NIS2-Assessment
Prüfung der NIS2-Betroffenheit der CONPORT Services GmbH und Umsetzung in der Aldric-Plattform
Version 1.0 — Stand: März 2026
Die NIS2-Richtlinie (Richtlinie (EU) 2022/2555) ist am 16. Januar 2023 in Kraft getreten und muss bis zum 17. Oktober 2024 in nationales Recht umgesetzt werden. In Deutschland erfolgt die Umsetzung durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG). Dieses Assessment prüft, ob die CONPORT Services GmbH als Anbieterin der SaaS-Plattform „Aldric" in den Anwendungsbereich fällt, welche Pflichten daraus resultieren und wie die Plattform Kunden bei deren eigener NIS2-Compliance unterstützt.
Dieses Assessment dient der internen Prüfung und stellt keine Rechtsberatung dar. Die finale Einordnung sollte durch einen spezialisierten IT-Sicherheitsberater oder Fachanwalt für IT-Recht bestätigt werden. Geschäftsführung haftet persönlich (§ 38 NIS2UmsuCG).
Teil A: Betroffenheitsanalyse CONPORT Services GmbH
§ 1 Unternehmensprofil
| Kriterium | CONPORT Services GmbH |
|---|---|
| Rechtsform | GmbH (Sitz: Dortmund, Deutschland) |
| Tätigkeit | SaaS-Plattform für Compliance-Management (Aldric) |
| Branche | IKT-Dienstleistungen / Digitale Infrastruktur |
| Beschäftigte | < 50 (Kleinstunternehmen/Kleinunternehmen) |
| Jahresumsatz | < 10 Mio. EUR |
| Bilanzsumme | < 10 Mio. EUR |
| Kunden | B2B (Unternehmen, Behörden, Beratungshäuser) |
| Datenverarbeitung | Personenbezogene Daten, Compliance-Dokumentation, Risikobewertungen |
§ 2 NIS2-Sektorzuordnung
Die NIS2-Richtlinie unterscheidet zwischen Sektoren hoher Kritikalität (Anhang I) und sonstigen kritischen Sektoren (Anhang II). IKT-Dienstleistungsmanagement (B2B) fällt unter Anhang II Nr. 6: Digitale Anbieter, Unterkategorie „Anbieter verwalteter IKT-Dienste" (Managed Service Provider).
| Sektor (NIS2) | Einordnung | Ergebnis |
|---|---|---|
| Anhang I Nr. 8: Digitale Infrastruktur | Cloud-Computing-Dienste, Rechenzentren | Nicht direkt — CONPORT nutzt Cloud-Provider, betreibt kein eigenes RZ |
| Anhang II Nr. 6: Digitale Anbieter | Managed Service Provider (MSP) | Potenziell betroffen — SaaS mit Compliance-Daten |
| Anhang I Nr. 8: IKT-Dienstleistungsmanagement | Managed Security Service Provider (MSSP) | Nicht zutreffend — kein SOC/SIEM-Dienst |
§ 3 Schwellenwert-Prüfung
NIS2 wendet grundsätzlich die KMU-Definition der EU an (Empfehlung 2003/361/EG). Unternehmen fallen in den Anwendungsbereich, wenn sie:
- Mittleres Unternehmen: ≥ 50 Beschäftigte ODER > 10 Mio. EUR Jahresumsatz UND > 10 Mio. EUR Bilanzsumme
- Großes Unternehmen: ≥ 250 Beschäftigte ODER > 50 Mio. EUR Umsatz
Ergebnis Schwellenwert:
CONPORT Services GmbH unterschreitet aktuell die Schwellenwerte (< 50 Beschäftigte, < 10 Mio. EUR Umsatz). Eine direkte NIS2-Pflicht besteht derzeit nicht.
§ 4 Ausnahmen und Sonderfälle
Auch unterhalb der Schwellenwerte kann eine Betroffenheit bestehen, wenn:
- Das Unternehmen als einziger Anbieter eines Dienstes in einem Mitgliedstaat gilt (Art. 2 Abs. 2 lit. b)
- Eine Störung erhebliche Auswirkungen auf die öffentliche Ordnung, Sicherheit oder Gesundheit hätte (Art. 2 Abs. 2 lit. d)
- Das Unternehmen Dienste für wesentliche oder wichtige Einrichtungen erbringt und ein Ausfall deren Betrieb erheblich beeinträchtigen würde (Lieferkettenrisiko)
- Eine nationale Behörde das Unternehmen individuell benennt
Risikobewertung:
Sofern CONPORT Kunden aus NIS2-regulierten Sektoren bedient (z. B. Energieversorger, Finanzinstitute, Gesundheitswesen), könnten diese als Teil ihrer Lieferketten-Sicherheit NIS2-konforme Maßnahmen von CONPORT einfordern. Dies ist ein indirekter Compliance-Treiber, der de facto NIS2-Niveau erfordert.
§ 5 Zusammenfassung Betroffenheit
| Kriterium | Status | Bewertung |
|---|---|---|
| Sektorzugehörigkeit | Anhang II Nr. 6 (Digitale Anbieter / MSP) | Betroffen |
| Schwellenwert Beschäftigte | < 50 | Unterschritten |
| Schwellenwert Umsatz | < 10 Mio. EUR | Unterschritten |
| Direkte NIS2-Pflicht | — | Nein (aktuell) |
| Indirekte Pflicht (Lieferkette) | Kunden aus regulierten Sektoren | Wahrscheinlich |
| Empfehlung | — | Freiwillige Umsetzung auf NIS2-Niveau |
Teil B: NIS2-Anforderungen und Umsetzungsstand
Auch ohne direkte Verpflichtung implementiert CONPORT Services GmbH proaktiv Sicherheitsmaßnahmen auf NIS2-Niveau. Die folgende Tabelle zeigt die zehn Kernbereiche gemäß Art. 21 NIS2 und den aktuellen Umsetzungsstand.
§ 6 Risikomanagement (Art. 21 Abs. 2 lit. a)
| Maßnahme | Status | Details |
|---|---|---|
| Risikoanalyse IT-Systeme | Umgesetzt | Regelmäßige Bewertung aller Systemkomponenten, dokumentiert in der Aldric-Plattform |
| Risikobewertungsmethodik | Umgesetzt | Systematische Methodik mit Eintrittswahrscheinlichkeit × Schadenshöhe |
| Risikominderungsplan | Umgesetzt | Maßnahmenplan mit Verantwortlichkeiten und Fristen |
| Regelmäßige Überprüfung | Geplant | Quartalsweise Reviews (bei ISO 27001 Zertifizierung formalisiert) |
§ 7 Bewältigung von Sicherheitsvorfällen (Art. 21 Abs. 2 lit. b)
| Maßnahme | Status | Details |
|---|---|---|
| Incident-Response-Plan | Umgesetzt | Dokumentiert unter /de/legal/incident-response/ |
| 24h-Frühwarnung | Vorbereitet | Meldeprozess an BSI definiert (Pflicht: 24h Frühwarnung, 72h Bericht, 1 Monat Abschlussbericht) |
| Vorfallklassifizierung | Umgesetzt | Severity-Stufen (Critical/High/Medium/Low) mit definierten Eskalationswegen |
| Forensische Sicherung | Geplant | Audit-Log-Retention und forensische Analyse-Fähigkeiten |
§ 8 Business Continuity (Art. 21 Abs. 2 lit. c)
| Maßnahme | Status | Details |
|---|---|---|
| Backup-Strategie | Umgesetzt | Tägliche Backups, verschlüsselt, getrennte Speicherorte |
| Wiederherstellungsplan | Umgesetzt | RPO < 24h, RTO < 4h (siehe SLA) |
| Krisenmanagement | Umgesetzt | Definierte Rollen und Kommunikationsketten |
| Disaster-Recovery-Tests | Geplant | Halbjährliche DR-Tests bei Produktionsstart |
§ 9 Sicherheit der Lieferkette (Art. 21 Abs. 2 lit. d)
| Maßnahme | Status | Details |
|---|---|---|
| Lieferantenbewertung | Umgesetzt | Cloud-Provider, Open-Source-Abhängigkeiten, Sub-Processors bewertet (siehe Unterauftragsverarbeiter) |
| Vertragliche Sicherheitsanforderungen | Umgesetzt | AVV mit allen Sub-Processors, Sicherheitsklauseln in Verträgen |
| Software-Supply-Chain | Teilweise | Dependency-Scanning via CI/CD, SBOM in Vorbereitung |
| LkSG-Konformität | Umgesetzt | Dokumentiert unter /de/legal/supply-chain-act/ |
§ 10 Sicherheit bei Entwicklung und Wartung (Art. 21 Abs. 2 lit. e)
| Maßnahme | Status | Details |
|---|---|---|
| Secure Development Lifecycle | Umgesetzt | Code Reviews, automatisierte Tests, CI/CD-Pipeline mit Sicherheitschecks |
| Schwachstellenmanagement | Umgesetzt | Automatische Dependency-Updates, CVE-Monitoring |
| Patch-Management | Umgesetzt | Kritische Patches innerhalb von 48h, reguläre Updates im 2-Wochen-Zyklus |
| Penetrationstests | Geplant | Jährlicher externer Pentest bei Produktionsstart |
§ 11 Bewertung der Wirksamkeit (Art. 21 Abs. 2 lit. f)
| Maßnahme | Status | Details |
|---|---|---|
| Sicherheitsaudits | Geplant | Interne Audits quartalsweise, externe Audits jährlich (ISO 27001 Ziel) |
| KPI-Messung | Teilweise | Uptime-Monitoring, Incident-Metriken, MTTR-Tracking |
| Management-Review | Geplant | Quartalsweiser Sicherheitsbericht an Geschäftsführung |
§ 12 Cyberhygiene und Schulungen (Art. 21 Abs. 2 lit. g)
| Maßnahme | Status | Details |
|---|---|---|
| Sicherheitsrichtlinien | Umgesetzt | Dokumentiert unter /de/legal/security-policy/ |
| Mitarbeiterschulungen | Umgesetzt | Onboarding-Schulung, jährliche Auffrischung, Phishing-Awareness |
| GF-Schulung | Geplant | NIS2 fordert explizit Schulung der Leitungsorgane (Art. 20 Abs. 2) |
| Passwort-Policy | Umgesetzt | MFA für alle Systeme, Passwort-Manager verpflichtend |
§ 13 Kryptografie und Verschlüsselung (Art. 21 Abs. 2 lit. h)
| Maßnahme | Status | Details |
|---|---|---|
| Verschlüsselung in Transit | Umgesetzt | TLS 1.2+ für alle Verbindungen, HSTS aktiviert |
| Verschlüsselung at Rest | Umgesetzt | AES-256 für Datenbank und Objektspeicher |
| Schlüsselmanagement | Umgesetzt | Getrennte Schlüssel pro Mandant, regelmäßige Rotation |
| Kryptografie-Policy | Umgesetzt | Mindeststandards definiert (keine veralteten Algorithmen) |
§ 14 Zugangssteuerung und Asset-Management (Art. 21 Abs. 2 lit. i)
| Maßnahme | Status | Details |
|---|---|---|
| RBAC / Zugangssteuerung | Umgesetzt | Rollenbasierte Zugriffskontrolle auf Modul/Funktions/Datensatzebene |
| Multi-Faktor-Authentifizierung | Umgesetzt | MFA über Keycloak (TOTP, WebAuthn) |
| Mandantentrennung | Umgesetzt | PostgreSQL Row-Level Security (RLS) auf allen Tabellen |
| Asset-Inventar | Teilweise | IT-Asset-Verzeichnis in Vorbereitung |
§ 15 Sichere Kommunikation (Art. 21 Abs. 2 lit. j)
| Maßnahme | Status | Details |
|---|---|---|
| Sichere Authentifizierung | Umgesetzt | OAuth 2.0 / OpenID Connect über Keycloak, JWT-basiert |
| Netzwerksegmentierung | Umgesetzt | Kubernetes-Netzwerkpolicies, getrennte Namespaces |
| Notfallkommunikation | Vorbereitet | Redundante Kommunikationskanäle für Krisensituationen definiert |
Teil C: Meldepflichten
§ 16 NIS2-Meldepflichten an das BSI
Sollte CONPORT künftig direkt unter NIS2 fallen (z. B. durch Wachstum oder behördliche Benennung), gelten folgende Meldepflichten gemäß Art. 23 NIS2 bzw. § 32 NIS2UmsuCG:
| Frist | Meldung | Inhalt |
|---|---|---|
| 24 Stunden | Frühwarnung | Erste Meldung an BSI über erheblichen Sicherheitsvorfall (Verdacht genügt) |
| 72 Stunden | Vorfallmeldung | Bewertung des Vorfalls, Schwere, Auswirkungen, Kompromittierungsindikatoren |
| 1 Monat | Abschlussbericht | Detaillierte Beschreibung, Ursachenanalyse, Abhilfemaßnahmen, grenzüberschreitende Auswirkungen |
Auch ohne direkte Pflicht bereitet CONPORT diese Prozesse vor, da regulierte Kunden vertraglich äquivalente Meldefristen einfordern können.
§ 17 Registrierungspflicht
Wesentliche und wichtige Einrichtungen müssen sich beim BSI registrieren (§ 33 NIS2UmsuCG). Aktuell besteht für CONPORT keine Registrierungspflicht. Bei Überschreitung der Schwellenwerte oder behördlicher Benennung wird die Registrierung unverzüglich vorgenommen.
Teil D: Geschäftsführerhaftung
§ 18 Persönliche Haftung nach NIS2
Ein wesentliches Element der NIS2-Richtlinie ist die persönliche Haftung der Geschäftsführung (Art. 20 NIS2, § 38 NIS2UmsuCG):
- Leitungsorgane müssen die Risikomanagement-Maßnahmen billigen und deren Umsetzung überwachen
- Leitungsorgane müssen an Cybersicherheitsschulungen teilnehmen
- Bei Verstößen können Leitungsorgane persönlich haftbar gemacht werden
- Bußgelder: bis zu 10 Mio. EUR oder 2% des weltweiten Jahresumsatzes (wesentliche Einrichtungen) bzw. 7 Mio. EUR oder 1,4% (wichtige Einrichtungen)
Handlungsbedarf Geschäftsführung:
Auch wenn CONPORT aktuell nicht direkt verpflichtet ist, sollte die Geschäftsführung die NIS2-Schulungspflicht freiwillig erfüllen und die Sicherheitsmaßnahmen formell billigen. Bei Wachstum über die Schwellenwerte gilt die Haftung sofort.
Teil E: Die Aldric-Plattform als NIS2-Werkzeug
§ 19 NIS2-Compliance für Kunden
Die Aldric-Plattform unterstützt Kunden, die selbst unter NIS2 fallen, bei der Erfüllung ihrer Pflichten:
| NIS2-Anforderung | Aldric-Modul | Funktion |
|---|---|---|
| Risikomanagement (Art. 21 lit. a) | Risiko-Modul | Risikoanalyse, Bewertung, Maßnahmentracking |
| Incident Response (Art. 21 lit. b) | Incident-Modul | Vorfallerfassung, Eskalation, BSI-Meldefristen-Tracking |
| Business Continuity (Art. 21 lit. c) | TOM-Modul | Dokumentation technisch-organisatorischer Maßnahmen |
| Lieferkettensicherheit (Art. 21 lit. d) | Lieferanten-Modul | Lieferantenbewertung, Risiko-Scoring, Vertragsüberwachung |
| Schwachstellenmanagement (Art. 21 lit. e) | Audit-Modul | Audit-Trail, Änderungsprotokollierung |
| Wirksamkeitsbewertung (Art. 21 lit. f) | Dashboard | Compliance-Score, KPI-Übersicht, Trendanalysen |
| Schulungsnachweis (Art. 21 lit. g) | Schulungs-Modul | Schulungsverwaltung, Teilnahmebestätigung, Ablauferinnerung |
| Dokumentation (Art. 21 allg.) | Dokumenten-Modul | Versionierung, Freigabe-Workflows, Aufbewahrungsfristen |
§ 20 NIS2-Berichtsvorlagen
Aldric stellt vorkonfigurierte Berichtsvorlagen bereit, die den NIS2-Meldepflichten entsprechen:
- Frühwarnung (24h): Strukturiertes Formular mit allen Pflichtfeldern gemäß Art. 23 Abs. 4 lit. a
- Vorfallmeldung (72h): Erweiterte Bewertung mit Schwere-Einstufung und Indikatoren
- Abschlussbericht (1 Monat): Vollständiger Bericht mit Ursachenanalyse und Maßnahmen
- NIS2-Compliance-Report: Übersicht aller umgesetzten Maßnahmen zu Art. 21
Handlungsempfehlungen
§ 21 Sofortmaßnahmen (0-3 Monate)
- GF-Schulung: Cybersicherheitsschulung für Geschäftsführung durchführen
- Formelle Billigung: GF billigt Sicherheitsstrategie und Risikomanagement schriftlich
- GAP-Analyse: Detaillierte Prüfung aller 10 NIS2-Bereiche gegen IST-Stand
- Schwellenwert-Monitoring: Prozess zur Überwachung von Beschäftigtenzahl und Umsatz einrichten
§ 22 Mittelfristige Maßnahmen (3-12 Monate)
- ISO 27001: Zertifizierung starten (deckt viele NIS2-Anforderungen ab)
- SBOM: Software Bill of Materials erstellen und pflegen
- Penetrationstests: Ersten externen Pentest beauftragen
- DR-Tests: Disaster-Recovery-Tests durchführen und dokumentieren
- BSI-Meldeprozess: Meldeprozess formalisieren und testen
Schlussbestimmungen
Dieses Assessment wird jährlich oder bei wesentlichen Änderungen (Wachstum, neue Regulierung, Sicherheitsvorfälle) aktualisiert. Die nächste Überprüfung ist für Q3 2026 geplant.
Anbieter:
CONPORT Services GmbH
Alte Benninghofer Str. 24
44263 Dortmund
Geschäftsführer: Benjamin Schowe
E-Mail: info@conport.de
Telefon: +49 (0) 2304 6070060
Referenzen: NIS2-Richtlinie (EU) 2022/2555 | BSI zu NIS2 | Informationssicherheit | Incident Response Plan