Sechs Engpässe, sechs Werkzeuge

Sechs Fragen, die im Mittelstand gerade regelmäßig auf den Tisch kommen und zu jeder ein Werkzeug, das die Antwort strukturiert statt sie zu behaupten. Alle laufen im Browser, speichern lokal und brauchen keinen Login. Jede Angabe trägt ihre Fundstelle im Gesetz. Ausprobieren kostet nichts und verlangt keine Zahlungsdaten. Wo aus der Einschätzung ein belegter Nachweis werden soll, gibt es eine Lizenz.

Die ersten drei hängen zusammen, auch wenn sie fachlich nichts miteinander zu tun haben, und mit ihnen die Nachhaltigkeitsfrage weiter unten. KI-Verordnung, Lieferkettengesetz, NIS2 und der freiwillige Nachhaltigkeitsstandard verpflichten den Mittelstand nicht unmittelbar. Sie verpflichten seinen Großkunden, und der reicht die Pflicht im Vertrag nach unten weiter. Deshalb kommt bei Ihnen kein Gesetzestext an, sondern eine Selbstauskunft mit Rückgabefrist. Wer heute nach der IT-Sicherheit gefragt wird, bekommt vom selben Kunden im nächsten Quartal den ESG-Bogen. Die vier Werkzeuge dazu laufen deshalb unter einem Schlüssel.

Rechtsstand der regulatorischen Werkzeuge: August 2026 · jedes Werkzeug weist seinen Stand selbst aus

Engpass 1 · KI-Regulierung

Fällt unsere KI-Anwendung unter den AI Act?

Die verbreitete Frage ist falsch gestellt. Der AI Act stuft nicht das Unternehmen ein, sondern jedes KI-System einzeln, ein Betrieb kann gleichzeitig verbotene, hochriskante und minimal regulierte Systeme betreiben. Der Navigator führt deshalb ein Register: Profil einmal, dann jeden Anwendungsfall einzeln durch acht Prüfstufen, aus einem Katalog von 18 typischen Mittelstandsfällen.

Die Fristen nach dem Digital Omnibus: Transparenzpflichten (Art. 50) gelten seit dem 02.08.2026, die maschinenlesbare Kennzeichnung für Bestandssysteme ab dem 02.12.2026. Hochrisiko nach Anhang III wurde auf den 02.12.2027 verschoben, nach Anhang I auf den 02.08.2028. Die Verbote nach Art. 5 wurden nicht verschoben.

Betroffenheit prüfen →

Die Einstufung ist kostenlos. Wer daraus einen Nachweis machen will, mit Pflichtenkatalog, Fristenplan und gepflegtem Rechtsstand, findet die Bedingungen unter Lizenz und Preise.

Engpass 2 · Lieferkette

Ein Großkunde schickt einen Lieferanten-Fragebogen.

Der Druck kommt hier vertraglich von Kunden, nicht von der Aufsicht und die Antworten werden jedes Mal neu zusammengesucht. Das Werkzeug erfasst die Sorgfaltspflichten der §§ 3 bis 10 LkSG einmal: je Pflicht das regelnde Dokument, der Verantwortliche und der Beleg. Ein Kundenmodus blendet auf die Angaben ein, die Lieferantenselbstauskünfte tatsächlich verlangen.

62 Angaben in 12 Abschnitten, davon 27 im Kundenmodus. Die Nachweisliste weist jede beantwortete Angabe ohne Beleg farbig als Lücke aus, das ist der Unterschied zwischen „wir machen das" und „wir können das zeigen". Zur Rechtslage: Die Berichtspflicht nach § 10 Abs. 2 LkSG gilt weiter. Eingestellt hat das BAFA zum 01.10.2025 nur die Entgegennahme und Prüfung der Berichte.

Nachweis aufbauen →

Erfassen und Berichtsentwurf sind kostenlos. Beleg, Nachweisliste und gepflegter Rechtsstand gehören zur Lizenz.

Engpass 3 · Cybersicherheit

Sind wir NIS2-pflichtig und was müssen wir belegen?

Zwei Fragen, zwei Schritte. Erst der Betroffenheits-Check: zehn Fragen, fünf Minuten, Ampel und Handlungsempfehlung. Wer betroffen ist, dokumentiert danach die zehn Risikomanagement-Maßnahmenbereiche nach § 30 Abs. 2 BSIG: je Bereich das regelnde Dokument, der Verantwortliche und der Wirksamkeitsbeleg.

55 Angaben in 11 Abschnitten. Ergebnis sind zwei druckbare Dokumente: eine Umsetzungsdokumentation und eine Nachweisliste, die Angaben ohne Beleg als Lücke ausweist.

Betroffenheit prüfen → Danach: NIS2-Nachweis aufbauen

Erfassen und Berichtsentwurf sind kostenlos. Beleg, Nachweisliste und gepflegter Rechtsstand gehören zur Lizenz.

Engpass 4 · Datenschutz

Dürfen unsere Daten in die USA?

Die Frage lässt sich nicht pauschal beantworten, sondern nur je Anwendung. Der Check erfasst Ihre Cloud-Anwendungen und bewertet jede einzeln nach Transfer-Impact-Assessment (Art. 44 ff. DSGVO, Schrems II): Übermittlungsgrundlage, Zugriffsbefugnisse im Drittland, Zusatzmaßnahmen, Restrisiko. Regelbasiert, ohne KI, jede Bewertung ist nachvollziehbar.

Kuratierter Katalog mit 55 Anwendungen und 71 europäischen Alternativen, jeder Eintrag mit Quellen-URL, Katalogstand August 2026. Enthält das Szenario „DPF entfällt", die Frage, die nach der Aufkündigung des Data Privacy Framework sofort auf dem Tisch läge.

Transfers bewerten →

Engpass 5 · Projektportfolio

Zu viele Projekte, zu wenig Leute.

Jeder weiß, dass etwas gestrichen werden muss. Woran es scheitert, ist die Begründung. Die Matrix bewertet das Portfolio nach dem Werthebel je verbleibendem Euro, bereits ausgegebene Mittel bleiben bewusst außen vor. Statt „weiter oder stopp" gibt es vier Handlungen: Schützen, Strecken, Beschneiden, Stoppen.

Ergebnis ist ein druckbarer Entscheidungs-Einseiter mit Sunk-Cost-Klarstellung, den zu erwartenden Gegenargumenten und der Verwendung der freiwerdenden Mittel. Das ist das Dokument, das die Sitzung übersteht.

Portfolio bewerten →

Engpass 6 · KI-Kosten

Was kostet uns KI wirklich?

Die Lizenzkosten sind selten das Problem: die Unklarheit darüber, wer was nutzt, schon. Das Cockpit führt vier Sichten zusammen: Use-Case-Priorisierung nach Netto-Nutzen und Machbarkeit, Governance und Tool-Inventar, Kosten-Tracker mit Budget-Monitoring und einen API-Kalkulator zum Modellkostenvergleich.

Inklusive Erkennung von Schatten-KI: den Werkzeugen, die im Haus benutzt werden, ohne dass sie jemand freigegeben hat. Aus den Use-Cases entsteht ein druckbarer KI-Fahrplan.

Kosten aufstellen →

Fünf Fragen, die niemand stellt, bis es weh tut

Die sechs oben kommen von außen: eine Frist, ein Fragebogen, eine Aufsicht. Diese vier stellt niemand von außen. Sie werden verschoben, bis eine Investition daneben liegt, ein Auftrag unter Wert kalkuliert ist oder die Strategie ein Jahr alt und unangetastet im Ordner steht.

Frage 1 · Investition

Rechnet sich das oder reden wir es uns schön?

Die Zahl, die am Ende entscheidet, ist selten die Anschaffungssumme. Sie ist die Rendite gegen die eigenen Kapitalkosten und genau die fällt in der Diskussion meist unter den Tisch. Der Rechner stellt Kapitalwert, internen Zinsfuß, Amortisationsdauer und Rentabilitätsindex nebeneinander, über einen Zeitraum von drei bis zehn Jahren.

Ohne Kapitalkostensatz ist der Kapitalwert eine Meinung. Der WACC-Rechner schätzt das Beta über neun Risikofaktoren und liefert die Hürde, gegen die gerechnet wird, mit Sensitivitätsanalyse und Szenarienvergleich.

Investition rechnen → Vorher, falls der Kapitalkostensatz fehlt: WACC ermitteln

Frage 2 · Kalkulation

Wir kalkulieren mit Zahlen von vorgestern.

Stundensätze überleben Energiepreisrunden, Lohnabschlüsse und Ersatzinvestitionen, ohne dass sie jemand anfasst. Der Rechner setzt Fix- und variable Kosten einer Anlage gegen die Kapazität im Ein- bis Dreischichtbetrieb und zeigt, wie stark der Satz am Nutzungsgrad hängt.

Die Kostendegression ist der eigentliche Befund: derselbe Satz kippt mit der Auslastung, nicht mit dem Preis. Wer wissen will, ab welcher Menge ein Auftrag trägt, rechnet danach die Gewinnschwelle.

Stundensatz rechnen → Danach: Gewinnschwelle und Sicherheitsmarge

Frage 3 · Umsetzung

Die Strategie steht auf Papier, im Alltag passiert nichts.

Zwischen Klausur und Tagesgeschäft liegt keine Motivationslücke, sondern eine Kette aus vier Bruchstellen: Ziele, Verantwortung, Takt, Messung. Der Check fragt zehn Punkte ab und benennt, an welcher Stelle die Kette reißt.

Ergebnis ist eine Execution-Gap-Analyse, keine Note. Sie zeigt, ob es an der Verknüpfung von Strategie, Governance und operativer Steuerung hängt, und damit, welches Arbeitsmittel als nächstes dran ist.

Umsetzung prüfen → Danach: Ziele messbar machen oder Kennzahlen ordnen

Frage 4 · Nachhaltigkeit

Müssen wir einen Nachhaltigkeitsbericht abgeben?

Nach dem Omnibus-Paket lautet die Antwort für viele Nein und trotzdem landet der Fragebogen im Haus, weil ein berichtspflichtiger Großkunde seine Wertschöpfungskette abfragt. Das sind zwei verschiedene Fragen und sie werden regelmäßig verwechselt.

Die Schwellen gelten kumulativ: über 1.000 Beschäftigte und über 450 Mio. € Umsatz. Wer darunter liegt, ist nicht berichtspflichtig und fällt unter den Value Chain Cap, der begrenzt, was ein Großkunde überhaupt verlangen darf.

Berichtspflicht prüfen → Wenn ja: doppelte Wesentlichkeit bestimmen, 37 amtliche Unterthemen mit IRO-Register Wenn nein und der Fragebogen liegt trotzdem da: freiwillig berichten, mit Anhang-II-Modus, der nur zeigt, was ein Kunde verlangen darf

Erfassen und Berichtsentwurf sind kostenlos. Beleg, Nachweisliste und gepflegter Rechtsstand gehören zur Lizenz.

Frage 5 · Liquidität

Wir machen Gewinn, aber das Geld ist nie da. Woran liegt das?

Die Antwort steht fast nie in der Gewinn- und Verlustrechnung, sondern eine Etage tiefer: in Vorräten, die gewachsen sind, in Forderungen, die länger offen stehen, in einer Investition, die aus dem laufenden Konto bezahlt wurde. Der Abschluss zeigt beides, nur selten nebeneinander.

Die Brücke ist eine Rechnung, keine Meinung. Jahresüberschuss plus Abschreibung minus dem, was zusätzlich in Vorräten und Forderungen steckt, ergibt den operativen Cashflow. Sind beide Bilanzen ausgeglichen, geht die Kontrollrechnung auf null auf. Jede Abweichung ist ein Datenfehler.

Liquidität prüfen → Vorher, wenn die GuV noch nicht steht: Erfolgsrechnung aufstellen, drei Perioden nebeneinander mit Kostenstruktur und Abweichung

Wenn das Werkzeug die Frage nicht beantwortet

Manche Fragen lassen sich nicht in einem Formular klären. Dann spart ein 30-Minuten-Gespräch oft Monate an Umwegen: ich ordne Ihr Vorhaben ein, konkret und ohne Pitch.

30 Minuten sichern

Über diese zehn hinaus: 58 Werkzeuge und 18 Whitepaper zu Portfolio-Management, Controlling, ESG und Cyber-Compliance.