Eigenständig, aber gemeinsam stärker

Das IT Kombinat wurde 2023 von einer Gruppe von erfahrenen Führungskräften aus der IT-Beratung gegründet. Neben den Beratungs-Schwerpunkten in den Bereichen IT/OT-Security, IT-Infrastrukturen und agilem, KI-gestützten Programm- und Projektmanagement fokussiert sich das KI Kombinat als Tochterunternehmen des IT Kombinats auf die Entwicklung von KI-gestützten Sprach- und Chat Assistenten.

objective partner ist seit 1994 am Markt und als SAP Gold Partner auf S/4HANA-Transformation, SAPIntegration und Individuallösungen mit Schwerpunkt diskreter Fertigung spezialisiert. Dazu kommen die eigenen Produkte Operaide, ein KI Betriebssystem für Unternehmen, um KI sicher und souverän betreiben zu können, sowie Corenate, eine Lösung für Product Compliance (DPP, PPWR, ESPR).

Die Zusammenarbeit der beiden Unternehmen konzentriert sich auf fünf Ziele:

1. Synergien: Beide Häuser greifen in gemeinsamen Projekten auf die Expertise und Kapazitäten desjeweils anderen zu.
   
2. Kundenzufriedenheit: Bestehende Teams und Ansprechpartner bleiben unverändert; Kundenprofitieren zusätzlich vom Portfolio des Partners.
   
3. Wachstum: Gemeinsam erschließen beide Unternehmen neue Kunden und Märkte in ganz Deutschland.
   
4. Starkes Beratungsgeschäft: Beide Häuser bauen ihre jeweiligen Kernkompetenzen weiter aus und schaffen durch Synergien echten Mehrwert für ihre Kunden.
   
5. Produkte: Auf Basis des starken Beratungsgeschäfts werden die Lösungen von objective partner weiterentwickelt. Die bereits erfolgreiche Vermarktung soll deutlich ausgebaut werden. Eine wichtige integrative Rolle übernimmt dabei die KI Kombinat GmbH: Expertise und Lösungsportfolios beider Häser werden gegenseitig gewinnbringend genutzt.
   
   

Stimmen zur Transaktion

„Mit ihrer Expertise für KI im Mittelstand und Industrie 4.0 und ihrem wertvollen Prozesswissen auslangjähriger SAP-Erfahrung ist objective partner die perfekte Ergänzung zum Portfolio der IT Kombinat.Gemeinsam bringen wir KI dorthin, wo sie für unsere Kunden den größten Nutzen stiftet: mitten in ihre Geschäftsprozesse“, sagt Manfred Götz, Geschäftsführer der IT Kombinat GmbH.


„Für unsere Kunden bleibt die gewohnte Betreuung erhalten. Zusätzlich gewinnen sie Zugang zu den Kompetenzen von IT Kombinat, insbesondere beim agilem, KI-gestützten Programm- und Projektmanagement und in der IT/OT-Security. Das ist für beide Seiten ein echter Gewinn“, ergänzt Andreas Bader, Gründer und Vorstand der objective partner AG.

Eigenständigkeit und Ausblick

objective partner bleibt als eigenständige Gesellschaft mit eigener Marke, eigenem Vorstand und eigenen Teams in Weinheim bestehen. Sie ergänzt die Gruppe neben der Indiginox GmbH und der KI KombinatGmbH. Es ist derzeit geplant, Manfred Götz, Geschäftsführer der IT Kombinat GmbH, als zweiten Vorstand mit den Schwerpunkten Beratung & Operations zu bestellen.

„Wir sehen große Wachstumspotenziale, wenn zwei starke Beratungshäuser ihre Kompetenzen verbinden ohne ihre Eigenständigkeit aufzugeben. Wir werden uns insgesamt noch stärker auf unsere Kernkompetenzen konzentrieren und so die Gesamtmarke nachhaltig stärken“, sagt Thomas Benz, Partner und Prokurist der IT Kombinat GmbH.

Über IT Kombinat

Die IT Kombinat GmbH ist ein innovatives IT-Beratungsunternehmen mit Schwerpunkten IT/OTSecurity, IT-Infrastrukturen und agilem, KI-gestützten Programm- und Projektmanagement. Das Unternehmen gehört vollständig seinen operativ tätigen Partnern, nicht externen Investoren. Zur Gruppe gehören die Indiginox GmbH und die KI Kombinat GmbH. Zu den Kunden zählen unter anderem Vodafone, Swiss Steel, Lanxess, E.ON, Fressnapf sowie die Polizei NRW und die Stadtwerke Düsseldorf. Der Sitz der Gesellschaften ist in Monheim am Rhein, mit dezentraler Struktur in Deutschland und weltweit. IT Kombinat ist Mitglied im BVMW und wurde wiederholt als KUNUNU Top Company ausgezeichnet.

Weitere Informationen: www.itkombinat.com

Über objective partner

Die objective partner AG mit Sitz in Weinheim berät seit 1994 mittelständische Unternehmen beiDigitalisierung, SAP und Industrie 4.0. Als SAP Gold Partner und IDTA-Mitglied begleitet dasUnternehmen S/4HANA-Transformationen und entwickelt eigene Lösungen für KI und der Umsetzungvon Produktpässen. Zu den Kunden zählen unter anderem Toyota Deutschland, Broetje-Automation, dieSihl Group, SMC, Ligenium und ennie.

Weitere Informationen: www.objective-partner.de

IT Kombinat GmbH
Ansprechpartner: Manfred Götz
Tel.: +49 2173 265 42 49
E-Mail: manfred.goetz@itkombinat.com
Website: itkombinat.com

Monheim, 04.09.2026 – Das IT Kombinat blickt auf ein weiteres erfolgreiches Geschäftsjahr 2025 zurück. Mit einem Umsatz von €5.944.736 konnte das Unternehmen sein Ergebnis im Vergleich zum Vorjahr (€5.666.337) erneut steigern. Der Bilanzgewinn von €1.233.406 (Vorjahr: €861.920) sowie eine Ergebnismarge (Ertrag vor Steuern) von rund 15 % unterstreichen die wirtschaftliche Stabilität und Ertragsstärke des Unternehmens.

„2025 war erneut ein Jahr, in dem wir unser Wachstum mit wirtschaftlicher Substanz verbunden haben“, sagt Manfred Götz, Geschäftsführer des IT Kombinats. „Mit einem Umsatz von rund €5,9 Millionen und einer robusten EBT-Marge von rund 15 % zeigen wir, dass Qualität und Wachstum bei uns Hand in Hand gehen. Dass sich zugleich KI Kombinat und Indiginox beide über unsere Erwartungen hinaus positiv entwickelt haben, macht mich besonders zuversichtlich für die kommenden Jahre.“

Die 2024 gegründete Tochtergesellschaft KI Kombinat GmbH, die sich auf die Entwicklung und Implementierung von Lösungen im Bereich Künstliche Intelligenz spezialisiert, hat sich 2025 deutlich über den gesetzten Erwartungen entwickelt. Auch die Indiginox GmbH, eine weitere Tochtergesellschaft der IT Kombinat Gruppe, verzeichnete 2025 ein sehr positives Jahr, das ebenfalls über den ursprünglichen Erwartungen lag. Beide Gesellschaften sind als wirtschaftlich eigenständige Unternehmen nicht im Jahresabschluss 2025 der IT Kombinat GmbH konsolidiert.

„Auch 2026 wachsen wir profitabel weiter: In der ersten Jahreshälfte legte unser Umsatz im Vergleich zum Vorjahreszeitraum um rund 23 % zu, bei einer EBT-Marge von knapp 16 %“, sagt Thomas Benz, Partner/Prokurist Finance & Controlling beim IT Kombinat. „Diese Entwicklung bestätigt unseren Kurs und gibt uns Rückenwind für den weiteren Ausbau unserer Teams. Gleichzeitig verschafft sie uns zusätzliche Handlungsspielräume für anorganisches Wachstum.“

Für das Jahr 2026 setzt das IT Kombinat auf die Fortführung seines profitablen Wachstumskurses sowie den gezielten Ausbau seiner Teams und Kompetenzen – insbesondere in den Bereichen IT/OT-Security sowie agiles Projekt- und Programmmanagement. KI-Lösungen kommen dabei in und für das gesamte Leistungsportfolio des IT Kombinat zum Einsatz – mit einem Schwerpunkt im Marktsegment Telekommunikation.

Über IT Kombinat

IT Kombinat GmbH ist ein innovatives IT-Beratungsunternehmen mit Schwerpunkten in agilem, KI-gestütztem Program- und Projektmanagement, IT-Infrastruktur, IT/OT-Security sowie strategischem Management.
Das Unternehmen gehört vollständig seinen operativ tätigen Partnern – nicht Investoren. Diese Struktur ermöglicht eine langfristige Ausrichtung mit Fokus auf Kundenzufriedenheit, Fairness und Nachhaltigkeit. IT Kombinat, mit Sitz in Monheim, arbeitet überwiegend dezentral – in Deutschland und weltweit – und setzt auf flexible Arbeitsmodelle.

Als Mitglied im Bundesverband mittelständische Wirtschaft (BVMW) und seit Gründung regelmäßig mit dem KUNUNU Top Company Award ausgezeichnet, steht IT Kombinat für eine moderne Unternehmenskultur, die Innovation, Weiterbildung und persönliche Entwicklung fördert.

Weitere Informationen finden Sie unter itkombinat.com oder auf der Unternehmensseite auf LinkedIn.

Pressekontakt:

Thomas Benz
Partner/Prokurist
Telefonnummer: +49 (0)1515 9058793
E-Mail-Adresse: Thomas.Benz@itkombinat.com

Der entscheidende Punkt: Der CRA ist kein einzelnes CE-Arbeitspaket am Ende der Entwicklung. Er macht Product Security zu einer nachweisbaren Unternehmensfähigkeit.

Die Verordnung (EU) 2024/2847 ist seit Dezember 2024 in Kraft. Die Meldepflichten gelten ab dem 11. September 2026, die wesentlichen übrigen Anforderungen ab dem 11. Dezember 2027. Die Europäische Kommission hat am 27. Juli 2026 zusätzliche praktische Leitlinien veröffentlicht. Sie konkretisieren unter anderem den Anwendungsbereich, wesentliche Änderungen, Supportzeiträume, Risikobewertungen und Meldepflichten.

Für Unternehmen ist damit klar: Wer digitale Produkte in der EU bereitstellt, muss die Umsetzung jetzt in Produktmanagement, Entwicklung, Security, Qualitätsmanagement, Einkauf und Service verankern.

CRA-Readiness ist erreicht, wenn jederzeit nachvollziehbar ist: Welches Produkt? Welches Risiko? Welche Kontrolle? Welche Evidenz? Welche Verantwortung?

Was der CRA in der Praxis verändert

Der CRA gilt grundsätzlich für Hardware- und Softwareprodukte mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden und deren vorgesehene oder vernünftigerweise vorhersehbare Nutzung eine direkte oder indirekte Verbindung zu einem Gerät oder Netzwerk umfasst. Er erfasst nicht nur Endprodukte, sondern auch separat vermarktete Komponenten und notwendige Remote-Datenverarbeitungsfunktionen.

Damit reicht der Anwendungsbereich von Maschinensteuerungen, Gateways, IoT-Geräten und Embedded Software über Betriebssysteme und Anwendungen bis zu Security-Produkten und digitalen Komponenten. Bestimmte Produktgruppen sind ausgenommen, wenn bereits sektorspezifische EU-Regelungen vergleichbare Cybersicherheitsanforderungen vorgeben. Die Abgrenzung muss deshalb produktspezifisch erfolgen.

Die Herstellerpflichten beginnen vor dem Marktzugang und enden nicht mit der Auslieferung:

• Vor dem Inverkehrbringen müssen Scope, Risikobewertung, Security-Anforderungen, technische Dokumentation und Konformitätsweg belastbar sein.
• Beim Inverkehrbringen müssen Nutzerinformationen, Supportzeitraum, EU-Konformitätserklärung und CE-Kennzeichnung stimmen.
• Nach dem Inverkehrbringen müssen Schwachstellen, Updates, Advisories, Vorfälle, Produktänderungen und die Installed Base gesteuert werden.

Der CRA unterscheidet außerdem zwischen der Standardkategorie, wichtigen Produkten und kritischen Produkten. Für die Standardkategorie ist grundsätzlich eine interne Konformitätsbewertung möglich. Für wichtige Produkte der Klasse I gelten abhängig von den angewendeten technischen Spezifikationen strengere Bedingungen. Wichtige Produkte der Klasse II und kritische Produkte benötigen grundsätzlich eine unabhängige Bewertung oder ein anwendbares europäisches Cybersicherheitszertifizierungsschema.

Die Klassifizierung ist daher keine Formalität. Sie beeinflusst Projektplan, Evidenzumfang, Prüfstrategie, Budget und Markteinführung.

Rollen zuerst klären

Ein häufiger Fehler ist, sofort mit einer Anforderungsliste zu beginnen. Zuerst muss geklärt werden, welche wirtschaftliche Rolle das eigene Unternehmen für jedes Produkt tatsächlich einnimmt.

Hersteller

Hersteller ist, wer ein Produkt entwickelt oder herstellen lässt und es unter eigenem Namen oder eigener Marke vermarktet. Der Hersteller trägt die zentrale Verantwortung für Risikobewertung, Security by Design, technische Dokumentation, Konformitätsbewertung, Schwachstellenmanagement, Support und Meldungen.

Importeur

Ein in der EU ansässiger Importeur, der Produkte eines Herstellers außerhalb der EU erstmals auf den EU-Markt bringt, muss vorab prüfen, ob der Hersteller die Anforderungen erfüllt. Dazu gehören insbesondere Konformitätsbewertung, technische Dokumentation, CE-Kennzeichnung und Prozesse für das Schwachstellenmanagement.

Händler beziehungsweise Distributor

Händler müssen unter anderem prüfen, ob CE-Kennzeichnung, Hersteller- und Importeurangaben, Nutzerinformationen und Supportzeitraum vorhanden sind. Bei erkennbarer Nichtkonformität darf das Produkt nicht weiter bereitgestellt werden.

Bevollmächtigter

Ein Hersteller kann einen in der EU ansässigen Bevollmächtigten mit klar definierten Aufgaben mandatieren, etwa für die Zusammenarbeit mit Marktüberwachungsbehörden. Die grundlegende Herstellerverantwortung bleibt bestehen.

Open-Source-Software-Steward

Der CRA führt eine eigene Rolle für juristische Personen ein, die bestimmte freie und quelloffene Software nachhaltig unterstützen, ohne sie selbst als Hersteller auf dem Markt bereitzustellen. Für diese Stewards gelten angepasste Pflichten, insbesondere zu sicherer Entwicklung, Schwachstellenbehandlung, Behördenkooperation und Meldungen.

Integrator oder Modifizierer

Ein Integrator kann selbst zum Hersteller werden, wenn er ein Produkt unter eigenem Namen bereitstellt oder wesentlich verändert. Das ist insbesondere bei Maschinenumbauten, Retrofits, White-Label-Produkten und tiefen Softwareanpassungen relevant. Jede wesentliche Änderung muss deshalb als Product- und Compliance-Entscheidung behandelt werden.

Klare Arbeitsteilung: Der Hersteller entwickelt, IT Kombinat steuert den CRA-Prozess

Externe Unterstützung kann den CRA-Prozess erheblich beschleunigen. Sie verlagert jedoch nicht die Herstellerverantwortung.

Beim Kunden verbleiben insbesondere:

• Produkt- und Architekturentscheidungen
• Entwicklung und Implementierung der Produktfunktionen
• Entwicklung, Test und Freigabe von Patches und Produktupdates
• technische Freigabe von Releases
• Akzeptanz von Restrisiken
• Konformitätsentscheidung, EU-Konformitätserklärung und CE-Kennzeichnung

IT Kombinat kann parallel die methodische, technische und organisatorische Steuerung übernehmen:

• CRA-Programm, Rollen, Termine und Entscheidungswege aufsetzen
• Risk Assessments und Threat Modeling methodisch durchführen und dokumentieren
• Security-Anforderungen, Architektur und Teststrategie überprüfen
• Findings, Maßnahmen, Lieferantennachweise und Fristen nachhalten
• Technical File, Evidenzregister, Release Gates und Audit-Readiness strukturieren
• PSIRT-, Melde-, SBOM/VEX- und Lifecycle-Prozesse etablieren oder operativ führen
• Managementberichte, KPI, CAPA und regelmäßige Reviews erstellen

Auf Wunsch kann IT Kombinat auch die externe Kommunikation mit zuständigen Behörden und CSIRTs operativ vorbereiten und durchführen. Voraussetzung sind eine klare Beauftragung, abgestimmte Freigabewege und die Freigabe der Inhalte durch Hersteller, Legal beziehungsweise die zuständigen Entscheider. Die rechtliche Verantwortung verbleibt beim Hersteller.

Diese Arbeitsteilung hält die Entwicklung handlungsfähig: Der Kunde konzentriert sich auf Produktentwicklung und Patching. IT Kombinat führt den CRA-Prozess, dokumentiert Entscheidungen und sorgt dafür, dass offene Punkte nicht verloren gehen.

Ein praxistaugliches Vorgehen: PLAN – BUILD – SECURE – OPERATE

Eine belastbare CRA-Umsetzung verbindet regulatorische Anforderungen mit dem tatsächlichen Produktlebenszyklus. Das IT Kombinat strukturiert dieses Vorgehen in vier Phasen.

PLAN: Scope, Rollen, Governance und Zielbild festlegen

In der PLAN-Phase werden die Grundlagen geschaffen. Ohne einen belastbaren Scope entstehen später Lücken in Risikobewertung, SBOM, Technical File und Support.

Zentrale Arbeitsschritte sind:

• Produkt- und Variantenregister aufbauen
• Hardware, Software, Firmware, Komponenten und Remote Services erfassen
• Systemgrenzen, Intended Use und vorhersehbare Fehlanwendung definieren
• Rolle des Unternehmens und der Lieferanten bestimmen
• Produktkategorie und Konformitätsweg vorläufig festlegen
• Supportzeitraum und End-of-Support-Modell entwerfen
• Verantwortlichkeiten zwischen Management, Product, Entwicklung, Security, QM/CE, Einkauf und Service definieren
• CRA-Fit-Gap, Evidenzmodell, Meilensteine und Entscheidungsregister aufsetzen

IT Kombinat kann diese Phase als Initial Assessment oder als Aufbau eines vollständigen CRA-Programms übernehmen. Der Kunde liefert Produktwissen, benennt Entscheider und gibt Scope, Rollen und Zielbild frei.

BUILD: Risk Assessment, Threat Modeling und Security Engineering verbinden

Risk Assessments und Threat Modeling sind keine ergänzenden Compliance-Dokumente. Sie sind das fachliche Steuerungssystem der CRA-Umsetzung.

Dazu gehören:

• Schutzgüter, Bedrohungen, Angriffspfade und Auswirkungen analysieren
• Security-, Safety- und Verfügbarkeitsrisiken gemeinsam betrachten
• Intended Use, vorhersehbare Fehlanwendung und Betriebsumgebung einbeziehen
• prüfbare Security-Anforderungen aus den Risiken ableiten
• Zonen, Kommunikationspfade, Administrationswege und Vertrauensgrenzen gestalten
• IAM, Rollenmodelle, MFA, PKI, Kryptografie und Secret Management festlegen
• Logging, Monitoring, Update, Recovery und sichere Außerbetriebnahme konzipieren
• Secure Coding, Code Reviews, SCA, Security Tests und Release-Kriterien in den Entwicklungsprozess integrieren
• Lieferantenanforderungen, Supportzusagen und technische Nachweise steuern

IT Kombinat unterstützt hier mit Risk Assessments, Threat Modeling, Security Architecture, IEC-62443-Mapping, Architekturreviews, Anforderungsmanagement und Testkonzepten. Die Entwicklung und Umsetzung im Produkt sowie die Erstellung der Patches bleiben beim Hersteller beziehungsweise dessen Entwicklungspartnern.

Gerade im industriellen Umfeld müssen IT, OT und Safety zusammen gedacht werden. Eine rein organisatorische CRA-Matrix reicht nicht, wenn Netzwerkpfade, Fernwartung, Legacy-Komponenten oder Updateverfahren technisch ungeklärt bleiben.

SECURE: Schwachstellen beherrschen, Wirksamkeit prüfen und Evidenz erzeugen

Die SECURE-Phase verbindet technische Prüfung, Schwachstellenmanagement und Nachweisführung.

Eine SBOM ist dabei wichtig, aber sie ist nur das Inventar. Der wirksame Prozess beginnt danach:

1. Produkt und Release eindeutig identifizieren
2. Komponenten und Abhängigkeiten über eine SBOM erfassen
3. bekannte Schwachstellen mit dem Produkt korrelieren
4. Ausnutzbarkeit mit VEX oder einer gleichwertigen Bewertung dokumentieren
5. Risiko und Handlungsbedarf entscheiden
6. Patch, Mitigation, Advisory oder Release-Blocker umsetzen
7. Entscheidung und Wirksamkeit als Evidenz sichern

Dabei ist die Begriffsabgrenzung wichtig: CVE bezeichnet eine öffentlich bekannte Schwachstelle. CVD steht für Coordinated Vulnerability Disclosure und beschreibt den geregelten Prozess zur Entgegennahme, Bearbeitung und koordinierten Offenlegung. VEX dokumentiert, ob und warum eine Schwachstelle ein konkretes Produkt tatsächlich betrifft oder nicht ausnutzbar ist.

IT Kombinat kann den Prozess für SBOM-Annahme, Vulnerability Triage, VEX, Findings, Advisories, technische Nachweise und Release Gates führen. Der Hersteller stellt die technischen Produktinformationen bereit, bewertet Findings gemeinsam mit seinen Fachverantwortlichen und entwickelt die erforderlichen Patches oder Mitigations.

Parallel entsteht das Technical File. Es muss unter anderem Produktbeschreibung, Systemgrenzen, Risikobewertung, Architektur, Security Controls, Entwicklungs- und Testnachweise, Schwachstellenprozesse, Komponenteninformationen, Nutzerinformationen und Konformitätsweg nachvollziehbar zusammenführen.

Ein belastbares Release Gate verhindert, dass ein Produkt trotz offener kritischer Findings, fehlender Evidenz oder ungeklärter Restrisiken freigegeben wird.

OPERATE: Meldefähigkeit, Nachhaltung und Lifecycle sicherstellen

Der CRA verlangt Product Security auch nach der Markteinführung. Dafür braucht es funktionierende Betriebsprozesse und aktuelle Produktdaten.

Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Vorgesehen sind eine Frühwarnung innerhalb von 24 Stunden und eine vollständige Meldung innerhalb von 72 Stunden. Für aktiv ausgenutzte Schwachstellen folgt ein Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Minderungsmaßnahme; für schwerwiegende Vorfälle innerhalb eines Monats nach der vollständigen Meldung.

Ein PDF-Prozess reicht dafür nicht. Meldefähigkeit setzt voraus, dass folgende Informationen und Entscheidungswege unter Zeitdruck funktionieren:

• Zeitpunkt und Quelle der Kenntniserlangung
• betroffene Produkte, Versionen und Installed Base
• technische Triage und Bewertung der aktiven Ausnutzung
• zuständige PSIRT-, Engineering-, Product-, Legal- und Managementrollen
• Sofortmaßnahmen, Kundenkommunikation und Advisory
• Zugang zur CRA Single Reporting Platform
• Evidenzsicherung und dokumentierte Freigaben

IT Kombinat kann diesen Prozess als Managed CRA Process Office operativ begleiten: Eingang und Triage koordinieren, Fristen überwachen, Informationen konsolidieren, Freigaben nachhalten, Meldungen vorbereiten, Evidenz sichern und Management sowie Kundenkommunikation unterstützen. Auf Wunsch und bei entsprechender Bevollmächtigung kann auch die externe Behördenkommunikation übernommen werden.

Der Hersteller bleibt technischer Owner. Er liefert die produktspezifische Bewertung, entwickelt Patches, entscheidet über Releases und gibt Meldungen sowie externe Aussagen frei.

Zum OPERATE-Modell gehören außerdem Lieferantenmonitoring, Support- und End-of-Support-Kommunikation, Änderungsbewertungen, interne Audits, CAPA, KPI und regelmäßige Managementreviews. Tabletop Exercises prüfen, ob Rollen, Daten und Entscheidungen innerhalb der gesetzlichen Fristen tatsächlich funktionieren.

Beispiele für unterstützende Werkzeuge und technische Bausteine

CRA-Readiness hängt nicht von einem bestimmten Tool oder Produkt ab. Werkzeuge und Security-Bausteine können die Umsetzung jedoch beschleunigen, wenn ihre Rolle sauber abgegrenzt und ihre Wirksamkeit nachgewiesen wird.

Beispiel 1: CRANE für Governance und Evidenz

Wir haben uns unter anderem CRANE – die CRA Norm Engine angesehen. CRANE ist eine selbst gehostete Open-Source-Plattform, die Product Registry, SBOM-Analyse, Vulnerability Management, VEX, Risikobewertungen, Release Gates, Annex-I-Matrix, technische Dokumentation und Audit Trail zusammenführt. Das Projekt befindet sich in aktiver Entwicklung und empfiehlt für den produktiven Einsatz weiterhin technische Aufsicht.

CRANE ist damit ein Beispiel für Tooling, das Produkte, Releases, Risiken, Findings und Nachweise strukturiert verknüpfen kann. Es ersetzt weder die fachliche Bewertung noch die Herstellerentscheidung.

Beispiel 2: edge.PSL von TRIOVEGA als technischer Security-Baustein

Im Maschinenbau haben wir uns außerdem edge.PSL von TRIOVEGA angesehen. TRIOVEGA positioniert edge.PSL als Protective Security Layer, der als untrennbarer Softwarebestandteil in Maschinen integriert werden kann und unter anderem Zugriffsschutz, Segmentierung, Logging sowie SBOM-, Vulnerability- und Patch-Prozesse unterstützen soll.

Ein solcher Baustein kann den Security-Lifecycle technisch entlasten. Er ersetzt jedoch nicht die Bewertung des Gesamtprodukts. Der konkrete Beitrag muss für jede Maschine und Produktvariante durch Architektur, Konfiguration, Integrationstests, Update- und Recovery-Verfahren sowie belastbare Lieferantennachweise verifiziert werden.

CRANE und edge.PSL sind damit Beispiele für zwei unterschiedliche Ebenen: Governance und Evidenz auf der einen, technische Produktkontrollen auf der anderen. Je nach Produkt, Architektur und bestehender Tool-Landschaft können andere Lösungen geeigneter sein.

Das CRA-Service-Modell des IT Kombinats

IT Kombinat verbindet Governance, Security Engineering und operativen Lifecycle-Betrieb. Die Leistungen können modular, als gemeinsames Projektteam oder als Managed CRA Process Office erbracht werden.

PLAN

• Initialer CRA-Workshop
• Product Scope, Rollen- und Klassifizierungsbewertung
• CRA-Fit-Gap und priorisierte Roadmap
• Governance, RACI, Entscheidungs- und Evidenzmodell
• Support- und Lieferantenmodell

BUILD

• Cybersecurity Risk Assessments
• Threat Modeling und Angriffspfadanalyse
• Security Architecture und Architekturreviews
• Ableitung prüfbarer Security-Anforderungen
• IEC-62443-Mapping und OT-/IT-Security-Konzeption
• Secure-Development- und Security-Testkonzept

SECURE

• SBOM-/VEX- und Vulnerability-Management-Prozess
• Findings-, Maßnahmen- und Fristensteuerung
• Security-Test- und Nachweiskoordination
• Technical File und Evidenzregister
• Release Gates, Pre-Audit und Remediation-Steuerung

OPERATE

• PSIRT- und 24-/72-Stunden-Meldeprozess
• Lifecycle-, Support- und Installed-Base-Steuerung
• Lieferantenmonitoring, Advisories und Change Impact
• Audits, KPI, CAPA und Managementberichte
• Behördenkommunikation auf Wunsch und nach Freigabe

Der Kunde bleibt Hersteller und technischer Owner. Er entwickelt das Produkt, implementiert Security-Anforderungen, erstellt Patches und trifft die abschließenden Produkt-, Risiko- und Konformitätsentscheidungen. IT Kombinat kann den dazugehörigen Prozess führen, dokumentieren und kontinuierlich nachhalten.

IT Kombinat erbringt technische und organisatorische Unterstützung. Rechtliche Einzelfallbewertungen, die Tätigkeit einer notifizierten Stelle, die EU-Konformitätserklärung und die abschließende Herstellerentscheidung werden dadurch nicht ersetzt.

Initialer CRA-Workshop: Der strukturierte Einstieg

Der sinnvollste Start ist kein großflächiges Transformationsprogramm, sondern ein fokussierter Workshop mit den relevanten Product-, Engineering-, Security-, QM/CE-, Service- und Managementrollen.

Im initialen CRA-Workshop klären wir gemeinsam:

• welche Produkte, Varianten und Remote Services betroffen sind
• welche CRA-Rollen und vorläufigen Produktkategorien vorliegen
• wo die größten Risiken und Nachweislücken bestehen
• welche Risk Assessments, Threat Models und technischen Reviews benötigt werden
• wie die Arbeit zwischen Hersteller und IT Kombinat aufgeteilt wird
• ob einzelne Arbeitspakete oder ein Managed CRA Process Office sinnvoll sind
• welche Entscheidungen, Daten und Maßnahmen als Nächstes erforderlich sind

Das Ergebnis ist ein abgestimmtes Zielbild mit Scope, Verantwortlichkeiten, priorisierten Arbeitspaketen und einem belastbaren nächsten Schritt.

Fazit

Der Cyber Resilience Act verschiebt Cybersicherheit von einer optionalen Produkteigenschaft zu einer verbindlichen Herstellerpflicht. Die zentrale Herausforderung ist nicht das Lesen der Verordnung. Sie liegt im Aufbau eines durchgängigen Product-Security-Lifecycles, der Risiken, Architektur, Entwicklung, Lieferkette, Nachweise und Betrieb zusammenführt.

Risk Assessments, Threat Modeling und Security Engineering bilden dabei den fachlichen Kern. Prozessführung, Dokumentation und Nachhaltung sorgen dafür, dass die technischen Entscheidungen auditierbar bleiben und über den Lifecycle nicht verloren gehen.

CRA-Readiness entsteht nicht durch ein einzelnes Tool, eine SBOM oder einen technischen Security-Baustein. Sie entsteht durch das Zusammenspiel von Governance, Engineering, Evidenz und operativer Verantwortung.

Die fünf Kontrollfragen bleiben einfach:

• Welches Produkt ist betroffen?
• Welches Risiko wurde bewertet?
• Welche Kontrolle wurde umgesetzt?
• Welche Evidenz belegt die Wirksamkeit?
• Wer trägt die Verantwortung für die Entscheidung?

IT Kombinat unterstützt Hersteller vom initialen Workshop über Risk Assessment, Threat Modeling und Security Architecture bis zur operativen Führung von Dokumentation, Findings, Meldeprozessen und Lifecycle-Nachweisen.

Weiterführende Quellen

• EU-Kommission: Cyber Resilience Act – Überblick
• EU-Kommission: Praktische CRA-Leitlinien vom 27. Juli 2026
• EU-Kommission: Pflichten der Hersteller
• EU-Kommission: CRA-Meldepflichten
• EU-Kommission: Konformitätsbewertung
• BSI TR-03183: Cyber Resilience Requirements for Manufacturers and Products
• CRANE – CRA Norm Engine
• TRIOVEGA edge.PSL

Verfasser: Alexander Grein, IT Kombinat GmbH
Dieses Whitepaper wurde auf Basis eines laufenden Konzept- und Entwicklungsprojekts verfasst. Stand: Juni 2026.
Dieser Text wurde mit Unterstützung von KI-Werkzeugen erstellt.

Die TRIOVEGA GmbH und IT Kombinat GmbH geben ihre offizielle Partnerschaft bekannt. Gemeinsam adressieren beide Unternehmen einen blinden Fleck, der in KRITIS-Umgebungen und produzierenden Betrieben zunehmend zum Risiko wird: die nach wie vor oft getrennte Betrachtung von IT- und OT-Infrastruktur. Während EU-Regelwerke wie NIS-2 und der Cyber Resilience Act (CRA) ganzheitliche Sicherheitskonzepte längst zur Pflicht machen, hinkt die Praxis vielerorts noch hinterher.

Ein Partner, der das große Ganze sieht

IT Kombinat ist ein erfahrener IT-Sicherheits- und Infrastrukturdienstleister mit tiefer Expertise in der ganzheitlichen Absicherung von Unternehmenslandschaften. Von klassischen IT-Netzwerken über SIEM und IAM bis hin zu OT-Sicherheitsstrategien. Genau dieses Profil macht IT Kombinat und TRIOVEGA zu idealen Partnern: Während viele Anbieter IT oder OT isoliert betrachten, bringt IT Kombinat das Verständnis mit, dass beides zusammengehört. Und dass echte Sicherheit erst dort beginnt, wo beide Welten konsequent mitgedacht werden.

Für Betreiber kritischer Infrastrukturen, ob Energie, Wasser, Industrie oder Gesundheit, ist dieser ganzheitliche Blick keine Kür mehr, sondern Pflicht. NIS-2 und CRA schaffen den regulatorischen Rahmen, was fehlt sind Partnerkonstellationen, die ihn mit Leben füllen. TRIOVEGA und IT Kombinat wollen genau das sein.

Stimmen zur Partnerschaft

„Viele Organisationen stehen vor derselben Herausforderung: Die IT wird professionell abgesichert, während die OT historisch gewachsen, schwer veränderbar und dennoch geschäftskritisch ist. Genau hier braucht es Partner, die beide Welten verstehen. Mit TRIOVEGA gewinnen wir einen Spezialisten, der industrielle Umgebungen technisch sauber, betriebsschonend und regulatorisch belastbar absichern kann. Für unsere Kunden entsteht daraus ein integrierter Ansatz aus Beratung, IT-Security, OT-Security und Umsetzungsstärke.“

Manfred Götz, Geschäftsführer IT Kombinat GmbH

edge.SHIELDOR: der OT-Sicherheitsbaustein für die sichere Digitalisierung

TRIOVEGA bringt mit edge.SHIELDOR einen patentierten OT-Security-Layer in die Partnerschaft ein, der Industrieanlagen vom Legacy-System bis zur neuen Maschine schützt, ohne dass Software-Updates an der Anlage selbst erforderlich sind. edge.SHIELDOR entkoppelt OT- und IT-Netzwerke und schafft so die sichere Konnektivitätsschicht, die eine kontrollierte Digitalisierung erst ermöglicht. Das Produkt ist CRA-konform und nach IEC 62443 entwickelt, dem führenden Standard für OT-Security in der Industrie.

Im Zusammenspiel mit den IT-Sicherheitslösungen und dem Beratungsansatz von IT Kombinat entsteht ein Angebot, das Kunden aus KRITIS-Branchen nicht nur schützt, sondern sie befähigt: regulatorisch konform, technisch zukunftsfähig, und mit echten Ansprechpartnern, die ihre Umgebungen verstehen.

„Die Zusammenarbeit mit der IT Kombinat ist für uns ein logischer Schritt. Unsere Kunden erwarten ganzheitliche Lösungen statt einzelner Bausteine. Gemeinsam schaffen wir eine Verbindung aus IT-Kompetenz, OT-Verständnis und Cybersecurity-Expertise. Oder anders gesagt: Die Industrie braucht keine Superhelden mit Umhängen, sondern Experten mit Erfahrung, die gemeinsam Verantwortung übernehmen.“

Oliver Zellner, Senior Alliances & Partnerships Manager, TRIOVEGA GmbH

Gemeinsam für die sichere Industrie 4.0

Die Partnerschaft zwischen TRIOVEGA und IT Kombinat ist auf langfristige Zusammenarbeit ausgelegt. Beide Unternehmen planen gemeinsame Go-to-Market-Aktivitäten, kombinierte Beratungsangebote sowie eine enge Abstimmung bei der Kundenbetreuung, insbesondere für Betreiber kritischer Infrastrukturen, die unter den Anforderungen von NIS-2 und CRA stehen.

Über TRIOVEGA GmbH

TRIOVEGA begleitet seit über 25 Jahren von den Standorten Lübeck und Braunschweig heraus Industrieunternehmen weltweit dabei, das Potenzial der Digitalisierung sicher und nachhaltig zu erschließen. Das Portfolio umfasst einsatzfertige Produkte und Dienstleistungen zur Steigerung von Produktionssicherheit und Effizienz sowie individuell entwickelte Softwarelösungen, die sich nahtlos in die Wertschöpfungsketten der Kunden integrieren lassen. Mit mehrfach ausgezeichneter Innovationskraft und zertifizierter als auch patentierter Cybersicherheitsexpertise steht TRIOVEGA für partnerschaftliche Zusammenarbeit auf Augenhöhe – von der technischen Beratung über die Umsetzung bis zum After-Sales-Service.

Über IT Kombinat GmbH

IT Kombinat GmbH ist ein inhabergeführtes IT-Beratungsunternehmen mit Sitz in Monheim. Das Unternehmen unterstützt mittelständische Unternehmen, Großkunden und öffentliche Auftraggeber in Deutschland und Europa mit praxiserprobter Beratungs-Expertise in IT/OT-Security, KI, IT-Infrastruktur sowie Projekt- und Transformationsmanagement.

IT Kombinat verbindet operative Erfahrung aus sicherheitskritischen IT- und Industrieumgebungen mit erfahrenen Spezialistinnen und Spezialisten, flexiblen Liefermodellen und hoher Umsetzungskompetenz. Über die Tochtergesellschaft KI Kombinat GmbH werden praxisreife KI-Lösungen in das Leistungsportfolio integriert.

Als inhabergeführtes Unternehmen steht IT Kombinat für langfristige Verantwortung, faire Zusammenarbeit und wirksame Beratung ohne die typischen Zielkonflikte investorengetriebener Beratungshäuser.

Pressekontakt TRIOVEGA

Isabella Gaafke
Senior Marketing Manager
TRIOVEGA GmbH  |  info@triovega.com  |  +49 451 39881 0

Pressekontakt IT Kombinat GmbH

Thomas Benz
Partner/Prokurist
IT Kombinat GmbH  |  thomas.benz@itkombinat.com  |  +49 1515 9058793

Am 13.11.2025, hat der Deutsche Bundestag das finale „NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz“ (NIS2UmsuCG) verabschiedet.Damit endet die Ungewissheit: Die EU-Richtlinie NIS2 wird nun verbindliches deutsches Recht.

Die 3 wichtigsten Game-Changer des heutigen Beschlusses:

1. Erweiterter Anwendungsbereich:

Nicht mehr nur die klassischen rund 2000 „KRITIS“-Betreiber sind im Fokus. Die Kategorien „Wichtige“ (z.B. Maschinenbau, Lebensmittelproduktion, Chemie) und „Besonders Wichtige“ (z.B. Energie, Banken, Gesundheit) Einrichtungen bedeuten: Die Wahrscheinlichkeit, dass Ihr Unternehmen (als eines von insgesamt rund 40.000) jetzt betroffen ist, ist damit nun massiv gestiegen.

2. Persönliche Haftung der Geschäftsführung:

Die Leitungsorgane (Geschäftsführer, Vorstände) sind jetzt persönlich für die Umsetzung (und Nichteinhaltung!) der Cybersicherheits-Maßnahmen verantwortlich. Sie müssen die Maßnahmen akzeptieren und ihre Umsetzung überwachen. Bei Verstößen drohen empfindliche Bußgelder, die nicht mehr einfach auf das Unternehmen abgewälzt werden können.

3. Verschärfte Anforderungen & Fristen:

Es geht nicht mehr nur darum, eine Firewall zu haben. NIS2 fordert ein umfassendes Risikomanagement, das die gesamte Lieferkette einschließt. Zudem werden die Meldepflichten für Sicherheitsvorfälle drastisch verkürzt (oft auf 24h für eine Erstmeldung).

Was Sie jetzt tun sollten:

Wer bisher lediglich analysiert hat, muss jetzt in die Umsetzung kommen. NIS2 ist kein reines IT-Thema, es ist ein strategisches Management-Thema, das über die Resilienz und Zukunftsfähigkeit von Unternehmen entscheidet.

Betroffenheit final klären: Fällt Ihr Unternehmen unter die neuen Regelungen? Ggfs werden Sie die Anforderungen auch durch die Kunden/Lieferketten treffen.

Gap-Analyse durchführen: Wo stehen Sie? Welche der geforderten Maßnahmen fehlen?

Geschäftsführung einbinden: Das Top-Management muss die neuen persönlichen Haftungsrisiken verstehen und die notwendigen Ressourcen freigeben.

Roadmap erstellen: Entwickeln Sie einen klaren, priorisierten Plan zur Schließung der Sicherheitslücken und zur Implementierung der Management-Prozesse.

Noch etwas unsicher, was genau zu tun ist? Dann empfehlen wir unseren NIS2 Readiness Check:

Monheim, 2. September 2025 – Das IT Kombinat blickt auf ein außergewöhnlich erfolgreiches Geschäftsjahr 2024 zurück. Mit einem Umsatz von €5.666.337 konnte das Unternehmen sein Ergebnis im Vergleich zum Vorjahr (€3.906.063) deutlich steigern. Der Bilanzgewinn von €861.920 unterstreicht wirtschaftliche Stärke sowie eine überdurchschnittliche Liquidität und Innovationskraft des Unternehmens.

Ein besonderes Highlight des Jahres war die Gründung der KI Kombinat GmbH, einer neuen Tochtergesellschaft, die sich auf die Entwicklung und Implementierung von Lösungen im Bereich Künstliche Intelligenz spezialisiert. Damit setzt das IT Kombinat ein klares Zeichen für die Zukunft und baut seine Position als Innovationsführer in der IT-Branche weiter aus.

„2024 war für uns ein Jahr des Wachstums und der weiteren strategischen Ausrichtung“, sagt Manfred Götz, Geschäftsführer des IT Kombinats. „Mit der KI Kombinat GmbH schaffen wir ein neues Zentrum für intelligente, KI-gestützte Technologien und Lösungen, dass unsere Kunden gezielt bei der digitalen Transformation unterstützt.“

Auch die Indiginox GmbH, eine weitere Tochtergesellschaft der IT Kombinat Gruppe, hat 2024 ein starkes Jahr absolviert. Als wirtschaftlich eigenständiges Unternehmen ist sie nicht im Jahresabschluss 2024 der IT Kombinat GmbH konsolidiert.

Für das Jahr 2025 sind die Weichen bereits gestellt: Das IT Kombinat setzt weiteres Wachstum sowie den gezielten Ausbau seiner Teams und Kompetenzen – insbesondere in den Bereichen IT/OT-Security, Softwareentwicklung und Künstliche Intelligenz bereits erfolgreich um.

Über IT Kombinat
IT Kombinat ist ein innovatives IT-Beratungsunternehmen mit Schwerpunkten in Program- und Projektmanagement, Softwareentwicklung, IT-Infrastruktur, IT/OT-Security sowie strategischem Management.

Das Unternehmen gehört vollständig seinen operativ tätigen Partnern – nicht Investoren. Diese Struktur ermöglicht eine langfristige Ausrichtung mit Fokus auf Kundenzufriedenheit, Fairness und Nachhaltigkeit. IT Kombinat, mit Sitz in Monheim, arbeitet überwiegend dezentral – in Deutschland und weltweit – und setzt auf flexible Arbeitsmodelle.

Als Mitglied im Bundesverband mittelständische Wirtschaft (BVMW) und ausgezeichnet als KUNUNU Top Company 2025 steht IT Kombinat für eine moderne Unternehmenskultur, die Innovation, Weiterbildung und persönliche Entwicklung fördert.

Weitere Informationen finden Sie unter itkombinat.com oder auf der Unternehmensseite auf LinkedIn unter LinkedIn .

Pressekontakt:
Thomas Benz
Partner/Prokurist
Telefonnummer: +49 (0)1515 9058793
E-Mail-Adresse: Thomas.Benz@itkombinat.com

Von dort aus werden in Zukunft schwerpunktmäßig Projekte im Auftrag der benachbarten Kunden Vodafone und Swiss Steel bearbeitet.

Wir freuen uns auf eine gute Zusammenarbeit mit den neuen Kollegen am Standort.

Die IT Kombinat GmbH gibt den Erwerb einer 100%igen Mehrheitsbeteiligung an der Indiginox GmbH, Düsseldorf, bekannt. Der Kauf- und Abtretungsvertrag wurde heute notariell beurkundet.

Manfred Götz, Geschäftsführer der IT Kombinat GmbH:

„Mit der Übernahme der Anteile an der Indiginox GmbH, einem seit über 15 Jahren etablierten IT-Beratungsunternehmen mit gewachsenen Kundenstrukturen, konnten wir einen wichtigen Schritt in der weiteren Entwicklung unseres noch jungen Unternehmens machen.“

Mit der Vertragsunterzeichnung übergab der Mitgründer und bisherige Geschäftsführer Ashley Steele die Leitung des Unternehmens an Jörg Uhrmacher, der seit kurzem auch Prokurist der IT Kombinat GmbH ist. Ashley Steele steht dem Unternehmen weiterhin beratend zur Seite.

Die Indiginox GmbH wurde im Jahr 2006 gegründet. Das Unternehmen fokussiert sich auf die Beratung von internationalen Unternehmen in den Bereichen Softwareentwicklung, agiles Projektmanagement (Scrum, SAFE), agile Transition, Programmmanagement und Delivery Management. Indiginox verfügt über ein breites Partnernetzwerk, das es ermöglicht, qualifizierte Ressourcen für Projekte in den Bereichen Softwareentwicklung (iOS, Android, Java), User Experience (UX) / User Interfaces (UI) sowie Service Delivery Management für internationale Projekte zur Verfügung zu stellen. Der Kundenstamm von Indiginox verweist auf eine langjährige Zusammenarbeit mit Unternehmen wie BP, Deutsche Telekom und Vodafone. Mit diesen und weiteren Kunden kann Indiginox auf eine erfolgreiche IT-Beratung zurückblicken. Das Unternehmen hat vor allem Projekte in Bereichen wie der Entwicklung von Anwendungsportalen, Online-Zahlungssystemen (Finanzen), mobilem Internet und dem Management von Home-Internet-Lösungen erfolgreich unterstützt.

Über das IT-Kombinat

Das IT-Kombinat wurde im Februar 2023 aus einem Zusammenschluss von erfahrenen Managern und IT-Beratungsexperten gegründet. Die derzeit 15 festangestellten Mitarbeiter werden von Partnern unterstützt, die sowohl in der deutschen Rhein-Ruhr-Region als auch nearshore in anderen osteuropäischen Ländern tätig sind. Der Fokus des IT-Verbundes liegt auf der operativen Leitung von Softwareentwicklungsprojekten, der strategischen Beratung zu IT- und Sicherheitsthemen sowie der Managementberatung auf CxO-Ebene. Das Unternehmen hat seinen Hauptsitz in Monheim am Rhein – bietet seinen Mitarbeitern jedoch die Möglichkeit, in verschiedenen Projektbüros sowie im Remote Work im In- und Ausland zu arbeiten.

Das IT-Kombinat ist nun auch Mitglied in der Interessenvertretung des Mittelstandes. Geschäftsführer Manfred Götz wird die IT-Branche weiterhin im NRW-Wirtschaftssenat vertreten.

Wir freuen uns auf eine spannende Zusammenarbeit mit dem Verband. Die ersten geplanten Veranstaltungen wurden bereits besprochen.

Mehr dazu demnächst auf diesem Kanal.