NIS2 beginnt nicht im Rechenzentrum. Aber dort endet sie auch nicht.

All diese Themen sind zweifellos wichtig.

Dennoch erleben viele Unternehmen, dass ihre NIS2-Initiativen trotz hoher Investitionen nur begrenzte Transparenz schaffen. Es entstehen Checklisten, Gap-Analysen, Audits und Maßnahmenkataloge. Die eigentlichen Managementfragen bleiben jedoch häufig unbeantwortet. ,

• Welche Verträge unterstützen kritische Funktionen?
• Welche Lieferanten erzeugen die größten Abhängigkeiten?
• Welche NIS2-Anforderungen betreffen welche Geschäftsprozesse?
• Welche Vertragsklausel verursacht welches Risiko?
• Welche Assets sind betroffen?
• Wie hoch ist der potenzielle wirtschaftliche Schaden?
• Wer trägt die Verantwortung?
• Welche Maßnahme reduziert das Risiko tatsächlich?

Zwischen regulatorischer Anforderung und unternehmerischer Realität entsteht eine Lücke.

Genau diese Lücke schließt LEGANTA®.

Die unbequeme Wahrheit: Kritische Risiken entstehen selten im Rechenzentrum

Wenn Unternehmen von Cyberrisiken sprechen, denken sie häufig an Firewalls, Verzeichnisdienste, Netzwerksegmentierung oder SIEM-Systeme.

Die meisten kritischen Abhängigkeiten entstehen jedoch deutlich früher.

Sie entstehen in Verträgen.

Cloud-Verträge, Outsourcing-Vereinbarungen, Managed Services, Plattformverträge, Softwarelizenzen, Datenverarbeitungsverträge und Lieferantenvereinbarungen bestimmen, wer verantwortlich ist, wer Nachweise liefern muss, wer Audits zulassen muss, welche Sicherheitsanforderungen gelten und wer im Schadensfall haftet.

LEGANTA® NIS2 beginnt deshalb bewusst beim Vertrag.

Nicht weil NIS2 ein Vertragsthema wäre.

Sondern weil Verträge die semantische Beschreibung des Unternehmens darstellen.

Jeder Vertrag beschreibt Leistungen. Leistungen beschreiben Prozesse. Prozesse beschreiben die Organisation. Und aus dieser Struktur lassen sich Verantwortlichkeiten, Governance, Risiken, Abhängigkeiten und Resilienz ableiten.

Daraus entstand der LEGANTA®-Grundsatz: Form follows Contract.

Der größte Pain Point: Compliance ohne Zusammenhang

In vielen Unternehmen werden regulatorische Anforderungen, Verträge, Prozesse, Risiken und technische Sicherheitsmaßnahmen unabhängig voneinander betrachtet.

Das Ergebnis sind isolierte Bewertungen.

• Auditoren prüfen Anforderungen.
• Berater erstellen Gap-Analysen.
• Security-Teams bewerten technische Kontrollen.
• Einkauf und Vertragsmanagement verwalten Lieferanten.
• Das Management erhält zahlreiche Berichte, aber selten ein konsistentes Gesamtbild.

LEGANTA® verbindet diese Welten in einem gemeinsamen Wissensmodell.

Dabei wird jede regulatorische Vorgabe über eine durchgängige Ableitungskette verarbeitet:

Domäne → Regelwerk → Norm → Kontrollziel → Nachweiskriterium → Nachweis → Prüferfrage → Feststellung → Ereignis → Risikosignatur → Lessons Learned.

Dadurch entsteht eine lückenlose Verbindung zwischen Regulierung, Vertrag, Organisation, Cybersecurity und Risiko.

Wenn eine Feststellung zum Unternehmensrisiko wird

Klassische Compliance-Systeme enden meist bei einer Feststellung.

LEGANTA® beginnt dort erst.

Fehlt beispielsweise ein Auditrecht im Vertrag, lautet die Feststellung nicht lediglich:

„Auditklausel fehlt.“

LEGANTA® analysiert die gesamte Wirkungskette:

Audit kann verweigert werden. Kontrollen können nicht durchgeführt werden. Verstöße bleiben verborgen. Transparenz geht verloren. Governance verliert Wirksamkeit. Regulatorische Risiken steigen.

Dafür verwendet LEGANTA® die Risikosignatur:

Ereignis → Störung → Wirkung → Asset → Betroffene → Risiko → Maßnahmen.

Aus einer Compliance-Lücke entsteht damit ein steuerbares Unternehmensrisiko.

Fünf typische NIS2-Probleme. Eine gemeinsame Lösung.

1. Niemand weiß, welche Verträge wirklich kritisch sind

In großen Organisationen existieren oft tausende Verträge. Welche davon kritische Funktionen unterstützen, bleibt häufig unklar.

LEGANTA® analysiert Verträge, Leistungen, Prozesse, Systeme, Daten, Geschäftsabhängigkeiten und regulatorische Bezüge und erzeugt daraus Kennzahlen wie den Business Criticality Index, den Regulatory Exposure Index und den Supplier Dependency Index. Kritische Verpflichtungen und Ansprüche werden dadurch unmittelbar sichtbar.

2. Compliance hat keinen wirtschaftlichen Kontext

Das Management interessiert sich nicht nur für Compliance.

Es möchte wissen, welche finanziellen Auswirkungen ein Risiko verursachen kann.

LEGANTA® verbindet regulatorische Feststellungen mit Risiken, Auswirkungen und wirtschaftlichen Schäden. Daraus entstehen Kennzahlen wie Risk Score, Risk Cost und Contract Governance Index. Compliance wird damit zu einem Instrument der Unternehmenssteuerung.

3. Lieferkettenrisiken sind kaum beherrschbar

NIS2 fordert ausdrücklich die Bewertung von Lieferkettenrisiken.

In der Praxis fehlen jedoch häufig die Zusammenhänge zwischen Lieferanten, Verträgen, Prozessen, Assets und regulatorischen Anforderungen.

LEGANTA® modelliert diese Zusammenhänge als vollständige Wirkungskette und macht dadurch Lieferkettenrisiken erstmals transparent, nachvollziehbar und steuerbar.

4. Verträge sind oft nicht auditierbar

Viele Verträge enthalten Verpflichtungen, aber keine belastbaren Nachweise.

LEGANTA® trennt deshalb konsequent zwischen Nachweiskriterium, Nachweis und Feststellung. Ergänzend bewertet der Evidence Score die Qualität und Belastbarkeit der Evidenzlage. Dadurch entsteht eine revisionssichere Grundlage für Audits und Aufsicht.

5. Erkenntnisse gehen verloren

Viele Audits enden mit einem Bericht.

Danach beginnt die nächste Prüfung wieder von vorne.

LEGANTA® integriert jede Erkenntnis in den Baustein Lessons Learned und führt sie dauerhaft in das Wissensmodell zurück. Dadurch entsteht ein kontinuierlicher Verbesserungsprozess.

NIS2 beginnt im Vertrag. Die Prüfung endet jedoch nicht dort.

Gerade hier unterscheidet sich LEGANTA® von der Fehlinterpretation, NIS2 sei primär eine Frage von Verträgen.

LEGANTA® berücksichtigt sämtliche technischen, organisatorischen und betrieblichen Anforderungen der NIS2-Richtlinie. Diese werden jedoch nicht isoliert betrachtet, sondern in ihren regulatorischen und vertraglichen Kontext eingebettet.

Der Maßstab lautet nicht: Welche Sicherheitslösung wurde eingeführt?

Sondern:

Welche Verpflichtung wird erfüllt, wie wird ihre Wirksamkeit nachgewiesen und welches Risiko entsteht, wenn sie versagt?

Die operative Cybersecurity wird sichtbar, erklärbar und prüfbar

LEGANTA® deckt sämtliche wesentlichen Cybersecurity-Disziplinen der NIS2 ab.

Incident Response

Nicht nur die Existenz eines Prozesses wird geprüft. Bewertet werden Meldepflichten, Eskalationswege, Mitwirkungspflichten von Dienstleistern, regulatorische Fristen, Dokumentation, Nachweise und Haftungsfolgen.

Vulnerability Management

Schwachstellen werden nicht nur technisch betrachtet. LEGANTA® analysiert Patchpflichten, Reaktionszeiten, geschäftliche Abhängigkeiten, regulatorische Auswirkungen und wirtschaftliche Schadenspotenziale.

Identity & Access Management

IAM wird anhand von Rollenmodellen, Verantwortlichkeiten, Berechtigungskonzepten, Betreiberpflichten, Outsourcing-Strukturen und Auditierbarkeit bewertet.

Netzwerksicherheit

Firewalls und Segmentierung werden mit Geschäftsprozessen, Assets, Lieferketten und regulatorischen Anforderungen verknüpft. Dadurch wird die tatsächliche Bedeutung der Maßnahme für die Unternehmensresilienz sichtbar.

Security Operations und SOC

SOC-Prozesse werden hinsichtlich Kontrollzielen, erzeugter Nachweise, geschützter Assets, regulatorischer Relevanz und möglicher Auswirkungen eines Überwachungsausfalls bewertet.

Die Qualität von Cybersecurity wird aus Verpflichtungen und Ansprüchen abgeleitet

Der entscheidende Unterschied besteht darin, dass LEGANTA® Sicherheitsmaßnahmen nicht nach ihrer bloßen Existenz bewertet.

Bewertet wird ihre Wirksamkeit.

• Welche Verpflichtung besteht?
• Welches Kontrollziel muss erfüllt werden?
• Welche Nachweise werden verlangt?
• Welches Risiko soll reduziert werden?
• Wird die gewünschte Wirkung tatsächlich erreicht?

Dadurch verbindet LEGANTA® Governance, Compliance, Verträge, Prozesse, Lieferketten und Cybersecurity in einer einzigen Bewertungslogik.

Die LEGANTA® OntoSphere: Das gemeinsame Modell für NIS2

Im Zentrum steht die LEGANTA® OntoSphere mit ihren drei verbundenen Räumen:

• Geschäftsraum
• Rechtsraum
• Resonanzraum

Der Geschäftsraum beschreibt Prozesse und Wertschöpfung.

Der Rechtsraum beschreibt Verträge, Verpflichtungen und regulatorische Anforderungen.

Der Resonanzraum beschreibt Ereignisse, Risiken, Auswirkungen und Veränderungen.

Dadurch kann LEGANTA® nicht nur beantworten, welche Anforderung oder Klausel existiert, sondern welchen Einfluss sie auf Resilienz, Governance, Risiko und Unternehmenssteuerung besitzt.

Vom Vertrag zum Wissen. Vom Wissen zur Resilienz.

Die eigentliche Innovation von LEGANTA® sind nicht Dashboards, Heatmaps oder Compliance-Scores.

Die Innovation liegt in einer durchgängigen semantischen Wirkungs- und Wissenskette.

Norm → Prüferfrage → Feststellung → Ereignis → Risikosignatur → Lessons Learned.

• Aus regulatorischen Anforderungen werden Wissensobjekte.
• Aus Wissensobjekten werden Risikoobjekte.
• Aus Risikoobjekten entsteht Unternehmenssteuerung.
• Und aus Unternehmenssteuerung entsteht Resilienz.

Deshalb ist LEGANTA® weder ein reines LegalTech-System noch ein klassisches GRC-Werkzeug oder ein weiteres Cybersecurity-Assessment.

LEGANTA® prüft die vollständige Wirksamkeitskette von der regulatorischen Anforderung über die vertragliche Verpflichtung bis zur operativen Cybersecurity-Maßnahme und deren Wirkung auf Risiko, Governance, Compliance und Resilienz.

NIS2 beginnt im Vertrag. Aber erst durch die Verbindung von Vertrag, Governance und operativer Cybersecurity entsteht die vollständige Sicht auf das Unternehmen. Genau diese Sicht liefert LEGANTA®.