KOMI Check Momentum 26: Der IT-Check für den Mittelstand

Der KOMI Check für Unternehmen, die wissen wollen, wo sie stehen — und welcher nächste Schritt wirklich sinnvoll ist.

// KOMI Check Momentum26

Wo steht Ihre IT? In fünf Minuten wissen Sie es.

24 Fragen aus vier Themenfeldern, entwickelt aus unseren Whitepapers: Cloud Readiness, NIS2 & Security, IT-Betrieb und Infrastruktur 2026. Sie antworten, das Diagramm entsteht live. Am Ende sehen Sie, wo Sie stehen und welcher nächste Schritt sinnvoll ist. Ohne Anmeldung. Kontaktdaten nur, wenn Sie das Ergebnis schriftlich und ein Gespräch möchten.

01Cloud Readiness6 Fragen

02NIS2 & Security7 Fragen

03IT-Betrieb6 Fragen

04Infrastruktur 20265 Fragen

KOMI-Check Momentum 26

Cloud Readiness
NIS2 & Security
IT-Betrieb
Infrastruktur 2026
Ergebnis

Themenfeld 1 von 4

Cloud Readiness

Microsoft 365, Azure, einzelne SaaS-Dienste: Cloud ist im Mittelstand angekommen. Eine bewusste Cloud-Strategie seltener. Sechs Fragen zu Workloads, Daten, Verantwortung, Kosten und Sicherheit.

Wissen Sie, welche Anwendungen in welcher Cloud-Form laufen (Public, Private, Hybrid, On-Premises) und warum?

Ja, bewusst zugeordnet nach Datenklasse, Performance und Regulierung

Teilweise, vieles ist historisch gewachsen

Nein, dazu gibt es keine Übersicht

Kann ich nicht einschätzen

Sind Datenstandorte und Zugriffsregeln pro Cloud-Dienst dokumentiert?

Ja, pro Dienst dokumentiert und regelmäßig geprüft

Für die wichtigsten Dienste, nicht durchgängig

Nein, nicht dokumentiert

Kann ich nicht einschätzen

Gibt es für jeden Cloud-Vertrag eine konkrete Exit-Option?

Ja, Datenformate, Migrationsweg und Vertragsbedingungen sind geklärt

Für einzelne Verträge, nicht systematisch

Nein, das haben wir nie betrachtet

Kann ich nicht einschätzen

Wer trägt im Tagesgeschäft welche Cloud-Aufgabe: Monitoring, Patching, Identity-Management, Kostenkontrolle?

Klar geregelt, zum Beispiel per RACI-Matrix, intern und mit Partnern

Informell geregelt, es gibt Ansprechpartner, aber keine feste Zuordnung

Ungeklärt, im Zweifel macht es die IT nebenbei

Kann ich nicht einschätzen

Wie steuern Sie Ihre Cloud-Kosten?

Aktiv: monatliche Cost-Reviews, Tagging-Disziplin, Budgetalarme

Reaktiv: Kosten werden bei Rechnungseingang geprüft

Gar nicht, die Rechnung kommt und wird bezahlt

Kann ich nicht einschätzen

Wie sind Identitäten, Daten und Schnittstellen in der Cloud geschützt?

Zero-Trust-Prinzipien: MFA, Conditional Access, Datenklassifizierung, API-Sicherheit

MFA ist aktiv, der Rest teilweise

Klassischer Perimeter-Schutz, kaum Zero-Trust-Elemente

Kann ich nicht einschätzen

Themenfeld 2 von 4

NIS2 & Security

NIS2 ist seit Dezember 2025 in Deutschland verbindlich, ohne Übergangsfrist. Sieben Fragen, die Versicherer, Prüfer und Vorstände 2026 stellen.

Können Sie lückenlos zeigen, welche IT-Assets Sie betreiben und welche Risiken dort bestehen?

Ja, zentrales Asset-Management mit Risikobewertung pro kritischem Asset, jährlich aktualisiert

Inventar vorhanden, Risikobewertung nicht aktuell oder nicht mit den Assets verknüpft

Nein, mehrere Excel-Listen und keine Risikobewertung

Kann ich nicht einschätzen

Wer hat Zugriff auf welche Systeme, und wer hatte ihn früher?

MFA ist überall verpflichtend, Zugriffs-Reviews laufen regelmäßig, ein Joiner-Mover-Leaver-Prozess steht

MFA teilweise im Einsatz, Zugriffs-Reviews unregelmäßig

Kein MFA-Zwang, Konten ehemaliger Mitarbeitender sind teils noch aktiv

Kann ich nicht einschätzen

Wie schützen Sie Endgeräte und Server vor Schadsoftware und Angriffen?

EDR oder MDR auf allen Endpunkten und Servern, automatisiertes Patch-Management, 24/7-Überwachung

Klassischer Virenschutz, Patches mit Verzug von Wochen

Virenschutz ohne EDR, Patches mit Verzug von Monaten

Kann ich nicht einschätzen

Können Sie nach einem Ransomware-Angriff in dokumentierter Zeit wieder produktiv arbeiten?

Ja, Wiederherstellung mindestens jährlich getestet, 3-2-1-Regel, definierte Recovery-Zeiten

Backups laufen, die Wiederherstellung wird selten getestet

Backups laufen, nie getestet, Backup-Server nicht von der Produktion getrennt

Kann ich nicht einschätzen

Wer ist im Ernstfall verantwortlich, und in welcher Zeit muss was passieren?

Incident-Response-Plan inklusive 24-Stunden-Meldung an das BSI, regelmäßig geübt

Plan vorhanden, aber nie geübt, Meldewege unklar

Kein Plan, keine definierten Reaktionszeiten

Kann ich nicht einschätzen

Welche IT-Dienstleister haben Zugriff auf Ihre Systeme, und welche Standards erfüllen sie?

Lieferanten-Liste mit Sicherheitsbewertung, vertragliche Mindestanforderungen, jährliche Nachweise

Übersicht vorhanden, aber keine vertraglichen Sicherheitsanforderungen

Keine Übersicht über Drittparteien-Zugriffe

Kann ich nicht einschätzen

Wie stellen Sie sicher, dass Ihre Mitarbeitenden Risiken erkennen und richtig reagieren?

Jährliche Pflichtschulung, regelmäßige Phishing-Simulationen, transparente Auswertung

Schulung beim Onboarding, gelegentliche Hinweise

Keine Schulungen, keine Phishing-Tests

Kann ich nicht einschätzen

Themenfeld 3 von 4

IT-Betrieb: Projekt oder Managed Service

Über drei Jahre gerechnet ist der Kostenunterschied oft kleiner als gedacht. Der eigentliche Unterschied liegt in Planbarkeit, Sicherheit und Risiko. Sechs Fragen zu Ihrem IT-Betrieb.

Wissen Sie jederzeit, welche Systeme aktuell sind und welche das End-of-Support erreicht haben?

Ja, jederzeit, zentral gepflegt

Grob, aber nicht zentral gepflegt

Nein, das fällt meist erst auf, wenn etwas ausfällt

Kann ich nicht einschätzen

Wie planbar sind Ihre IT-Kosten?

Feste monatliche Beiträge, keine Überraschungen am Quartalsende

Grundkosten planbar, Vorfälle sprengen das Budget

Kaum planbar, abhängig von Tickets und Stunden

Kann ich nicht einschätzen

Werden Ihre Backups getestet oder nur ausgeführt?

Regelmäßig getestet, mit dokumentiertem Ergebnis

Stichprobenweise getestet

Nur ausgeführt, nie getestet

Kann ich nicht einschätzen

Wie schnell sind Patches und Updates nach Veröffentlichung installiert?

In weniger als 30 Tagen, automatisiert

Innerhalb einiger Monate, manuell

Unregelmäßig, oft mit langem Verzug

Kann ich nicht einschätzen

Können Sie einem Versicherer oder Prüfer belastbare Betriebs-Nachweise vorlegen?

Ja, Reporting, Patch-Disziplin und Backup-Tests sind dokumentiert und abrufbar

Mit Aufwand lassen sich Nachweise zusammenstellen

Nein, keine belastbaren Nachweise

Kann ich nicht einschätzen

Wie arbeitet Ihr IT-Partner mit Ihnen?

Denkt strategisch mit, kennt unsere Umgebung, macht Vorschläge

Reagiert zuverlässig auf Aufträge, wenig Eigeninitiative

Rein reaktiv: Ticket rein, Reparatur raus

Kann ich nicht einschätzen

Themenfeld 4 von 4

IT-Infrastruktur 2026

Windows-10-Ende, Server- und Storage-Lifecycles aus 2020/21, Netzwerk-Modernisierung, neue Anforderungen aus Cloud und KI: 2026 treffen mehrere Wellen aufeinander. Fünf Fragen zu Ihrer Planung.

Haben Sie eine aktuelle Lifecycle-Übersicht über Clients, Server, Netzwerk und Backup?

Ja, über alle Bereiche, inklusive End-of-Support-Terminen

Für einzelne Bereiche, zum Beispiel Clients

Nein, keine strukturierte Übersicht

Kann ich nicht einschätzen

Ist die Frage Kauf oder Leasing für die nächste Investitionswelle entschieden?

Ja, bewusst entschieden und mit der Cash-Planung abgestimmt

Diskutiert, aber nicht entschieden

Nie betrachtet, es wird gekauft wie bisher

Kann ich nicht einschätzen

Sind Cloud- und KI-Anforderungen in Ihren Architektur-Entscheidungen berücksichtigt?

Ja: Workload-Verteilung, GPU/NPU, Bandbreite und Windows-11-Anforderungen sind eingeplant

Teilweise, meist projektbezogen

Nein, bisher nicht berücksichtigt

Kann ich nicht einschätzen

Kennen Sie die Sicherheits-Risiken Ihrer aktuellen Infrastruktur-Generation?

Ja, bekannt und bewertet, inklusive Folgen für die Cyber-Versicherung

Grob bekannt, nicht bewertet

Nein, nicht bekannt

Kann ich nicht einschätzen

Sind Modernisierungs-Projekte mit Ihrem Betriebsmodell verzahnt?

Ja: Beschaffung, Inbetriebnahme, Patch-Management und Monitoring aus einer Hand

Teilweise, mehrere Dienstleister ohne gemeinsame Planung

Nein, getrennt vergeben, kein integriertes Betriebskonzept

Kann ich nicht einschätzen

Ihr Ergebnis

Ihr Momentum-Profil

Vier Themenfelder, ein Bild: So steht Ihre IT heute da. Die Einordnung folgt den Quick-Checks unserer Whitepaper.

Ergebnis sichern und Gespräch anfragen

Sie möchten Ihr Ergebnis schriftlich und ein Erstgespräch ohne festen Zeitrahmen? Wir hören zu, fragen nach, machen uns ein Bild Ihrer Situation. Sie entscheiden, ob und wie es weitergeht.

Vorname

Nachname

Unternehmen

E-Mail

Telefon (optional)

Ihre Nachricht (optional)

Ich bin damit einverstanden, dass die KOMI Group GmbH meine Angaben speichert, um mir mein Ergebnis zuzusenden und mich zu meiner Anfrage zu kontaktieren. Hinweise zum Widerruf und zur Verarbeitung finden Sie in der Datenschutzerklärung.