Wer das lesen sollte: die Person in einem Unternehmen mit dreißig bis zweihundertfünfzig Beschäftigten, der vor einigen Wochen die Sicherheit übertragen wurde, zusätzlich zur bisherigen Aufgabe, ohne Budgetposten, ohne Team, und mit einem Kundenfragebogen oder einem Registrierungsformular, das bereits wartet.
Die Ernennung ist selten förmlich. Ein Vertrag kommt mit einem Sicherheitsanhang, oder ein Kunde fragt nach dem Sicherheitskontakt, und ein Name landet im Feld. Dieser Name verantwortet nun eine Arbeit, die niemand abgegrenzt hat, in einer Zeit, die niemand zugeteilt hat.
Neunzig Tage sind die richtige Planungseinheit: lang genug für eine vertretbare Position, kurz genug, dass man sie nicht mit Dokumenten füllen kann. Das Folgende setzt eine Person voraus, zwei bis acht Stunden pro Woche, und keine bestehende Sicherheitsfunktion.
Warum neunzig Tage und nicht zwölf Monate
Die Uhren gehören nicht Ihnen.
In Luxemburg trat das Gesetz vom 5. Mai 2026 am 10. Mai 2026 in Kraft, und Artikel 11(4) gab betroffenen Einrichtungen zwei Monate, um der zuständigen Behörde Name, Kontaktdaten, Sektor, Teilsektor und Größe mitzuteilen. Dieses Fenster schloss am 10. Juli 2026, Änderungen sind binnen zwei Wochen zu melden. Die Registrierung ist keine Sicherheitsmaßnahme, sondern ein Verwaltungsakt mit Bußgeld: Verwaltungsverstöße nach Artikel 25, darunter Versäumnisse bei der Registrierung, sind mit Geldbußen bis zu 250.000 EUR bewehrt. Wer was an welche Behörde meldet, steht in der Umsetzung von NIS2 durch das Gesetz vom 5. Mai 2026.
Andernorts ist das Bild unübersichtlicher, und diese Unübersichtlichkeit ist keine Atempause. Am 8. Juli 2026 hat die Kommission Irland, Spanien, Frankreich und die Niederlande wegen fehlender Mitteilung einer vollständigen Umsetzung vor den Gerichtshof gebracht und Pauschalbeträge sowie tägliche Zwangsgelder beantragt. Ein Zulieferer in einem dieser vier Länder erhält dieselben Kundenklauseln, denn die Klauseln folgen aus der Pflicht des Kunden, nicht aus dem nationalen Recht des Zulieferers.
Die neunzig Tage sind also kein selbst auferlegter Sprint. Sie sind das Fenster vor dem nächsten datierten Termin.
Tag eins bis fünfzehn: feststellen, was wahr ist, nicht was geplant ist
Zwei Fragen, beide in zwei Wochen beantwortbar, beide üblicherweise aus dem Gedächtnis falsch beantwortet.
Sind Sie im Anwendungsbereich, und sind Sie registriert? Der Anwendungsbereich hängt an Sektor und Größe, darunter liegen größenunabhängige Kategorien, die Unternehmen erfassen, die sich für zu klein halten. Der NIS2-Anwendungsbereichsprüfer dauert wenige Minuten, und der Leitfaden zu Anwendungsbereich und Anwendbarkeit erklärt die Kategorien hinter der Antwort. Klären Sie danach, ob sich jemand registriert hat. In den meisten Unternehmen, in denen Sicherheit gerade jemandem übertragen wurde, hat das niemand getan.
Was haben Sie tatsächlich? Nicht das Diagramm, die Liste. Jedes System mit Kundendaten oder produktivem Dienst, jedes SaaS-Werkzeug mit Firmenzugang, jedes Cloud-Konto, jedes Repository und jede Domain, auch die, die eine Teamleitung 2023 per Karte gekauft hat.
Sie werden die Liste in fünfzehn Tagen nicht fertigstellen. Sie werden genug davon schaffen, um die zwei oder drei Dinge zu finden, von denen niemand wusste, dass sie noch laufen, und genau diese Funde machen den Rest der neunzig Tage intern glaubwürdig.
Tag fünfzehn bis dreißig: die Entscheidungen übernehmen, die längst ohne Sie fallen
Sicherheit in einem Unternehmen ohne Sicherheitsfunktion ist ein Strom kleiner Entscheidungen, getroffen von dem, bei dem sie landen. Eine Entwicklerin will Administratorrechte für eine Woche. Ein Lieferantenfragebogen hat eine Frist. Ein Penetrationstest kommt mit elf Feststellungen zurück, vier davon werden nicht behoben, also muss jemand sagen, dass das akzeptabel ist.
Vor der Ernennung wurden diese Entscheidungen uneinheitlich getroffen und nicht festgehalten. Das Wertvollste in der zweiten Zwei-Wochen-Phase ist, sie an einer Stelle zu bündeln, die jetzt Sie sind, und die Antwort festzuhalten. Die Begründung für eine benannte Verantwortung, und was ohne sie passiert, steht in wer die Sicherheit verantwortet, wenn niemand sie verantwortet.
Halten Sie es leicht: ein laufendes Protokoll, jeder Eintrag mit Datum, Entscheidung und Anfragendem. Drei Monate dieses Protokolls sind bei einem Audit mehr wert als drei Monate Richtlinienschreiben, weil sie ein funktionierendes Verfahren belegen und nicht ein Dokument.
Tag dreißig bis fünfundvierzig: ein Inventar, eine verantwortliche Person je Element
Nehmen Sie die Liste und ergänzen Sie zwei Spalten: wer verantwortet das, und was passiert, wenn es ausfällt. Verantwortung heißt eine benannte Person, kein Team, denn Teams erneuern keine Zertifikate. Die Übung legt die Systeme ohne Verantwortliche offen, verlässlich jene mit den ältesten Zugangsdaten und den weitesten Rechten.
Gleichen Sie bei der Gelegenheit die Zugänge mit der Wirklichkeit ab. Ziehen Sie aus jedem wesentlichen System die Nutzerliste und vergleichen Sie sie mit der aktuellen Lohnbuchhaltung und den aktuellen Verträgen. In jedem Unternehmen, das das nie getan hat, ist das Ergebnis dasselbe: Konten von Ausgeschiedenen, Auftragnehmer mit beendetem Einsatz, und mindestens ein geteilter Zugang, dessen Passwort in einem Chatverlauf steht. Zugang wird sorgfältig gewährt und aus dem Gedächtnis entzogen, weshalb dieser Abgleich die am häufigsten geprüfte und am häufigsten gerissene Kontrolle ist.
Tag fünfundvierzig bis sechzig: ein Risikoregister, das gelesen werden kann
Jetzt, und nicht früher, schreiben Sie das Risikoregister. Vor dem Inventar ist es Fiktion.
Halten Sie es kurz. Zehn bis fünfzehn Risiken, die jemand im Haus als real erkennen würde, jedes als Szenario formuliert und nicht als Kategorie. „Ransomware“ ist eine Kategorie. „Unser Build-Server hat ein lokales Administratorkonto, das sich vier Entwickler teilen, und keine Offline-Sicherung“ ist ein Risiko.
Die Leitlinien sind ungewöhnlich genau darin, was ein Eintrag tragen muss. Der Technical Implementation Guidance der ENISA vom 26. Juni 2025 zur Durchführungsverordnung (EU) 2024/2690 erwartet von einem Eintrag zur Risikobehandlung, dass er Risiko und Ziel, die gewählte Behandlungsoption, die betroffenen Werte, die mindernden Maßnahmen, die Art der Wirksamkeitsbewertung, den Zeitplan und die verantwortliche Rolle festhält. Punkt 2.1.2(j) ergänzt das, was die meisten Register auslassen: wird ein Restrisiko akzeptiert, sind die Gründe nachvollziehbar zu dokumentieren. Diese Anforderung macht aus einem Tabellenblatt ein Governance-Dokument, und sie ist der Unterschied zwischen den beiden Arten, die das Risikoregister, das ein Audit übersteht beschreibt.
Tag sechzig bis fünfundsiebzig: der Leitung zurückgeben, was rechtlich ihr gehört
NIS2 verpflichtet das Leitungsorgan, die Risikomanagementmaßnahmen zu billigen, ihre Umsetzung zu überwachen und für Verstöße zu haften. Das ist nicht an Sie delegierbar, und ein nebenberuflicher Verantwortlicher, der es aufnimmt, übernimmt persönliche Exposition für eine Entscheidung, die nie seine war.
Bereiten Sie also ein Papier vor und setzen Sie es auf die Tagesordnung. Keinen Statusbericht, eine Entscheidungsvorlage: das Inventar auf einer Seite, die zehn Risiken, die drei, die dieses Quartal behandelt werden, mit den Beträgen, die vier, die akzeptiert werden, und warum, und worum Sie um Billigung bitten. Lassen Sie die Billigung protokollieren.
Das an Tag sechzig statt an Tag zweihundertsechzig zu tun, macht aus einer informellen Ernennung ein Mandat mit Budgetgespräch und legt die Verantwortung dorthin, wo die Richtlinie sie ohnehin verortet. Billigung, Überwachung und die Schulungspflicht behandelt die Verantwortung der Leitung nach NIS2.
Tag fünfundsiebzig bis neunzig: eine Sache durchgängig belegen
Wählen Sie eine Frage, die ein Kunde oder Auditor stellen wird, und beantworten Sie sie vollständig mit Nachweisen statt mit Behauptungen. Eine gute: zeigen Sie, dass alle, die in den letzten sechs Monaten gegangen sind, auf nichts mehr Zugriff haben, aus Systemaufzeichnungen und nicht aus einer Austrittscheckliste.
Es geht nicht um die Antwort, sondern darum, herauszufinden, wie lange sie in der Herstellung dauert. Zwei Tage manuelle Sammlung heute sind zwei Tage bei jeder Anfrage, und gefragt wird von jedem Kunden, jedes Jahr. Diese Rechnung ist das Argument für Nachweise, die sich erneuern, statt für Nachweise, die Sie zusammentragen, die Unterscheidung aus Nachweise, die sich selbst zusammenstellen.
Was in den ersten neunzig Tagen abzulehnen ist
Drei Dinge werden vorgeschlagen, und alle drei sind zu früh.
Das vollständige Richtlinienwerk schreiben. Vierzig Richtlinien, von einer Person in drei Monaten geschrieben, sind vierzig ungelesene Dokumente, und ein Auditor findet die Lücke zwischen ihnen und der Praxis in der ersten Stunde. Schreiben Sie die drei, die beschreiben, was Sie tatsächlich tun.
Ein internes Audit starten. Klausel 9.2 verlangt ein Programm, und ein Programm auditiert ein bestehendes System. Ein vor sechs Wochen gebautes Kontrollset zu auditieren, bringt nichts Neues. Die Reihenfolge und das Unabhängigkeitsproblem, das es in kleinen Häusern teuer macht, behandelt internes Audit und Managementbewertung.
Eine Plattform vor dem Inventar kaufen. Werkzeuge auf einem unbekannten Bestand erzeugen ein selbstbewusstes Dashboard, das einen Teil Ihres Unternehmens beschreibt.
Woran Sie an Tag neunzig erkennen, ob es funktioniert hat
Nicht an der Zahl der Dokumente. An vier Tests, jeder mit Ja oder Nein zu beantworten.
- Können Sie die Liste der Systeme und ihrer Verantwortlichen in unter einer Stunde erstellen, aus etwas Gepflegtem statt aus dem Gedächtnis?
- Gibt es eine datierte Aufzeichnung jeder Sicherheitsentscheidung der letzten zwei Monate samt Begründung?
- Hat das Leitungsorgan etwas schriftlich gebilligt, mit benannten Restrisiken?
- Können Sie die Zugangsfrage durchgängig aus Systemaufzeichnungen beantworten?
Vier Ja sind eine vertretbare Position für ein Unternehmen ohne Sicherheitsteam. Das ist weder Zertifizierung noch Reife, aber die Grundlage, auf der jedes weitere Rahmenwerk aufsetzt, und ungefähr der Punkt, an dem ISO 27001 ohne Sicherheitsteam beginnt.
Vier Nein sind ebenfalls eine nützliche Information, und sie bedeuten meist, dass die Ernennung ohne die Stunden kam. Ein benannter Verantwortlicher ohne Zeit ist dasselbe wie kein Verantwortlicher, nur anders formuliert. Abhilfe schaffen entweder Stunden oder eine vCISO-Lösung, die die Abwägungen jemandem überlässt, der das wöchentlich tut.
Die technische Realität: neunzig Tage Governance sehen Ihren Bestand nicht
Alles Obige erzeugt Absicht. Dokumentiert, gebilligt, datiert, genau das, was die Rahmenwerke verlangen und ein Auditor akzeptiert.
Nichts davon sagt Ihnen, was auf Ihren Systemen geschieht. Das Inventar ist eine von Hand erstellte Momentaufnahme und driftet ab dem Folgetag. Der Zugangsabgleich stimmt an dem Morgen, an dem Sie ihn gemacht haben. Das Risikoregister beschreibt, woran Sie in Woche sieben in einem Raum gedacht haben. Ein Unternehmen kann saubere neunzig Tage abschließen und trotzdem nicht wissen, dass ein Build-Server exponiert ist, dass eine Abhängigkeit eine bekannte Schwachstelle trägt, oder dass ein Konto, das im März hätte geschlossen werden müssen, weiter genutzt wird.
Das ist die Lücke, die Governance offen lässt, und sie ist schmal genug, um sie genau zu beschreiben. Sie zu schließen heißt: die Bestandsliste wird aus dem Bestand erzeugt statt in ein Tabellenblatt getippt, die Zugangsliste gleicht sich laufend mit Personal- und Vertragsdaten ab, Schwachstellen in dem, was Sie wirklich betreiben, erreichen Sie priorisiert mit einer empfohlenen Maßnahme, und die Nachweise, die ein Kunde verlangt, entstehen aus der Arbeit statt in der Woche davor. Das läuft laufend und automatisch, ohne dass bei Ihnen etwas zu installieren wäre, und genau das trägt die Plattform neben dem Governance-Nachweis.
Neunzig Tage der obigen Arbeit machen ein Unternehmen auditbereit. Die technische Hälfte hält die Antworten im vierten Monat wahr, wenn die Person, die Sicherheit verantwortet, wieder von dem Job eingeholt wird, den sie vorher hatte.
