Cybersecurity-Beratung für den Mittelstand

Die Spannweite ist groß und hängt vom Engagement-Modell ab. Punktuelle Assessments und NIS-2-Gap-Analysen liegen typischerweise im mittleren bis hohen vierstelligen Bereich. Operative Mandate wie ein vCISO ab 3.600 €/Monat (Basic-Retainer) bis ca. 8.500 €/Monat (Senior-Retainer) sind die Mittelstands-Alternative zur CISO-Festanstellung (135.000 bis 200.000 € im Jahr an Vollkosten). Schulungen werden als Festpreis-Pakete angeboten. Wichtig: Mittelstands-Beratung sollte mit klaren Liefergegenständen und Festpreisen arbeiten, nicht mit offenen Stundenkontingenten.

Für mittelständische Unternehmen ist ein vCISO (Virtual CISO) in den meisten Fällen die wirtschaftlichere Wahl. Eine CISO-Festanstellung kostet 135.000 bis 200.000 € im Jahr an Vollkosten und ist bei 1-2 Tagen Bedarf pro Woche überdimensioniert. Ein vCISO bringt mehrjährige Erfahrung in der Informationssicherheit in einen 2-6-Tages-pro-Monat-Retainer ein, startet binnen weniger Tage und skaliert mit dem Bedarf. Erst bei deutlich größeren Unternehmen oder hoher regulatorischer Last (Finanzdienstleister, KRITIS) wird eine Festanstellung wirtschaftlich.

Bei einem mittelständischen Unternehmen mit ein bis drei Standorten sind realistisch 8 bis 12 Wochen für eine prüffähige NIS-2-Readiness: Gap-Assessment (2 bis 3 Wochen), Maßnahmen-Roadmap mit Priorisierung (1 bis 2 Wochen), Quick-Wins-Umsetzung und Dokumentation (5 bis 7 Wochen). Voraussetzung: Management-Commitment und benannte Ansprechpartner aus IT, Recht und Fachbereichen. Holding-Strukturen mit mehreren Tochtergesellschaften brauchen 16 bis 20 Wochen. Die verbindliche rechtliche Compliance-Aussage bleibt Aufgabe einer spezialisierten Kanzlei.

Fehlt im Haus eine benannte Sicherheitsführung, ist das vCISO-Mandat der direkte Weg: Wir besetzen die CISO-Funktion (2-6 Tage/Monat), setzen NIS-2 und ISO 27001 um und führen die Nachweise. Die Plattform OdySecure ist im Mandat enthalten. Haben Sie einen eigenen CISO, lizenzieren Sie OdySecure allein: Assessment für die Ausgangslage, Compliance-Führung und Nachweise auf einer Datenbasis. Reine Beratungsmandate ohne operative Komponente liefern Mittelständlern oft Stapel von Empfehlungen ohne Umsetzungspartner, und damit wenig messbaren Sicherheitsgewinn.

Empfohlenes Vorgehen: (1) Konzernweite ISMS-Klammer mit einheitlichem Fragenkatalog, (2) standortspezifische Assessments über eine Multi-Site-Plattform mit konsolidiertem Konzern-Report, (3) Reifegrad-Differenzierung statt Einheits-Vorgabe; IT-lastige Töchter und Produktionswerke unterscheiden sich grundsätzlich in den Anforderungen, (4) zentrale Steuerung mit dezentralen Owner-Rollen über ein 4-Rollen-Modell (Admin / Owner / Reviewer / User), (5) Konzernbericht für die Geschäftsleitung auf Knopfdruck. So bleibt Compliance auditierbar, ohne den lokalen Standorten den Atem zu nehmen.

Mittelstand braucht kein heruntergeskaliertes Enterprise-Template. Wesentliche Unterschiede: (1) Festpreise und klare Liefergegenstände statt offener T&M-Mandate, (2) operative Beteiligung statt reiner PowerPoint-Beratung, (3) eine Person mit C-Level-Erfahrung statt ein Junior-Team mit Senior-Reviewer, (4) schlanke Werkzeuge statt Enterprise-GRC-Suiten mit sechsstelligen Lizenzkosten, (5) direkte Erreichbarkeit eines Senior-Beraters statt Eskalationsketten. Der typische Mittelstand kauft Beratung für ein konkretes Outcome, nicht für eine Methodik.

Pflichtprogramm hängt von Branche und Größe ab: NIS-2 für besonders wichtige und wichtige Einrichtungen ab 50 Mitarbeitenden oder mit Umsatz und Bilanzsumme von jeweils über 10 Mio. € in 18 Sektoren, DORA für Finanzdienstleister, TISAX/VDA ISA für Automobilzulieferer, IEC 62443 für OT-lastige Industriebetriebe, BSI IT-Grundschutz als pragmatische Basis, ISO 27001 als international anerkannter ISMS-Standard. Praxis: Cybervize empfiehlt einen Multi-Standard-Ansatz mit gemeinsamer Datenbasis: ein einmal beantworteter Kontroll-Katalog deckt mehrere Standards parallel ab.

Cybervize fokussiert besonders auf produzierendes Gewerbe, Finanzdienstleister, kritische Infrastrukturen (KRITIS), Telekommunikation und Mittelstands-Holdings mit mehreren Tochtergesellschaften. Gemeinsamkeit: hohe regulatorische Last (NIS-2, DORA, KRITIS-Verordnung), spezialisierte Risikolandschaft (OT/IT-Konvergenz, Lieferketten, M&A) und gleichzeitig zu kleine interne Security-Teams für Vollabdeckung. Ein externes Mandat schließt die Lücke zwischen Anforderung und interner Kapazität, ohne dass eine teure Inhouse-Aufstockung nötig wird.

Wir beraten remote und standortübergreifend, auch Unternehmen mit mehreren Standorten. Vor Ort sind wir, wenn ein Termin es erfordert.