Eine Richtlinie, 27 nationale Gesetze, und was sie von Ihnen verlangen.
Fünf Stufen, von der soliden Basis bis zur gruppenweiten Verteidigung.
Jede geforderte Maßnahme und der Dienst, der sie liefert.
Erkennung und Reaktion aus unserem europäischen SOC.
Geräte, Cloud und Support, als ein Dienst betrieben.
NIS2, DORA und DSGVO in einer Analyse.
Plattformen der Hersteller, ausgerollt und danach betrieben.
Ein namentlich benannter CISO, zwei Tage im Monat.
Sofort Hilfe, und Ihre Meldung fristgerecht eingereicht.
Nach dem Gespräch haben Sie eine priorisierte Liste Ihrer Lücken und eine Preisindikation für deren Schließung. Kostenlos und unverbindlich.
Gespräch vereinbarenWer wir sind und wie wir aufgestellt sind.
Amsterdam, Sofia, Varna und Stara Zagora.
Die Plattformen, die wir implementieren und betreiben.
Wie die Arbeit in der Praxis aussieht.
Das Kundenteam in Amsterdam, das Engineering in Bulgarien, alles innerhalb der EU. Ein Vertrag, nach niederländischem Recht.
Wie wir liefernCompliance Advisory
NIS2, DORA, die DSGVO und der Cyber Resilience Act stellen teils vergleichbare Anforderungen an Risikomanagement, Sicherheit und den Umgang mit Vorfällen. Anwendungsbereich, Register, Meldefristen und rechtliche Verantwortlichkeiten unterscheiden sich jedoch je Regelung. Wir stellen deshalb zuerst fest, welche Regeln für jeden Rechtsträger, jeden Dienst und jedes Produkt gelten. Danach bestimmen wir, welche Maßnahmen gemeinsam aufgebaut werden können und welche Pflichten getrennt zu behandeln sind.
Die vier Regelungen
Die vier Regelungen haben jeweils einen eigenen Anwendungsbereich. Eine Organisation kann unter eine davon fallen, ebenso gut aber mit mehreren zugleich zu tun haben.
Achtzehn Sektoren, wobei die Größe über die Kategorie entscheidet. Ein Sektor aus Anhang I ab 250 Beschäftigten ist in der Regel eine besonders wichtige Einrichtung (in der NIS2-Richtlinie: wesentliche Einrichtung). Anhang I mit 50 bis 249 Beschäftigten und der gesamte Anhang II ab 50 Beschäftigten sind in der Regel wichtige Einrichtungen. Für beide gelten dieselben zehn Maßnahmen nach Artikel 21 Absatz 2, und eine besonders wichtige Einrichtung steht unter proaktiver Aufsicht. Die Behörde darf prüfen, ohne dass ein Vorfall aktenkundig ist. Eine weit größere Gruppe wird mittelbar erfasst, denn eine Einrichtung im Anwendungsbereich ist für die Sicherheit ihrer direkten Lieferanten verantwortlich.
Sektor- und Größenprüfung folgen dem nationalen Gesetz. Eine Gruppe, die in fünf Mitgliedstaaten tätig ist, wird fünfmal geprüft.
Das niederländische Umsetzungsgesetz (Cyberbeveiligingswet) gilt seit dem 15. August 2026Banken, Versicherer, Wertpapierfirmen, Zahlungs- und E-Geld-Institute, Anbieter von Krypto-Dienstleistungen, Handelsplätze und mehr als ein Dutzend weiterer Kategorien, dazu die IKT-Dienstleister, von denen sie abhängen. Die DORA regelt das IKT-Risikomanagement, die Einstufung und Meldung von Vorfällen, Resilienztests und die vertragliche Steuerung von Dritten. IKT-Dienstleister, die als kritisch eingestuft sind, werden auf europäischer Ebene beaufsichtigt.
In den Niederlanden beaufsichtigt durch De Nederlandsche Bank oder die Autoriteit Financiële Markten, je nach Einrichtung.
Gilt seit 17. Januar 2025Keine Größenschwelle und keine Sektorliste. Wer personenbezogene Daten hält, braucht eine Rechtsgrundlage je Zweck, ein Verarbeitungsverzeichnis nach Artikel 30, dem Risiko angemessene Sicherheit nach Artikel 32, eine Meldung von Verletzungen innerhalb von 72 Stunden, sofern das Risiko es erfordert, eine Folgenabschätzung bei hohem Risiko und eine belastbare Antwort, wenn jemand fragt, was Sie über ihn gespeichert haben.
Die älteste der vier, und die, bei der die Dokumentation am häufigsten etwas beschreibt, was die Organisation nicht mehr tut.
Gilt seit 25. Mai 2018Wer Hardware oder Software auf dem europäischen Markt herstellt, einführt oder vertreibt, für den hängt der CRA am Produkt und nicht an der Organisation. Sichere Entwicklung, ein Prozess für den Umgang mit Schwachstellen, eine Software-Stückliste, Sicherheitsupdates über einen festgelegten Unterstützungszeitraum, technische Dokumentation und CE-Kennzeichnung. Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle sind zu melden.
Die Pflichten laufen über den gesamten Lebenszyklus. Was Sie 2027 verkaufen, trägt noch Jahre nach dem Verkauf Pflichten.
Meldepflichten ab 11. September 2026, vollständige Geltung ab 11. Dezember 2027Eine Organisation kann unter alle vier zugleich fallen. Ein Medizinproduktehersteller mit 300 Beschäftigten und einer Bank unter seinen Kunden ist der Normalfall und nicht der Sonderfall.
Die Überschneidung
Viele technische und organisatorische Maßnahmen kommen in mehreren Regelungen vor. Wir bewerten diese Maßnahmen einmal und ordnen die vorhandenen Nachweise den jeweils einschlägigen Anforderungen zu.
Asset-Inventar. Zugriffskontrolle und Multi-Faktor-Authentifizierung. Protokollierung und Überwachung. Patch-Management in festem Rhythmus. Verschlüsselung. Backup mit Wiederherstellungen, die tatsächlich getestet wurden. Lieferantenbewertung. Ein Prozess für Sicherheitsvorfälle mit benannten Rollen und einer Telefonnummer, die jemand abnimmt. Jedes davon steht in Artikel 21 Absatz 2 der NIS2-Richtlinie, im IKT-Risikomanagementrahmen der DORA, in Artikel 32 DSGVO und in den Anforderungen des CRA an sichere Entwicklung. Die Maßnahme einmal aufbauen, einmal belegen, und sie antwortet an vier Stellen.
Für die Unterlagen gilt das nicht. Die vier als austauschbar zu behandeln ist der Fehler, der achtzehn Monate später in einer Prüfung auftaucht.
Wo sie wirklich auseinandergehen
Eine Bewertung, ein zusammengeführtes Maßnahmenset, vier getrennte Nachweispakete. Pflichten, die sich nicht überschneiden, bleiben getrennte Arbeitspakete im selben Auftrag.
Die Bewertung
Die Bewertung liefert vier konkrete Ergebnisse: eine Einstufung, eine gemeinsame Analyse, einen Umsetzungsplan und einen Bericht für die Geschäftsleitung.
Wir halten fest, welche Regelungen für jeden Rechtsträger gelten, nach welchem nationalen Gesetz und aufgrund welcher Tätigkeiten und Kriterien. Bei einer Gruppe mit Rechtsträgern in mehreren Ländern kann das Ergebnis je Rechtsträger unterschiedlich ausfallen.
Wir prüfen die Organisation gegen ein zusammengeführtes Maßnahmenset. Dabei unterscheiden wir zwischen einer Maßnahme, die tatsächlich fehlt, und einer vorhandenen Maßnahme, für die zu wenig Nachweis vorliegt. Diese Unterscheidung ist wichtig, denn eine fehlende technische Maßnahme nachzurüsten kostet meist mehr Arbeit als Berichte oder Aufzeichnungen zu ergänzen.
Jeder Befund bekommt einen Verantwortlichen, eine Priorität, eine Kostenschätzung und seine Abhängigkeiten. Die Reihenfolge ergibt sich aus dem Risiko und den praktischen Folgen. Wo eine Maßnahme zusätzliche Technik braucht, nennen wir sowohl die Kosten der Einführung als auch die des Betriebs.
Die Geschäftsleitung erhält einen knappen Überblick über die geltenden Pflichten, die wichtigsten Risiken, die offenen Maßnahmen, die nötigen Entscheidungen und die bewusst akzeptierten Risiken. Die Unterlagen sind so verfasst, dass sich Entscheidungen und Aufsicht in den Protokollen der Geschäftsleitung festhalten lassen.
Einstufung und erste Analyse dauern für einen Rechtsträger zwei bis drei Wochen je Land. Bei mehreren Rechtsträgern oder Regelungen kann mehr Zeit nötig sein. Die Umsetzung der Maßnahmen fällt nicht in diese Laufzeit. Ihre Planung hängt von der bestehenden Einrichtung und der Art der fehlenden Maßnahmen ab.
Der Unterschied
Sie können die Bewertung als eigenen Auftrag abnehmen und den Umsetzungsplan von Ihrem eigenen Team oder Ihrem jetzigen Dienstleister ausführen lassen. Think Smart Europe kann die nächsten Schritte auch übernehmen. Vorab halten wir fest, welche Teile wir ausführen und welche Arbeiten bei Ihrer Organisation oder bei anderen Dienstleistern bleiben.
Sie haben jetzt einen Plan und müssen weiterhin jemanden finden, der ihn aufbaut, und jemanden, der ihn danach betreibt.
Ein Vertrag und ein verantwortlicher Partner, von der Einstufung bis zum täglichen Betrieb. Hält eine Maßnahme nicht, die wir empfohlen haben, bleibt sie unsere.
Wo unsere Arbeit endet
Think Smart Europe berät zu Cybersicherheit, technischen Maßnahmen, Prozessen und Nachweisen. Wir erteilen keine Rechtsberatung und zeichnen keine Rechtsgutachten.
Wir können Richtlinien, Verfahren für Sicherheitsvorfälle, Unterlagen für die Geschäftsleitung und die technischen oder organisatorischen Teile der Dokumentation vorbereiten. Ihre Organisation beschließt diese Dokumente.
Für rechtliche Auslegungen, förmliche Feststellungen zum Anwendungsbereich, Rechtsgrundlagen und Vertragstexte bleiben ein Anwalt, eine Datenschutzjuristin oder Ihr Datenschutzbeauftragter verantwortlich. Ob ein Rechtsträger unter das niederländische Umsetzungsgesetz (Cyberbeveiligingswet) fällt, ob eine Verarbeitung eine gültige Rechtsgrundlage hat und ob eine Klausel die vertraglichen Anforderungen der DORA trägt, sind rechtliche Bewertungen. Haben Sie keine Rechtsberatung, sagen wir das zu Beginn und arbeiten neben der Kanzlei, die Sie beauftragen.
Diese Aufgabenteilung halten wir fest, bevor der Auftrag beginnt.
Häufige Fragen
Nein. Ein Maßnahmenset deckt den größten Teil von NIS2, den größten Teil der IKT-Risikoanforderungen der DORA und Artikel 32 DSGVO ab. Eine einzige Bewertung trägt diese drei.
Was sich nicht überschneidet, läuft als eigenes Arbeitspaket im selben Auftrag: das Informationsregister der DORA, die Produktpflichten des CRA sowie Rechtsgrundlagen und Aufbewahrungsfristen unter der DSGVO.
Meist nicht. Die Bewertung lässt sich auf der bestehenden Dienstleistung aufsetzen. Arbeit, die Ihr jetziger Dienstleister gut erledigen kann, kann dort bleiben.
Klar sein muss, wer für fehlende Teile und für die Nachweise verantwortlich ist. Betreibt eine Partei die Endgeräte, eine zweite das Netzwerk und eine dritte die Cloud, gehören die Nachweise oft niemandem. Dieses Gespräch führen Sie besser, bevor ein Prüfer es für Sie führt.
Ja. Die DORA gilt auch für andere benannte Finanzunternehmen, etwa Versicherer und Vermittler, Wertpapierfirmen, Zahlungs- und E-Geld-Institute, Anbieter von Krypto-Dienstleistungen und Handelsplätze.
Die DORA kann IKT-Dienstleister auch über deren Finanzkunden erreichen. Legt Ihnen ein Finanzunternehmen Klauseln zu Unterauftragsvergabe, Ausstiegsplänen, Prüfrechten und Vorfallmeldung vor, steht die DORA vor Ihrer Tür.
Nein. Bulgarien ist Mitgliedstaat der Europäischen Union. Dort geleistete Arbeit ist für sich genommen keine Drittlandübermittlung.
Unsere Engineering- und Monitoring-Teams arbeiten in Sofia, Varna und Stara Zagora unter derselben DSGVO, denselben vertraglichen Bedingungen und denselben Managementsystemen wie das Amsterdamer Büro. Die genauen Datenflüsse und ein etwaiger Zugriff durch andere Dienstleister werden je Dienst bewertet.
Weil die technische Organisation dahinter nicht neu ist. Think Smart Europe B.V. ist ein Joint Venture niederländischer Gründer mit Think Smart in Bulgarien, das seit Dezember 2019 registriert ist und die ISO-Zertifizierungen, die Herstellerpartnerschaften und die technische Tiefe mitbringt.
Compliance-Arbeit wird unter den zertifizierten Managementsystemen unserer Muttergesellschaft erbracht. Wir zeigen Ihnen diese Zertifikate und ihren Geltungsbereich. Es gibt einen Vertrag und eine Stelle, bei der die Verantwortung liegt.
Ja. Bericht und Umsetzungsplan können Sie danach von Ihrem eigenen Team oder einem anderen Dienstleister ausführen lassen.
Ist das vernünftige Ergebnis, dass Sie den Umsetzungsplan zu dem Dienstleister tragen, den Sie bereits haben, sagen wir das auch.
Einstufung und erste Analyse liegen meist innerhalb von zwei bis drei Wochen je Land vor. Damit können Sie Fragen sachlich beantworten und angeben, welche Maßnahmen noch umgesetzt werden.
Ein vollständiges Nachweispaket folgt, sobald die nötigen Verbesserungen abgeschlossen sind.
Im Erstgespräch besprechen wir Ihre Rechtsstruktur, Ihre Tätigkeiten, Ihre Produkte und die Länder, in denen Sie arbeiten. Danach sagen wir, welche Regelungen voraussichtlich einschlägig sind, was die Bewertung umfasst und was sie voraussichtlich kostet.
