Um unsere Kunden ganzheitlich und langfristig bei ihren Projekten zu begleiten, arbeiten wir eng mit ausgewählten Partnern zusammen. So unterstützen wir Unternehmen sowohl mit passgenauen Experten als auch mit kompletten Teamlösungen, je nachdem, was das Projekt erfordert. Unsere Kunden profitieren dabei gleichermaßen von der Expertise eingespielter Teams von Partnerunternehmen, sowie von der skalierbaren und flexiblen Expertenorganisation von Etengo.
Gemeinsam mit unserem Partner, der CyStrat Services GmbH, realisieren wir Projekte im Bereich Cybersecurity und begleiten Unternehmen bei der Umsetzung regulatorischer Anforderungen wie NIS-2.
Die folgende Fallstudie zeigt, wie CyStrat einen mittelständischen Lebensmittelhersteller auf dem Weg zur NIS-2-Compliance begleitet hat, von der strukturierten Standortbestimmung über die Umsetzung bis hin zum kontinuierlichen Sicherheitsbetrieb.
Unser Kunde, ein mittelständischer Lebensmittelhersteller, beschäftigt rund 230 Mitarbeitende an zwei deutschen Produktionsstandorten. Warenwirtschaft, Produktionsplanung, Lagerverwaltung, Kühltechnik und Lieferantenkommunikation sind eng miteinander vernetzt. Ein längerer IT-Ausfall könnte deshalb nicht nur die Verwaltung, sondern auch Produktion, Lagerung und Auslieferung beeinträchtigen.
Technische Schutzmaßnahmen waren bereits vorhanden: Firewalls, Endpoint-Schutz und Datensicherungen gehörten zum Alltag. Dennoch fehlte eine konsistente Sicht auf die tatsächliche Wirksamkeit. Richtlinien waren teilweise veraltet, Verantwortlichkeiten nicht eindeutig dokumentiert und sicherheitsrelevante Protokolldaten wurden dezentral ausgewertet. Zudem war unklar, ob Wiederherstellungsverfahren unter realistischen Bedingungen ausreichend getestet worden waren.
Mit Inkrafttreten des deutschen NIS2-Umsetzungsgesetz (NIS2UmsuCG) rückte das Thema auf die Agenda der Geschäftsführung. Nach § 38 BSIG muss die Geschäftsleitung die erforderlichen Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen. Hinzu kommt eine regelmäßige Schulungspflicht. Die Verantwortung konnte daher nicht vollständig an die interne IT oder einen externen Dienstleister delegiert werden. Nach § 38 BSIG tragen Geschäftsführerinnen und Geschäftsführer die persönliche Verantwortung dafür, dass geeignete Risikomanagementmaßnahmen gebilligt und deren Umsetzung aktiv überwacht werden. Ergänzend besteht eine regelmäßige Schulungspflicht für die Leitungsebene. Operative Aufgaben können an die interne IT oder externe Dienstleister übertragen werden, die Aufsichts-, Billigungs- und Schulungspflicht der Geschäftsleitung selbst bleibt davon unberührt.
CyStrat startete das Projekt mit einem initialen Workshop für Geschäftsführung, IT-Leitung und relevante Fachverantwortliche. Dabei wurden Betroffenheit, Scope, geschäftskritische Prozesse, Verantwortlichkeiten und benötigte Evidenzen eingeordnet. Zugleich wurde vereinbart, wie der Fortschritt künftig managementgerecht berichtet werden sollte.
Im anschließenden NIS-2 Maturity Assessment bewertete CyStrat den Ist-Zustand anhand eines strukturierten Katalogs mit 111 Fragen in 14 Themenbereichen und sechs Prüfkategorien: Governance und Compliance, Risikomanagement, technische Sicherheit, Detektion und Reaktion, Business Continuity sowie Lieferkette und Schulung.
Entscheidend war die Prüfungstiefe. CyStrat fragte nicht nur, ob eine Richtlinie oder Sicherheitsmaßnahme existierte. Das Team sichtete Nachweise wie Risikoregister, Asset-Inventare, Netzwerkpläne, Patch-Reports, Backup-Protokolle, Berechtigungskonzepte, Notfallpläne und Schulungsnachweise. Ergänzend wurden technische Konfigurationen, Log-Quellen und implementierte Kontrollen stichprobenartig validiert.
So zeigte sich beispielsweise: Ein Backup-Konzept war dokumentiert, doch Wiederherstellungstests wurden nicht für alle geschäftskritischen Systeme nach einem einheitlichen Verfahren durchgeführt, ein zentrales Kriterium der Prüfkategorie Business Continuity. Auch waren Melde- und Eskalationswege für erhebliche Sicherheitsvorfälle - für die NIS-2 gestufte Meldefristen von 24 Stunden, 72 Stunden und einem Monat vorsieht - noch nicht durchgängig in einem belastbaren Incident-Response-Prozess zusammengeführt.
Aus den Ergebnissen entwickelte CyStrat keine starre Standardliste, sondern eine risikoorientierte Praxis-Roadmap. Priorisiert wurde nach möglichem Geschäftsschaden, Kritikalität der Prozesse, regulatorischer Relevanz, Abhängigkeiten und realistischem Umsetzungsaufwand. Dadurch musste das Unternehmen nicht alles gleichzeitig bearbeiten.
Zu den ersten Arbeitspaketen gehörten klare Rollen für Informationssicherheit und Krisenmanagement, ein Management-Reporting für die Geschäftsführung, die Vervollständigung des Asset-Inventars sowie überprüfbare Wiederanlaufziele. Parallel wurden privilegierte Zugänge und Multi-Faktor-Authentifizierung betrachtet. Danach folgten die Standardisierung der Incident-Response- und Meldeprozesse, regelmäßige Recovery-Tests und eine strukturierte Bewertung kritischer Lieferanten.
CyStrat begleitete nicht nur die Konzeption, sondern setzte die Roadmap gemeinsam mit dem Kunden um. Dazu gehörten die Überarbeitung von Richtlinien, technische Anpassungen, Workshops mit Verantwortlichen und die Definition nachvollziehbarer Nachweise. In einer Schulung nach § 38 BSIG wurde die Geschäftsführung befähigt, Risiken, Maßnahmen und Fortschritt angemessen zu beurteilen. Ein regelmäßiger Management-Status machte kritische Lücken, Entscheidungen und überfällige Maßnahmen sichtbar.
Nach Umsetzung der priorisierten Grundlagen wurden geeignete Aufgaben schrittweise in die CyStrat Managed SOC Services überführt. Das Managed SIEM führte relevante Ereignisdaten zentral zusammen und schuf die Basis für Erkennung und Analyse. Managed EDR ergänzte die Überwachung von Clients und Servern. Über Managed SOAR wurden standardisierte Analyse-, Eskalations- und Reaktionsabläufe unterstützt. Das Managed Vulnerability Management etablierte einen wiederkehrenden Prozess zur Erkennung, Risikobewertung, Priorisierung und Nachverfolgung technischer Schwachstellen.
Als technologische Grundlage kam die selbst entwickelte CyStrat SOC Suite zum Einsatz. Sie ist darauf ausgerichtet, Anforderungen und Nachweiserfordernisse aus NIS-2 sowie regulatorischen Rahmenwerken wie DORA und relevanten Erwartungen von BaFin und EZB operativ zu unterstützen. Eine Software allein begründet jedoch keine regulatorische Konformität; entscheidend bleibt das Zusammenspiel aus Governance, wirksamen Maßnahmen, dokumentierten Prozessen und kontinuierlicher Überwachung. Technologie unterstützt, entscheidet aber nicht. Wirkliche regulatorische Belastbarkeit entsteht erst im Zusammenspiel aus Governance, verifizierten Maßnahmen, dokumentierten Prozessen und kontinuierlicher Überwachung. Die CyStrat SOC Suite ist darauf ausgerichtet, genau diesen Betrieb operativ abzubilden.
Der Kunde verfügte damit nicht nur über einen Assessment-Bericht, sondern über einen steuerbaren Verbesserungsprozess: Verantwortlichkeiten waren nachvollziehbar, Risiken priorisiert, Maßnahmen mit Evidenzen verknüpft und zentrale Sicherheitsfunktionen in einen kontinuierlichen Betrieb überführt. Die Geschäftsführung erhielt eine belastbare Grundlage, um ihrer Billigungs-, Überwachungs- und Schulungsverantwortung nachzukommen.
Der entscheidende Unterschied lag im Vorgehen: nicht Compliance auf dem Papier und nicht alle Maßnahmen auf einmal, sondern eine technisch validierte Standortbestimmung, eine individuelle Praxis-Roadmap und die dauerhafte Operationalisierung der wichtigsten Kontrollen.