NIS2, DORA und CRA verlangen Detection und Response als Fähigkeit, aber kein Security Operations Center. Im Gesetzestext steht das nirgends, im Angebot jedes MSSP schon. Daniel Thomas Heessel, CISO des Jahres 2026, zeigt was Regulatorik wirklich fordert und welches Betriebsmodell wirklich passt.