Breiter KMU-Outreach
Gezielte Ansprache von Organisationen und Entscheidungsverantwortlichen, um ein realistisches Bild der damaligen Relevanzwahrnehmung zu gewinnen.
Projektarchiv · Technische Universität München · 2025
Praktische Umsetzung von NIS-2 in kleinen und mittleren Unternehmen
Empirische Untersuchung von Umsetzungsbarrieren und Entwicklung eines standardisierten Modells zur Selbsteinschätzung.
Kurzfassung
Von abstrakten Pflichten zu konkreten Arbeitspaketen
Das Projekt untersuchte, wie mittelständische Organisationen NIS-2 wahrnehmen, welche internen und externen Barrieren den Start erschweren und wie ein strukturiertes Self-Assessment den Einstieg unterstützen kann.
1.800KMU im empirischen Outreach
3.600E-Mail-Kontakte im Studienverlauf
17halbstrukturierte Experteninterviews
1standardisiertes Self-Assessment-Modell
Vorgehen
Forschungsdesign
Experteninterviews
17 halbstrukturierte Gespräche mit Verantwortlichen aus IT-Sicherheit, IT-Leitung, Management und Compliance; ausgewertet in anonymisierter Form.
Bewertungsmodell
Überführung der gewonnenen Erkenntnisse in eine nachvollziehbare Selbstbewertung mit Reifegraden und priorisierbaren Themenfeldern.
Einordnung: Die Feldphase lief vom 28. Mai bis 15. Juli 2025. Die qualitative Stichprobe mit 17 Interviews liefert vertiefende Praxiseinblicke, ist aber nicht statistisch repräsentativ für den gesamten deutschen Mittelstand.
Interviewbefunde
Warum viele Unternehmen noch nicht ins Handeln kamen
Die Gespräche zeigten wiederkehrende organisatorische Muster – nicht nur technische Lücken.
Regulatorische Unsicherheit
Unklare Betroffenheit und offene nationale Details förderten eine abwartende Haltung und erschwerten verbindliche Entscheidungen.
Zeit und Dokumentation
Knappe personelle Kapazitäten, Budgets und Nachweispflichten wurden häufig als größere Belastung beschrieben als einzelne technische Maßnahmen.
Bedarf an konkreter Anleitung
Gewünscht wurden verständliche, KMU-taugliche Schritte und eine bessere Anschlussfähigkeit an vorhandene Standards und Prozesse.
Ergebnis
Ein Werkzeug für den pragmatischen Einstieg
Das Self-Assessment schafft eine gemeinsame Arbeitsgrundlage zwischen Management, IT und Informationssicherheit.
Transparenter Umsetzungsstand
37 Fragen zur Umsetzung und 37 gespiegelte Fragen zur Nachweisführung machen vorhandene Maßnahmen und Dokumentationslücken getrennt sichtbar.
Vom Gap zur Roadmap
Erkennbare Lücken können in konkrete Arbeitspakete übersetzt und nach Risiko, Aufwand und Abhängigkeiten priorisiert werden.
Vorhandene Standards nutzen
Mappings zu ISO/IEC 27001, TISAX und BSI IT-Grundschutz helfen dabei, bestehende ISMS-Strukturen wiederzuverwenden.
Managementfähig berichten
Ein standardisierter Blick auf Status und Handlungsfelder verbessert die Abstimmung zwischen Fachrollen und Entscheidungsträgern.
Forschungstransfer
Das Modell ist als kostenloses Tool verfügbar
Das aus dem Projekt hervorgegangene NIS-2 Self-Assessment wird über HvS-Consulting bereitgestellt und kann als Ausgangspunkt für eine strukturierte Bestandsaufnahme verwendet werden.
Abgedeckte Referenzen
NIS-2
ISO/IEC 27001
TISAX
BSI IT-Grundschutz
Fortführung
Von der Bachelorarbeit zum NIS-2 Realitätscheck
Die erste Untersuchung fand in einer Phase regulatorischer Unsicherheit und ausgeprägter Abwartehaltung statt. Nach Inkrafttreten des deutschen NIS-2-Umsetzungsgesetzes wurde das Forschungsdesign 2026 als längsschnittliche Folgeerhebung fortgeführt.
Die Ergebnisse wurden bei BSides Munich 2025, beim 21. Deutschen IT-Sicherheitskongress des BSI und auf der Elbsides Conference 2026 vorgestellt.
Projektstatus: Die Interviewphase ist abgeschlossen. Diese Seite ist ein Archiv und keine laufende Einladung zur Studienteilnahme.
Akademischer Kontext
Technische Universität München
Das Projekt entstand im Rahmen einer Bachelorarbeit im Studiengang Wirtschaftsinformatik am Lehrstuhl für Cyber Trust der Technischen Universität München und wurde von Prof. Dr. Jens Großklags betreut.
Autor: Younes Ahmadzei.
Diese Seite ist keine offizielle Publikation der Technischen Universität München.
Austausch
Fragen zum Forschungsprojekt?
Für fachlichen Austausch zur Studie, zum Assessment-Modell oder zu Vorträgen.