Teure BeratungExpensive consulting
Individuelle Beratung ist wichtig, skaliert aber schlecht für wiederkehrende technische Prüfungen.Individual consulting matters, but it does not scale well for recurring technical checks.
Crowdfunding-Projekt Crowdfunding project
Offene NIS2-Compliance-Plattform Open NIS2 compliance platform
Technische NIS2-Nachweise statt Excel-Checklisten und teurer Beratung. Open-Source-Software, die reale IT-Systeme prüft und nachvollziehbare Evidenz für Audits erzeugt. Technical NIS2 evidence instead of spreadsheets and expensive consulting. Open-source software that checks real IT systems and produces traceable audit evidence.
Das Problem The problem
Seit Inkrafttreten der deutschen Umsetzung am 6. Dezember 2025 müssen deutlich mehr Organisationen technische, organisatorische und operative IT-Sicherheitsmaßnahmen nachweisbar umsetzen. In der Praxis geschieht das häufig über Beratung, Checklisten und manuelle Dokumentation. Since Germany's implementation entered into force on December 6, 2025, many more organizations must demonstrably implement technical, organizational, and operational IT security measures. In practice, this is still often handled through consulting, checklists, and manual documentation.
KernlückeCore gap
Viele Anforderungen sind technisch überprüfbar, aber bezahlbare
und transparente Werkzeuge dafür fehlen.
Many requirements can be checked technically, but affordable and
transparent tools for doing so are missing.
Abstrakte ChecklistenAbstract checklists
Excel-Listen zeigen Lücken, erzeugen aber selten belastbare technische Evidenz.Spreadsheets reveal gaps, but rarely produce reliable technical evidence.
Enterprise-ToolsEnterprise tools
Viele vorhandene Lösungen sind auf große Organisationen ausgelegt und für KMU zu schwergewichtig.Many existing tools target large organizations and are too heavy for SMEs.
Die Projektidee The project idea
Entwickelt wird eine offene, technische NIS2-Compliance-Plattform. Sie verbindet regulatorische Anforderungen mit konkreten technischen Checks realer IT-Systeme und erzeugt auditfähige Evidenzen statt Selbstauskünfte. The project builds an open technical NIS2 compliance platform. It connects regulatory requirements with technical checks of real IT systems and produces audit-ready evidence instead of self-assessments.
Technische ChecksTechnical checks
Automatisierte Prüfungen realer IT-Systeme statt rein manueller Selbstauskunft.Automated checks of real IT systems instead of purely manual self-assessment.
NIS2-MappingNIS2 mapping
Abbildung von EU-Anforderungen, deutscher Umsetzung, Controls und konkreten Nachweisen.Mapping EU requirements, German implementation, controls, and concrete evidence.
SystemintegrationenSystem integrations
Anbindung an Verzeichnisdienste, Firewall-Konfigurationen, MDM und Patch-Management.Connection to directory services, firewall configurations, MDM, and patch management.
Auditfähige NachweiseAudit-ready evidence
Zeitgestempelte, reproduzierbare Evidenzen als PDF, JSON und perspektivisch XBRL.Timestamped, reproducible evidence as PDF, JSON, and prospectively XBRL.
Risiko-HeatmapsRisk heatmaps
Priorisierung von Maßnahmen und transparente Navigation durch Risiken, Controls und Evidenzen.Prioritization of measures and transparent navigation through risks, controls, and evidence.
Open SourceOpen source
Transparente Softwarebasis, nachvollziehbare Ergebnisse und Self-Hosting als Ziel.Transparent software base, traceable results, and self-hosting as a goal.
Was technische Evidenz leisten kann What technical evidence can prove
Die Plattform soll nicht behaupten, dass ein grüner Check automatisch NIS2-Konformität bedeutet. Der wertvolle Teil liegt dort, wo man technischen Zustand wiederholbar messen, Änderungen über Zeit sehen und die Grenze zur menschlichen Bewertung klar markieren kann. The platform should not claim that a green check automatically means NIS2 compliance. Its value is strongest where technical state can be measured repeatedly, drift can be seen over time, and the boundary to human assessment is clearly marked.
Direkt messbarer ZustandDirectly observable state
Asset-Inventar, externe Angriffsfläche, Patch-Status, MFA-Erzwingung, Logging-Konfiguration und Backup-Nachweise lassen sich technisch sammeln und gegen definierte Regeln bewerten.Asset inventory, external exposure, patch status, MFA enforcement, logging configuration, and backup evidence can be collected technically and evaluated against defined rules.
Evidenz über ZeitEvidence over time
Ein bestandener Check am Audittag reicht nicht. Geplant sind signierte oder nachvollziehbar verifizierbare Snapshots mit Zeitstempel, Quelle, Version und reproduzierbarer Prüflogik.A passed check on audit day is not enough. The plan is signed or verifiably traceable snapshots with timestamp, source, version, and reproducible check logic.
BewertungsgrenzenAssessment boundaries
Die Software kann zeigen, dass Logs aktiv sind, aber nicht allein beweisen, dass Triage wirksam funktioniert. Sie kann Backup-Konfigurationen erfassen, aber realistische Wiederanlaufziele brauchen Restore-Tests und menschliche Bewertung.Software can show that logs are active, but cannot by itself prove that triage works effectively. It can capture backup configuration, but realistic recovery objectives need restore tests and human assessment.
MVP-Funktionsumfang MVP feature scope
Die erste Version soll bewusst klein genug bleiben, um nutzbar, prüfbar und finanzierbar zu sein. Ziel ist ein belastbarer Kern, auf dem spätere Integrationen und Enterprise-Funktionen aufbauen können. The first version is intentionally scoped small enough to be usable, testable, and fundable. The goal is a reliable core that later integrations and enterprise features can build on.
Im MVP enthaltenIncluded in the MVP
- NIS2-Control-Katalog mit Schwerpunkt auf Artikel 21 und deutscher UmsetzungNIS2 control catalogue focused on Article 21 and German implementation
- Technische Control-Evaluation gegen reale SystemdatenTechnical control evaluation against real system data
- Mapping von NIS2-Anforderungen auf konkrete Maßnahmen und NachweiseMapping NIS2 requirements to concrete measures and evidence
- Zeitgestempelte Evidenzen mit nachvollziehbarer Quelle, Version und PrüflogikTimestamped evidence with traceable source, version, and check logic
- Reporting-Funktionen als PDF und JSONReporting functions as PDF and JSON
- Tests, Stabilisierung, Dokumentation und CITests, stabilization, documentation, and CI
Nach dem MVP geplantPlanned after the MVP
- Zusätzlicher Patch-ProviderAdditional patch provider
- Verbesserte Firewall-ChecksImproved firewall checks
- Rust-Binary für Control-EvaluationRust binary for control evaluation
- Erweiterte nationale Mapping-Profile für weitere EU-MitgliedstaatenExtended national mapping profiles for additional EU member states
- Auditor-Lesedokumentation und Beispiel-AuditberichteAuditor read documentation and example audit reports
- Strukturierte Evidenz-NavigationStructured evidence navigation
Nicht Teil des MVPNot part of the MVP
- Keine automatische Rechtsbewertung oder verbindliche BetroffenheitsentscheidungNo automatic legal assessment or binding applicability decision
- Keine Garantie auf vollständige NIS2-KonformitätNo guarantee of complete NIS2 compliance
- Kein automatischer Nachweis von Prozesswirksamkeit ohne Übungen, Tickets oder menschliche PrüfungNo automatic proof of process effectiveness without exercises, tickets, or human review
- Keine SIEM-, EDR- oder Schwachstellenmanagement-PlattformNo SIEM, EDR, or vulnerability management platform
- Keine vollautomatische Infrastrukturprüfung ohne menschliche BewertungNo fully automated infrastructure audit without human review
- Keine Speicherung produktiver Zugangsdaten oder GeheimnisseNo storage of production credentials or secrets
- Keine Cloud-Pflicht: Self-Hosting soll möglich bleibenNo cloud requirement: self-hosting should remain possible
Finanzierungsziele Funding goals
Das Funding fließt direkt in Entwicklung und Veröffentlichung. Plattform- und Transaktionskosten sind im Finanzierungsziel bereits berücksichtigt. The funding goes directly into development and publication. Platform and transaction costs are already included in the funding targets.
MVP Funding
42.000 EURNutzbares Open-Source-MVP mit technischen NIS2-Checks und auditfähigen Nachweisen.Usable open-source MVP with technical NIS2 checks and audit-ready evidence.
Mehr IntegrationenMore integrations
54.000 EURZusätzlicher Patch-Provider und verbesserte Firewall-Checks.Additional patch provider and improved firewall checks.
Rust-Evaluator
66.000 EURRust-Binary für Control-Evaluation, Python/Rust-Vergleichstests und höhere Sicherheit.Rust binary for control evaluation, Python/Rust comparison tests, and stronger security.
Auditor-Paket
78.000 EURAuditor-Lesedoku, Beispiel-Auditberichte und strukturierte Evidenz-Navigation.Auditor read documentation, example audit reports, and structured evidence navigation.
Warum dieses Projekt Why this project
Heute existieren kaum bezahlbare, transparente Werkzeuge, die NIS2 technisch umsetzen. Stattdessen dominieren Beratung, Checklisten und Enterprise-Tools. Dieses Projekt schließt diese Lücke mit einer offenen, überprüfbaren Softwarebasis. Today, there are few affordable, transparent tools that implement NIS2 technically. Consulting, checklists, and enterprise tools dominate instead. This project closes that gap with an open, verifiable software base.
Technischer StackTechnical stack
- Backend
- Python / Rust
- Frontend
- React
- IntegrationenIntegrations
- LDAP, MDM, REST
- LizenzLicense
- Open Source
- SDG
- 9 Innovation & Infrastruktur9 Innovation & infrastructure
Projekt unterstützen Support the project
Die Startnext-Kampagne finanziert ein nutzbares Open-Source-MVP. Rückmeldungen aus KMU, Kommunen, IT-Betrieb und Informationssicherheit helfen zusätzlich, die erste Version auf reale Anforderungen auszurichten. The Startnext campaign funds a usable open-source MVP. Feedback from SMEs, municipalities, IT operations, and information security also helps align the first version with real requirements.
Hinweis: Die geplante Plattform soll technische Umsetzung, Nachweisführung und Risikomanagement unterstützen. Sie ersetzt keine rechtliche Prüfung im Einzelfall. Note: The planned platform is intended to support technical implementation, evidence collection, and risk management. It does not replace case-specific legal review.
Weiterführende Informationen: BSI zu NIS2 und Bundesregierung zur deutschen Umsetzung. Further information: BSI on NIS2 and German federal government on implementation.