NIS2: Warum jetzt plötzlich Ihr Maschinenbau-Unternehmen betroffen ist

Willkommen bei IT for Business. Ich bin Mirko Peters.

Wenn Sie im Maschinenbau, bei einem Automobilzulieferer oder in der Elektronikfertigung Verantwortung tragen, müssen Sie sich eine unbequeme Frage stellen: Warum trifft NIS2 plötzlich Unternehmen, die sich nie als reguliert verstanden haben? Genau das schauen wir uns heute an – ohne Hype, ohne Juristendeutsch, sondern mit Blick auf Betrieb, Verantwortung und Risiko.

Wir prüfen gleich, woran Sie Betroffenheit erkennen, wie die Schwellenwerte einzuordnen sind und was das praktisch bedeutet. Zuerst räumen wir aber ein Missverständnis aus dem Weg, das im Mittelstand gerade für gefährliche Ruhe sorgt.

Warum NIS2 den Mittelstand jetzt wirklich trifft

Seien wir ehrlich: Viele Unternehmen hören bei Cybersicherheitsregulierung innerlich das Wort KRITIS und denken, das betrifft sie nicht. Strom, Wasser, Krankenhaus, Banken – alles wichtig, aber nicht ihr Unternehmen. Genau dieses Denken führt bei NIS2 in die Irre.

Der Kreis der betroffenen Unternehmen ist deutlich größer geworden. Aus etwa 4.500 Unternehmen im alten KRITIS-Verständnis wurden in Deutschland rund 29.500 Unternehmen, die jetzt reguliert werden. Das ist keine kleine Nachschärfung am Rand, sondern eine völlig andere Größenordnung.

Damit verschiebt sich die eigentliche Frage. Es geht nicht mehr nur um die wenigen offensichtlichen Betreiber kritischer Infrastruktur, sondern um Unternehmen, deren Ausfall oder Störung in einem größeren wirtschaftlichen Zusammenhang relevant wird. Genau diesen Punkt haben viele im Mittelstand noch nicht sauber einsortiert – obwohl genau dort das Risiko entsteht.

Der typische Satz lautet: „Wir sind doch kein kritischer Infrastrukturbetreiber.“ Das mag stimmen, hilft Ihnen aber nicht weiter, weil diese alte Abgrenzung nicht mehr die Messlatte ist. NIS2 baut breiter und schaut auf Sektoren, Größe und die Rolle eines Unternehmens in einer Versorgungs- oder Wertschöpfungskette. Das ist ein anderer Blick auf Verantwortung.

Dazu kommt der neue Rahmen mit 18 Sektoren, der die alte Vorstellung beendet, dass Regulierung nur klassische Versorger und staatliche Stellen betrifft. Neben Energie, Verkehr, Gesundheit oder digitaler Infrastruktur rücken jetzt auch Branchen in den Fokus, die bisher außerhalb dieser Diskussion standen. Für viele Mittelständler wird aus einem Randthema plötzlich ein Vorstandsthema.

Besonders relevant ist das verarbeitende Gewerbe – für den deutschen Mittelstand kein Randthema, sondern ein Kernbereich. Wenn die Herstellung bestimmter Produkte ausdrücklich im Kreis der betroffenen Sektoren auftaucht, reden wir nicht mehr nur über Rechenzentren oder große Plattformen, sondern auch über Unternehmen, die Maschinen bauen, Teile fertigen oder Elektronik herstellen.

Was bedeutet das konkret für Sie?

Wenn Sie im Maschinenbau arbeiten, als Automobilzulieferer produzieren oder in der Elektronikfertigung tätig sind, dann fallen Sie plötzlich in einen Rahmen, der für viele in Ihrer Lage früher keine operative Rolle gespielt hat. Nicht, weil Ihre IT über Nacht riskanter geworden wäre oder Sie ein neues Tool nutzen, sondern weil der regulatorische Blick auf Ihre Branche und die Bedeutung Ihrer Betriebsfähigkeit breiter geworden ist.

Klartext: Die Frage ist nicht, ob Ihre Systeme lokal oder in der Cloud laufen, und auch nicht, ob Sie viele Security-Produkte eingekauft haben. Entscheidend ist, ob Ihr Unternehmen in einem erfassten Sektor tätig ist und damit unter neue Pflichten fällt. Architektur schlägt Tools, und Einordnung schlägt Aktionismus.

Viele Anbieter verkaufen an dieser Stelle sofort Lösungen – Firewall hier, Monitoring dort, dazu ein paar Folien mit Reifegradmodellen. Das ist zu kurz gedacht, denn bevor Sie über Maßnahmen sprechen, müssen Sie verstehen, warum Sie überhaupt in den Anwendungsbereich geraten könnten. Sonst bauen Sie an Symptomen herum und lassen die eigentliche Pflicht ungeklärt.

Genau hier beginnt die praktische Arbeit. Wenn der Kreis größer geworden ist, stellt sich für Sie als Nächstes eine einfache, aber folgenreiche Frage: Woran erkennen Sie konkret, ob Ihr Unternehmen betroffen ist?

So prüfen Sie, ob Ihr Unternehmen betroffen ist

Schauen wir uns das nüchtern an. Für eine erste belastbare Vorprüfung brauchen Sie keine juristische Abhandlung, sondern zwei Filter: den Sektor, in dem Ihr Unternehmen tätig ist, und seine tatsächliche Größe. Diese beiden Punkte bringen deutlich mehr Klarheit als jede spontane Einschätzung im Führungskreis.

Der erste Filter ist die Sektorzugehörigkeit – Sie prüfen also nicht, ob Sie sich selbst als kritisch empfinden, sondern ob Ihre wirtschaftliche Tätigkeit in einen der erfassten Bereiche fällt. Für viele Mittelständler ist genau das der Moment, an dem es ungemütlich wird, weil die eigene Selbsteinordnung oft noch aus einer anderen Regulierungswelt stammt und mit der jetzigen Lage wenig zu tun hat.

Beim zweiten Filter geht es um die Unternehmensgröße. Die Schwelle liegt bereits bei 50 Mitarbeitenden oder 10 Millionen Euro Umsatz – das ist keine exotische Größenordnung, sondern klassischer Mittelstand. Wer also bisher dachte, Regulierung beginne erst bei Konzernstrukturen mit eigener Rechtsabteilung pro Stockwerk, sollte diese Annahme besser schnell korrigieren.

Dann kommt die nächste Frage, bei der sich viele unnötig festfahren: Sind wir nun eine wichtige Einrichtung oder eine wesentliche, teilweise auch besonders wichtige Einrichtung? Die Begriffe sind für die Einordnung relevant, aber Sie sollten sich daran nicht zu früh aufhängen. Für die erste Prüfung zählt zuerst, ob Sie grundsätzlich in den Bereich hineinfallen – die genaue Kategorie bestimmt dann Tiefe, Aufsicht und Sanktionsrahmen. Aber zuerst klären Sie das Ob, nicht sofort jedes Detail des Wie.

Für Ihre Zielgruppe sind vor allem drei Konstellationen relevant: das verarbeitende Gewerbe, also Unternehmen, die industrielle Produkte herstellen oder Komponenten fertigen, digitale Dienste, sofern Sie in diesem Umfeld tätig sind, und die Nähe zur Lieferkette regulierter Unternehmen. Da wird es oft still im Raum, weil viele genau an dieser Stelle zwar nicht direkt im Mittelpunkt stehen, aber operativ längst hineingezogen werden.

Angenommen, Sie liegen knapp unter einer formalen Schwelle – dann ist die Sache noch nicht automatisch erledigt. Wenn Sie für größere regulierte Kunden fertigen, Systeme betreiben, Schnittstellen liefern oder in deren Betriebsprozesse eingebunden sind, kommen Sicherheitsanforderungen oft über Verträge, Nachweise und Audits durch die Hintertür ins Haus. Das ist kein formaler Ersatz für die gesetzliche Betroffenheit, aber operativ macht es für Ihren Aufwand oft erstaunlich wenig Unterschied.

Genau deshalb reicht eine grobe Daumenregel nicht aus. In der Praxis sehen wir oft Graubereiche, die auf dem Papier harmlos wirken und später viel Arbeit verursachen. Verbundene Unternehmen sind so ein Fall, gewachsene Gruppenstrukturen auch, oder Unternehmen, die unter einem Dach mehrere Geschäftsfelder betreiben, von denen nur ein Teil klar in einen regulierten Sektor hineinragt. Dann stellt sich schnell die Frage, ob isoliert geprüft werden kann oder ob die Struktur als Ganzes betrachtet werden muss.

Da wird es riskant, wenn intern jemand sagt: Das wird schon nicht gelten. Solche Entscheidungen brauchen Dokumentation – nicht aus Bürokratiegründen, sondern weil Sie später nachvollziehen können müssen, wie Sie zu Ihrer Einschätzung gekommen sind. Wenn Aufsicht, Kunde oder Geschäftsleitung nachfragt, hilft kein Halbwissen aus einem Termin vor drei Monaten.

Meine Empfehlung ist deshalb sehr einfach: Prüfen Sie die Betroffenheit strukturiert, halten Sie fest, welcher Sektor einschlägig sein könnte, welche Größenmerkmale Sie angesetzt haben, wo Unsicherheiten liegen und wer die Bewertung intern verantwortet. Danach lassen Sie diese Einschätzung intern freigeben – idealerweise nicht nur durch die IT, sondern mit Beteiligung der Geschäftsleitung oder zumindest einer klar benannten Führungsfunktion.

Das klingt unspektakulär. Ist es auch. Aber genau so entsteht belastbare Handlungsfähigkeit. Wer an diesem Punkt sauber arbeitet, spart sich später hektische Korrekturen, falsche Beschaffungen und Diskussionen darüber, wer eigentlich was hätte wissen müssen.

Sobald diese Betroffenheit feststeht, beginnt der eigentliche Teil der Arbeit – und dann geht es nicht zuerst um Zertifikate an der Wand, sondern um Pflichten, Prozesse und Haftung.

Was NIS2 von Ihnen verlangt, praktisch statt juristisch

Sobald Sie betroffen sind, beginnt die formale Seite nicht mit einem Audit und auch nicht mit einem Einkaufsgespräch, sondern mit der Registrierung beim BSI. Für bereits betroffene Unternehmen lief dafür die Frist bis zum 6. März 2026 – das klingt nach Verwaltung, ist aber mehr als ein Eintrag in ein Portal. Mit der Registrierung beginnt die sichtbare Verantwortlichkeit – ab dann sind Sie nicht nur intern in der Pflicht, sondern auch gegenüber der Aufsicht klar identifizierbar.

Genau an dieser Stelle entsteht oft eine gefährliche Fehlannahme – viele denken, das eigentliche Risiko beginne erst, wenn ein Angriff passiert oder ein System ausfällt. Das ist zu kurz gedacht. Schon fehlende Registrierung oder eine nur auf dem Papier vorhandene Organisation können zum Problem werden, auch ohne akuten Vorfall. Klartext: Sie müssen nicht erst gehackt werden, damit es unangenehm wird – es reicht, wenn Pflichten offen erkennbar nicht sauber umgesetzt wurden.

Der Kern von NIS2 ist Risikomanagement – nicht als Schlagwort, sondern als Arbeitsauftrag. Sie müssen wissen, welche Systeme für Ihren Betrieb wirklich kritisch sind, welche Geschäftsprozesse daran hängen, von wem Sie abhängig sind und wo Ihre Verwundbarkeit liegt. Das ist kein Projekt, das Sie einmal durchführen und dann abhaken. Das ist ein laufender Prozess, der dokumentiert, priorisiert und regelmäßig überprüft werden muss.

Das klingt nach Aufwand, und das ist es auch. Aber es ist der Aufwand, der später entscheidet, ob Sie im Vorfall handlungsfähig sind oder ob Sie die Kontrolle verlieren, weil niemand mehr weiß, wo die kritischen Abhängigkeiten liegen.

Dann kommt die Registrierung beim BSI. Für bereits betroffene Unternehmen lief die Frist bis zum 6. März 2026. Das ist kein bürokratischer Formalismus – mit der Registrierung sind Sie im System, und ab dann sind Sie als regulierte Einrichtung für die Aufsicht sichtbar und adressierbar. Wer diese Frist verpasst hat, sollte das nicht als Lapalie abtun. Schon das Versäumnis der Registrierung kann Sanktionen auslösen, auch ohne dass ein Sicherheitsvorfall eingetreten ist.

Jetzt wird es konkret: Was passiert, wenn bei Ihnen tatsächlich ein erheblicher Vorfall eintritt? Dann greift ein dreistufiges Meldewesen, das präzise Fristen setzt. Die Erstmeldung ans BSI muss innerhalb von 24 Stunden nach Kenntnis erfolgen. Keine vollständige Analyse, kein abgeschlossener Incident-Report – eine Frühwarnung mit dem, was Sie zu diesem Zeitpunkt wissen. Nach 72 Stunden folgt eine detailliertere Meldung mit ersten Bewertungen, Ursachen und Gegenmaßnahmen. Und spätestens einen Monat nach der Erstmeldung muss ein Abschlussbericht vorliegen, der den gesamten Vorfall aufarbeitet.

Lassen Sie mich das klar sagen: Diese Fristen sind keine Empfehlung. Sie sind verbindlich, und sie setzen voraus, dass Sie Prozesse haben, die innerhalb weniger Stunden belastbare Informationen liefern. Wer heute noch keinen Incident-Response-Plan hat, der diese Zeitschienen abbildet, sollte das nicht auf die lange Bank schieben. Denn der Vorfall kommt meist dann, wenn Sie am wenigsten damit rechnen.

Und dann ist da noch die Frage, die viele Geschäftsführer plötzlich sehr hellhörig werden lässt: die persönliche Haftung. NIS2 macht Cybersicherheit ausdrücklich zur Aufgabe der Unternehmensleitung. Das bedeutet nicht nur, dass die Geschäftsführung Maßnahmen billigen und überwachen muss. Sie muss auch nachweisen können, dass sie ihrer Sorgfaltspflicht nachgekommen ist. Mitglieder der Geschäftsführung und Aufsichtsorgane sind verpflichtet, an Cybersicherheitsschulungen teilzunehmen. Fehlt dieser Nachweis, kann das im Schadensfall schnell zur persönlichen Haftung nach § 43 GmbHG oder § 93 AktG führen.

Das Bußgeld trifft formal das Unternehmen. Aber die Verantwortung dafür, dass die Organisation steht, Prozesse existieren und Risiken gemanagt werden – die liegt bei den Personen, die das Unternehmen führen. Und wenn dort erkennbar nichts passiert ist, wird aus einem Organisationsverschulden schnell ein persönliches Problem.

Genau deshalb ist der häufigste Fehler, NIS2 als reines IT-Thema zu behandeln. Das ist es nicht. Es ist ein Führungsthema mit technischen Konsequenzen. Und es ist ein Thema, das besonders dort wehtut, wo die IT-Landschaft über Jahre gewachsen ist, ohne dass jemand die Gesamtverantwortung für die Architektur übernommen hat.

Und damit sind wir genau bei dem Punkt, der für viele Maschinenbau-Unternehmen zur echten Herausforderung wird.

Warum gerade Maschinenbau-Unternehmen operativ ins Risiko laufen

Seien wir ehrlich: Im Maschinenbau sehen Sie selten eine sauber geplante IT-Landschaft. Da stehen klassische IT und produktionsnahe OT nebeneinander – mit unterschiedlichen Lebenszyklen, Verantwortlichkeiten und Sicherheitsniveaus. Neben einem aktuellen Cloud-Dienst läuft dann noch ein alter Windows-Server, weil eine Spezialanwendung oder Maschinenanbindung sonst nicht mehr funktioniert.

Dazu kommen lokale Schnittstellen, Eigenbauten und Herstellerabhängigkeiten, die über Jahre gewachsen sind. Solange die Maschine läuft, rührt niemand dran. Der Lieferant existiert noch, aber nur für Wartung mit Einschränkungen. Oder er ist gar nicht mehr da, und trotzdem hängt ein kritischer Prozess an genau diesem System. Das ist im Mittelstand keine Ausnahme, sondern oft der Normalzustand.

Nicht die einzelnen Komponenten sind das Problem. Das Problem entsteht, wenn alles für sich irgendwie funktioniert, aber keiner die Gesamtverantwortung für die Architektur trägt. Dann entstehen diese Frankenstein-Integrationen, die im Alltag stabil wirken, aber im Störfall sofort ihre Schwäche zeigen. Der eine Dienstleister kennt das Netzwerk, der andere die Virtualisierung, der Maschinenbauer die Steuerung – und intern weiß jemand ungefähr, welche Übergangslösung vor vier Jahren eingebaut wurde. Nur das Gesamtbild? Das kennt niemand mehr.

Das klingt hart, aber es ist die Realität in vielen Unternehmen. Solange der Betrieb läuft, fällt das kaum auf. Erst wenn Sie dokumentieren müssen, welche Systeme kritisch sind, welche Abhängigkeiten bestehen und wie ein Vorfall die Produktion beeinflusst, merken Sie, wie viel Wissen nur in Köpfen steckt oder zwischen den Verantwortungsbereichen verloren gegangen ist.

Dazu kommt der Druck aus der Produktion. Im Büro verschieben Sie einen Patch notfalls aufs Wochenende. In der Fertigung bedeutet dieselbe Änderung schnell Stillstand, Rücksprache mit dem Hersteller oder das Risiko, dass eine Linie am Montagmorgen nicht sauber anläuft. Genau deshalb werden Änderungen verschoben, Fenster für Härtung kleiner und Altlasten bleiben langlebig. Der Grund ist nicht Nachlässigkeit, sondern dass die Verfügbarkeit jeden Tag gegen die Sicherheit gewinnt, wenn keine klare Priorisierung existiert.

Da versteckt sich das Risiko. Sicherheitslücken bleiben offen, weil der Preis für die Behebung kurzfristig sichtbarer ist als das abstrakte Cyberrisiko. Nicht, weil sie niemand kennt. Über Wochen und Monate entsteht ein Zustand, in dem bekannte Schwachstellen, unklare Fernwartungszugänge oder alte Betriebssysteme einfach weiterlaufen, weil sich kein guter Zeitpunkt für Eingriffe ergibt. Der günstige Zeitpunkt kommt dann meist erst nach einem Vorfall. Klartext: Das ist die teurere Variante.

Hier wird oft die falsche Debatte geführt. Viele stürzen sich auf Cloud gegen On-Prem. Das greift zu kurz. NIS2 ist technologieneutral. Die Richtlinie fragt nicht, wo Ihre Systeme stehen, sondern ob Ihr Risikomodell trägt. Eine schlecht gesteuerte Cloud-Umgebung mit unsauberen Berechtigungen und unklaren Provider-Verantwortlichkeiten bringt Ihnen genauso wenig wie ein On-Prem-Betrieb, bei dem Patch-Management, Monitoring und Wiederanlauf nur auf dem Papier existieren.

Die bessere Frage ist also: Kennen Sie Ihre kritischen Prozesse, Ihre kritischen Systeme und die Abhängigkeiten so gut, dass Sie Risiken priorisieren und im Vorfall handlungsfähig bleiben? Wenn die Antwort vage ist, liegt das Problem nicht am Betriebsmodell, sondern an der fehlenden Steuerbarkeit.

Immer wieder sehen wir dieselben Schwachstellen. Die Asset-Übersicht ist unvollständig, weil niemand mit Sicherheit sagen kann, welche Systeme produktionskritisch sind und welche nur historisch mitlaufen. Verantwortlichkeiten sind verteilt, aber nicht klar zugewiesen. Dokumentation gibt es punktuell, meist für Projekte, selten für den laufenden Betrieb. Und bei Incident Response wird es dünn: Wer entscheidet, wer eskaliert, wer bewertet die Auswirkung auf die Produktion? Vieles bleibt offen, bis es ernst wird.

Genau das verkaufen manche Anbieter als rein technisches Thema: Mehr Sensorik, mehr Scans, mehr Dashboards. Das kann alles sinnvoll sein, aber es verfehlt den Kern, wenn Betriebsfähigkeit, Nachweisbarkeit und Haftung ungeklärt bleiben. Ein Werkzeug ersetzt keine Verantwortung, und eine Sammlung von Security-Produkten ergibt noch kein tragfähiges Betriebsmodell.

Worauf es ankommt, ist eine klare Priorisierung. Nicht jedes System braucht denselben Schutz, dieselbe Tiefe, denselben Aufwand. Aber die Prozesse, an denen Produktion, Lieferung oder zentrale Steuerung hängen, brauchen Klarheit. Dort müssen Sie zuerst wissen: Was ist kritisch, wer ist zuständig, welche Maßnahmen sind realistisch umsetzbar? Alles andere ist Fleißarbeit ohne Richtung.

Und genau hier wird aus Compliance ein Budget- und Führungsproblem.

Kosten, Sanktionen und die teuren Fehlannahmen

Sprechen wir über den Teil, der in vielen Geschäftsleitungen plötzlich Aufmerksamkeit erzeugt: die Sanktionen. Bei wesentlichen Einrichtungen liegt der Bußgeldrahmen bei bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Bei wichtigen Einrichtungen sind es bis zu 7 Millionen Euro oder 1,4 Prozent. Das sind keine symbolischen Beträge, sondern Größenordnungen, die auch in gesunden Mittelständlern sofort die Ergebnisrechnung treffen.

Wichtig ist die Einordnung: Das Bußgeld trifft zunächst das Unternehmen. Aber ziehen Sie daraus nicht den falschen Schluss, dass es für die Geschäftsleitung nur ein Reputationsproblem auf Distanz ist. Wenn Pflichten ignoriert, Risiken weggedrückt oder notwendige Maßnahmen nicht angestoßen werden, dann wird daraus intern schnell eine persönliche Haftungsfrage. Nicht automatisch in jedem Fall, aber schnell genug, dass Sie das Thema nicht als reine IT-Aufgabe abtun sollten.

Und dann kommt der Punkt, den viele unterschätzen: Die Umsetzung ist kein kleiner Maßnahmenkatalog, den man einmal abarbeitet und dann abhakt. Es geht nicht nur um ein paar neue Richtlinien, ein zusätzliches Tool oder einen Workshop. Es geht um laufenden Organisations- und Betriebsaufwand. Rollen müssen geklärt, Prozesse getragen, Nachweise gepflegt, Entscheidungen dokumentiert werden. Das kostet Zeit, Aufmerksamkeit und Geld – nicht einmalig, sondern dauerhaft.

Was heißt das konkret für den Mittelstand? Die Bandbreite hängt stark von Ihrer Ausgangslage ab. Ein Unternehmen mit sauberer Dokumentation, klaren Verantwortlichkeiten und gelebten Sicherheitsprozessen startet aus einer ganz anderen Position als ein Betrieb, in dem Wissen verteilt, Zuständigkeiten unklar und kritische Abhängigkeiten kaum erfasst sind. Aus der Praxis sehen wir für kleinere betroffene Unternehmen Einstiegskosten im fünfstelligen Bereich, im Mittelstand je nach Komplexität auch deutlich darüber – plus laufende jährliche Kosten für Betrieb, Schulung, Überwachung und Fortschreibung. Wer eine heterogene Umgebung mit vielen Altlasten betreibt, zahlt am Ende fast nie den kleinen Preis.

Der teure Irrtum lautet: Wir warten erst einmal auf das Minimum und machen dann nur das Nötigste. Das klingt kaufmännisch vernünftig, endet aber oft genau andersherum. Wenn Sie zu spät anfangen, lösen Sie unter Zeitdruck nicht nur Compliance-Fragen, sondern auch Architekturprobleme, Security-Lücken und operative Schwächen. Dann wird aus einer geordneten Roadmap ein hektisches Sanierungsprojekt – und solche Projekte sind selten günstig.

Dazu kommt ein nüchterner Markteffekt. Wenn viele Unternehmen gleichzeitig loslaufen, werden Dienstleister nicht billiger, Audits nicht schneller und Security-Ressourcen nicht leichter verfügbar. Auch die Management-Aufmerksamkeit im eigenen Haus wird nicht größer, wenn parallel andere Projekte drücken. Wer spät startet, kauft in den schlechtesten Markt ein: hohe Nachfrage, knappe Spezialisten, wenig Zeit für saubere Entscheidungen.

Deshalb ist die bessere Frage nicht, wie die perfekte Lösung in zwei Jahren aussieht. Die bessere Frage lautet: Was müssen Sie jetzt als Nächstes sauber anstoßen, damit aus Druck nicht Chaos wird?

Die ersten sinnvollen Schritte ab morgen

Fangen Sie an, indem Sie Ihre Betroffenheit prüfen, Verantwortliche benennen und Meldewege klären – bevor im Ernstfall alle erst suchen müssen. Konzentrieren Sie sich dann auf die wirklich kritischen Prozesse, nicht auf alles gleichzeitig. Holen Sie die Geschäftsleitung früh ins Boot, denn dort werden Prioritäten, Budget und Verbindlichkeit entschieden.

Abschluss und CTA

Das war IT for Business. Wenn Sie etwas mitnehmen, dann das: Gute IT entscheidet sich nicht im Tool, sondern in der Architektur und den Entscheidungen, die Sie vorher treffen. Abonnieren Sie den Podcast und sprechen Sie mit Ihrem Team – bevor Sie unterschreiben oder weiter aufschieben.