfD für unsere IT?** Verschlusssachen dieses Grades dürfen nur mit vom BSI zugelassenen beziehungsweise freigegebenen Lösungen verarbeitet, gespeichert und übertragen werden. In der Praxis heißt das: eine klar abgegrenzte Umgebung, geregelte Datenträger und Verschlüsselung, dokumentierte Zutritts- und Zugriffsregelungen – und eine saubere Trennung von der übrigen Unternehmens-IT. **Wir sind Zulieferer, nicht Hersteller von Rüstungsgütern. Betrifft uns das?** In aller Regel ja, und zwar über den Vertrag. Auftraggeber geben Sicherheitsanforderungen an die Lieferkette weiter – als Fragebogen, Klausel oder Auditrecht. Hinzu kommt die Bedrohungslage: Für einen Angreifer ist der kleinere Zulieferer der bequemere Weg zum größeren Ziel. **Verlassen unsere Daten bei Ihnen Deutschland?** Nein. Wir erbringen sämtliche Analyse- und Betriebsleistungen in Deutschland mit eigenen Mitarbeitenden, ohne Unterauftrag ins Ausland. Prüfdaten, Auswertungen und Berichte bleiben im Haus; Übergabe und Aufbewahrung regeln wir vertraglich, auf Wunsch mit fester Löschfrist. **Wie weisen wir unserem Auftraggeber nach, dass wir sicher arbeiten?** Mit zwei Bausteinen: einem anerkannten Managementsystem – meist ISO 27001 – und technischen Prüfnachweisen. Der Penetrationstest liefert den Bericht, der Retest den Beleg über die Behebung. Diese Kombination hält Lieferantenaudits in der Regel stand, weil sie nicht nur eine Absicht dokumentiert, sondern ein Ergebnis. --- ## IT-Sicherheit für Behörden und öffentliche Einrichtungen URL: https://www.nica-it.de/branchen/oeffentlicher-sektor Branche: Öffentlicher Sektor Zuletzt aktualisiert: 2026-09-01 Eine Verwaltung kann ihre Dienstleistung nicht einstellen. Fällt die IT aus, stehen Bürgerbüro, Standesamt, Sozialleistungen und Zahlungsverkehr – und der Ausfall steht am selben Tag in der Zeitung. Gleichzeitig ist die IT gewachsen: verteilt über Zweckverbände und Rechenzentren, mit langen Beschaffungswegen und knappem Personal. ### Kennzahlen - IT-Grundschutz – der Maßstab des BSI, an dem sich die öffentliche Verwaltung messen lässt - Bund – NIS2 erfasst die Bundesverwaltung; für Länder und Kommunen gilt Landesrecht - 24/7 – Erreichbarkeit unserer Notfallnummer – auch nachts, am Wochenende und an Feiertagen ### Geltende Vorgaben - **IT-Grundschutz** – Das IT-Grundschutz-Kompendium des BSI ist der übliche Prüfmaßstab in der Verwaltung. Es lässt sich stufenweise umsetzen: Basis-Absicherung zuerst, Standard-Absicherung dort, wo der Schutzbedarf es verlangt. - **NIS2 und Landesrecht** – Das NIS2-Umsetzungsgesetz erfasst Einrichtungen der Bundesverwaltung unmittelbar. Ob und wie Länder und Kommunen einbezogen werden, regelt das jeweilige Landesrecht – fachlich laufen die Anforderungen auf dasselbe hinaus. - **DSGVO** – Verwaltungen verarbeiten besonders sensible Daten: Melde-, Sozial-, Gesundheits- und Steuerdaten. Eine Datenpanne ist binnen 72 Stunden an die Aufsichtsbehörde zu melden. - **Vergabe** – Leistungen werden regelmäßig ausgeschrieben. Wir liefern, was dafür gebraucht wird: eine klar abgegrenzte Leistungsbeschreibung, eine nachvollziehbare Kalkulation und prüffähige Berichte. ### Wo Verwaltungs-IT typischerweise nachgibt Die Befunde ähneln sich über Häuser hinweg – nicht wegen mangelnder Sorgfalt, sondern weil Verwaltungs-IT über Jahrzehnte gewachsen ist und selten in einem Zug neu gebaut wird. Wer weiß, wo die üblichen Stellen liegen, kommt schneller zu einer belastbaren Prioritätenliste. - Ratsinformations- und Fachverfahren, die aus dem Internet erreichbar sind - Fern- und Heimarbeitszugänge, die unter Zeitdruck entstanden und nie überarbeitet wurden - Active Directory mit historisch gewachsenen Rechten und alten Dienstkonten - Zugänge externer Dienstleister und Fachverfahrenshersteller - Schulen, Bibliotheken und Eigenbetriebe im selben Netz wie die Kernverwaltung ### Verfügbarkeit ist der eigentliche Auftrag Ein Unternehmen kann eine Woche später liefern. Eine Verwaltung muss Leistungen erbringen, an denen Fristen und Existenzen hängen – Sozialleistungen, Beurkundungen, Zahlungen. Der Notbetrieb ist deshalb kein Anhang zum Sicherheitskonzept, sondern sein Kern. - Notbetrieb je Fachbereich, schriftlich festgelegt und geübt - Wiederanlaufreihenfolge über Fachverfahren, Fachanwendungen und Zahlungswege hinweg - Sicherungen getrennt vom Produktivnetz, mit belegtem Rückspielen - Kommunikation gegenüber Bürgerschaft, Rat, Aufsicht und Presse – vorbereitet statt improvisiert ### Typische Angriffswege - **Die Mail, die geöffnet werden muss** – Anträge, Beschwerden, Bewerbungen, Rechnungen – eine Verwaltung darf Post von Unbekannten nicht ignorieren. Sensibilisierung allein löst das nicht; die Technik dahinter muss es abfangen. - **Der Weg über den Eigenbetrieb** – Schule, Bibliothek, Bäder oder Stadtwerke hängen häufig am selben Netz wie die Kernverwaltung, werden aber nicht gleich betreut. Der Einstieg erfolgt dort, der Schaden entsteht hier. - **Rechte, die niemand zurücknimmt** – Nach Jahren von Umsetzungen, Vertretungen und Projekten haben viele Konten mehr Rechte, als ihre Aufgabe erfordert. Ein einziges übernommenes Konto genügt dann. ### Passende Leistungen - Security Assessments: https://www.nica-it.de/leistungen/security-assessments - Penetration Testing: https://www.nica-it.de/leistungen/penetration-testing - Incident Response: https://www.nica-it.de/leistungen/incident-response - Managed SOC: https://www.nica-it.de/leistungen/managed-soc - Managed XDR / MDR: https://www.nica-it.de/leistungen/managed-xdr - Managed Endpoint Protection: https://www.nica-it.de/leistungen/managed-endpoint-protection - Managed Cloud Security: https://www.nica-it.de/leistungen/managed-cloud-security - Managed Threat Intelligence: https://www.nica-it.de/leistungen/managed-threat-intelligence - Managed Security Services: https://www.nica-it.de/leistungen/managed-security-services - Security Awareness: https://www.nica-it.de/leistungen/security-awareness ### Häufige Fragen **Gilt NIS2 für Kommunen?** Das NIS2-Umsetzungsgesetz erfasst Einrichtungen der Bundesverwaltung unmittelbar. Für Länder und Kommunen kommt es auf das jeweilige Landesrecht an; unabhängig davon fallen kommunale Betriebe wie Stadtwerke, Wasserversorger oder Verkehrsbetriebe häufig über ihren Sektor unter das Gesetz. Wir klären die Betroffenheit je Einrichtung und Eigenbetrieb einzeln, statt sie pauschal anzunehmen. **Arbeiten Sie nach IT-Grundschutz?** Ja, das IT-Grundschutz-Kompendium ist in der Verwaltung unser Standardmaßstab. Wir prüfen dagegen, dokumentieren die Abweichungen und priorisieren die Maßnahmen. Wo ein vollständiges Grundschutz-Vorgehen unrealistisch ist, beginnen wir mit der Basis-Absicherung – eine umgesetzte Basis ist mehr wert als eine unvollendete Standard-Absicherung. **Wie läuft die Beauftragung im Vergabeverfahren?** Wir unterstützen bei der Leistungsbeschreibung, damit die Ausschreibung technisch trägt und vergleichbare Angebote erzeugt, und geben auf Wunsch vorab eine unverbindliche Kostenschätzung für die Planung. Angebote legen wir mit klar abgegrenztem Leistungsumfang, Aufwandsangabe und Festpreis vor, wo der Umfang das zulässt. **Können Sie testen, ohne den Publikumsverkehr zu stören?** Ja. Prüfungen der von außen erreichbaren Systeme laufen ohne Betriebsunterbrechung. Interne Tests legen wir in Randzeiten oder in ein abgestimmtes Fenster; Schritte, die die Verfügbarkeit von Fachverfahren berühren könnten, führen wir nur nach ausdrücklicher Freigabe durch. **Wir haben kaum IT-Personal. Geht das trotzdem?** Ja – dafür gibt es die Managed Services. Überwachung, Schwachstellenmanagement und Reaktion übernehmen wir als Dienstleistung, sodass in Ihrem Haus die Entscheidungen bleiben und nicht der Bereitschaftsdienst. Wichtig ist nur, dass jemand bei Ihnen benannt ist, der im Ernstfall freigeben kann. --- ## IT-Sicherheit für Finanzdienstleister und Versicherungen URL: https://www.nica-it.de/branchen/finanzen-versicherungen Branche: Finanzen & Versicherungen Zuletzt aktualisiert: 2026-09-01 Kaum eine Branche ist so durchreguliert wie die Finanzwirtschaft – und kaum eine so abhängig von einer Handvoll IKT-Dienstleister. Seit DORA gilt beides zusammen: Sie müssen nicht nur die eigene IT im Griff haben, sondern auch die Ihrer Anbieter, nachvollziehbar dokumentiert und gegenüber der Aufsicht darstellbar. ### Kennzahlen - 17.01.2025 – seit diesem Tag gilt DORA unmittelbar in allen Mitgliedstaaten - Artikel 26 – bedrohungsgeleitete Penetrationstests – bei benannten Unternehmen alle drei Jahre - 100 % – Durchführung in Deutschland, ohne Unterauftrag ins Ausland ### Geltende Vorgaben - **DORA** – Die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz gilt seit dem 17. Januar 2025 unmittelbar. Sie verlangt ein IKT-Risikomanagement, ein Informationsregister über alle IKT-Dienstleister, geregelte Vorfallmeldungen und ein Programm für Resilienztests. - **BAIT und VAIT** – Für beaufsichtigte Unternehmen hat DORA die Anforderungen aus BAIT und VAIT weitgehend abgelöst. Wer seine Nachweise noch daran ausrichtet, arbeitet mit einem überholten Maßstab. - **Bedrohungsgeleitete Tests** – Bedrohungsgeleitete Penetrationstests nach Artikel 26 DORA folgen dem TIBER-EU-Rahmen und betreffen die von der Aufsicht benannten Unternehmen. Sie kommen zum regulären Testbetrieb hinzu und ersetzen ihn nicht. - **NIS2 und DSGVO** – Der Finanzsektor ist auch in NIS2 genannt; für beaufsichtigte Unternehmen geht DORA als spezielleres Recht vor. Unabhängig davon bleibt die DSGVO mit ihrer 72-Stunden-Frist maßgeblich. ### Das Risiko sitzt bei Ihren Dienstleistern Der aufsichtsrechtliche Schwerpunkt hat sich verschoben: Nicht mehr nur die eigene Infrastruktur zählt, sondern die Kette dahinter – Rechenzentrum, Kernbankanbieter, Zahlungsdienstleister, Kommunikationsplattform. DORA verlangt, dass Sie diese Abhängigkeiten kennen, vertraglich absichern und im Ausfall beherrschen. - Bestandsaufnahme der IKT-Dienstleister und der Funktionen, die von ihnen abhängen - Vertragliche Mindestinhalte nach DORA – Prüf- und Zugangsrechte, Ausstiegsszenarien - Prüfung der Anbindungen an Kernsysteme, Portale und Schnittstellen - Notfall- und Ausstiegsszenarien, wenn ein Anbieter ausfällt oder gekündigt werden muss ### Testen, wie es die Aufsicht erwartet Ein Prüfbericht, der nur Werkzeugausgaben aneinanderreiht, hilft im Aufsichtsgespräch nicht. Gefragt ist ein nachvollziehbares Vorgehen mit begründeter Bewertung, dokumentierter Behebung und einem Beleg, dass die Lücke tatsächlich geschlossen ist. - Manuelle Prüfung mit CVSS-Bewertung statt reiner Scanberichte - Nachvollziehbare Dokumentation von Vorgehen, Zeitraum und Umfang - Retest der behobenen Befunde – der eigentliche Nachweis - Management-Report für Vorstand, Innenrevision und Aufsicht ### Typische Angriffswege - **Zahlungsanweisung von oben** – Eine Mail im Namen der Geschäftsführung: dringend, vertraulich, mit Bezug auf eine laufende Transaktion. Die Schwachstelle ist hier der Prozess, nicht die Technik. - **Kunden- und Vermittlerportale** – Was Kunden nutzen, erreichen auch Angreifer. Fehler in Authentifizierung und Rechtetrennung führen dort unmittelbar an fremde Vertrags- und Kontodaten. - **Der Ausfall beim Dienstleister** – Ein Rechenzentrum, ein Kernbankanbieter, ein Kommunikationsdienst: Fällt einer aus, fällt er für viele gleichzeitig aus. Genau danach fragt DORA. ### Passende Leistungen - Penetration Testing: https://www.nica-it.de/leistungen/penetration-testing - ISO 27001 Beratung: https://www.nica-it.de/leistungen/iso-27001-beratung - Security Assessments: https://www.nica-it.de/leistungen/security-assessments - Managed SOC: https://www.nica-it.de/leistungen/managed-soc - Managed XDR / MDR: https://www.nica-it.de/leistungen/managed-xdr - Managed Endpoint Protection: https://www.nica-it.de/leistungen/managed-endpoint-protection - Managed Cloud Security: https://www.nica-it.de/leistungen/managed-cloud-security - Managed Threat Intelligence: https://www.nica-it.de/leistungen/managed-threat-intelligence - Managed Security Services: https://www.nica-it.de/leistungen/managed-security-services - Incident Response: https://www.nica-it.de/leistungen/incident-response ### Häufige Fragen **Führen Sie bedrohungsgeleitete Penetrationstests nach DORA durch?** Bedrohungsgeleitete Tests nach Artikel 26 DORA folgen dem TIBER-EU-Rahmen, werden von der Aufsicht angeordnet und stellen besondere Anforderungen an die beteiligten Anbieter. Unser Schwerpunkt liegt auf dem regulären Testbetrieb, den DORA daneben verlangt: Schwachstellenanalysen, Penetrationstests der Anwendungen und Infrastruktur, Prüfung der Schnittstellen zu Dienstleistern – samt Retest und prüffähiger Dokumentation. **Gelten BAIT und VAIT noch?** Für beaufsichtigte Unternehmen hat DORA die Anforderungen weitgehend abgelöst; die Verordnung gilt seit dem 17. Januar 2025 unmittelbar und geht nationalen Verwaltungsvorgaben vor. Praktisch bedeutet das keinen Bruch: Vieles aus BAIT und VAIT findet sich inhaltlich in DORA wieder, verlangt aber eine andere Dokumentation – insbesondere beim Register der IKT-Dienstleister und bei den Verträgen. **Wir sind ein kleines Institut. Gilt DORA auch für uns?** DORA gilt sektorweit für Finanzunternehmen, sieht aber ein Proportionalitätsprinzip vor: Umfang und Tiefe der Maßnahmen richten sich nach Größe, Risikoprofil und Komplexität. Für kleinere Häuser heißt das nicht Befreiung, sondern ein schlankeres Vorgehen – ein vereinfachtes Risikomanagement, ein sauberes Register, geregelte Meldewege. **Können Sie unsere Dienstleisterverträge prüfen?** Wir prüfen sie fachlich gegen die Anforderungen aus DORA – Prüf- und Zugangsrechte, Meldepflichten, Unterauftragsvergabe, Ausstiegsszenarien – und benennen, wo Nachverhandlung nötig ist. Die rechtliche Würdigung und die Vertragsgestaltung bleiben bei Ihrer Rechtsabteilung oder Ihrem Anwalt; wir liefern die fachliche Grundlage dafür. **Wie sieht der Bericht aus, den wir der Aufsicht vorlegen können?** Zweiteilig: ein technischer Teil mit Vorgehen, Umfang, Befunden, CVSS-Bewertung und konkreten Behebungsempfehlungen sowie ein Management-Report, der die Lage ohne Fachjargon einordnet. Nach der Behebung kommt der Retest hinzu – er belegt, dass die Lücke tatsächlich geschlossen ist, und ist der Teil, auf den Innenrevision und Aufsicht am häufigsten schauen. --- # Regionale Seiten ## Penetrationstest Düsseldorf URL: https://www.nica-it.de/penetrationstest-duesseldorf Einzugsgebiet: Düsseldorf Ein Penetrationstest ist eine autorisierte, simulierte Cyberattacke auf Ihre Systeme – von Menschen durchgeführt, nicht von einem Scanner abgehakt. Die Nica Systems GmbH betreibt das aus Düsseldorf-Reisholz heraus, ausschließlich mit eigenen Testern und ohne Unterauftrag ins Ausland. ### Warum der Standort bei einem Pentest einen Unterschied macht Externe Tests gegen Ihre öffentlich erreichbaren Systeme lassen sich von überall durchführen – da ist der Sitz des Anbieters gleichgültig. Sobald es ins interne Netz geht, ändert sich das. Ein Test des Active Directory, der WLAN-Infrastruktur oder der Produktionssegmente braucht einen Anschluss in Ihrem Haus. Wer dafür ein Team einfliegen lässt, plant in Reisetagen und rechnet sie mit ab. Wir fahren hin. - Interne Tests ohne Reisekostenpauschale für Anfahrt und Übernachtung - Kurzfristige Nachtermine, wenn sich der Scope während des Tests ausweitet - Retest nach der Behebung vor Ort statt per Fernzugriff - Abschlussbesprechung mit Geschäftsführung und IT im selben Raum ### Was in Düsseldorf typischerweise geprüft wird Die Wirtschaftsstruktur der Stadt prägt die Aufträge: viel Beratung, Werbung und Medien, Handel, Versicherung und Telekommunikation, dazu Logistik rund um den Hafen Reisholz und den Flughafen. Das heißt in der Praxis: viele Web-Anwendungen mit Kundendaten, viel Microsoft 365, viel Homeoffice-Anbindung – und Konzernkunden, die Sicherheitsnachweise von ihren Dienstleistern verlangen. - Web-Anwendungen und APIs – Authentifizierung, Rechtetrennung, Geschäftslogik - Microsoft 365 und Entra ID – Konfiguration, Rechteausweitung, Conditional Access - Active Directory – der Weg vom normalen Benutzerkonto zum Domänen-Administrator - Externer Perimeter – was von außen erreichbar ist und nicht sein sollte - Client-Härtung und WLAN – der Weg vom Besucherplatz ins Produktivnetz ### Ablauf - Erstgespräch: kostenlos, telefonisch oder bei Ihnen im Haus. Wir klären Ziel, Umfang und Termin. - Scoping und Freigabe: schriftliche Beauftragung mit klar abgegrenztem Prüfumfang, Zeitfenster und Ansprechpartnern auf beiden Seiten. - Durchführung: manuelle Tests durch aktive Penetration Tester, laufende Meldung kritischer Funde noch während des Tests statt erst im Bericht. - Bericht: Management-Summary für die Geschäftsführung, technischer Teil mit Reproduktionsschritten und CVSS-Bewertung für Ihre IT. - Nachbesprechung und Retest: gemeinsame Priorisierung der Maßnahmen, danach die Prüfung, ob die Lücken wirklich geschlossen sind. ### Ein Test oder vier pro Jahr? Ein jährlicher Pentest ist eine Momentaufnahme: Er beschreibt den Zustand am Testtag. Wer laufend entwickelt, migriert oder zukauft, hat drei Monate später ein anderes System vor sich. Für diesen Fall gibt es den Nica Managed Pentest – vier Tests pro Jahr mit rotierendem Schwerpunkt statt einer einzelnen Prüfung, ab rund 700 € im Monat. Für den einmaligen Nachweis gegenüber einem Kunden oder Versicherer reicht der klassische Einzeltest. ### Häufige Fragen **Was kostet ein Penetrationstest in Düsseldorf?** Der Preis richtet sich nach dem Prüfumfang, nicht nach dem Ort: Zahl der Systeme, Tiefe der Prüfung und Testtage bestimmen ihn. Weil wir aus Düsseldorf anreisen, entfallen bei Kunden in der Stadt und im Umland die Reise- und Übernachtungskosten, die auswärtige Anbieter für interne Tests in Rechnung stellen. Ein verbindliches Angebot erstellen wir nach einem kostenlosen Scoping-Gespräch. Wer eine planbare monatliche Größe braucht, findet sie im Managed Pentest ab rund 700 € im Monat. **Wie schnell können Sie in Düsseldorf vor Ort sein?** Für reguläre Termine planen wir gemeinsam ein Zeitfenster; Vor-Ort-Einsätze in Nordrhein-Westfalen realisieren wir in der Regel innerhalb eines halben Tages. Bei einem aktiven Sicherheitsvorfall gilt etwas anderes – dann greift unsere 24/7-Notfallnummer 0211 17520840. **Testen Sie auch ohne Zugang zu unserem Netz?** Ja. Ein externer Test prüft ausschließlich Ihre von außen erreichbaren Systeme und braucht keinen Zugang – er zeigt die Angriffsfläche so, wie ein Angreifer sie im Internet vorfindet. Der interne Test ergänzt die Frage, wie weit jemand kommt, der bereits im Netz ist: über eine Phishing-Mail, ein kompromittiertes Notebook oder einen Besucherplatz. **Brauchen wir eine schriftliche Genehmigung?** Ja, und die holen wir vor jedem Test ein. Offensive Prüfungen führen wir ausschließlich nach schriftlicher Beauftragung und in einem klar abgegrenzten Rahmen durch. Betrifft der Prüfumfang Systeme Dritter – Cloud-Dienste, ein fremdes Rechenzentrum, eine ausgelagerte Anwendung –, brauchen wir zusätzlich deren Einverständnis. Worauf dabei zu achten ist, klären wir im Scoping. **Erfüllen wir mit einem Pentest die NIS2-Anforderungen?** Ein Penetrationstest ist ein Baustein, nicht der Nachweis als Ganzes. NIS2 verlangt unter anderem ein Risikomanagement, Meldeprozesse, Angriffserkennung und die Registrierung beim BSI. Der Test liefert davon die belastbare Bestandsaufnahme der technischen Risiken. Was darüber hinaus nötig ist, klärt unsere NIS2-Beratung. --- ## NIS2-Beratung NRW URL: https://www.nica-it.de/nis2-beratung-nrw Einzugsgebiet: Nordrhein-Westfalen Die Nica Systems GmbH aus Düsseldorf begleitet mittelständische Unternehmen in Nordrhein-Westfalen und im übrigen DACH-Raum durch die NIS2-Umsetzung: Betroffenheit klären, Lücken schließen, beim BSI registrieren. Das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025, die Registrierungspflicht seit dem 6. März 2026. Die Sektoren, die das Gesetz benennt, sind in NRW die Grundlage der Wirtschaft. ### Warum NIS2 in NRW besonders viele Unternehmen trifft Die Richtlinie zielt auf Sektoren, die in Nordrhein-Westfalen dicht beieinander liegen: Energieversorgung und Netzbetrieb im Rheinischen Revier, Chemie entlang des Rheins von Köln bis Krefeld, Metall- und Maschinenbau im Ruhrgebiet und im Bergischen Land, Logistik rund um Duisburg und die Häfen, Wasserwirtschaft, Abfallwirtschaft, Gesundheitsversorgung, Verwaltung. Dazu kommt die Lieferkette: Wer als Zulieferer für ein betroffenes Unternehmen arbeitet, bekommt dessen Anforderungen vertraglich weitergereicht – auch unterhalb der eigenen Schwellenwerte. - Ab 50 Beschäftigten oder 10 Mio. € Umsatz in einem der benannten Sektoren gilt die Pflicht unmittelbar - Zulieferer und Dienstleister betroffener Unternehmen erhalten die Anforderungen über den Vertrag - Das Gesetz nimmt die Geschäftsleitung ausdrücklich in die Pflicht: Sie muss die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen – die Verantwortung lässt sich nicht an die IT delegieren - Bußgelder bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes ### Welche Dienstleister in NRW bei der NIS2-Umsetzung helfen Für die Umsetzung kommen vier Arten von Dienstleistern infrage. Welche passt, hängt davon ab, ob Sie vor allem die rechtliche Einordnung, die technische Umsetzung oder den laufenden Nachweis brauchen. In der Praxis arbeiten mehrere zusammen – die Betroffenheitsfrage beantwortet am Ende eine juristische Prüfung, die Angriffserkennung ein technischer Betrieb. - Nica Systems deckt die erste und die vierte Zeile ab: Analyse, technische Umsetzung und laufender Betrieb aus Düsseldorf. - Die rechtsverbindliche Beurteilung Ihrer Betroffenheit bleibt der zuständigen Behörde oder einer anwaltlichen Prüfung vorbehalten – wir arbeiten die Kriterien strukturiert mit Ihnen durch und dokumentieren das Ergebnis. - Diese Seite ist allgemeine Fachinformation und ersetzt keine Rechtsberatung. ### Wie wir vorgehen - Betroffenheitsanalyse: In ein bis zwei Tagen steht fest, ob und in welcher Kategorie Ihr Unternehmen unter das Gesetz fällt – belastbar begründet, nicht als Bauchgefühl. - Gap-Analyse: Wir gleichen den Ist-Zustand mit den Anforderungen ab. Ergebnis ist eine Liste offener Punkte, nach Risiko und Aufwand sortiert. - Maßnahmenplan: Priorisierte Schritte mit Zeitschiene, Verantwortlichkeiten und Kostenrahmen. Was zuerst kommt, entscheidet das Risiko – nicht die Reihenfolge im Gesetzestext. - Umsetzung: Technische Maßnahmen und die Prozesse dazu – Meldewege, Notfallpläne, Lieferantenprüfung, Schulung der Geschäftsleitung. - Nachweisführung: Dokumentation, die einer Prüfung standhält, und die Registrierung beim BSI. ### Wenn Sie bereits ISO 27001 haben Dann ist der Weg in der Regel kürzer, als er von außen aussieht: Ein bestehendes Informationssicherheits-Managementsystem liefert bereits einen erheblichen Teil der organisatorischen und technischen Maßnahmen, die auch NIS2 verlangt – Risikomanagement, Zugriffskontrolle, Notfallvorsorge. Was in unseren Projekten regelmäßig fehlt, sind die Meldeprozesse mit ihren engen Fristen, die Nachweise zur Lieferkette und der formale Registrierungsschritt. Wir setzen dort an, statt ein zweites Managementsystem daneben aufzubauen. Welche Maßnahmen in Ihrem Fall erforderlich und verhältnismäßig sind, hängt von Ihrer Einordnung und Risikoexposition ab. ### Kostenlos vorab: der NIS2-Readiness-Check Bevor Sie Beratung einkaufen, sollten Sie wissen, ob Sie überhaupt betroffen sind. Unser Online-Check klärt das in etwa drei Minuten, anonym und ohne Kontaktdaten: Die ersten Fragen bestimmen die Betroffenheit, die übrigen schätzen den Reifegrad der vorhandenen Maßnahmen ein. ### Warum Nica Systems für NIS2 in NRW Wir sind ein auf Cybersecurity spezialisierter Dienstleister mit Sitz in Düsseldorf-Reisholz – kein IT-Systemhaus und keine Rechtsanwaltskanzlei. Das grenzt ein, was wir leisten, und macht zugleich klar, worauf Sie sich verlassen können. - Sitz in Düsseldorf, Beratung in ganz Nordrhein-Westfalen und bundesweit, auf Wunsch im DACH-Raum - 18 kritische Sektoren aus dem Anwendungsbereich des Gesetzes betreuen wir bereits - Analyse- und Betriebsleistungen erbringen eigene Mitarbeitende in Deutschland, ohne Unterauftrag ins Ausland - Rund um die Uhr erreichbar für Monitoring und Incident Response, kritische Vorfälle werden in 15 Minuten eskaliert - Öffentlich genannte Kunden aus Logistik, Industrie, Versicherung und öffentlicher Hand – darunter das Landeskriminalamt Nordrhein-Westfalen ### Häufige Fragen **Welche IT-Dienstleister in NRW helfen dabei, NIS2-konform zu werden?** Vier Arten von Dienstleistern kommen infrage, und sie decken Unterschiedliches ab: spezialisierte Cybersecurity-Dienstleister für Gap-Analyse, technische Maßnahmen und Nachweisführung; Rechtsanwaltskanzleien für die verbindliche rechtliche Einordnung; IT-Systemhäuser für die Umsetzung im Tagesgeschäft; Managed Security Service Provider für den laufenden Betrieb von Angriffserkennung und Berichten. In der Praxis arbeiten mehrere zusammen. Achten Sie darauf, dass die Betroffenheitsfrage juristisch belastbar beantwortet wird und nicht nebenbei im technischen Projekt mitläuft. Nica Systems deckt den technischen und organisatorischen Teil aus Düsseldorf ab. **Sind wir von NIS2 betroffen?** Entscheidend sind drei Dinge: der Sektor, die Unternehmensgröße und die Lieferkette. In der Regel gilt die Pflicht ab 50 Beschäftigten oder 10 Mio. € Jahresumsatz in einem der im Gesetz benannten Sektoren. Unabhängig davon können Sie über Verträge mit einem betroffenen Kunden in dessen Anforderungen hineingeraten. Eine erste Einschätzung liefert unser kostenloser NIS2-Readiness-Check, eine belastbare Aussage die Betroffenheitsanalyse. Die rechtsverbindliche Beurteilung bleibt der zuständigen Behörde oder einer anwaltlichen Prüfung vorbehalten. **Was kostet eine NIS2-Beratung in NRW?** Ein initialer NIS2-Readiness-Check kostet je nach Unternehmensgröße zwischen 2.000 € und 6.000 € netto. Die Gesamtkosten für die Umsetzung liegen typischerweise zwischen 15.000 € und 80.000 € – abhängig von Komplexität, Ausgangszustand und gewählten Maßnahmen. Besteht bereits ein ISMS nach ISO 27001, verkürzt sich der Aufwand spürbar, weil viele Nachweise schon vorliegen. **Was passiert, wenn wir die Fristen verpasst haben?** Das Gesetz gilt seit dem 6. Dezember 2025, die Registrierungspflicht seit dem 6. März 2026 – wer beides versäumt hat, sollte jetzt handeln statt abzuwarten. Ein dokumentierter, ernsthaft begonnener Umsetzungsplan ist gegenüber der Aufsicht eine deutlich andere Ausgangslage als gar nichts. Wir beginnen deshalb mit den Punkten, die Wirkung und Nachweiswert haben. **Beraten Sie auch außerhalb von Düsseldorf?** Ja, in ganz Nordrhein-Westfalen und darüber hinaus deutschlandweit. Workshops, Interviews mit den Fachbereichen und Termine mit der Geschäftsleitung machen wir vor Ort; Analyse und Dokumentation entstehen remote. Das hält die Zeit gering, die Ihre Leute im Projekt gebunden sind. **Wie lange dauert ein NIS2-Projekt?** Betroffenheits- und Gap-Analyse sind je nach Größe in wenigen Tagen bis wenigen Wochen erledigt. Wie lange die Umsetzung dauert, hängt davon ab, was bereits vorhanden ist: Mit einem gelebten ISMS nach ISO 27001 geht es um Monate, ohne jede Struktur um deutlich mehr. Den realistischen Rahmen nennen wir nach der Gap-Analyse – nicht davor. **Können wir die Angriffserkennung selbst betreiben?** Können ja, müssen nein. NIS2 verlangt, dass Angriffe erkannt und gemeldet werden – nicht, dass Sie ein eigenes Team dafür beschäftigen. Für die meisten mittelständischen Unternehmen ist ein Managed SOC der günstigere Weg zum selben Nachweis, weil rund um die Uhr besetzte Schichten intern kaum wirtschaftlich zu betreiben sind. --- ## Incident Response Düsseldorf URL: https://www.nica-it.de/incident-response-duesseldorf Einzugsgebiet: Düsseldorf Wenn Dateien plötzlich verschlüsselt sind, Konten sich fremd verhalten oder Ihr Dienstleister einen Einbruch meldet, entscheiden die ersten Stunden über den Schaden. Die Nica Systems GmbH ist rund um die Uhr unter 0211 17520840 erreichbar – auch nachts, am Wochenende und an Feiertagen. ### Wie ein Einsatz abläuft - Erstkontakt und Triage: Am Telefon klären wir, was betroffen ist und welche Sofortmaßnahmen Sie noch vor unserem Eintreffen ergreifen sollten. - Eindämmung: Die Ausbreitung stoppen, ohne Spuren zu vernichten. Das ist die Gratwanderung, an der Alleingänge meistens scheitern. - Forensische Analyse: Wie kam der Angreifer herein, wie lange war er da, worauf hatte er Zugriff, sind Daten abgeflossen. Jeder Schritt wird dokumentiert. - Bereinigung und Wiederanlauf: Systeme sauber aufbauen, den Einstiegsweg schließen, kontrolliert wieder ans Netz. - Nachbereitung: Bericht für Geschäftsführung, Versicherung und – falls meldepflichtig – für Aufsichtsbehörde oder BSI, dazu die Härtungsmaßnahmen gegen eine Wiederholung. ### Meldepflichten im Blick behalten Ein Sicherheitsvorfall ist selten nur ein technisches Problem. Sind personenbezogene Daten betroffen, läuft die 72-Stunden-Frist der DSGVO gegenüber der Landesbeauftragten für Datenschutz und Informationsfreiheit NRW. Fallen Sie unter NIS2, kommt die Erstmeldung an das BSI binnen 24 Stunden hinzu. Beide Fristen laufen ab Kenntnis – also ab jetzt. Wir behalten sie während des Einsatzes im Auge und liefern die Angaben zu, die Sie für die Meldung brauchen. ### Auch ohne bestehenden Vertrag Sie müssen nicht Kunde sein, um anzurufen. Im Ernstfall zählt, dass jemand ans Telefon geht und noch am selben Tag vor Ort sein kann. Bestandskunden mit einem Incident-Response-Modul haben eine vertraglich zugesicherte Reaktionszeit – der Unterschied liegt in der Zusage, nicht in der Bereitschaft. ### Was Sie jetzt tun sollten – und was nicht Jetzt tun: - Betroffene Systeme vom Netzwerk trennen: Kabel ziehen, WLAN aus. - Systeme eingeschaltet lassen. Der Arbeitsspeicher enthält Spuren, die beim Ausschalten verloren gehen. - Notieren, wann Ihnen was aufgefallen ist – mit Uhrzeit. - Rufen Sie uns an: 0211 17520840, rund um die Uhr. Auf keinen Fall: - Keine Systeme neu aufsetzen oder aus dem Backup zurückspielen, bevor die Ursache bekannt ist – sonst kehrt der Angreifer über denselben Weg zurück. - Keine Log-Dateien aufräumen und keine verdächtigen Dateien löschen. Das sind Beweismittel. - Keine Kommunikation mit den Angreifern auf eigene Faust. - Vorfallkommunikation nicht über die möglicherweise kompromittierte E-Mail-Umgebung führen. ### Häufige Fragen **Wir haben einen Ransomware-Angriff. Was ist der erste Schritt?** Trennen Sie die betroffenen Systeme vom Netzwerk, aber schalten Sie sie nicht aus – der Arbeitsspeicher enthält Spuren, die beim Ausschalten unwiederbringlich verloren gehen. Spielen Sie noch nichts aus dem Backup zurück, solange der Einstiegsweg unbekannt ist. Dann rufen Sie uns an: 0211 17520840, rund um die Uhr. **Sollen wir Lösegeld zahlen?** Eine Zahlung ist keine Wiederherstellung: Sie finanziert die nächste Angriffswelle, und ob die Entschlüsselung funktioniert, weiß niemand vorher. Vor jeder Überlegung in diese Richtung steht die Frage, ob eine Wiederherstellung ohne die Angreifer möglich ist – die beantwortet die forensische Analyse, und zwar meistens innerhalb des ersten Tages. Die Entscheidung selbst treffen Sie, nicht wir; wir sorgen dafür, dass sie auf Fakten beruht. **Wie schnell sind Sie da?** Die Notfallnummer ist rund um die Uhr besetzt, die Triage beginnt sofort am Telefon – die ersten Maßnahmen laufen also, bevor jemand im Auto sitzt. Für Einsätze in Düsseldorf und im direkten Umland ist die Anfahrt eine Frage von Minuten bis zu einer knappen Stunde; in Nordrhein-Westfalen sind wir in der Regel innerhalb eines halben Tages vor Ort. **Was kostet ein Notfalleinsatz?** Notfalleinsätze rechnen wir nach Aufwand ab; den Rahmen nennen wir beim Erstkontakt, sobald das Ausmaß absehbar ist. Wer die Kosten planbar halten und eine feste Reaktionszeit zugesichert bekommen möchte, bucht Incident Response als Modul im Managed Service – dann ist die Bereitschaft Teil der monatlichen Pauschale. **Arbeiten Sie mit unserer Cyber-Versicherung zusammen?** Ja. Viele Policen verlangen, dass der Versicherer früh eingebunden wird und die Untersuchung nachvollziehbar dokumentiert ist. Genau darauf ist unsere Berichterstattung ausgelegt: forensisch sauber, mit Zeitachse und belegten Feststellungen. Melden Sie den Vorfall Ihrem Versicherer parallel zum Anruf bei uns. --- ## Managed SOC NRW – Kosten & Betrieb URL: https://www.nica-it.de/managed-soc-nrw Einzugsgebiet: Nordrhein-Westfalen Ein Security Operations Center überwacht Ihre IT rund um die Uhr, erkennt Angriffe und reagiert darauf. Als eigenes Team ist das für mittelständische Unternehmen kaum finanzierbar – für einen durchgehend besetzten Schichtbetrieb braucht es mehrere Analysten. Als Managed Service bekommen Sie dieselbe Funktion zu einem monatlichen Preis. ### Was ein eigenes SOC wirklich kostet Die Rechnung, die den Ausschlag gibt, ist keine Technikfrage. Eine rund um die Uhr besetzte Schicht braucht mehrere ausgebildete Analysten – nicht einen, der auch nachts erreichbar ist. Dazu kommen Urlaub, Krankheit, Fluktuation und eine SIEM-Plattform, die betrieben und gepflegt werden will. Genau daran scheitern die meisten Eigenbau-Projekte im Mittelstand, und zwar nicht am Anfang, sondern im zweiten Jahr. - Personal für durchgehenden Schichtbetrieb statt einer Rufbereitschaft - Aufbau und laufende Pflege der Erkennungsregeln – ein SIEM ohne gepflegte Regeln erzeugt Rauschen, keine Sicherheit - Anbindung neuer Systeme bei jeder Änderung in der IT-Landschaft - Vertretung bei Urlaub, Krankheit und Personalwechsel ### Was Sie stattdessen bekommen - Anbindung Ihrer Systeme: Endpunkte, Server, Firewalls, Microsoft 365 und Cloud-Dienste liefern ihre Ereignisse an die Plattform. - Überwachung rund um die Uhr durch Analysten, nicht durch eine Regel, die eine E-Mail schickt. - Alarmierung mit Kontext: was passiert ist, welche Systeme betroffen sind und was zu tun ist – statt einer Ereignis-ID. - Eskalation kritischer Vorfälle innerhalb von 15 Minuten, mit vereinbarten Wegen bis in die Geschäftsführung. - Übergang in die Incident Response, wenn aus dem Alarm ein Vorfall wird – ohne dass Sie einen zweiten Dienstleister suchen müssen. - Berichte, die als Nachweis der Angriffserkennung für NIS2 und ISO 27001 taugen. ### Der Weg zur NIS2-konformen Angriffserkennung NIS2 verlangt, dass Angriffe erkannt, bewertet und binnen 24 Stunden gemeldet werden. Diese Frist ist der eigentliche Grund, warum eine Rufbereitschaft nicht ausreicht: Ein Angriff am Freitagabend ist am Montagmorgen längst außerhalb der Frist. Ein durchgehend besetztes SOC schließt genau diese Lücke – und liefert nebenbei die Dokumentation, die den Nachweis führt. ### Einstieg in Stufen Sie müssen nicht mit dem größten Modul beginnen. Managed SIEM überwacht werktags und ist der günstigste Einstieg; das Managed SOC ergänzt den 24/7-Betrieb; Managed MDR/XDR erweitert die Erkennung über Endpunkt, Netzwerk, E-Mail und Cloud hinweg. Jedes Modul ist einzeln buchbar, die Abrechnung läuft monatlich in einer Rechnung. ### Häufige Fragen **Was kostet ein Managed SOC für ein mittelständisches Unternehmen?** Der Preis richtet sich nach der Zahl der angebundenen Systeme und Benutzer sowie dem gewünschten Servicegrad – werktags, rund um die Uhr, mit oder ohne aktive Reaktion. Ein belastbares Angebot entsteht nach einer kurzen Aufnahme Ihrer Umgebung; die Größenordnung nennen wir schon im Erstgespräch. Wer den Aufwand vergleichen will, sollte die Alternative vollständig rechnen: mehrere Analysten für den Schichtbetrieb plus Plattform plus deren Pflege. **Ab welcher Unternehmensgröße lohnt sich das?** Als Faustregel ab etwa 50 Mitarbeitenden oder bei erhöhtem Schutzbedarf – etwa wenn Produktionsanlagen am Netz hängen, personenbezogene Daten in größerem Umfang verarbeitet werden oder Konzernkunden Nachweise verlangen. Für NIS2-betroffene Unternehmen ist eine Angriffserkennung ohnehin Pflicht, dann ist es keine Frage der Größe mehr. **Wo liegen unsere Daten?** In Deutschland. Wir betreiben den Dienst ohne Offshoring; Analyse und Betrieb finden hier statt. Für Unternehmen mit Anforderungen an die Datensouveränität – Rüstung, Verteidigung, öffentliche Auftraggeber – ist das in der Regel die Bedingung, unter der ein ausgelagertes SOC überhaupt in Frage kommt. **Wie lange dauert die Einrichtung?** Das hängt von der Zahl und Art der anzubindenden Quellen ab. Der Ablauf ist immer derselbe: Aufnahme der Umgebung, Anbindung der Systeme, Abstimmung der Alarm- und Eskalationswege, dann eine Einschwingphase, in der die Erkennungsregeln auf Ihre Umgebung angepasst werden. Diese Phase überspringt man nicht – ohne sie erzeugt jedes SOC im ersten Monat mehr Fehlalarme als Erkenntnisse. **Ersetzt ein Managed SOC unseren Virenschutz?** Nein, es setzt darauf auf. Endpunktschutz verhindert Bekanntes; das SOC erkennt, was durchkommt, und ordnet einzelne Auffälligkeiten zu einem Bild zusammen – ein Anmeldeversuch hier, ein ungewöhnlicher Prozess dort, ein Datenabfluss nachts. Genau diese Verkettung sieht ein einzelnes Schutzprodukt nicht. --- # Wissensbeiträge ## Die 5 häufigsten Fehler im IT-Sicherheitsbericht – und wie Sie sie vermeiden URL: https://www.nica-it.de/wissen/it-sicherheitsbericht-fehler Veröffentlicht: 2026-08-31 · Zuletzt aktualisiert: 2026-08-31 Autor: Christian Renkes, Geschäftsführer der Nica Systems GmbH Der IT-Sicherheitsbericht ist in vielen Unternehmen eine Pflichtübung: einmal im Jahr zusammengetragen, in der Geschäftsleitung durchgewinkt, abgelegt. Seit NIS2 ist er ein Nachweisdokument – und die Fehler darin werden teuer. Diese fünf sehen wir am häufigsten. ### Einleitung #### Warum der IT-Sicherheitsbericht plötzlich wieder zählt Lange war der IT-Sicherheitsbericht ein internes Dokument ohne Adressaten. Er wurde geschrieben, weil es im Qualitätshandbuch stand, und gelesen wurde er selten. Das hat sich in kurzer Zeit geändert – aus drei Richtungen gleichzeitig. Erstens die Gesetzgebung: Das [NIS2-Umsetzungsgesetz](/leistungen/nis2-beratung) gilt in Deutschland seit dem 6. Dezember 2025, die Registrierungspflicht beim BSI seit dem 6. März 2026. Betroffene Unternehmen müssen nicht nur Maßnahmen ergreifen, sondern belegen können, dass sie es getan haben – und die Geschäftsleitung haftet dafür persönlich. Der Bußgeldrahmen liegt bei bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Zweitens die Lieferkette. Wer als Zulieferer für ein betroffenes Unternehmen arbeitet, bekommt dessen Anforderungen vertraglich weitergereicht – auch unterhalb der eigenen Schwellenwerte von 50 Beschäftigten oder 10 Millionen Euro Umsatz. In Ausschreibungen wird der Sicherheitsbericht inzwischen routinemäßig mitverlangt. Drittens die Cyber-Versicherer. Sie prüfen im Schadensfall, ob die im Antrag zugesagten Maßnahmen tatsächlich umgesetzt waren. Ein Bericht, der Maßnahmen behauptet, aber nicht belegt, ist dann kein Nachweis, sondern ein Problem. #### Worum es in diesem Beitrag geht Wir lesen und schreiben solche Berichte regelmäßig – als Ergebnis von [Security Assessments](/leistungen/security-assessments), als Quartalsbericht im [Managed Pentest](/leistungen/managed-pentest) und im Rahmen von NIS2- und ISO-27001-Projekten. Die Fehler wiederholen sich dabei so verlässlich, dass sich fünf Muster benennen lassen. Es geht im Folgenden nicht um Formvorschriften. Es geht darum, dass ein Bericht drei Fragen beantworten muss, damit er seinen Zweck erfüllt: **Wie steht es um unsere Sicherheit? Woher wissen wir das? Und wer tut jetzt was?** Jeder der fünf Fehler verhindert die Antwort auf mindestens eine davon. ### Fehler 1: Zahlen ohne Analyse #### Warum die Auswertung wichtiger ist als die Erhebung Der häufigste Bericht, der uns vorgelegt wird, besteht aus Exporten. 4.812 blockierte E-Mails, 217 offene Schwachstellen, 34 Endgeräte ohne aktuellen Patchstand, 12 Alarme im letzten Quartal. Alles korrekt erhoben – und trotzdem wertlos, weil keine dieser Zahlen für sich genommen eine Frage beantwortet. Sind 217 offene Schwachstellen viel? Das hängt davon ab, wo sie liegen. Eine mit [CVSS](/glossar) 9.8 bewertete Lücke auf einem isolierten Testserver ist harmloser als eine mit 6.5 auf dem Domänencontroller. Ein Bericht, der beide in derselben Zeile zählt, verschleiert genau die Information, wegen der er geschrieben wurde. Aussagekräftig wird eine Zahl erst durch drei Zusätze: den Vergleich mit dem Vorzeitraum, die Einordnung in Ihre Umgebung und die Folgerung daraus. Aus „217 offene Schwachstellen" wird dann: „217 offene Schwachstellen, davon 9 kritisch auf von außen erreichbaren Systemen. Im Vorquartal waren es 14 kritische – der Rückstand wird kleiner, aber zwei der neun sind seit über 90 Tagen offen. Ursache ist ein Wartungsfenster, das nur zweimal im Jahr stattfindet." Der zweite Satz ist entscheidungsfähig. Der erste ist eine Zahl. #### Woher die Daten kommen sollten Ein belastbarer Bericht speist sich nicht aus einer Quelle. Diese fünf sollten mindestens einfließen: - **Schwachstellenmanagement:** Fortlaufende Scans mit Verlauf, nicht der Einzelscan von letzter Woche. Erst die Entwicklung über die Zeit zeigt, ob der Prozess funktioniert. - **Angriffserkennung:** Alarme aus SIEM oder [SOC](/leistungen/managed-soc), aufgeschlüsselt nach Schweregrad und Bearbeitungsdauer. Interessant ist nicht die Zahl der Alarme, sondern wie lange es bis zur Bewertung gedauert hat. - **Offensive Prüfungen:** Ergebnisse aus [Penetrationstests](/leistungen/penetration-testing) und deren Retests. Sie beantworten als Einzige die Frage, ob die Maßnahmen einem echten Angreifer standhalten. - **Vorfälle:** Auch die kleinen, die glimpflich ausgingen. Ein abgewehrter Phishing-Versuch mit drei Klicks in der Belegschaft ist ein Befund, kein Erfolg. - **Awareness:** Schulungsquoten und Ergebnisse von [Phishing-Simulationen](/leistungen/security-awareness). Für NIS2 muss auch die Geschäftsleitung nachweislich geschult sein. Wer diese Quellen nicht zusammenführt, schreibt fünf Teilberichte und keinen Sicherheitsbericht. ### Fehler 2: Ein Bericht von der Stange #### Ein Standort, drei Standorte, drei Berichte Vorlagen aus dem Netz gehen von einem Unternehmen aus, das es so nicht gibt: ein Standort, eine IT, ein Verantwortlicher. Sobald mehr als ein Gebäude im Spiel ist, stimmt das Bild nicht mehr – und die Abweichungen sind genau das, was in den Bericht gehört. Ein typisches Beispiel aus unserer Praxis: ein Unternehmen mit Hauptsitz und Produktion in Nordrhein-Westfalen, einem Vertriebsbüro in München und einer kleinen Entwicklungsmannschaft in Berlin. Drei Standorte, drei völlig verschiedene Risikoprofile. - **Produktion:** Steuerungstechnik, die zwanzig Jahre läuft und sich nicht im laufenden Betrieb patchen lässt. Verfügbarkeit wiegt hier schwerer als Vertraulichkeit – die Maßnahmen sehen entsprechend anders aus als in der Büro-IT. - **Vertriebsbüro:** Viele mobile Geräte, viel Homeoffice, wenig lokale Infrastruktur. Das Risiko liegt bei Endgeräten und Identitäten, nicht im Netzwerk. - **Entwicklung:** Quelltext, Cloud-Zugänge, Build-Ketten. Hier entscheidet, wer wo welche Rechte hat – und ob ein kompromittiertes Entwicklerkonto bis in die Produktivumgebung durchreicht. Ein Bericht, der über alle drei denselben Satz schreibt, ist für keinen der drei richtig. Und es geht nicht nur um Technik: Regionale Unterschiede in der Personalsituation gehören ebenfalls hinein. Wer in Köln oder Düsseldorf eine offene Stelle in der IT-Sicherheit ein Jahr lang nicht besetzt bekommt, hat ein Risiko – eines, das kein Werkzeug behebt und das die Geschäftsleitung kennen muss. #### So schneiden Sie den Bericht auf Ihr Haus zu Der Zuschnitt gelingt über vier Fragen, die vor dem Schreiben zu beantworten sind: - Wer liest das? Die Geschäftsleitung braucht zwei Seiten mit Entscheidungen, die IT braucht die Details. Beides in ein Dokument, aber getrennt – Management-Summary vorn, technischer Teil hinten. - Was ist bei uns wirklich schützenswert? Nicht „alle Daten", sondern konkret: die Konstruktionsdaten, das Warenwirtschaftssystem, die Personalakten. Der Rest folgt daraus. - Welche Standorte und Bereiche haben eigene Profile? Produktion, Verwaltung, Entwicklung, Außendienst – jeder bekommt einen eigenen Abschnitt, wenn sich Risiken oder Maßnahmen unterscheiden. - Wem müssen wir das vorlegen? Aufsicht, Kunde, Versicherer oder Auditor – der Adressat bestimmt, welche Nachweise beiliegen müssen. Wer diese vier Fragen beantwortet hat, hat die Gliederung bereits geschrieben. ### Fehler 3: Die Bedrohungslage fehlt #### Was gerade tatsächlich passiert Viele Berichte beschreiben ausführlich, was das Unternehmen tut – und mit keinem Wort, wogegen. Damit fehlt der Maßstab: Ohne Bedrohungslage lässt sich nicht beurteilen, ob die Maßnahmen angemessen sind. Der Abschnitt muss dabei keine Abhandlung sein. Eine Seite genügt, wenn sie das aktuelle Bild auf Ihre Situation bezieht: - **Ransomware mit Datenabfluss:** Die Erpressung läuft heute zweigleisig: verschlüsseln und zusätzlich mit der Veröffentlichung der Daten drohen. Ein funktionierendes Backup schützt gegen die eine Hälfte, nicht gegen die andere. - **Angriffe über die Lieferkette:** Nicht Sie werden angegriffen, sondern Ihr Dienstleister mit Fernzugang. Wer wartungsbedingte Zugänge nicht inventarisiert hat, kennt seine eigene Angriffsfläche nicht. - **Identitäten statt Schadsoftware:** Ein gestohlener gültiger Zugang löst keinen Alarm aus. Deshalb verschiebt sich die Erkennung vom Schadprogramm zum auffälligen Verhalten – etwa einer Anmeldung, die technisch korrekt, aber zeitlich und örtlich unplausibel ist. - **Generative KI auf Angreiferseite:** Phishing-Mails ohne Rechtschreibfehler in jeder Sprache, geklonte Stimmen beim CEO-Betrug. Die Methoden sind alt, die Hürde ist gefallen – und mit ihr das Erkennungsmerkmal, auf das jahrelang geschult wurde. Als belastbare Quelle für den allgemeinen Teil eignet sich der jährliche Lagebericht des BSI; verlinkt ist er am Ende dieses Beitrags. Den unternehmensspezifischen Teil liefert Ihre eigene [Threat Intelligence](/leistungen/managed-threat-intelligence) – etwa die Frage, ob Zugangsdaten aus Ihrem Haus bereits in Leak-Sammlungen auftauchen. #### Von der Bedrohung zur Maßnahme Der Schritt, der am häufigsten fehlt: Jede genannte Bedrohung braucht im selben Dokument eine Zuordnung, welche Maßnahme ihr entgegensteht – und wo diese Zuordnung noch offen ist. Eine dreispaltige Tabelle reicht: Bedrohung, vorhandene Maßnahme, verbleibendes Risiko. Das erzeugt zwei nützliche Nebenwirkungen. Erstens fallen die Lücken beim Schreiben auf, nicht erst im Audit. Zweitens ist die Tabelle genau der Nachweis, den NIS2 und ISO 27001 unter dem Stichwort Risikomanagement verlangen – Sie schreiben ihn also ohnehin, nur eben an einer Stelle statt an dreien. ### Fehler 4: Niemand ist zuständig #### Wer im Bericht benannt sein muss Formulierungen wie „die IT wird prüfen", „es ist geplant" oder „soll künftig erfolgen" sind der zuverlässigste Hinweis darauf, dass eine Maßnahme nicht umgesetzt wird. Ohne Namen, Termin und Budget ist ein Vorhaben eine Absichtserklärung. Vier Rollen sollten im Bericht namentlich auftauchen: - **Die Geschäftsleitung:** Sie trägt die Verantwortung, und zwar nach NIS2 persönlich und nicht delegierbar. Sie muss den Bericht nicht schreiben, aber nachweislich zur Kenntnis nehmen und die Maßnahmen freigeben. - **Der Informationssicherheitsbeauftragte:** Verantwortet Konzept, Bericht und Nachverfolgung. In kleineren Häusern eine Teilzeitrolle – aber eine benannte Person, keine Abteilung. - **Der IT-Betrieb:** Setzt um. Wichtig ist die klare Trennung: Wer betreibt, sollte nicht sich selbst prüfen und bewerten. - **Die Fachbereiche:** Nur sie können sagen, welche Daten und Prozesse wirklich kritisch sind. Ein Schutzbedarf, den die IT allein festlegt, geht regelmäßig an der Realität vorbei. Praktischer Test: Nehmen Sie eine beliebige Maßnahme aus Ihrem letzten Bericht und fragen Sie, wer sie bis wann erledigt. Kommt darauf keine Antwort in einem Satz, gehört sie in dieser Form nicht ins Dokument. #### Was ein externer Dienstleister übernehmen kann Die verpflichtende Rolle der Geschäftsleitung lässt sich nicht auslagern – die fachliche Arbeit dahinter sehr wohl. Sinnvoll ausgelagert wird typischerweise dort, wo entweder Spezialwissen oder Unabhängigkeit gebraucht wird: - die unabhängige Bewertung, weil ein Betrieb, der sich selbst prüft, blinde Flecken behält - die technische Erhebung – Schwachstellenanalyse, Penetrationstest, Konfigurationsprüfung - die durchgehende Angriffserkennung, für die im Mittelstand die Schichtbesetzung fehlt - die Aufbereitung der Ergebnisse in eine Form, die Aufsicht, Auditor und Versicherer akzeptieren Die Nica Systems GmbH übernimmt diese Teile für Unternehmen in Düsseldorf, Nordrhein-Westfalen und bundesweit. Wir sind kein IT-Generalist mit Sicherheitsabteilung, sondern ausschließlich in der Cybersecurity tätig – und als aktive Penetration Tester bewerten wir Maßnahmen danach, ob sie einem Angriff standhalten, nicht danach, ob sie in einer Checkliste abgehakt sind. Die Leistungserbringung erfolgt zu 100 Prozent in Deutschland. Entscheidend bleibt die Rollentrennung: Wer Ihre Sicherheit bewertet, sollte nicht dieselbe Person sein, die den Betrieb verantwortet. Genau das macht den externen Blick im Bericht belastbar. ### Fehler 5: Maßnahmen ohne Nachweis #### Was in die Dokumentation gehört Der fünfte Fehler ist der teuerste, weil er erst im Ernstfall auffällt. Im Bericht steht, dass eine Schwachstelle geschlossen wurde – aber nichts darüber, wer das wann festgestellt hat und woran. Im Audit, im Schadensfall oder gegenüber der Aufsicht ist eine solche Aussage nicht verwertbar. Zu jeder umgesetzten Maßnahme gehören fünf Angaben: - **Was:** die Maßnahme in einem Satz, ohne Produktnamen als Selbstzweck - **Warum:** das Risiko, das sie adressiert – der Bezug zur Tabelle aus Fehler 3 - **Wann:** Datum der Umsetzung, nicht das der Entscheidung - **Wer:** die verantwortliche Person, nicht die Abteilung - **Womit belegt:** der Nachweis: Retest-Bericht, Konfigurationsauszug, Schulungsnachweis, Protokoll einer Notfallübung Der fünfte Punkt ist der, der am häufigsten fehlt – und der einzige, der die Aussage von einer Behauptung zu einem Nachweis macht. #### Bewährtes Vorgehen - **Nachweise beim Entstehen sammeln:** Wer sie am Jahresende zusammensucht, findet die Hälfte nicht mehr. Ein Ablageort, der beim Abschließen einer Maßnahme befüllt wird, kostet Minuten statt Tage. - **Behebung immer nachprüfen:** Ein Retest bestätigt, dass die Lücke wirklich geschlossen ist. Erfahrungsgemäß ist ein Teil der als behoben gemeldeten Befunde es nicht – meist, weil nur ein System von mehreren angefasst wurde. - **Quartalsweise statt jährlich berichten:** Vier kurze Berichte sind weniger Arbeit als einer im Dezember und liefern nebenbei den Verlauf, der die Zahlen erst aussagekräftig macht. Beim [Managed Pentest](/leistungen/managed-pentest) entsteht dieser Rhythmus ohnehin. - **Offene Punkte offen benennen:** Ein Bericht ohne Restrisiken wirkt nicht souverän, sondern unvollständig. Auditoren und Versicherer lesen genau dort zuerst. - **Versionen führen:** Freigabedatum, Stand und Verteiler auf Seite eins. Im Streitfall zählt, welche Fassung wann vorlag. ### Fazit #### Die fünf Fehler auf einen Blick - **Zahlen ohne Analyse:** Erhebung ersetzt keine Bewertung. Jede Zahl braucht Vergleich, Einordnung und Folgerung. - **Bericht von der Stange:** Standorte und Bereiche mit eigenem Risikoprofil brauchen eigene Abschnitte. - **Fehlende Bedrohungslage:** Ohne Maßstab lässt sich die Angemessenheit der Maßnahmen nicht beurteilen. - **Unklare Verantwortlichkeiten:** Ohne Name, Termin und Budget bleibt jede Maßnahme eine Absichtserklärung. - **Maßnahmen ohne Nachweis:** Was nicht belegt ist, zählt im Audit und im Schadensfall nicht. #### Ihr nächster Schritt Nehmen Sie Ihren letzten Bericht und prüfen Sie ihn gegen diese fünf Punkte. Erfahrungsgemäß treffen zwei bis drei zu – das ist normal und in einem Durchgang zu beheben, wenn die Datengrundlage stimmt. Fehlt diese Grundlage, ist die Reihenfolge eine andere: erst erheben, dann berichten. Ein [Security Assessment](/leistungen/security-assessments) liefert die Bestandsaufnahme, ein [Penetrationstest](/leistungen/penetration-testing) die Belastungsprobe. Ob Sie überhaupt unter die Berichtspflichten aus NIS2 fallen, klärt unser [kostenloser NIS2-Readiness-Check](/nis2-check) in etwa drei Minuten. ### Häufige Fragen **Was gehört in einen IT-Sicherheitsbericht?** Mindestens sechs Teile: eine Management-Summary mit den Entscheidungen, die aktuelle Bedrohungslage bezogen auf Ihr Unternehmen, den Stand der Maßnahmen mit Nachweisen, die offenen Risiken, die Kennzahlen im Verlauf und einen Maßnahmenplan mit Verantwortlichen und Terminen. Der Umfang richtet sich nach dem Adressaten – für die Geschäftsleitung zwei bis drei Seiten, der technische Teil dahinter. **Wie oft muss ein IT-Sicherheitsbericht erstellt werden?** Eine feste gesetzliche Frist gibt es nicht; NIS2 und ISO 27001 verlangen eine regelmäßige Bewertung, ohne den Takt vorzuschreiben. In der Praxis hat sich ein Quartalsbericht bewährt, ergänzt um eine ausführlichere Jahresfassung für das Management-Review. Vier kurze Berichte sind weniger Aufwand als einer im Dezember – und liefern den Verlauf, ohne den Zahlen kaum etwas aussagen. **Wer ist für den IT-Sicherheitsbericht verantwortlich?** Erstellt wird er in der Regel vom Informationssicherheitsbeauftragten, verantwortet wird er von der Geschäftsleitung. Nach dem NIS2-Umsetzungsgesetz ist diese Verantwortung persönlich und nicht an die IT-Abteilung delegierbar. Die fachliche Arbeit – Erhebung, unabhängige Bewertung, Aufbereitung – kann an einen externen Dienstleister vergeben werden. **Ist ein IT-Sicherheitsbericht für NIS2 verpflichtend?** Das Gesetz schreibt keinen „Sicherheitsbericht" unter diesem Namen vor. Es verlangt aber Risikomanagement, Wirksamkeitskontrolle der Maßnahmen und Nachweise gegenüber der Aufsicht – und ein regelmäßiger Bericht ist die praktikabelste Form, all das an einer Stelle zu erfüllen. Hinzu kommen die Meldepflichten bei Vorfällen: eine Erstmeldung an das BSI binnen 24 Stunden, unabhängig vom Berichtszyklus. **Was unterscheidet einen IT-Sicherheitsbericht von einem Pentest-Bericht?** Der Pentest-Bericht ist eine Momentaufnahme technischer Befunde: was gefunden wurde, wie es ausnutzbar war, wie es zu beheben ist. Der IT-Sicherheitsbericht ist die Ebene darüber und führt mehrere Quellen zusammen – Pentest, Schwachstellenmanagement, Angriffserkennung, Vorfälle, Schulungen – und bewertet daraus die Gesamtlage. Der eine ist eine Zutat, der andere das Gericht.