NIS2 in der Praxis: 96 % Compliance. 3,21 Millionen Euro Risikokosten.

Executive Summary

Ein Vertrag mit 96 % Compliance Score, 94 % Governance Index und 93 % NIS2 Readiness verursacht trotzdem Risikokosten von 3,21 Mio. €. Der Grund liegt nicht in regulatorischen Defiziten, sondern in seiner strategischen Bedeutung für Umsatz, Betrieb und Wertschöpfung.

Executive Snapshot

Kennzahl Ergebnis

NIS2 Readiness Index 93 %
Compliance Score 96 %
Governance Index 94 %
Contract Health Index 92 %
Contract Asset Value Index 84 Punkte
Portfolio-Rang #18 von 1.247 Verträgen
Portfolio-Klasse Top 5 %
Risk Cost 3,21 Mio. €

Der analysierte Vertrag erfüllt die Anforderungen moderner Governance, Compliance und Cyber-Resilienz nahezu vollständig. Gleichzeitig verursacht er Risikokosten von 3,21 Mio. €. Die Ursache liegt nicht in mangelhaften Vertragsklauseln, sondern in der wirtschaftlichen Bedeutung der abgesicherten Geschäfts-prozesse.  Der Vertrag wird aufgrund seines CAVI von 84 Punkten als Core Business Asset eingestuft.

Hohe Compliance. Hohes Risiko.

Die Diskussion über NIS2 wird häufig entlang klassischer Compliance-Fragen geführt. Unternehmen prüfen Governance-Strukturen, Sicherheitsmaßnahmen, Meldeprozesse und regulatorische Nachweise. Die Logik dahinter ist einfach: Wer die Anforderungen erfüllt, reduziert sein Risiko. Doch die Analyse eines im Rahmen eines NIS2 Executive Scan bewerteten Vertrags zeichnet ein deutlich komplexeres Bild.

Die Überraschung

Der untersuchte Vertrag erreicht einen Compliance Score von 96 Prozent, einen Governance Index von 94 Prozent und einen NIS2 Readiness Index von 93 Prozent. Aus regulatorischer Sicht handelt es sich damit um einen Vertrag mit überdurchschnittlicher Reife.

Dennoch weist derselbe Vertrag eine kalkulierte Risikobelastung von 3,21 Millionen Euro auf.

Die zentrale Erkenntnis lautet daher: NIS2-Probleme entstehen oft nicht aus mangelnder Compliance, sondern aus der wirtschaftlichen Bedeutung dessen, was abgesichert werden soll.

Der Vertrag ist nicht das Risiko. Die Abhängigkeit ist das Risiko.

Der analysierte Vertrag wurde als kritischer Vertrag, strategischer Vertrag, regulatorisch kritischer Vertrag und lieferantenkritischer Vertrag eingestuft. Ein Ausfall hätte erhebliche Auswirkungen auf Umsatz, Betrieb, Kunden, Compliance und Reputation. Damit unterscheidet sich dieser Vertrag fundamental von einem gewöhnlichen Beschaffungs- oder Dienstleistungsvertrag. Er unterstützt geschäftskritische Prozesse, Informationssysteme, Ressourcen und Finanzströme.

Mit Rang#18 von 1.247 Verträgen gehört die Vertragsbeziehung zu den wirtschaftlich bedeutendsten Vertragsassets des Unternehmens und befindet sich in den Top 5 % des Vertragsportfolios.

Für das Management ergibt sich daraus eine unbequeme Konsequenz:

• Das Risiko liegt nicht primär im Vertragstext.
• Das Risiko liegt in der wirtschaftlichen Abhängigkeit von der Vertragsbeziehung.
• Das Risiko entsteht dort, wo kritische Geschäftsprozesse, Lieferketten und Informationssysteme auf den Vertrag angewiesen sind.

Der eigentliche Risikotreiber ist nicht die Compliance

Bemerkenswert ist, dass der Vertrag in der juristischen und regulatorischen Dimension sehr gute Werte erreicht. Die Analyse bescheinigt eine hohe rechtliche Robustheit, ausgeprägte Audit- und Kontrollrechte, starke Incident-Management-Prozesse sowie eine hohe Governance- und Compliance-Reife. Der Vertragsqualität selbst wird daher nur eine vergleichsweise geringe Risikobelastung zugeschrieben.

Die größten Risiken entstehen an anderer Stelle.

Als wichtigste Gefährdungen werden identifiziert:

• Ausfall kritischer Cloud- und Plattformleistungen
• Cyberangriffe auf geschäftskritische Systeme
• Lieferanten- und Konzentrationsrisiken
• Datenintegritäts- und Datenschutzvorfälle
• regulatorische Veränderungen im Umfeld von NIS2 und DORA.

Diese Risiken haben eine gemeinsame Eigenschaft:

Sie entstehen überwiegend außerhalb des eigentlichen Vertragstextes.

Selbst ein hervorragend formulierter Vertrag verhindert keinen Cyberangriff. Er verhindert keinen Lieferantenausfall. Und er beseitigt keine Konzentrationsrisiken. Genau hier zeigt sich die eigentliche Herausforderung moderner Governance.

3,21 Millionen Euro: Wenn Risiken betriebswirtschaftlich werden

In vielen Risikoberichten werden Risiken in Farben oder Kategorien dargestellt. Rot, Gelb oder Grün. Hoch, Mittel oder Niedrig. Für operative Steuerung mag das ausreichen.

Für Managemententscheidungen ist es oft zu wenig. Der interessante Teil der Analyse beginnt deshalb dort, wo Risiken in Geld übersetzt werden. Der Scan quantifiziert die aggregierten Risikokosten des Vertrags auf 3,21 Millionen Euro.

Risikokostenanalyse

Gesamtrisiko: 3,21 Mio. €

Treiber Kosten

Lieferantenabhängigkeit 1,20 Mio. €
Cyberrisiko 0,95 Mio. €
Cloud-Lock-in 0,78 Mio. €
Regulatorische Änderungen 0,28 Mio. €

Die Risk Cost ergeben sich aus der Kombination von Eintrittswahrscheinlichkeit und wirtschaftlicher Auswirkung der identifizierten Risikotreiber. Sie beschreiben den durchschnittlich zu erwartenden finanziellen Schaden über alle betrachteten Risikoszenarien.

Risk Cost sind zentrale Unternehmenskennzahlen

Die im Vertragsbestand ermittelten Risk Cost belaufen sich auf 3,21 Mio. €. Im Verhältnis zu den wesentlichen betriebswirtschaftlichen Kennzahlen ergibt sich daraus folgendes Bild:

Ausgangswerte

• Risk Cost: 3,21 Mio. €
• Umsatzbeitrag: 52 Mio. €
• Ergebnisbeitrag (EBITDA-Näherung): 14 Mio. €
• Vertragsvolumen: 37 Mio. €

Kennzahlenanalyse

• Risk Cost / Umsatz: 6,17 %
• Risk Cost / EBITDA: 22,93 %
• Risk Cost / Vertragsvolumen: 8,68 %

Diese Werte verdeutlichen die wirtschaftliche Relevanz der identifizierten Vertragsrisiken. Besonders aussagekräftig ist die Relation der Risk Cost zum Ergebnisbeitrag: Mit 22,93 % des EBITDA absorbieren die erwarteten Risikokosten nahezu ein Viertel des operativen Ergebnisses. Dies zeigt, dass Vertragsrisiken nicht nur ein rechtliches oder organisatorisches Thema darstellen, sondern einen wesentlichen Einfluss auf die Ertragskraft des Unternehmens haben.

Risk Cost sind ein Erwartungswert

Die Risk Cost bilden einen modellbasierten Erwartungswert über definierte Risikoszenarien. Sie sind kein prognostizierter Einzelschaden, ermöglichen aber den wirtschaftlichen Vergleich und die Priorisierung von Risiken. Sie repräsentieren einen realen zusätzlichen Kostenfaktor, der mit hoher Wahrscheinlichkeit im operativen Geschäft anfällt. Zwar wird nicht jedes einzelne Risikoereignis eintreten, die Gesamtheit der Risiken führt jedoch erfahrungsgemäß zu Kosten in der Größenordnung des ausgewiesenen Erwartungswertes.

Für die Unternehmenssteuerung bedeutet dies, dass die ausgewiesenen 3,21 Mio. € Risk Cost als wirtschaftlich relevante Belastung zu betrachten sind, die bei Planung, Kalkulation und Ergebnisprognosen berücksichtigt werden sollten. Durch gezielte Maßnahmen zur Risikoreduktion, Vertragsoptimierung und Steuerung kritischer Vertragsereignisse kann dieser Kostenblock nachhaltig reduziert und unmittelbar in Ergebnisverbesserungen überführt werden.

Executive Insight:

91 % der Risikokosten entstehen außerhalb der eigentlichen Vertragsqualität.

Damit verändert sich die Perspektive grundlegend. Aus abstrakten Risiken werden konkrete wirtschaftliche Belastungen. Für den CFO ist die relevante Aussage nicht mehr, dass ein Cyberrisiko existiert. Relevant ist vielmehr, dass dieses Risiko mit knapp einer Million Euro bewertet wird.

NIS2 wird dadurch von einer regulatorischen Fragestellung zu einer betriebswirtschaftlichen Fragestellung.

Was würde das Unternehmen tatsächlich verlieren?

Genau diese Frage wird in vielen NIS2-Projekten nicht gestellt. Dabei ist sie der Kern eines risikobasierten Ansatzes.

Wirtschaftliche Bedeutung

Kennzahl Wert

Umsatzbeitrag 52 Mio. €
Ergebnisbeitrag 14 Mio. €
Cashflow-Beitrag 11 Mio. €
Vertragsvolumen 37 Mio. €

Strategische Bedeutung 95 Punkte

Asset-Klasse Core Business Asset

Der Vertrag sichert nach der Bewertung Umsatzpotenziale von 52 Mio. €, Ergebnisbeiträge von 14 Mio. € und Cashflows von 11 Mio. € ab. Die entscheidende Managementfrage lautet daher:

Was würde passieren, wenn diese Vertragsbeziehung morgen wegfällt?

Der Vertrag als Unternehmensasset

Eine der spannendsten Erkenntnisse der Analyse betrifft die Sichtweise auf Verträge selbst.

Mit einem Contract Asset Value Index (CAVI) von 84 Punkten wird die Vertragsbeziehung als Core Business Asset (geschäftskritisches Unternehmensasset) klassifiziert. Der Vertrag ist damit nicht nur ein Rechtsdokument, sondern Teil der wirtschaftlichen Infrastruktur des Unternehmens. Verträge sichern heute nicht nur Rechte und Pflichten. Sie sichern

• Umsätze
• Geschäftsprozesse
• Ressourcen
• Lieferketten
• Compliance
• Cyber Resilienz
• Digitale Betriebsfähigkeit.

Der wesentliche Werttreiber ist nicht die juristische Qualität des Dokuments. Der wesentliche Werttreiber ist die Tatsache, dass die Vertragsbeziehung Umsatz, Ergebnis, Cashflow und kritische Geschäftsprozesse absichert. Gleichzeitig mindern Lieferantenabhängigkeiten, Cloud-Lock-in-Effekte und Cyberrisiken diesen Wert.  Der Vertrag besitzt also nicht nur einen Nutzen.

Der Vertrag besitzt einen ökonomischen Netto-Wert.

Die eigentliche Lehre aus NIS2

Der analysierte Vertrag erfüllt die regulatorischen Anforderungen in hohem Maße. Trotzdem bleibt er mit erheblichen wirtschaftlichen Risiken verbunden. Gerade darin liegt seine Aussagekraft.

• NIS2 ist keine Richtlinie zur Optimierung von Compliance-Dokumentationen.
• NIS2 zwingt Unternehmen dazu, ihre wirtschaftlichen Abhängigkeiten sichtbar zu machen.

Der Fall zeigt exemplarisch die eigentliche Herausforderung moderner Cyber-Governance:

Unternehmen müssen nicht nur verstehen, ob ihre Verträge compliant sind. Sie müssen verstehen, welche Unternehmenswerte durch diese Verträge abgesichert werden und welche finanziellen Folgen ein Ausfall hätte. Erst dann wird aus Compliance echte Resilienz.

Die Managementfrage der Zukunft lautet deshalb nicht: Sind wir NIS2-konform?

Sondern:

Welche Unternehmenswerte werden durch kritische Verträge gesichert und was kostet es, wenn diese Werte gefährdet werden?

Methodischer Hinweis: Die in diesem Bericht ausgewiesenen Ergebnisse wurden mithilfe der LEGANTA® NIS2-Vertragsanalyse (NIS2-Snapshot und NIS2-Executive Scan) erzeugt. Auf die ausführliche Ableitung der Ergebnisse (NIS2 Audit Scan) wird aus Platzgründen verzichtet. Die Auswertung erfolgte durch eine geführte KI-gestützte Analyse der Vertragsinhalte auf Basis vordefinierter fachlicher Prüfmodelle. Weitere Informationen zur Methodik und Plattform finden Sie unter www.leganta.ai.