NOUSEC wird von öffentlichen Stellen genutzt, die ein Programm für Cyberhygiene und Schulung nicht nur betreiben, sondern nachweisen müssen. Nach NIS2 fallen Einrichtungen der Zentralregierung unabhängig von ihrer Größe in den Anwendungsbereich, und Art. 21 Abs. 2 Buchst. g macht Cyberhygiene und Schulungen zur Cybersicherheit zur verpflichtenden Mindestmaßnahme – während Art. 34 Abs. 7 jedem Mitgliedstaat überlässt, ob für öffentliche Stellen überhaupt Geldbußen gelten. NOUSEC erzeugt die Nachweise, nach denen eine Prüfung fragt: Richtlinienbestätigung mit Versionsverfolgung, eine Compliance-Scorecard mit roher und prüfungsbereinigter Abschlussquote, Zertifikate mit öffentlicher Prüfseite, ein Audit-Log und SIEM-Export in CSV, NDJSON oder JSON – ohne Endpoint-Agenten und mit Datenhaltung in Frankfurt.
Der meistangegriffene Sektor der Union.
In diesem Sektor ist das Bußgeld optional. Die Prüfung nicht.
Die meisten Anbieter verkaufen Behörden eine Strafe, die ihnen vielleicht nie droht. Hier ist die genaue Rechtslage – und die Liste der Nachweise, auf die es wirklich ankommt.
NIS2 bezieht Einrichtungen der öffentlichen Verwaltung auf Ebene der Zentralregierung unabhängig von ihrer Größe ein und erlaubt den Mitgliedstaaten, sie auf regionale und lokale Stellen auszudehnen. Das Durchsetzungskapitel ist aber nicht symmetrisch: Das vorübergehende Verbot von Leitungsfunktionen nach Art. 32 Abs. 5 gilt für wesentliche Einrichtungen und ausdrücklich nicht für die öffentliche Verwaltung, und nach Art. 34 Abs. 7 entscheidet jeder Mitgliedstaat, ob und in welchem Umfang Geldbußen gegen öffentliche Stellen überhaupt verhängt werden.[3]
Der Druck auf ein Sicherheitsteam im öffentlichen Sektor ist also ein Nachweisproblem, kein finanzielles. Sie werden zeigen müssen, dass es ein Programm gibt, dass die Menschen es absolviert haben, dass der Datensatz belastbar ist und dass er sich einem Prüfer übergeben lässt, ohne vorher Tabellen abzugleichen.
Das ist ein Produktproblem – und genau dafür haben wir gebaut.
| Nachweis | Was er belegt | Wie er prüfbar ist | Paket |
|---|---|---|---|
| Richtlinienbestätigung mit Versionsverfolgung | Wer welche Version wann akzeptiert hat | Datensatz je Person, exportierbar | Professional |
| Compliance-Scorecard – roh und prüfungsbereinigt | Abschluss – und ein Abschluss, der eine Qualitätsschwelle übersteht | Beide Zahlen werden gezeigt; der Abschlag greift bei einem Quizergebnis unter 40 % | Essentials |
| Abschlussnachweis | Absolvierte, nicht nur zugewiesene Schulung | Mindestens 90 % einzeln angesehene Sekunden, serverseitig berechnet; eine gefälschte Abschlussmeldung erhält 403 | Essentials |
| Zertifikat mit öffentlicher Prüfseite | Das Zertifikat ist echt | Dritte können es ohne Zugang zu Ihrem Mandanten prüfen | Professional |
| Audit-Log | Wer was am Programm geändert hat | Unveränderlicher Datensatz | Enterprise |
| SIEM-Export | Der Datensatz verlässt die Plattform | CSV, NDJSON oder JSON | Enterprise |
Fast die Hälfte der Akteure ist schon drinnen.
Dieser Befund macht die Seite für den öffentlichen Sektor anders – und genau hier müssen wir vorsichtig sein, was wir versprechen.
In der öffentlichen Verwaltung verzeichnet der DBIR interne Akteure in 44 % der Datenschutzverletzungen und „Privilege Misuse“ unter den drei häufigsten Mustern – als einzige der vier Branchen. In einem Drittel der Fälle ist Spionage das Motiv.[1]
Manches davon ist Absicht, manches Irrtum. NOUSEC ist keine Verhaltensanalyse von Nutzern, keine Data Loss Prevention und keine Erkennung von Insider-Bedrohungen; es trainiert und misst die Verhaltensweisen trainieren und messen, die beidem vorgelagert sind – Umgang mit sensiblen Akten, Richtlinienbestätigung, Zugangsdatenhygiene und eine Meldekultur, in der eine Meldung Ihren Human Risk Score verbessert, statt Sie bloßzustellen.
Melden senkt das Risiko – so ist der Score gebaut. Wer eine verdächtige Nachricht meldet, verbessert den eigenen Score. Die Gefährdung durch ein Datenleck bei Dritten zählt als Gefährdung, nicht als Schuld: Wer in einem Zugangsdaten-Dump von 2017 auftaucht, hat sich das nicht ausgesucht.
Anwendungsbereich, Haftung und was eine Prüfung verlangt.
| Regelwerk | Artikel | Was es verlangt | Wie NOUSEC es nachweist |
|---|---|---|---|
| NIS2[3] | Art. 2 Abs. 2 Buchst. f Ziff. i | Einrichtungen der öffentlichen Verwaltung auf Ebene der Zentralregierung fallen unabhängig von ihrer Größe in den Anwendungsbereich. | — |
| NIS2 | Art. 2 Abs. 2 Buchst. f Ziff. ii, Art. 2 Abs. 5 | Regionale Einrichtungen nach einer risikobasierten Bewertung; lokale Stellen und Bildungseinrichtungen nach Ermessen des Mitgliedstaats. | — |
| NIS2 | Art. 21 Abs. 2 Buchst. g | Cyberhygiene und Schulungen zur Cybersicherheit als verpflichtende Mindestmaßnahme. | Serverseitige Abschlussprüfung; prüfungsbereinigte Scorecard. |
| NIS2 | Art. 20 Abs. 1, Art. 32 Abs. 5, Art. 34 Abs. 7 | Leitungsorgane billigen, überwachen und können haftbar gemacht werden – das Verbot von Leitungsfunktionen erfasst die öffentliche Verwaltung aber nicht, und Geldbußen liegen im Ermessen des Mitgliedstaats. | Nachweise für die Kohorte der Leitung; Audit-Log. |
| DSGVO | Art. 39 Abs. 1 Buchst. b | Sensibilisierung und Schulung als Teil der Überwachungsaufgabe des Datenschutzbeauftragten. | Richtlinienbestätigung mit Versionsverfolgung. |
| ISO/IEC 27001:2022[5] | Abschn. 7.2 / 7.3, A 6.3 | Kompetenz, Bewusstsein, Schulung. | Öffentliche Seite zur Zertifikatsprüfung. |
Die Zusammenfassungen der Vorschriften dienen der Orientierung und sind keine Rechtsberatung. Anwendungsbereich und Einstufung hängen von der Umsetzung in Ihrem Mitgliedstaat ab.
Die vier Fragen, die jede Ausschreibung stellt.
Keine Endpoint-Agenten
Auf keinem Gerät wird etwas installiert. Der Melde-Button ist ein optionales Add-in für den Mail-Client.
Datenhaltung in der EU
Frankfurt, mit Export und Löschung auf Mandantenebene.
Vollständiges White-Label
Ihr Erscheinungsbild, in 30 Sprachen – neun heute vollständig lokalisiert, einundzwanzig weitere auf Anfrage.
Veröffentlichte Methodik
Der Score von 0–100 zeigt seine Aufschlüsselung nach Komponenten. Keine Blackbox.
Nachweise, die nicht auf Selbstauskunft beruhen
Ein Score, der seinen Rechenweg zeigt
Weiterlesen: die Methodik des Human Risk Score, warum NOUSEC sowie die Glossareinträge zu Insider-Bedrohungen und Pretexting. Betreibt Ihre Behörde auch Anlagen oder Netzinfrastruktur, muss dieselbe Nachweiskette zwei NIS2-Anhängen zugleich genügen. Unsere eigene Sicherheitslage steht unter Trust und Sicherheit.
Fragen
Was das Sicherheitsteam einer Behörde und die Beschaffung zuerst fragen.
Jede Zahl auf dieser Seite und woher sie stammt
Zuletzt geprüft: 21. Oktober 2026. Die Rechtszitate werden bei jeder Prüfung mit der konsolidierten Fassung auf EUR-Lex abgeglichen.
- 2026 Data Breach Investigations ReportVerizon Business – Branchenteil, S. 84 für Finanz- und Versicherungswesen (NAICS 52). Datenbasis: über 31.000 Vorfälle, über 22.000 bestätigte Datenpannen, 145 Länder, Okt. 2024 – Nov. 2025 · 2026Verwendet für: Öffentliche Verwaltung (NAICS 92): 3.634 Vorfälle; 69 % menschlicher Faktor; 44 % interne Akteure; 33 % Spionagemotiv; 20 % Phishing gegenüber 40 % Ausnutzung von Schwachstellen; „Privilege Misuse“ unter den drei häufigsten Mustern.
- Threat Landscape 2025ENISA – 13. Ausgabe, v1.2, 4.875 Vorfälle, 1. Juli 2024 – 30. Juni 2025 · 2025Verwendet für: 38,2 % der identifizierten EU-Vorfälle zielten auf die öffentliche Verwaltung. 4.875 Vorfälle, 1. Juli 2024 – 30. Juni 2025.
- Directive (EU) 2022/2555 (NIS2)Amtsblatt der Europäischen Union, ABl. L 333, 27.12.2022 · 2022Verwendet für: Art. 2 Abs. 2 Buchst. f, Art. 2 Abs. 5, Art. 20 Abs. 1, Art. 21 Abs. 2 Buchst. g, Art. 32 Abs. 5 und Art. 34 Abs. 7.
- ISO/IEC 27001:2022 and ISO/IEC 27002:2022Internationale Organisation für Normung (ISO) – 3. Ausgabe · 2022Verwendet für: Abschnitte 7.2 und 7.3; Titel der Anhang-A-Maßnahme 6.3.