Kit Consulting: die Beratung zu Cybersicherheit

Die Kategorie Cybersicherheit des Kit Consulting finanzierte eine fachkundige Beratung, damit ein KMU seinen Grad der Gefährdung kennenlernte und einen maßgeschneiderten Schutzplan aufbaute. Es ist nicht der Kauf eines Antivirenprogramms oder ein punktuelles Audit: Es ist Beratung, die eine Sicherheitsdiagnose, einen priorisierten Cybersicherheitsplan, grundlegende Richtlinien und Verfahren und – auf der fortgeschrittenen Stufe – die Vorbereitung auf eine Zertifizierung wie die ISO 27001 oder den ENS liefert. Das Programm unterteilte sie in drei Unterstufen – Basis, fortgeschritten und Zertifizierungsvorbereitung – mit einer Obergrenze von 6.000 € pro Leistung. Die Antragsfrist endete am 31 de marzo de 2025; dieser Artikel erklärt informativ, was die Kategorie abdeckte, was man erhielt und für wen sie sinnvoll war.

Was ist die Kategorie Cybersicherheit des Kit Consulting

Die meisten KMU, mit denen ich arbeite, haben kein Problem mit Sicherheits-„Werkzeugen": Sie haben ein Problem mit dem Urteilsvermögen. Sie haben ein Antivirenprogramm gekauft, vielleicht eine Firewall, Sicherungskopien aktiviert … und trotzdem kann niemand die entscheidende Frage beantworten: „Sind wir wirklich geschützt, und wo sind wir am schwächsten?" Genau dieses ehrliche Risikobild finanzierte die Kategorie Cybersicherheit des Kit Consulting.

Das Kit Consulting ist ein öffentliches Programm von Red.es im Rahmen der Komponente 13 des Plan de Recuperación, Transformación y Resiliencia (PRTR) (Aufbau-, Transformations- und Resilienzplan), finanziert mit Mitteln von NextGenerationEU. Seine Logik unterscheidet sich von der des Kit-Digital-Programms: Das Kit Digital bezahlt die Umsetzung von Lösungen (einschließlich einer Cybersicherheitslösung), während das Kit Consulting die fachkundige Beratung bezahlt, die entscheidet, was und wie zu tun ist. Wenn Sie den Überblick über das Programm suchen, finden Sie ihn in meinem Leitfaden „Was ist das Kit Consulting".

Innerhalb des Programms war die Cybersicherheit eine der gefragtesten Kategorien, aus guten Gründen: Die Zahl der Vorfälle, die spanische KMU betreffen, wächst stetig, und viele erholen sich nicht gut von einem ernsten Angriff. Es ist wichtig zu klären, dass dieser Artikel die Beratungskategorie als Ganzes beschreibt. Wer sich für den konkreten Ansatz interessiert, eine ISO-27001-Zertifizierung mit dem Kit Consulting vorzubereiten, findet das ausführlich in Cybersicherheit und ISO 27001 mit dem Kit Consulting; hier konzentriere ich mich auf den allgemeinen Umfang, die Ergebnisse und das Profil des Beraters.

Was deckte die Beratung zu Cybersicherheit des Kit Consulting ab?

Das Programm gliederte die Cybersicherheit in drei Unterstufen, die das Unternehmen je nach Ausgangspunkt begleiten sollten. Sinnvoll war es, mit der Basisstufe zu beginnen, bevor man zu den fortgeschrittenen Stufen wechselte.

Cybersicherheit Basis. Das ist der Einstieg. Der Berater hilft dabei, einen an die konkreten Bedürfnisse des KMU angepassten Basis-Cybersicherheitsplan zu entwickeln: die wichtigen Vermögenswerte identifizieren, die Hauptrisiken bewerten und die wesentlichen Schutzmaßnahmen vorschlagen. Für ein Unternehmen, das bei null anfängt, bedeutet diese Stufe bereits einen enormen Kontrollzuwachs.

Cybersicherheit fortgeschritten. Für Unternehmen mit mehr Reife vertieft sie Aspekte wie Vorfallmanagement, Geschäftskontinuität, die Sicherheit von Lieferanten oder anspruchsvollere technische Maßnahmen. Setzt in der Regel voraus, dass die Basisstufe zuvor abgeschlossen wurde.

Zertifizierungsvorbereitung. Richtet sich an KMU, die ihre Sicherheit formal gegenüber Kunden oder bei Ausschreibungen nachweisen wollen. Bereitet den Boden für Zertifizierungen wie die ISO 27001 oder das Esquema Nacional de Seguridad (Nationales Sicherheitsschema, ENS) und hinterlässt Dokumentation und Prozesse, die bereit für das Audit sind.

Ergebnisse: Was nimmt man mit?

Was eine gute Beratung von einem bloßen Gespräch unterscheidet, ist das greifbare Ergebnis. In der Kategorie Cybersicherheit ist das, was ein KMU am Ende erwarten sollte, in dieser Übersicht zusammengefasst, die auch als Checkliste dient, um jedes Angebot einer Sicherheitsberatung zu bewerten:

Beachten Sie eine wichtige Nuance: Die Beratung setzt die technischen Maßnahmen nicht um, sie plant sie. Die Installation der Firewall, die Einführung der Zwei-Faktor-Authentifizierung oder die Beauftragung von Cloud-Sicherungskopien sind Umsetzung, und dafür eignet sich eher ein anderer Weg (wie das Kit Digital). Das Kit Consulting liefert Ihnen den Bauplan; das Haus zu bauen kommt danach.

Wie viel finanzierte der Cybersicherheits-Bon?

Das Kit Consulting funktionierte mit einem Bon, dessen Gesamtbetrag von der Unternehmensgröße abhing, und jede einzelne Leistung hatte eine Obergrenze von 6.000 €. Das waren die drei Segmente:

In der Praxis konnte ein KMU eine seiner Leistungen der Cybersicherheit widmen und eine weitere kombinieren, zum Beispiel mit der Kategorie KI oder Prozesse. Die Förderung wurde im Verfahren der nicht wettbewerblichen Konkurrenz vergeben, nach Eingangsreihenfolge und bis zur Erschöpfung der Mittel.

Eignet sie sich zur Vorbereitung auf ISO 27001 oder ENS?

Ja, und das ist einer der sinnvollsten Einsatzzwecke der fortgeschrittenen Stufe und der Zertifizierungsvorbereitung. Ein KMU, das öffentliche Aufträge anstrebt oder mit großen Kunden arbeiten will, muss seine Sicherheit meist nachweisen, und die beiden gängigen Referenzen sind die ISO 27001 (internationale Norm für Informationssicherheits-Management) und das Esquema Nacional de Seguridad (Nationales Sicherheitsschema, verpflichtend für den öffentlichen Sektor und faktisch für dessen Lieferanten).

Die Beratung liefert nicht die Zertifizierung selbst – die vergibt eine akkreditierte Stelle nach einem Audit –, aber sie bereitet den Weg vor: die Risikoanalyse, die Richtlinien, die Verfahren und die Dokumentation, die das Audit verlangen wird. Das ist der Unterschied zwischen einer Zertifizierung mit gemachten Hausaufgaben oder dem Start bei null. Den spezifischen Blickwinkel der ISO 27001 behandle ich in diesem ergänzenden Artikel, und wenn Sie sich für den Sicherheitsleitplan als umfassenderen Rahmen interessieren, finden Sie das unter Sicherheitsleitplan.

Für welchen Typ von KMU ist sie sinnvoll?

Aus meiner Erfahrung mit Unternehmen in Kastilien und León und den Kanarischen Inseln passt die Beratung zu Cybersicherheit besonders, wenn:

Sie sensible Daten verwalten. Kundendaten, Finanzinformationen, gewerbliches Eigentum … Je wertvoller das, was Sie aufbewahren, desto attraktiver sind Sie für einen Angreifer und desto mehr lohnt sich ein ernsthafter Plan.

Sie für den Betrieb von Ihren Systemen abhängen. Wenn ein Angriff, der Sie tagelang ohne Systeme lässt, Ihren Umsatz gefährdet, zahlt sich die Investition in Prävention von selbst aus.

Sie Kunden haben, die Garantien verlangen. Immer mehr Verträge – öffentliche wie private – verlangen den Nachweis von Sicherheitsmaßnahmen. Ein guter Plan öffnet Ihnen geschäftliche Türen, nicht nur Schutz.

Sie nie eine formale Diagnose durchgeführt haben. Wenn sich Ihre Sicherheit auf „was wir eben nach und nach gekauft haben" stützt, ist es sehr wahrscheinlich, dass es Lücken gibt, die nur eine geordnete Analyse ans Licht bringt.

Wer erbringt diese Beratung?

Nur ein beim Programm zugelassener digitaler Berater, eingetragen im offiziellen Katalog von Red.es und mit nachgewiesener technischer Kompetenz für die Kategorie Cybersicherheit. Nicht jeder Anbieter kam infrage: Das Programm verlangte die formale Anmeldung des Beraters und die Unterzeichnung einer Leistungsvereinbarung mit dem KMU.

Für Cybersicherheit sollte man ein Profil suchen, das sowohl den technischen Teil (Risiken, Kontrollen, Vorschriften) als auch die operative Realität eines KMU versteht. Ein Lehrbuch-Sicherheitsplan, kopiert von einem Großunternehmen, ist in einer Organisation mit zwanzig Personen meist unanwendbar – und damit nutzlos. Verhältnismäßigkeit ist entscheidend: sich vor dem schützen, was wirklich bedroht, ohne Kosten für Kontrollen zu verursachen, die man nicht braucht. Wie sich das außerhalb des Programms in konkrete Leistungen und Kosten übersetzt, erzähle ich in Cybersicherheitsberatung für Unternehmen.

Häufige Fehler bei der Cybersicherheit von KMU

Eine gut gemachte Beratung vermeidet die Stolpersteine, die ich am häufigsten sehe. Das sind die gängigsten:

Zu glauben, „wir sind zu klein, um angegriffen zu werden". Es ist genau umgekehrt: Angreifer automatisieren und gehen auf das schwächste Glied, das meist das KMU mit wenig Verteidigung ist. Größe schützt nicht.

Alles auf ein Werkzeug zu verlassen. Ein Antivirenprogramm ist kein Sicherheitsplan. Ohne Richtlinien, Schulung und geprüfte Sicherungskopien hinterlässt das Werkzeug allein enorme Lücken.

Die Sicherungskopien nicht zu testen. Kopien zu haben, die nie jemand wiederhergestellt hat, bedeutet ein falsches Sicherheitsgefühl zu haben. Die Kopie, die nicht getestet wird, ist die, die am Tag des Vorfalls versagt.

Das Team zu vergessen. Die meisten Vorfälle entstehen durch einen menschlichen Klick: eine Phishing-E-Mail, ein wiederverwendetes Passwort. Ohne Schulung der Mitarbeitenden bleibt die beste Technologie unzureichend.

Lieferanten zu ignorieren. Viele Angriffe gelangen über Dritte mit Zugang zu Ihren Systemen. Ein guter Plan betrachtet auch die Sicherheit Ihrer Lieferkette.

Basis, fortgeschritten oder Zertifizierung: Welche Stufe passt zu Ihnen?

Eine der häufigsten Fragen ist, welche der drei Unterstufen zu wählen ist. Die Antwort hängt von Ihrer Ausgangsreife ab, und es lohnt sich, gut darüber nachzudenken, weil bei einem begrenzten Bon jede Leistung zählt. Das ist die Logik, die ich bei der Beratung eines KMU anwende:

Wenn Sie noch nie etwas Formales im Bereich Sicherheit gemacht haben, beginnen Sie mit der Basisstufe. Sie liefert die Diagnose und den Plan, die das anfängliche Chaos ordnen, und deckt oft Risiken auf, die das Unternehmen nicht einmal vermutet hatte. Diesen Schritt zu überspringen, um direkt zur fortgeschrittenen Stufe zu gehen, geht meist schief, weil Sie auf einem Fundament bauen, das Sie nicht kennen.

Wenn Sie die Grundlagen bereits abgedeckt haben – Sicherungskopien, Antivirus, eine gewisse Richtlinie – und in Vorfallmanagement, Kontinuität oder Lieferantensicherheit vertiefen möchten, ist die fortgeschrittene Stufe Ihr Platz. Sie setzt einen reiferen Ausgangspunkt voraus.

Wenn Ihr Ziel geschäftlich ist – Ihre Sicherheit nachweisen, um Aufträge zu gewinnen oder einen Großkunden zufriedenzustellen –, ist die Zertifizierungsvorbereitung der richtige Weg. Aber Achtung: Das ist nur sinnvoll, wenn Sie die Zertifizierung wirklich anstreben; sonst bleibt Ihnen Dokumentation, die Sie nicht nutzen werden.

Bei Unternehmen mit mehr als einer verfügbaren Leistung in ihrem Bon war eine übliche und sinnvolle Kombination Basis + fortgeschritten oder Basis + Zertifizierungsvorbereitung, um den gesamten Weg in einer einzigen Ausschreibungsrunde zu verketten.

Kit Consulting und Kit Digital bei Cybersicherheit: Sie ergänzen sich

Ein Punkt, der oft für Verwirrung sorgt: Sowohl das Kit Consulting als auch das Kit Digital berühren die Cybersicherheit, aber sie tun unterschiedliche Dinge und ergänzen sich, richtig eingesetzt. Das Kit Consulting liefert Ihnen die Beratung: die Diagnose, den Plan und die Richtlinien, also das „Was tun und warum". Das Kit Digital wiederum finanziert die Umsetzung konkreter Cybersicherheitslösungen – wie fortgeschrittenen Virenschutz oder Geräteschutz –, also das „Tu es".

Die ideale Abfolge, als beide Programme noch offen waren, bestand darin, die Beratung zu nutzen, um zu entscheiden, was Sie brauchten, und die Umsetzung, um es in die Praxis zu bringen. Ich vergleiche beide Programme ausführlich in Kit Digital gegenüber Kit Consulting, eine empfehlenswerte Lektüre, wenn Sie noch zweifeln, was zu welchem Bedarf passt.

Aktueller Stand des Kit Consulting und Restmittel

Um keine falschen Erwartungen zu wecken: Die ordentliche Antragsfrist des Kit Consulting endete am 31 de marzo de 2025, und die Ausschreibung gilt auf dem Portal von Acelera Pyme als geschlossen. KMU mit bewilligtem Bon befinden sich in der Umsetzungs- und Nachweisphase.

Die Neuerung 2026 ist die Orden TDF/38/2026, de 26 de enero (BOE-A-2026-2069), die die Programmgrundlagen änderte, um die Umverteilung der Restmittel zu ermöglichen und Anträge zu bedienen, die mangels Mitteln ausgeschlossen worden waren. Allerdings hat die Verordnung selbst noch keine Fristen oder ein konkretes Verfahren festgelegt, sodass es korrekt ist, von einem „Weg der Restmittel" zu sprechen, nicht von einer bestätigten Wiedereröffnung. Ich halte das aktuell in der Lage des Kit Consulting 2026 auf dem neuesten Stand.

Meine Empfehlung ist einfach: Cybersicherheit wartet nicht auf Förderungen. Wenn Ihr Unternehmen nie eine ernsthafte Diagnose durchgeführt hat, tun Sie es – mit oder ohne Bon. Und falls sich die Restmittel schließlich konkretisieren, sind Sie bereits vorangekommen, während andere noch überlegen. Wenn Sie einen fachkundigen und auf Ihren Fall zugeschnittenen Blick möchten, helfe ich Ihnen gerne, mit der Diagnose zu beginnen.