NIS2 ist kein Policy-Ordner. Betrieb braucht Runbooks: Incident-Klassifikation, 24h-Frühwarnung, Restore-Nachweis und Lieferanten-Eskalation — auf echten Systemen, nicht „IR-Plan aktivieren".

Vor Pentest-Funden prüfen Auditoren Identity: MFA-Abdeckung, privilegierten Zugriff, Joiner-Mover-Leaver und Belege, dass Zugriff zur Rolle passt — nicht Spreadsheet-Hoffnung. Was sie stichproben und wie Sie sich vorbereiten.