NIS2 sicher umsetzen: Mit GAP-Analyse zum auditfähigen ISMS im Gesundheitswesen

Ausgangssituation

Die Spörer AG ist seit Jahrzehnten gewachsen und heute mit rund 300 Mitarbeitenden und 13 Filialen breit aufgestellt. In einem solchen Umfeld treffen sensible Daten, physische Abläufe und abteilungsübergreifende Prozesse aufeinander. Informationssicherheit ist damit nicht nur IT, sondern operatives Risiko- und Qualitätsmanagement.  

Datenschutz und Informationssicherheit hatten bereits vor Proliance einen hohen Stellenwert.  

„Datenschutzverletzungen für besonders sensible Gesundheitsdaten können nicht nur Bußgelder bedeuten, sondern auch echten Rufschaden. Deshalb nehmen wir das Thema sehr ernst, um unsere Kunden und uns zu schützen.“, Wolf-Dieter Mirz, Prokurist der Spörer AG

Gleichzeitig war klar: Auch mit starker Technik bleibt der größte Risikofaktor häufig der Mensch und die gelebten Prozesse im Alltag.  

NIS2 brachte zusätzlich eine Phase der Verunsicherung: Über Monate ließ sich die Frage „gehören wir dazu“ nicht klar beantworten. Der Wendepunkt kam durch eine klare Management-Perspektive: Ein ISMS aufzubauen ist zwar keine Pflichtübung, aber ein notwendiges Schutzsystem für das Unternehmen.

Entscheidungsprozess

Für die Geschäftsleitung der Spörer AG war entscheidend, einen Partner zu haben, der zwei Dinge zusammenbringt:

1. Entlastung im Tagesgeschäft durch konkrete Unterstützung bei Dokumentation, Leitlinien und Richtlinien.  

2. Ein System, das dauerhaft trägt, statt punktueller Beratung: Die Datenschutzsoftware als Arbeitsgrundlage, die Fortschritt sichtbar macht und Aufgaben strukturiert.

„Wir wollten einen Partner, der uns Dinge abnimmt und bei Rat und Tat wirklich zur Seite steht.“, so Mirz, Prokurist der Spörer AG

Die Spörer AG brauchte nicht nur Expertise „auf Zuruf“, sondern ein Setup, das dauerhaft funktioniert. Proliance überzeugte vor allem durch die Kombination aus Beratung und Software, die Aufgaben strukturieren und Fortschritt nachvollziehbar machen kann.

Herausforderungen vor der Zusammenarbeit

Vor der Zusammenarbeit war bereits viel Bewusstsein vorhanden. Gleichzeitig gab es typische Engpässe, die viele Compliance-Verantwortliche kennen: Dokumentation kostet Zeit, Prioritäten sind schwer zu setzen, und operative Prozesse produzieren Risiken an Stellen, die man im Alltag leicht übersieht.

Datenschutz: Wissen ist da, aber der Start ist schwer

Das Team kannte Anforderungen aus Schulungen, doch der Transfer in tragfähige Dokumentation war ein Engpass. Besonders spürbar war das bei Verzeichnissen, technischen und organisatorischen Maßnahmen und weiteren Pflichtdokumenten, laut Herrn Mirz:

„Du setzt dich hin, hast ein leeres Blatt und sollst anfangen. Genau da hängt es oft.“

Informationssicherheit: Hoher Reifegrad, aber blinde Flecken

Die Spörer AG investierte schon früh in technische Sicherheit und Awareness, etwa über Phishing-Kampagnen und Schulungen. Trotzdem zeigte sich: Einzelmaßnahmen ersetzen kein Managementsystem, das Risiken, Verantwortlichkeiten und Nachweise zusammenführt.

NIS2 brachte Unsicherheit und Aufwand

NIS2 hat intern viel Zeit gebunden, weil die Betroffenheit lange nicht eindeutig zu klären war. Der Durchbruch kam durch eine klare Einordnung: Ein ISMS ist in dieser Unternehmensgröße ohnehin notwendig und deckt wesentliche Teile der NIS2-Anforderungen ab.

Die Lösung: GAP-Analyse, Beratung und Proliance 360 Plattform als Umsetzungssystem für ganzheitliche Compliance

Der Lösungsansatz verbindet strategische Klarheit mit operativer Machbarkeit. Statt losem Maßnahmenkatalog wurde ein Weg gewählt, der Reifegrad, Verantwortlichkeiten und Nachweise zusammenführt.

GAP-Analyse als Startpunkt

Gemeinsam mit Proliance wurde zuerst eine mehrtägige GAP-Analyse durchgeführt, um den Status quo zu erfassen und Maßnahmen realistisch zu priorisieren. Dabei wurden vor allem Optimierungspotenziale sichtbar, die in wachsenden Organisationen selbst bei hoher technischer Reife im Alltag leicht untergehen.  

„Die GAP-Analyse war ein wertvoller Reality-Check. Nicht weil wir unsicher aufgestellt waren, sondern weil sie gezeigt hat, wo wir Prozesse und Nachweise noch gezielter schärfen können.“ Wolf-Dieter Mirz, Prokurist der Spörer AG

So entstand ein klarer Fahrplan, um Informationssicherheit noch besser zu dokumentieren, abteilungsübergreifend zu verankern und auditfähig weiterzuentwickeln.

Beratung, die in Umsetzung mündet

Proliance unterstützte nicht nur konzeptionell, sondern auch dort, wo es in der Praxis oft hakt: Leitlinien, Richtlinien, Verzeichnisse und saubere, auditfähige Dokumentation. Genau dort entlastet externe Expertise, weil sie Geschwindigkeit und weitere Qualität in die Organisation bringt. Das reduziert langfristig Reibungsverluste und beschleunigt Entscheidungen.

Die Proliance-Software als Herzstück für Compliance

Der größte Hebel war das Dokumentenmanagement der Software: Statt Dokumente jedes Mal neu zu erfinden, arbeitet das Team mit Struktur, Vorlagen und nachvollziehbaren Bausteinen. Vorlagen und geführte Schritte reduzieren manuellen Aufwand und schaffen Sicherheit bei der Erstellung und Pflege von Dokumenten. Das spart Zeit und macht Fortschritt sichtbar, was wiederum Motivation erzeugt. So auch beim Prokuristen und Geschäftsführer der Spörer AG:

„Die Software ist das Herzstück. Vieles ist selbsterklärend, und das Ganze macht sogar Spaß.“

Ergebnisse und Mehrwert

Die Zusammenarbeit mit Proliance ist über die Zeit gewachsen. Was zunächst mit einer stabilen Datenschutzorganisation begann, wurde gezielt erweitert. Mit dem zusätzlichen Fokus auf Informationssicherheit wurde aus einem gut etablierten Fundament ein systematisches Programm, das regulatorische Anforderungen wie NIS2 und den Aufbau eines ISMS strukturiert zusammenführt.

Spürbare Zeitersparnis

Im Datenschutz war der Mehrwert der Software früh sichtbar. Sie gibt Struktur, bietet Vorlagen und reduziert den manuellen Aufwand, weil Teams Inhalte nicht jedes Mal neu aufsetzen müssen. Diese Logik wird nun auch auf den Bereich Informationssicherheit übertragen, sodass Dokumentation und Nachweise mit deutlich weniger Reibungsverlust gepflegt werden können.

Auditfähigkeit und Qualität in der Umsetzung

Ein Datenschutzaudit wurde als anspruchsvoll erlebt, gleichzeitig aber als Bestätigung, dass die Dokumentation standhält. Auf diesem Niveau baut das Unternehmen nun auf, um die Informationssicherheit mit GAP-Analyse und ISMS-Aufbau genauso strukturiert und prüffähig weiterzuentwickeln – denn im Gesundheitswesen weiß man nie, wann die nächste Zertifizierung zur Pflicht wird.

Kommunikation, die Entscheidungen ermöglicht

Besonders hervorzuheben ist die Geschwindigkeit der Zusammenarbeit. Fragen werden zügig beantwortet und so, dass Teams direkt weiterarbeiten können. Das wirkt im Alltag wie ein Beschleuniger, gerade wenn Datenschutz und Informationssicherheit parallel vorangetrieben werden und Entscheidungen intern abgestimmt werden müssen.

„Wenn wir eine Frage stellen, kommt schnell eine klare Antwort, mit der man arbeiten kann.“, Wolf-Dieter Mirz, Prokurist der Spörer AG

Ausblick und zukünftige Herausforderungen

Für die Zukunft bleibt Informationssicherheit ein kontinuierliches Thema. Im Fokus steht weiterhin der Faktor Mensch, von Onboarding und Offboarding bis zu regelmäßigen Schulungen und Awareness. Laut Wolf-Dieter Mirz "sitzt der größte Risikofaktor am Ende immer vor dem Rechner“.

Gleichzeitig gewinnt KI an Bedeutung. Sie wird bereits in einzelnen Bereichen genutzt, soll aber klar geregelt bleiben, damit keine sensiblen Informationen unnötig in externe Tools gelangen. Parallel steigt durch KI auch die Bedrohungslage, etwa durch täuschend echte Inhalte und automatisierte Angriffe.

„KI wird in der Informationssicherheit eher zum Beschleuniger für Angreifer als zum Komfort-Tool. Darauf muss man vorbereitet sein.“, Wolf-Dieter Mirz, Prokurist der Spörer AG

Zusätzlich bleibt der regulatorische Druck im Gesundheitswesen hoch. Die Herausforderung ist, Anforderungen dauerhaft praktikabel umzusetzen, ohne den Fokus auf das Kerngeschäft zu verlieren.

Über die Spörer AG

Die Spörer AG ist ein mittelständisches Unternehmen im Gesundheitswesen mit rund 300 Mitarbeitenden und 13 Standorten. Das Unternehmen ist Vollsortimenter im Bereich der Orthopädietechnik und bewegt sich in einem Umfeld, in dem sensible Daten und zuverlässige Prozesse geschäftskritisch sind.

Über Proliance

Proliance unterstützt Unternehmen dabei, Datenschutz und Informationssicherheit effizient umzusetzen. Der Ansatz kombiniert pragmatische Beratung mit einer Software-Plattform, die Dokumentation, Aufgabensteuerung und Nachweise strukturiert und kollaborativ macht.