Sechs Engpässe, sechs Werkzeuge
Sechs Fragen, die im Mittelstand gerade regelmäßig auf den Tisch kommen — und zu
jeder ein Werkzeug, das die Antwort strukturiert statt sie zu behaupten. Alle
laufen im Browser, speichern lokal, brauchen keinen Login und kosten nichts.
Jede Angabe trägt ihre Fundstelle im Gesetz.
Rechtsstand der regulatorischen Werkzeuge: August 2026 · jedes Werkzeug weist seinen Stand selbst aus
Engpass 1 · KI-Regulierung
Fällt unsere KI-Anwendung unter den AI Act?
Die verbreitete Frage ist falsch gestellt. Der AI Act stuft nicht das Unternehmen
ein, sondern jedes KI-System einzeln — ein Betrieb kann gleichzeitig verbotene,
hochriskante und minimal regulierte Systeme betreiben. Der Navigator führt deshalb
ein Register: Profil einmal, dann jeden Anwendungsfall einzeln durch acht
Prüfstufen, aus einem Katalog von 18 typischen Mittelstandsfällen.
Die Fristen nach dem Digital Omnibus: Transparenzpflichten
(Art. 50) gelten seit dem 02.08.2026, die maschinenlesbare
Kennzeichnung für Bestandssysteme ab dem 02.12.2026. Hochrisiko nach Anhang III
wurde auf den 02.12.2027 verschoben, nach Anhang I auf den
02.08.2028. Die Verbote nach Art. 5 wurden nicht verschoben.
Betroffenheit prüfen →
Engpass 2 · Lieferkette
Ein Großkunde schickt einen Lieferanten-Fragebogen.
Der Druck kommt hier vertraglich von Kunden, nicht von der Aufsicht — und die
Antworten werden jedes Mal neu zusammengesucht. Das Werkzeug erfasst die
Sorgfaltspflichten der §§ 3 bis 10 LkSG einmal: je Pflicht das regelnde Dokument,
der Verantwortliche und der Beleg. Ein Kundenmodus blendet auf die Angaben ein,
die Lieferantenselbstauskünfte tatsächlich verlangen.
62 Angaben in 12 Abschnitten, davon 27 im Kundenmodus.
Die Nachweisliste weist jede beantwortete Angabe ohne Beleg farbig als Lücke aus —
das ist der Unterschied zwischen „wir machen das" und „wir können das zeigen".
Zur Rechtslage: Die Berichtspflicht nach § 10 Abs. 2 LkSG gilt
weiter. Eingestellt hat das BAFA zum 01.10.2025 nur die Entgegennahme
und Prüfung der Berichte.
Nachweis aufbauen →
Engpass 3 · Cybersicherheit
Sind wir NIS2-pflichtig — und was müssen wir belegen?
Zwei Fragen, zwei Schritte. Erst der Betroffenheits-Check: zehn Fragen, fünf
Minuten, Ampel und Handlungsempfehlung. Wer betroffen ist, dokumentiert danach
die zehn Risikomanagement-Maßnahmenbereiche nach § 30 Abs. 2 BSIG — je Bereich
das regelnde Dokument, der Verantwortliche und der Wirksamkeitsbeleg.
55 Angaben in 11 Abschnitten. Ergebnis sind zwei druckbare
Dokumente: eine Umsetzungsdokumentation und eine Nachweisliste, die Angaben ohne
Beleg als Lücke ausweist.
Betroffenheit prüfen →
Danach: NIS2-Nachweis aufbauen
Engpass 4 · Datenschutz
Dürfen unsere Daten in die USA?
Die Frage lässt sich nicht pauschal beantworten, sondern nur je Anwendung. Der
Check erfasst Ihre Cloud-Anwendungen und bewertet jede einzeln nach
Transfer-Impact-Assessment (Art. 44 ff. DSGVO, Schrems II): Übermittlungsgrundlage,
Zugriffsbefugnisse im Drittland, Zusatzmaßnahmen, Restrisiko. Regelbasiert, ohne
KI — jede Bewertung ist nachvollziehbar.
Kuratierter Katalog mit 55 Anwendungen und 71 europäischen
Alternativen, jeder Eintrag mit Quellen-URL, Katalogstand August 2026. Enthält das
Szenario „DPF entfällt" — die Frage, die nach der Aufkündigung des Data Privacy
Framework sofort auf dem Tisch läge.
Transfers bewerten →
Engpass 5 · Projektportfolio
Zu viele Projekte, zu wenig Leute.
Jeder weiß, dass etwas gestrichen werden muss. Woran es scheitert, ist die
Begründung. Die Matrix bewertet das Portfolio nach dem Werthebel je verbleibendem
Euro — bereits ausgegebene Mittel bleiben bewusst außen vor. Statt „weiter oder
stopp" gibt es vier Handlungen: Schützen, Strecken, Beschneiden, Stoppen.
Ergebnis ist ein druckbarer Entscheidungs-Einseiter mit
Sunk-Cost-Klarstellung, den zu erwartenden Gegenargumenten und der Verwendung der
freiwerdenden Mittel. Das ist das Dokument, das die Sitzung übersteht.
Portfolio bewerten →
Engpass 6 · KI-Kosten
Was kostet uns KI wirklich?
Die Lizenzkosten sind selten das Problem — die Unklarheit darüber, wer was nutzt,
schon. Das Cockpit führt vier Sichten zusammen: Use-Case-Priorisierung nach
Netto-Nutzen und Machbarkeit, Governance und Tool-Inventar, Kosten-Tracker mit
Budget-Monitoring und einen API-Kalkulator zum Modellkostenvergleich.
Inklusive Erkennung von Schatten-KI — den Werkzeugen, die im
Haus benutzt werden, ohne dass sie jemand freigegeben hat. Aus den Use-Cases
entsteht ein druckbarer KI-Fahrplan.
Kosten aufstellen →
Wenn das Werkzeug die Frage nicht beantwortet
Manche Fragen lassen sich nicht in einem Formular klären. Dann spart ein
30-Minuten-Gespräch oft Monate an Umwegen — ich ordne Ihr Vorhaben ein, konkret
und ohne Pitch.
30 Minuten sichern
Über diese sechs hinaus: 40 Werkzeuge und 18 Whitepaper
zu Portfolio-Management, Controlling, ESG und Cyber-Compliance.