Interim CIO/CDO für PE-Portfoliounternehmen, den gehobenen Mittelstand, Unternehmensgruppen und Konzernbereiche

Wenn die Frist steht und die IT nicht bereit ist

NIS2, DORA, CRA, EU AI Act und das SAP-ECC-Wartungsende sind terminierte Pflichten der Geschäftsleitung.

In 20 min Klarheit zur Zusammenarbeit gewinnen Sie benötigen Unterstützung Sie benötigen ein bestimmtes Ergebnis

Lage

Die Rechtspflicht bleibt bei der Geschäftsleitung. Gefragt ist eine IT-Führung, die Fristen in Umsetzung, Meldefähigkeit und Board-Berichterstattung übersetzt – neben dem laufenden Betrieb.

Für wen

Geschäftsleitung und Vorstand
Aufsichtsrat
CFO
CISO und Compliance als Fachbereich

Was ich übernehme

Ich setze die Pflichten in der Linie um: Betroffenheit und Rollen klären, Programm aufsetzen, Dienstleister steuern, Nachweise für Prüfer und Aufsicht liefern, an Geschäftsleitung und Aufsichtsrat berichten.

Was in Ihrer Situation nach 30, 60 und 90 Tagen steht

Tag 30Betroffenheit bewertet
Betroffenheit, Lücken und Fristen sind bewertet; der Programmplan ist mit Geschäftsleitung und Aufsichtsrat beschlossen.
Tag 60Verantwortung und Meldewege stehen
Verantwortlichkeiten, Meldewege und Programmsteuerung stehen; Dienstleister und Integrator sind gesteuert.
Tag 90Nachweisfähig gegenüber Prüfern
Die Umsetzung läuft mit Nachweis gegenüber Prüfern und Aufsicht; das Board-Reporting ist etabliert.

Leistungen

NIS2 & KRITIS – Governance und Meldefähigkeit

Frist: Geschäftsleitungspflichten nach § 38 BSIG; Meldungen nach 24 Stunden, 72 Stunden und 1 Monat; Österreich: Registrierung nach NISG bis 31.12.2026

Was ich übernehme

Registrierung, Risikomanagement, Meldeprozess, Schulung der Geschäftsleitung, Board-Reporting. Zertifizierungen mit Partnern.

Nachweise

Security-Roadmap mit NIS2-Anforderungen über 140 StandorteARTEMIS, 2025–2026
KRITIS-relevante Ausfälle auf 0Alliance Healthcare, 2023

DORA im Finanzsektor

Frist: Gilt seit 17.01.2025

Was ich übernehme

Umsetzung der Pflichten des Leitungsorgans: IKT-Risikomanagement, Steuerung von IKT-Drittdienstleistern, Vorfallmeldung und Resilienztests – in der Linie, mit Berichterstattung an Vorstand und Aufsicht.

Vorgehen

Gap-Analyse in den Wochen 1–4, Maßnahmenplan, Umsetzung in Phasen mit Nachweis.

Security-Führung auf Zeit (Interim-CISO)

Frist: Nach Vorfall oder Prüffeststellung

Was ich übernehme

Security-Führung, bis ein CISO an Bord ist: Reifegrad, Roadmap, Organisation, Auswahl und Einarbeitung des CISO. Zertifizierungen und Audits mit Partnern.

Nachweise

CISO- und ISO-27001-Aufbau nach Cyber-Vorfall angestoßenARTEMIS, 2025–2026

ERP- & S/4HANA-Programmführung mit Stammdaten

Frist: SAP-ECC-Wartung endet 31.12.2027 (Verlängerung bis 2030); 54 % der Anwender noch auf ECC; S/4HANA-Programme im Mittel 30 % länger als geplant

Was ich übernehme

Programmsteuerung, Plattform, Hosting und Lizenzen, Stammdaten-Governance vor der Migration, Steuerung von Integrator und Fachbereichen.

Nachweise

SAP-S/4HANA-Plattform für die Konsolidierung von 17 ERP-Systemen und 25 Kontenplänen, inklusive Master-Data-GovernanceCarrier, 2025
SAP R/3 auf SAP S/4HANA konsolidiert, 187 SAP-Services gebündeltGazprom Germania, 2017–2018

CRA – Produkt- und OT-Sicherheit

Frist: Meldepflichten für Hersteller seit 11.09.2026

Was ich übernehme

Betroffenheit der Produkte klären, Schwachstellen- und Meldeprozess aufbauen, Verantwortung zwischen IT, OT und Produktentwicklung festlegen.

Vorgehen

Betroffenheitsanalyse in den Wochen 1–4, danach Aufbau mit spezialisierten Partnern.

KI vom Pilot in den Betrieb – CDO auf Zeit

Frist: EU AI Act: 02.12.2026 und 02.12.2027

Was ich übernehme

Priorisierung der KI-Vorhaben, Ownership und Governance, Betriebsvereinbarungen, Überführung in den Betrieb – auf Wunsch als CDO bzw. KI-Verantwortlicher auf Zeit.