Ob Ihre Maßnahmen wirklich belastbar sind, zeigt sich an den Fragen, die nach der Umsetzung offenbleiben.
Sie haben Ihre NIS-2-Maßnahmen weitgehend umgesetzt. Jetzt möchten Sie wissen, ob sie im Ernstfall tatsächlich greifen.
Mit einem gezielt auf Ihre Ausgangslage abgestimmten Pentest prüfen wir relevante Angriffspfade unter realistischen Bedingungen. So erkennen Sie, wo Ihre Schutzmaßnahmen funktionieren, wo Risiken verbleiben und was jetzt Priorität hat.
Zertifkate
Sie haben Ihre NIS-2-Maßnahmen weitgehend umgesetzt. Jetzt möchten Sie wissen, ob sie im Ernstfall tatsächlich greifen. Mit einem gezielt auf Ihre Ausgangslage abgestimmten Pentest prüfen wir relevante Angriffspfade unter realistischen Bedingungen.
Kunden, die uns vertrauen
Sie haben NIS-2-Maßnahmen dokumentiert, Sicherheitslösungen eingeführt und Mitarbeitende sensibilisiert. Jetzt möchten Sie wissen, ob Ihre Schutzmaßnahmen einem realistischen Angriff standhalten.
Einen gesetzlich definierten „NIS-2-Pentest“ gibt es nicht. NIS-2 und § 30 BSIG fordern jedoch wirksame Sicherheitsmaßnahmen und Verfahren zu deren Bewertung. Ein Pentest kann praktische Evidenz liefern, indem er bereits umgesetzte Schutzmaßnahmen unter realistischen Angriffsbedingungen prüft.
Gemeinsam definieren wir, welche Fragen der Pentest beantworten soll und welche Prüfbereiche dafür relevant sind.
Sie erhalten mehr als eine Liste technischer Findings. Wir zeigen, welche Angriffspfade tatsächlich relevant sind, priorisieren den Handlungsbedarf und bereiten die Ergebnisse so auf, dass sowohl Fachteam als auch Management daraus konkrete nächste Schritte ableiten können. Auf Wunsch vertiefen wir die Erkenntnisse in passenden Workshops oder Präsentationen.
Dann besprechen wir persönlich und unverbindlich Ihre offenen Fragen und klären den individuellen Prüfbedarf.
Dann ordnen wir gemeinsam Ihre Ausgangslage ein und klären, welcher nächste Schritt für Sie sinnvoll ist.
Ob Ihre Maßnahmen wirklich belastbar sind, zeigt sich an den Fragen, die nach der Umsetzung offenbleiben.
Nach der Umsetzung stellen sich andere Fragen im Kontext von NIS-2:
„Jetzt haben wir umgesetzt. Lassen wir doch einmal überprüfen, was wir eigentlich gemacht haben.“
Genau darum geht es: nicht um den nächsten Haken und nicht um ein weiteres Tool. Sondern um die Frage, ob Ihre bestehenden Maßnahmen einem realistischen Angreifer standhalten.
Beantworten Sie einige kurze Fragen und finden Sie heraus, welcher nächste Schritt zu Ihrer aktuellen Ausgangslage passt.
Kein Unternehmen hat dieselbe Systemlandschaft, dieselben Risiken oder dieselben offenen Fragen. Deshalb folgt unser NIS-2-Pentest keinem starren Standardpaket.
Dabei betrachten wir nicht nur einzelne Schwachstellen. Wir prüfen auch, ob ein Angreifer mehrere begrenzte Lücken zu einem erfolgreichen Angriffspfad verbinden kann und an welchen Stellen Ihre bestehenden Schutzmaßnahmen diesen Weg erkennen, verlangsamen oder stoppen.
Im Mittelpunkt steht nicht die Menge der Findings, sondern ihre Bedeutung im realistischen Angriffskontext.
Welche Szenarien dafür sinnvoll sind und wie tief wir prüfen, übersetzen wir anschließend in einen klar abgestimmten Prüfauftrag.
Wir klären Ihre Ausgangslage, Ihre offenen Fragen und ob ein Pentest aktuell der passende nächste Schritt ist.
Gemeinsam definieren wir, welche technischen, menschlichen und physischen Angriffsvektoren relevant sind und welche Fragen der Pentest für Sie beantworten soll.
Mit den relevanten Verantwortlichen stimmen wir Erwartungen, Prüfdesign, Zeitplan, Schutzbedarf und organisatorische Rahmenbedingungen ab. So starten alle Beteiligten mit einem gemeinsamen Verständnis in das Projekt.
Unsere Experten führen die abgestimmten Testszenarien unter kontrollierten Bedingungen durch und dokumentieren die relevanten Beobachtungen und Angriffsschritte. Für Rückfragen und fachlichen Austausch bleiben wir während der Testphase jederzeit ansprechbar.
In der Ergebnisbesprechung ordnen wir die wesentlichen Erkenntnisse gemeinsam ein und priorisieren den daraus entstehenden Handlungsbedarf.
Auf Wunsch gehen wir gemeinsam den nächsten Schritt. Im Technical Workshop konkretisiert Ihr Fachteam Maßnahmen für ausgewählte Findings. Für das Management bereiten wir Risiken und Prioritäten so auf, dass notwendige Entscheidungen gezielt getroffen werden können.
Entscheidend ist am Ende nicht, wie viele Findings ein Test produziert, sondern welche Klarheit daraus für die nächsten Schritte entsteht.
„Der Penetrationstest lief sauber, transparent und ohne Komplikationen. Wir haben klare Ergebnisse bekommen, die für uns sofort nachvollziehbar waren. Sowohl auf IT- als auch auf Geschäftsleitungsebene konnten wir daraus nächste Schritte ableiten. Die Kompetenz jedes Mitarbeiters von ProSec, mit dem wir zu tun hatten, ist dabei positiv aufgefallen.“
– Team Lead Microsoft Dynamics 365 CRM and Power Platform eines mittelständischen IT-Systemhauses
Nach dem Pentest wissen Sie nicht nur, wo Schwachstellen liegen, sondern auch, was sie für Ihre tatsächliche Sicherheitslage bedeuten.
Die Prioritäten ergeben sich nicht allein aus der technischen Schwere der Findings, sondern aus ihrer Bedeutung für das Unternehmen.
NIS-2 und § 30 BSIG geben den passenden Rahmen: Risikomanagementmaßnahmen müssen geeignet, verhältnismäßig und wirksam sein. Risiken sind deshalb im konkreten Kontext des Unternehmens zu bewerten.
Eine Wirksamkeitsprüfung schafft dafür eine belastbarere Grundlage. Sie hilft, technische Erkenntnisse in geschäftliche Relevanz zu übersetzen, Risiken zu priorisieren und Investitionen gezielter zu begründen.
der von Ransomware betroffenen Unternehmen in Deutschland brauchten länger als eine Woche bis zur vollständigen Wiederherstellung. 9 % benötigten sogar länger als einen Monat.
Quelle: Sophos, State of Ransomware 2025
Was würde es für Ihr Unternehmen bedeuten, wenn zentrale Systeme oder Mitarbeitende länger als eine Woche ausfallen?
betragen die durchschnittlichen Kosten eines Datenlecks in Deutschland.
Quelle: IBM, Cost of a Data Breach Report 2026
Welche direkten und indirekten Kosten könnte ein vergleichbarer Vorfall in Ihrem Unternehmen verursachen?
der von einem Cyberangriff betroffenen Unternehmen berichteten vom Verlust bestehender Kunden. 38 % erlebten negative öffentliche Aufmerksamkeit.
Quelle: Hiscox, Cyber Readiness Report 2024
Wie abhängig ist Ihr Geschäft vom Vertrauen Ihrer Kunden, Partner und Auftraggeber?
Diese Zahlen sind keine Prognose für Ihr Unternehmen. Sie zeigen, warum Cyberrisiken immer im konkreten Geschäftskontext bewertet werden müssen.
Für die Geschäftsleitung entsteht daraus eine bessere Grundlage, um zu entscheiden, welche Risiken reduziert werden müssen, wo zusätzliche Maßnahmen sinnvoll sind und wie mit verbleibenden Risiken nachvollziehbar umgegangen wird.
Welche Verantwortung NIS-2 für Geschäftsleitungen vorsieht und welche Kenntnisse dafür erforderlich sind, vertiefen wir in unserer NIS-2-Geschäftsführerschulung.
Damit solche Einschätzungen belastbar sind, braucht es neben der richtigen Prüfmethode auch Vertrauen in den Partner, der tief in Ihre Umgebung hineinblickt.
Wer reale Angriffspfade prüfen lässt, gibt einem externen Partner tiefen Einblick in Systeme, Prozesse und mögliche Schwachstellen. Entscheidend ist deshalb nicht nur, was geprüft wird, sondern auch mit welcher Erfahrung, Sorgfalt und Zusammenarbeit.
Offensive Security aus der Praxis
Unser Team vereint praktische Erfahrung aus Penetration Testing, Red Teaming sowie Cloud- und Infrastruktur-Security. Unterschiedliche Spezialisierungen ermöglichen uns, auch anspruchsvolle Prüfszenarien fachlich fundiert abzudecken.
Expertise, die für Ihren Pentest zählt
Eine Auswahl der Qualifikationen und Zertifizierungen unserer Offensive-Security-Experten, die für die Durchführung anspruchsvoller und realitätsnaher Pentests besonders relevant sind:
Praxisorientierte Expertise darin, Schwachstellen nicht nur zu identifizieren, sondern ihre tatsächliche Ausnutzbarkeit technisch zu überprüfen. Relevant, wenn belastbar bewertet werden soll, welche Schwachstellen unter realistischen Bedingungen tatsächlich ein Risiko darstellen.
Fortgeschrittene Expertise für komplexe Angriffsszenarien und die Frage, ob und wie bestehende Sicherheitsmechanismen überwunden werden können. Besonders relevant bei anspruchsvollen Umgebungen und höherer Prüftiefe.
Spezialisierung auf realitätsnahe Angriffspfade innerhalb von Unternehmensumgebungen und das Zusammenspiel verschiedener Angriffsschritte. Besonders relevant für Unternehmen mit höherem Security-Reifegrad, komplexen IT-Umgebungen oder erhöhten Sicherheitsanforderungen.
Personenzertifizierung des BSI als Nachweis fachlicher Qualifikation für die Durchführung von IS-Penetrationstests. Besonders relevant in regulierten oder BSI-nahen Umfeldern, in denen spezifische Anforderungen an die Qualifikation der eingesetzten Pentester bestehen können.
„Pentests sind ein sehr sensibles Thema. Aufgrund der teils hochsensiblen Daten und Informationen, die man mit einem solchen Partner teilt, braucht es ein Unternehmen, dem man zu 100% vertrauen kann. Für mich gehört die ProSec zu den wenigen Unternehmen am Markt, die qualitativ und hinsichtlich Professionalität genau das liefern, was ich von einem solchen Partner erwarte. […]“
– CISO eines Großunternehmens für Erneuerbare Energien
Automatisierte Verfahren helfen dabei, bekannte Schwachstellen und Auffälligkeiten effizient zu identifizieren. Unsere Pentester ergänzen diese Analyse um Erfahrung, Kontext und gezielte manuelle Prüfung. So können sie Hypothesen weiterverfolgen, die tatsächliche Ausnutzbarkeit bewerten und Zusammenhänge untersuchen, die sich nicht allein aus automatisierten Ergebnissen ergeben.
„[…] Wir haben Menschen kennenlernen dürfen, die aktiv daran interessiert sind, uns dabei zu unterstützen, unsere Infrastruktur vor Angriffen abzuhärten. Einen Pentest von einem so hohen Niveau, wie ihn die ProSec anbietet, sehen wir für jedes Unternehmen, welches in irgendeiner Form eine digitale Infrastruktur führt, als unerlässlich. Hier wird man nicht nur getestet und beraten, sondern aktiv gelehrt, welche Lücken existieren und wie diese auch zu schließen sind. […]“
– Head of IT einer Aktiengesellschaft im Automotive Aftermarket
Ihre IT- und Security-Verantwortlichen kennen Systeme, Abhängigkeiten und betriebliche Rahmenbedingungen am besten. Wir ergänzen diese Perspektive um den unabhängigen Blick eines Angreifers.
Relevante Rahmenbedingungen und sensible Prüfschritte stimmen wir transparent mit den vorgesehenen Ansprechpartnern ab. So entsteht eine Prüfung mit Ihrem Fachteam und nicht gegen Ihr Fachteam.
„Wir sind immer noch begeistert vom Projekt! Mit der Bearbeitung der Findings kommen wir zügig voran – darauf sind wir sehr stolz! Intern hat mir eure Unterstützung auch in der Kommunikation mit dem Management enorm geholfen, sodass notwendige Maßnahmen zeitnah umgesetzt werden konnten.“
– IT-Leiter eines großen regionalen Bäckereiunternehmens
Die Executive Summary unterstützt Sie dabei, die Wirksamkeitsprüfung bestehender NIS-2-Maßnahmen gegenüber Management und weiteren Stakeholdern verständlich einzuordnen.
Einen gesetzlich definierten „NIS-2-Pentest“ oder einen verpflichtenden Standard-Prüfumfang gibt es nicht. NIS-2 und § 30 BSIG verlangen jedoch von besonders wichtigen und wichtigen Einrichtungen geeignete, verhältnismäßige und wirksame Risikomanagementmaßnahmen. Dazu gehören auch Konzepte und Verfahren, mit denen Unternehmen die Wirksamkeit dieser Maßnahmen bewerten.
Ein Penetrationstest kann diese Wirksamkeitsprüfung praktisch unterstützen. Welche Anforderungen dabei an Prüfumfang, Prüftiefe und Angriffsszenarien sinnvoll sind, hängt von der individuellen Risikolage, dem Schutzbedarf und den bereits umgesetzten Maßnahmen ab.
Ein NIS-2-Pentest sollte deshalb nicht einem starren Prüfkatalog folgen, sondern gezielt die Sicherheitsfragen und Angriffspfade untersuchen, die für das jeweilige Unternehmen tatsächlich relevant sind.
Ein „NIS-2-Pentest“ ist keine gesetzlich definierte eigene Form des Penetrationstests. Gemeint ist ein risikobasiert ausgerichteter Pentest, mit dem Unternehmen die praktische Wirksamkeit bereits umgesetzter Sicherheitsmaßnahmen unter realistischen Angriffsbedingungen überprüfen.
Im Mittelpunkt stehen dabei die für das Unternehmen relevanten Sicherheitsfragen und Angriffspfade, nicht ein standardisierter Prüfkatalog.
Der Prüfumfang sollte sich an der individuellen Risikolage und den Fragen orientieren, die das Unternehmen beantworten möchte.
Je nach Ausgangslage können technische, menschliche und physische Angriffsvektoren relevant sein. Dazu können beispielsweise Infrastruktur, Anwendungen, Identitäten, Cloud-Umgebungen, Social Engineering oder physische Zugangswege gehören.
Nicht jedes Unternehmen benötigt alle Prüfbereiche. Entscheidend ist, die für das eigene Unternehmen relevanten Angriffspfade abzubilden.
Im Erstgespräch klären wir zunächst Ihre Ausgangslage und die Fragen, die der Pentest beantworten soll. Darauf aufbauend definieren wir gemeinsam relevante Systeme, Angriffsszenarien, Angriffsvektoren und die passende Prüftiefe.
Sie benötigen dafür noch keinen vollständig ausgearbeiteten Pentest-Scope. Entscheidend ist zunächst, welche Sicherheitsfragen für Ihr Unternehmen offen sind.
Ja. § 38 Abs. 3 BSIG verpflichtet die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen dazu, regelmäßig an Schulungen teilzunehmen.
Die Schulungen sollen ausreichende Kenntnisse und Fähigkeiten vermitteln, um Risiken und Risikomanagementpraktiken im Bereich der IT-Sicherheit erkennen und bewerten sowie deren Auswirkungen auf die vom Unternehmen erbrachten Dienste beurteilen zu können.
Für die Geschäftsleitung ist deshalb nicht nur relevant, welche Sicherheitsmaßnahmen umgesetzt wurden, sondern auch, wie deren Wirksamkeit bewertet und verbleibende Risiken eingeordnet werden. Erkenntnisse aus einem Pentest können dafür eine praktische Grundlage liefern.
Für Unternehmen, die die Schulungsanforderung gezielt abdecken möchten, bieten wir eine NIS-2-Geschäftsführerschulung an, die die relevanten Pflichten und Cyberrisiken verständlich für die Führungsebene einordnet.
Besonders wichtige und wichtige Einrichtungen müssen erhebliche Sicherheitsvorfälle nach § 32 BSIG gestuft melden. Vorgesehen sind eine Frühwarnung innerhalb von 24 Stunden nach Kenntniserlangung und eine weitere Meldung innerhalb von 72 Stunden. Ein Abschlussbericht ist grundsätzlich spätestens einen Monat nach der 72-Stunden-Meldung fällig. Dauert der Vorfall zu diesem Zeitpunkt noch an, ist zunächst ein Fortschrittsbericht vorgesehen.
Meldepflichtig ist dabei nicht automatisch jeder Sicherheitsvorfall. Entscheidend ist, ob der Vorfall nach den gesetzlichen Kriterien als erheblich einzustufen ist. Unternehmen sollten deshalb Meldewege, Zuständigkeiten und die Bewertung von Vorfällen bereits vor einem Ernstfall klar geregelt haben.
Ein Pentest ersetzt diese organisatorischen Vorbereitungen nicht. Er kann jedoch Hinweise darauf liefern, ob Angriffe rechtzeitig erkannt werden, technische Schutzmaßnahmen greifen und vorgesehene Reaktionswege unter realistischen Bedingungen funktionieren. Gerade diese Erkenntnisse können helfen, Schwachstellen in der Vorbereitung auf einen tatsächlichen Sicherheitsvorfall frühzeitig sichtbar zu machen.