Kontaktmöglichkeiten

IT-Sicherheit schützt Technik: Systeme, Netze, Geräte. Informationssicherheit schützt Informationen – unabhängig davon, ob sie in einem Server liegen, auf Papier im Besprechungsraum oder im Gespräch am Flughafen weitergegeben werden. IT-Sicherheit ist damit ein Teilbereich der Informationssicherheit.

Datenschutz hat ein anderes Schutzziel: nicht das Unternehmen, sondern die betroffene Person. Es geht um die Frage, ob personenbezogene Daten überhaupt verarbeitet werden dürfen. Die Überschneidung ist groß – ein Angriff auf ein Postfach ist beides – die Instrumente sind aber verschieden.

Gute IT löst technische Probleme. Ein ISMS beantwortet die Fragen, die vor der Technik kommen: Welche Informationen sind für unser Geschäft kritisch? Welche Risiken tragen wir bewusst? Wer entscheidet das, und wo ist es nachlesbar?

Der praktische Unterschied zeigt sich im Ernstfall und im Kundenaudit. Ohne dokumentierte Entscheidungen ist gute Arbeit nicht nachweisbar – und Nachweisbarkeit ist inzwischen das, wonach Kunden, Versicherer und Aufsichtsbehörden fragen.

Überdimensioniert wird es dann, wenn man einem Konzernmodell mit 120 Richtliniendokumenten folgt. Der Umfang eines ISMS richtet sich nach Anwendungsbereich und Risiko, nicht nach dem Normtext.

Für ein Unternehmen mit z.B. nur 30 Mitarbeitenden sind eine schlanke Leitlinie, eine belastbare Risikoübersicht, ein Handvoll Kernprozesse und eine Notfallkarte oft schon der Sprung von „nichts“ auf „belastbar“. Was zu groß gebaut ist, wird nicht gelebt – und ein nicht gelebtes ISMS fällt im Audit schneller auf als ein kleines.

Die Verantwortung bleibt bei der Geschäftsleitung. Sie können die Aufgabe an die IT, an einen Informationssicherheitsbeauftragten oder an einen externen Dienstleister delegieren – die Pflicht zur Auswahl, Ausstattung und Überwachung bleibt oben.

Im Umfeld von NIS-2 ist diese Leitungsverantwortung ausdrücklich geregelt, inklusive Schulungspflicht für die Leitungsebene. Auch unabhängig davon greifen die allgemeinen Sorgfaltspflichten für Geschäftsführer. Praktische Konsequenz: Beschlüsse zu akzeptierten Risiken gehören dokumentiert, nicht mündlich abgehandelt.

Das ist keine Rechtsberatung – für die Bewertung im Einzelfall ziehen wir gerne eine Kanzlei hinzu.

Die Antwort ergibt sich fast immer aus dem Markt, nicht aus einer Präferenz:

• ISO 27001 – der internationale Standard, gefordert von Kunden, Konzernen und im Ausschreibungsgeschäft
• TISAX – wenn Sie an die Automobilindustrie liefern; baut auf ISO 27001 auf und ergänzt Prototypen- und Datenschutzanforderungen
• BSI IT-Grundschutz – im Umfeld öffentlicher Auftraggeber und bei sehr strukturierter Vorgehensweise

Die gute Nachricht: Die Grundarbeit ist zu großen Teilen dieselbe. Wer ISO 27001 sauber aufgebaut hat, ist auf TISAX in der Regel gut vorbereitet.

Ausgangspunkt sind Sektor und Unternehmensgröße; das BSI stellt dafür eine Betroffenheitsprüfung online zur Verfügung. Sie führt in vielen Fällen zu einem klaren Ergebnis.

Wichtiger ist in der Praxis oft die zweite Frage: Liefern Sie an ein betroffenes Unternehmen? Dann kommen die Anforderungen über den Vertrag, nicht über das Gesetz – und häufig schneller. Wir prüfen beides gemeinsam in meist unter einem Tag.

Das hängt allein davon ab, wer den Nachweis sehen will. Verlangt ein Kunde, ein Konzern oder eine Ausschreibung ein Zertifikat, hilft nur das Zertifikat. Geht es um Ihre eigene Risikolage und um Sicherheit im Betrieb, ist ein normkonform aufgebautes ISMS ohne Zertifizierung deutlich günstiger und genauso wirksam.

Ein Zwischenweg, der oft unterschätzt wird: erst normkonform aufbauen, den Nutzen realisieren – und die Zertifizierung dann anhängen, wenn der erste Kunde danach fragt.

Fragen Sie zuerst nach, was genau verlangt wird. Häufig ist es kein Zertifikat, sondern ein ausgefüllter Fragebogen, eine Selbstauskunft oder ein Nachweis über einzelne Maßnahmen – Backup, MFA, Schulungen, Notfallprozess.

Diese Anfragen lassen sich meist in Tagen statt Monaten bedienen. Sinnvoll ist es, die Antworten einmal sauber aufzubauen und wiederzuverwenden: Der nächste Kunde fragt fast dasselbe.

In vier Schritten:

1. Standortbestimmung – Gap-Analyse gegen die relevante Norm oder Anforderung, ohne Vorbereitungsaufwand auf Ihrer Seite
2. Roadmap – priorisierte Maßnahmen mit Aufwand, Verantwortlichen und Reihenfolge; das ist Ihre Entscheidungsgrundlage
3. Umsetzung – begleitet, nicht abgenommen: Dokumente, Prozesse, Schulungen entstehen mit Ihren Leuten
4. Betrieb und Prüfung – internes Audit, Managementbewertung, laufende Betreuung oder Zertifizierungsbegleitung

Nach Schritt 1 und 2 können Sie jederzeit aussteigen und intern weiterarbeiten. Das ist ausdrücklich vorgesehen.

Bis zur Zertifizierungsreife sind bei überschaubarem Anwendungsbereich meist zwischen 6 bis 18 Monate realistisch. Der Löwenanteil ist nicht Beratungszeit, sondern Umsetzungszeit in Ihrem Haus – plus die Wartezeit auf einen Audittermin bei der Zertifizierungsstelle, die frühzeitig eingeplant werden sollte.

Erste sichtbare Verbesserungen kommen deutlich früher: Die Maßnahmen mit dem größten Effekt liegen fast immer in den ersten Wochen, nicht am Ende des Projekts.

Die Kosten hängen an wenigen Faktoren: Größe des Anwendungsbereichs, Anzahl Standorte, Komplexität der IT, Ihr Ausgangsniveau und ob eine Zertifizierung angestrebt wird. Deshalb nennen wir keine Pauschalen ins Blaue, sondern nach dem Erstgespräch einen festen Preis für die Standortbestimmung und eine belastbare Schätzung für die Umsetzung.

Wichtig für die Planung: Die Gebühren der Zertifizierungsstelle sind ein separater Posten und gehen nicht an uns. Das Erstgespräch von 30 Minuten ist kostenfrei.

Die ehrlichste und wichtigste Frage überhaupt. Ohne eine benannte interne Ansprechperson mit tatsächlich freigestellter Zeit scheitern ISMS-Projekte – nicht am Berater und nicht am Budget.

Als Richtwert planen Sie einen halben bis einen Tag pro Woche für diese Rolle, dazu punktuelle Termine mit IT, HR und Geschäftsleitung. Wir übernehmen die Vorarbeit, die Formulierung und die Struktur – aber Entscheidungen über Ihre Risiken kann Ihnen niemand von außen abnehmen.

Nein – und das ist eine Stärke, keine Lücke. Beratung und Zertifizierung müssen getrennt bleiben; eine akkreditierte Zertifizierungsstelle darf ein ISMS nicht prüfen, das sie selbst mitaufgebaut hat.

Wir bereiten Sie vor, führen das interne Audit durch, begleiten Sie im externen Audit und übersetzen Feststellungen in Maßnahmen. Das Zertifikat selbst stellt eine akkreditierte Stelle aus; bei der Auswahl und beim Angebotsvergleich unterstützen wir.

Ja, als externer ISB – ein verbreitetes Modell, wenn die Rolle intern fachlich oder zeitlich nicht besetzbar ist oder eine unabhängige Instanz gewünscht wird. Der Umfang wird als festes Kontingent vereinbart z. B. 4 Tage pro Monat, mit definierter Erreichbarkeit im Vorfallsfall.

Zwei Bedingungen gehören dazu: direkter Zugang zur Geschäftsleitung und eine interne Ansprechperson für den Alltag. Ein externer ISB ohne Anbindung nach oben ist ein Feigenblatt – so arbeiten wir nicht.

Beides, in der Regel gemischt. Workshops, Audits, Begehungen und Schulungen wirken vor Ort deutlich besser; Dokumentation, Abstimmung und Nachverfolgung laufen effizient remote.

Unsere Büros sind in München und Traunreut; im Raum München und Oberbayern sind wir kurzfristig vor Ort, darüber hinaus nach Absprache.

Am Anfang selten. Ein sauber strukturierter Ordner in einem System, das Sie schon haben und das versioniert – SharePoint, Confluence, ein DMS – reicht für den Aufbau meist aus.

Ein Tool lohnt sich, wenn mehrere Standorte, viele Assets, wiederkehrende Audits oder mehrere Normen parallel zu verwalten sind. Wichtig ist die Reihenfolge: erst der Prozess, dann das Werkzeug. Eine Software, die einen unklaren Prozess abbilden soll, macht die Unklarheit nur teurer.

Wirksam ist der Rhythmus, nicht die Dauer: eine ausführliche Schulung pro Jahr, dazwischen kurze Einheiten zu jeweils einem aktuellen Angriffsmuster – am besten anhand echter Fälle. Ein Onboarding-Foliensatz allein verfällt innerhalb weniger Monate.

Für den Nachweis brauchen Sie Teilnehmerlisten, Inhalte, Datum und – wo sinnvoll – eine kurze Lernkontrolle. Genau das verlangen Auditoren, Versicherer und im Ernstfall auch die Aufsichtsbehörde. Wir liefern die Nachweise als Teil der Schulung mit.

Ausgelagert wird die Leistung, nicht die Verantwortung. Der Einstieg ist eine Liste: Welche Dienstleister verarbeiten oder erreichen unsere kritischen Informationen? Diese Liste fehlt in den meisten Unternehmen – und sie ist die Grundlage für alles Weitere.

Danach folgt die Abstufung nach Kritikalität: Sicherheitsanforderungen in den Vertrag, Nachweise abfragen (Zertifikat, Fragebogen, Bericht), Zuständigkeiten für Vorfälle und Wiederanlauf klären. Ein Auftragsverarbeitungsvertrag deckt den Datenschutz ab – aber keine Sicherheitsanforderungen. Das wird regelmäßig verwechselt.

Ja. Wir sind sowohl als externe Datenschutzbeauftragte als auch in der Informationssicherheit tätig, und die Synergie ist erheblich: Risikoanalyse, technische und organisatorische Maßnahmen, Schulungen, Dienstleisterprüfung und Vorfallprozesse werden einmal aufgebaut und für beide Welten genutzt – statt zweimal in zwei Projekten.

Eine Grenze halten wir dabei ein: Wer eine Umsetzung selbst verantwortet, kann sie nicht unabhängig kontrollieren. Wo eine unabhängige Prüfinstanz gefordert ist, trennen wir die Rollen personell.

Mit einem Gespräch von 30 Minuten, kostenfrei und ohne Vorbereitung. Danach wissen Sie, welche Anforderungen realistisch auf Sie zukommen, was sinnvollerweise als Erstes passiert und was das etwa kostet.

Wenn Sie es lieber konkret mögen: Bringen Sie die drei Fragen mit, die Ihnen ein Kunde, Ihre Versicherung oder Ihre IT zuletzt gestellt hat. Daran lässt sich am schnellsten zeigen, wo Sie stehen.