Internes Audit für ein wirksames ISMS

Objektive Prüfungen, klare Erkenntnisse und konkrete Maßnahmen für nachhaltige Security-Exzellenz.

Kostenfreies Erstgespräch

Was wir auditieren

Strukturiert, normenkonform und unabhängig
ISO/IEC 27001
Auditierung des ISMS auf Wirksamkeit, Reifegrad und Normkonformität.
Fokus
  • Konformität zur ISO 27001:2022
  • Wirksamkeit der Maßnahmen & Controls
  • Reifegrad des ISMS
TISAX®
Bewertung der VDA ISA Anforderungen im Kontext des Automotive-Ökosystems.
Fokus
  • Konformität zum VDA ISA Katalog
  • Wirksamkeit der Maßnahmen & Controls
  • Reifegradbewertung
BSI Grundschutz
Prüfung der IT-Sicherheit entlang der BSI-Bausteine und Anforderungen.
Fokus
  • Basis-, Standard- und Zusatzanforderungen
  • Bausteine, Gefährdungen & Maßnahmen
  • Modellierung & Risiko­bewertung

Wie läuft es ab

Transparent, strukturiert und auf Ihr Unternehmen abgestimmt
1
Auditinitiierung
Ziele, Geltungsbereich und Verantwortlichkeiten klären und die Auditkriterien verbindlich festlegen.
2
Auditplanung
Auditprogramm, Zeitplan, Ressourcen und Methoden definieren und die Kommunikation strukturieren.
3
Dokumenten- und Informationsprüfung
Relevante Richtlinien, Prozesse und Nachweise analysieren und die Grundlage für das Audit vorbereiten.
4
Durchführung des Audits
Interviews durchführen, Stichproben ziehen und Prozesse beobachten, um Kontrollen und Abläufe zu bewerten.
5
Analyse & Bewertung
Feststellungen den Kriterien zuordnen, Risiken einordnen und Abweichungen systematisch bewerten.
6
Auditbericht
Ergebnisse kosolidieren, Maßnahmen priorisieren und ein klar strukturierten Bericht erstellen.
7
Abschlussgespräch & Follow-up
Ergebnisse präsentieren, Korrekturmaßnahmen abstimmen und den Nachverfolgungsprozess festlegen.

Methoden

Praxisbewährt, effizient und nachhaltig
Evidenzbasierte Prüfung
Fakten statt Annahmen
Wir validieren Prozesse und Controls anhand klarer, nachvollziehbarer Nachweise – von Richtlinien bis zu Systemlogs.
Risikoorientierte Priorisierung
Fokus auf das Wesentliche
Die Auditaktivitäten richten wir konsequent an den Risiken aus, die für Sicherheit, Betrieb und Compliance entscheidend sind.
Stakeholder-Interviews
Operative Realität verstehen
Durch strukturierte Interviews und Prozessbeobachtungen gewinnen wir ein präzises Bild der gelebten Abläufe und Verantwortlichkeiten.
Reifegradbewertung
Klarheit über den Status quo
Wir bewerten den Reifegrad der Organisation entlang definierter Kriterien und identifizieren konkrete Entwicklungspfade.

ISO 27001 als Vehikel

Ein ISMS für multiple regulatorische Anforderungen

NIS-2

EU-Anforderungen
Mit ISO 27001 als Basis NIS-2 einfach und sicher erfüllen.

DORA

Finanzsektor
DORA-Anforderungen einfach in Ihr ISO-27001-ISMS integrieren.

TISAX®

Automotive
ISO 27001 als starke Basis für eine effiziente TISAX-Compliance.

BSI

Grundschutz++
ISO 27001 gezielt mit BSI Grundschutz++ erweitern – für maximale Sicherheit.

ISO 27001

IS-Managementsystem
Die zentrale Basis für alle weiteren Compliance-Frameworks.

FAQs

Häufig gestellte Fragen zur NIS-2 Compliance
Was ist die NIS-2-Richtlinie und warum ist sie wichtig?
Die NIS-2-Richtlinie (EU 2022/2555) ist die überarbeitete EU-Richtlinie für Netz- und Informationssicherheit. Sie ersetzt die frühere Richtlinie (EU) 2016/1148 (NIS-1) und tritt damit in zahlreichen Mitgliedstaaten in Kraft. Sie soll ein einheitlich hohes Cyber-Sicherheitsniveau für Unternehmen in der EU schaffen. Mit dem deutschen Umsetzungsgesetz (NIS2UmsuCG) steigen die Anforderungen an Risikomanagement, Sicherheitsmaßnahmen und Meldepflichten.

Ihr Ziel ist es, ein hohes gemeinsames Sicherheitsniveau von Netz- und Informationssystemen in der gesamten Europäischen Union sicherstellen.
Reicht eine ISO 27001- oder TISAX®-Zertifizierung als Konformitätsnachweis für NIS-2?
Nein. Eine ISO 27001- oder TISAX®-Zertifizierung ersetzt keinen formalen Nachweis der NIS-2 Konformität. Sie bieten jedoch eine sehr gute Grundlage, da viele Anforderungen – insbesondere im Bereich Informationssicherheitsmanagement, Risikoanalyse und technische/organisatorische Maßnahmen – bereits abgedeckt werden.

Für die vollständige NIS-2-Konformität müssen jedoch alle spezifischen gesetzlichen Vorgaben und organisatorischen Pflichten der Richtlinie zusätzlich erfüllt und nachweisbar umgesetzt werden. Dazu gehören z. B.:
  • spezifische Meldepflichten und Fristen
  • stärkere Einbindung der Geschäftsleitung
  • detaillierte Anforderungen an Lieferketten-Sicherheit
Ein ISMS ersetzt NIS-2 also nicht. Es erleichtert die Umsetzung jedoch erheblich.
Was ist der Unterschied zwischen der Richtlinie und dem nationalen Gesetz?
Die NIS-2-Richtlinie ist eine EU-Richtlinie und muss von den Mitgliedstaaten in nationales Recht umgesetzt werden.  

Das deutsche Umsetzungsgesetz (NIS2UmsuCG) legt die konkreten nationalen Vorschriften fest – z. B. Schwellenwerte, Zuständigkeiten, Bußgelder, Verfahren.  
Bis wann müssen die NIS-2 Anforderungen umgesetzt werden?
Die Richtlinie wurde am 16. Januar 2023 in Kraft gesetzt.  Deutschland müsste die nationale Umsetzung bis zum 17. Oktober 2024 abgeschlossen haben — diese Frist wurde jedoch nicht vollständig eingehalten.  

Im deutschen Kontext ist laut aktuellen Informationen mit Inkrafttreten des NIS2UmsuCG frühestens Ende 2025 bzw. spätestens Anfang Q1/2026 zu rechnen.  Sobald Ihr Unternehmen als betroffen eingestuft wird, gilt eine Registrierungspflicht innerhalb drei Monaten.
Welche Risiken bestehen bei Nicht-Einhaltung der NIS-2-Vorgaben?
Bei Verstößen drohen:
  • hohe Bußgelder
  • persönliche Haftung für die Geschäftsleitung
  • behördliche Anordnungen
  • erhöhtes Risiko für Cyberangriffe, Ausfälle und Reputationsschäden
Eine frühzeitige Umsetzung reduziert sowohl rechtliche als auch operative Risiken deutlich.
Wie unterscheidet sich NIS-2 von der bisherigen NIS-Richtlinie?
NIS-2 erweitert und verschärft die Anforderungen:
  • mehr betroffene Branchen und Unternehmensgrößen
  • konkretere technische und organisatorische Sicherheitsmaßnahmen
  • strengere Meldepflichten
  • höhere Bußgelder
  • deutlich stärkere Verantwortung der Geschäftsleitung
Viele Unternehmen, die bisher nicht betroffen waren, fallen jetzt unter NIS-2.
Welche Leistungen umfasst eine professionelle NIS-2 Beratung?
Eine strukturierte NIS-2 Beratung bietet u. a.:
  • Betroffenheitsanalyse / Einstufung
  • GAP-Analyse zwischen Ist-Stand und NIS-2 Anforderungen
  • Entwicklung einer Umsetzung-Roadmap
  • Unterstützung beim Aufbau oder Ausbau eines ISMS (z. B. ISO 27001)
  • Konzeption von Melde- und Incident-Response-Prozessen
  • Schulungen und Workshops
  • Begleitung bei Audits oder Behördendialog
Kostenloses Erstgespräch buchen
Sind auch unsere Lieferanten und Dienstleister von NIS-2 betroffen?
Ja. NIS-2 legt einen großen Fokus auf die Sicherheit der Lieferkette.

Das bedeutet:
Auch Dienstleister und Partner müssen Anforderungen erfüllen, wenn sie für NIS-2-pflichtige Unternehmen tätig sind. Unternehmen müssen dies vertraglich, technisch und organisatorisch berücksichtigen.
Wie starten Sie am besten in ein NIS-2 Projekt?
Ein sinnvoller Einstieg besteht aus drei Schritten:
  • Betroffenheit klären – Einstufung als „wichtig“ oder „besonders wichtig“.
  • GAP-Analyse – Abgleich zwischen aktuellem Sicherheitsniveau und NIS-2 Anforderungen.
  • Roadmap erstellen – Prioritäten, Maßnahmen, Verantwortlichkeiten und Zeitplan definieren.
Kostenloses Erstgespräch buchen

Jetzt Klarheit bekommen

Erstgespräch vereinbaren – unverbindlich und kostenfrei
Wir bewerten Ihre aktuelle Compliance-Situation in einem 25-minütigen Erstgespräch, identifizieren Risiken und zeigen konkret, welche Maßnahmen Priorität haben und wie Sie diese strukturiert umsetzen.
Kostenfreies Erstgespräch
© 2025 Nasari Consulting GmbH
Alle genannten Marken, Standards und Frameworks sind Eigentum der jeweiligen Rechteinhaber.
TISAX® ist eine eingetragene Marke der ENX Association.
Die Verwendung der Bezeichnungen dient ausschließlich der fachlichen Einordnung und impliziert keine Partnerschaft oder Empfehlung.