// EINSATZPROTOKOLL · JJ LEUCHTFEUER · 2026

Drei Einsätze. Eine Linie.

Konzepte lösen keine Probleme. Diese Seite zeigt, was ich konkret für Sie tue — von der gesetzlichen Pflicht in der Praxis über den Aufbau Ihrer IT-Dokumentation bis zur vollständigen NIS2-Begleitung. Drei Einsätze, verschlungen wie die Triquetra: Jeder hält die anderen. Ohne Fachchinesisch. Ohne Konzept-und-weg.

§75b CISO NIS2
> Schlaufe wählen · Einsatz ansehen
EINSATZ 01 // GESUNDHEIT
PRAXENMVZZAHNMEDIZINPSYCHOTHERAPIE

IT-Sicherheitsrichtlinie nach §75b — eingeführt und umgesetzt.

„Wir behandeln Patienten. Wann genau sollen wir uns um Firewalls kümmern?"

Die IT-Sicherheitsrichtlinie nach §75b SGB V ist für jede Praxis mit Kassenzulassung verbindlich — unabhängig von der Größe. Welche Anforderungen konkret gelten, hängt von der Praxisgröße und der eingesetzten Technik ab: von der Basis-Absicherung über mobile Geräte bis zur Anbindung an die Telematikinfrastruktur. Ich habe beide Seiten gelebt: die Pflege am Patienten und die Klinik-IT. Ich weiß, was in einer Praxis realistisch umsetzbar ist — und was nur auf Papier funktioniert.

  • Bestandsaufnahme vor Ort. Welche Geräte, welche Software, welche Zugänge existieren wirklich — nicht, was die Liste von 2019 behauptet.
  • Abgleich mit der Richtlinie. Welche Anforderungen gelten für Ihre Praxisgröße, was ist bereits erfüllt, wo sind die Lücken.
  • Umsetzung der Maßnahmen. Priorisiert und im laufenden Betrieb — der Praxisalltag geht vor, die Sicherheit zieht nach.
  • Prüffähige Dokumentation. Jede Maßnahme nachweisbar dokumentiert. Wenn jemand fragt, liegt die Antwort im Ordner.
  • Jährliche Überprüfung. Die Richtlinie entwickelt sich weiter, Ihre Praxis auch. Einmal jährlich gleichen wir beides ab.

MUSTER: PFLICHT ERFÜLLT · PRAXIS LÄUFT WEITER

EINSATZ 02 // DOKUMENTATION
IT-DOKUMENTATIONART. 32 DSGVOBACKUP-PRÜFUNGISMS-BASIS

Ihre IT-Dokumentation. Von null auf prüffähig.

„Welche Geräte haben wir eigentlich? Und wer hat darauf Zugriff?" — Wenn Sie das nicht in fünf Minuten beantworten können, sind Sie in guter Gesellschaft. Und in schlechter Ausgangslage.

Jedes Unternehmen ist nach Art. 32 DSGVO verpflichtet, seine IT-Risiken zu kennen und den Schutz nachweisen zu können — nicht erst ab einer bestimmten Größe. Als Ihr externer Sicherheitsbeauftragter baue ich dieses Fundament professionell auf: vom vollständigen Geräte- und Softwareinventar über Zugriffs- und Rechtekonzepte bis zum gelebten Risikomanagement. Sie bekommen keinen Aktenordner, der verstaubt — Sie bekommen ein System, das mit Ihrem Unternehmen mitwächst und bei jeder Prüfung, jedem Versicherungsfragebogen und jeder Kundenanfrage sofort antwortfähig ist.

Aufbau von 0

Gerätebuch, Softwareinventar, Netzwerkübersicht, Zugänge und Verantwortlichkeiten — strukturiert erfasst und aktuell gehalten. Die Grundlage für jedes ISMS, jede Zertifizierungsvorbereitung und jede Cyberversicherung.

Backup-Prüfung

„Wir haben ein Backup" ist keine Aussage — „wir haben die Wiederherstellung getestet" ist eine. Moderne Angreifer zielen zuerst auf Ihre Sicherungen. Ich prüfe, ob Ihre Backups einen echten Angriff überstehen: Wiederherstellungs-Tests, Unveränderlichkeit, getrennte Aufbewahrung — mit Protokoll.

  • Inventur. Alles, was eine IP-Adresse oder einen Stecker hat, wird erfasst — inklusive der Geräte, von denen niemand mehr wusste.
  • Risikobewertung. Was passiert, wenn System X ausfällt oder Daten Y abfließen? Bewertet, priorisiert, dokumentiert.
  • Backup-Härtetest. Wiederherstellung real durchgespielt, Schutz der Sicherungen gegen Ransomware bewertet, Ergebnis protokolliert.
  • Laufende Betreuung. Dokumentation lebt: neue Geräte, neue Mitarbeiter, neue Risiken — regelmäßig nachgeführt statt jährlich gerettet.

MUSTER: NACHWEISFÄHIG · IN MINUTEN STATT WOCHEN

EINSATZ 03 // REGULATORIK
BETROFFENHEITREGISTRIERUNGMELDEWEGELIEFERKETTE

NIS2: planen, umsetzen, nachbetreuen.

„Betrifft uns NIS2 überhaupt?" — Die Frage stellen sich Zehntausende Unternehmen. Viele beantworten sie falsch. Und die Lieferkette fragt nicht: Sie fordert Nachweise.

NIS2 verpflichtet deutlich mehr Unternehmen als jede Sicherheitsregulierung zuvor — und greift über Lieferkettenanforderungen auch dort, wo man es nicht erwartet. Ich begleite Sie durch den gesamten Zyklus: von der ehrlichen Betroffenheitsanalyse über Registrierung und Maßnahmenumsetzung bis zur laufenden Nachbetreuung. Umgesetzt wird mit Open-Source-Security-Tools: geprüfte, transparente Werkzeuge für Monitoring, Angriffserkennung und Schwachstellen-Scans — ohne Lizenzkosten-Spirale, ohne Herstellerabhängigkeit, ohne dass Ihre Sicherheitsdaten das Haus verlassen.

  • Planen. Betroffenheitsanalyse (direkt und über die Lieferkette), Gap-Analyse gegen die gesetzlichen Anforderungen, priorisierter Maßnahmenplan mit realistischen Zeitachsen.
  • Umsetzen. Registrierung, Risikomanagement, technische Maßnahmen mit Open-Source-Werkzeugen, Meldeprozesse für den Ernstfall, Schulung der Geschäftsleitung — die haftet nämlich persönlich.
  • Nachbetreuen. Jährliche Reviews, regelmäßige Schwachstellen-Scans, aktuelle Dokumentation und ein Ansprechpartner, der da ist, wenn der Vorfall da ist.

Warum Open Source?

Weil Sicherheit überprüfbar sein muss. Offener Code kann auditiert werden, geschlossener nicht. Und weil Ihre Sicherheitsarchitektur nicht davon abhängen sollte, ob ein Hersteller nächstes Jahr die Preise verdoppelt oder den Support einstellt.

Warum Nachbetreuung?

Weil NIS2 kein Projekt ist, sondern ein Zustand. Die Bedrohungslage ändert sich, Ihre Systeme ändern sich, die Anforderungen werden konkretisiert. Ein Ordner von 2026 schützt Sie 2028 nicht mehr.

MUSTER: COMPLIANT · UND TATSÄCHLICH SICHERER

Direkte Fragen. Direkte Antworten.

Was Praxen, KMU und Zulieferer am häufigsten fragen — ohne Beraterdeutsch.

Ist die IT-Sicherheitsrichtlinie nach §75b SGB V für meine Praxis Pflicht?

Ja. Die Richtlinie gilt verbindlich für jede vertragsärztliche und vertragszahnärztliche Praxis — unabhängig von der Größe, auch für Einzelpraxen und Psychotherapeuten. Der Umfang der Anforderungen ist nach Praxisgröße und eingesetzter Technik gestaffelt.

Was verlangt die §75b-Richtlinie konkret von einer kleinen Praxis?

Die Basis-Anforderungen: aktuelle Updates, Virenschutz, Firewall, sichere Konfiguration von Praxisrechnern und mobilen Geräten, geregelte Zugänge — und eine nachweisbare Dokumentation der Maßnahmen. Größere Praxen und Einrichtungen mit Großgeräten oder Telematik-Anbindung müssen zusätzliche Anforderungen erfüllen.

Brauche ich als kleines Unternehmen wirklich eine IT-Dokumentation?

Ja. Art. 32 DSGVO verpflichtet jedes Unternehmen — unabhängig von der Größe — seine IT-Risiken zu kennen und die Schutzmaßnahmen nachweisen zu können. Auch Cyberversicherungen, Banken und Großkunden fordern diese Nachweise zunehmend ein.

Was macht ein externer Informationssicherheitsbeauftragter?

Er baut die Sicherheitsorganisation auf und hält sie am Leben: Geräte- und Softwareinventar, Risikobewertung, Zugriffskonzepte, Notfallpläne — und er ist der Ansprechpartner, wenn Prüfer, Versicherer oder Kunden Nachweise fordern. Für kleine und mittlere Unternehmen ist das extern günstiger als eine eigene Stelle.

Woher weiß ich, ob mein Backup einen Ransomware-Angriff übersteht?

Nur durch einen echten Test. Moderne Ransomware verschlüsselt gezielt zuerst die Sicherungen, dann die Systeme — ein Backup, dessen Wiederherstellung nie geübt wurde und das vom Angreifer erreichbar ist, ist keins. Geprüft werden: Wiederherstellungstest, Unveränderlichkeit der Sicherung und getrennte Aufbewahrung.

Betrifft NIS2 mein Unternehmen überhaupt?

Direkt betroffen sind Unternehmen aus 18 Sektoren ab 50 Mitarbeitern oder 10 Millionen Euro Umsatz. Indirekt trifft NIS2 aber auch deutlich kleinere Betriebe: Wer betroffene Kunden beliefert, muss über die Lieferkettenanforderungen Sicherheitsnachweise vorlegen — sonst ist der Auftrag in Gefahr.

Was passiert, wenn ich NIS2 ignoriere?

Betroffene Unternehmen müssen sich registrieren, Maßnahmen nachweisen und Vorfälle melden — wer das nicht tut, riskiert je nach Einstufung Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Dazu kommt die persönliche Haftung der Geschäftsleitung für die Umsetzung des Risikomanagements.

Kann ich NIS2 mit Open-Source-Tools umsetzen?

Ja. NIS2 ist technologieneutral — gefordert werden wirksame, nachweisbare Maßnahmen, kein bestimmtes Produkt. Geprüfte Open-Source-Werkzeuge für Monitoring, Angriffserkennung und Schwachstellen-Scans erfüllen die Anforderungen ohne Lizenzkosten-Spirale und ohne Herstellerabhängigkeit.

Welcher Einsatz ist Ihrer?

30 Minuten, kostenlos, unverbindlich. Ich höre zu — und sage Ihnen ehrlich, wo ich helfen kann und wo nicht.

Erstgespräch anfragen →

Oder direkt: Nummer anzeigen  ·  info@jjnexus.de