Informationssicherheit
Wir bauen ein Managementsystem für Informationssicherheit auf, das ISO 27001, TISAX® und NIS‑2 zugleich genügt – angemessen für Ihr Haus und abgestimmt mit Datenschutz und Mitbestimmung.
Worum es geht
Datenschutz schützt Menschen. Informationssicherheit schützt Informationen – alle, nicht nur die personenbezogenen. Konstruktionsdaten, Kalkulationen, Rezepturen, Angebote, Verträge, Quellcode, Kundenbeziehungen: Was ein Unternehmen ausmacht, liegt heute in Dateien und Systemen.
Drei Fragen stehen dahinter, die drei Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. Kommt jemand an diese Informationen, der es nicht soll? Kann jemand sie unbefugt oder unbemerkt verändern? Und sind sie verfügbar, wenn sie gebraucht werden? Der dritte Punkt wird leicht unterschätzt. Dabei kann gerade ein Ausfall ein Unternehmen innerhalb von Stunden stilllegen.
Kommt jemand an diese Informationen, der es nicht soll?
Kann jemand sie unbefugt oder unbemerkt verändern?
Sind sie verfügbar, wenn sie gebraucht werden?
Leicht unterschätzt. Ein Ausfall kann ein Unternehmen innerhalb von Stunden stilllegen.
Unser Angebot
-
ISMS (ISO 27001, TISAX, NIS‑2)
Ein System, drei Nachweise: ein einziges Managementsystem, das allen drei Anforderungen genügt. Wir formulieren die Vorgaben für Ihr Haus, begleiten die Umsetzung und anschließend Zertifizierungsaudit oder Assessment.
Mehr erfahren
Weshalb das Thema jetzt auf dem Tisch liegt
Viele Unternehmen beginnen nicht aus eigenem Antrieb, sondern weil jemand fragt.
-
Ein Kunde verlangt einen Nachweis
In der Automobilindustrie über TISAX, in Ausschreibungen über ISO 27001, in Lieferbeziehungen über Fragebögen, die von Jahr zu Jahr umfangreicher werden. Wer ihn nicht erbringen kann, riskiert den Auftrag.
-
Eine Vorschrift greift
Das BSI‑Gesetz, mit dem Deutschland die NIS‑2-Richtlinie umgesetzt hat, verpflichtet betroffene Einrichtungen zu Risikomanagement, Meldewegen und Nachweisen – und nimmt die Geschäftsleitung ausdrücklich in die Verantwortung. Die erste Frage ist dabei nie, wie man das umsetzt, sondern ob man betroffen ist.
-
Es ist etwas passiert
Im eigenen Haus oder bei einem Lieferanten. Danach ist die Bereitschaft groß, aber die Zeit knapp.
-
Ein Versicherer oder eine Bank fragt nach
Mit Fragebögen, deren Beantwortung eine belastbare Grundlage braucht.
Was ein Managementsystem leistet
Informationssicherheit ist kein Produkt, das man kauft. Eine Firewall schützt nichts, wenn niemand festgelegt hat, wer Zugriff erhält, was im Störungsfall geschieht und wie man merkt, dass eine Maßnahme nicht mehr wirkt.
Ein Informationssicherheitsmanagementsystem (ISMS) beantwortet diese Fragen dauerhaft:
- Was ist schützenswert? Informationen, Systeme, Lieferanten, Standorte. Ohne diese Übersicht ist jede Maßnahme geraten.
- Was kann passieren, und was wäre die Folge? Risiken werden benannt, bewertet und einer Entscheidung zugeführt – vermeiden, mindern, teilen oder bewusst tragen.
- Welche Maßnahmen gelten? Organisatorisch, personell, physisch und technisch – nicht alles, was möglich ist, sondern was zum Risiko passt.
- Wer ist zuständig? Benannte Rollen, nicht die stillschweigende Annahme, dass die IT sich kümmert.
- Funktioniert es noch? Prüfungen, interne Audits, Kennzahlen, Bewertung durch die Leitung.
- Was passiert im Ernstfall? Meldewege, Vorfallsbehandlung, Wiederanlauf. Diese Frage wird vor dem Vorfall beantwortet oder gar nicht.
Wie beim Datenschutz gilt: Die Entscheidung über ein Risiko trifft die Geschäftsleitung, nicht der Berater und nicht die IT. Unsere Aufgabe ist, die Grundlage für diese Entscheidung zu schaffen.
ISO 27001, TISAX und NIS‑2
-
ISO/IEC 27001
Die internationale Norm für Managementsysteme der Informationssicherheit und die gemeinsame Sprache dieses Felds. Sie ist zertifizierbar; das Zertifikat selbst erteilt eine akkreditierte Zertifizierungsstelle. Wir bauen das System auf und geben Ihnen ein Vorgehen an die Hand, mit dem Sie die internen Audits selbst durchführen. Haben Sie das System selbst aufgebaut, übernehmen wir das interne Audit. Beides im selben System machen wir nicht – niemand soll die eigene Arbeit prüfen. Durch die Zertifizierung begleiten wir Sie in beiden Fällen.
-
TISAX
Der Prüf- und Austauschmechanismus der Automobilindustrie. Grundlage ist der Fragenkatalog des Verbands der Automobilindustrie; das Ergebnis teilt das Unternehmen über die Plattform der ENX Association mit den Geschäftspartnern, die es selbst auswählt. Wer für Automobilhersteller mit vertraulichen Informationen oder Prototypen arbeitet, für den ist es in der Regel eine Vertragsbedingung – mit einem Reifegradmodell, dessen Anforderungen man kennen muss, um nicht am falschen Ende zu investieren.
-
NIS‑2
Keine Norm, sondern Recht. Betroffene Einrichtungen müssen sich beim Bundesamt für Sicherheit in der Informationstechnik registrieren, Maßnahmen ergreifen, erhebliche Vorfälle in gestuften Fristen melden und nachweisen können, dass sie ihren Pflichten nachkommen. Die Geschäftsleitung muss die Umsetzung überwachen, regelmäßig an Schulungen teilnehmen und haftet bei Pflichtverletzungen gegenüber dem eigenen Unternehmen (§ 38 BSIG). Wer ohnehin nach ISO 27001 arbeitet, hat einen großen Teil der Grundlage – deckungsgleich ist es nicht.
Die drei Rahmen überschneiden sich erheblich. Wer sie getrennt bearbeitet, erledigt einen großen Teil der Arbeit mehrfach.
Verzahnung mit Datenschutz und Mitbestimmung
Die Datenschutz-Grundverordnung verlangt Sicherheit der Verarbeitung und die regelmäßige Überprüfung der Maßnahmen (Art. 32 DSGVO). Datenschutz ohne Informationssicherheit bleibt deshalb Papier – und Informationssicherheit ohne Datenschutz greift zu weit.
Hier liegt ein Spannungsfeld: Sicherheit will protokollieren, auswerten und beobachten. Datenschutz beschränkt Daten auf das Erforderliche, und wo ein Betriebsrat besteht, bestimmt er mit, sobald Protokolle Verhalten oder Leistung erkennbar machen können (§ 87 Abs. 1 Nr. 6 BetrVG). Das gilt auch für Maßnahmen, die das Gesetz verlangt, denn es schreibt das Ziel vor, nicht die Ausgestaltung. Ein Sicherheitskonzept, das diese Grenzen nicht kennt, kann der Betriebsrat stoppen – und zwar zu Recht.
Wir bearbeiten alle drei Felder. Deshalb planen wir Sicherheitsmaßnahmen von Anfang an so, dass sie die Beteiligung des Betriebsrats berücksichtigen, statt an ihr zu scheitern.
- Informationssicherheit will protokollieren, auswerten und beobachten
- Datenschutz beschränkt Daten auf das Erforderliche und verlangt zugleich Sicherheit der Verarbeitung (Art. 32 DSGVO)
- Mitbestimmung wo ein Betriebsrat besteht: bestimmt mit, sobald Protokolle Verhalten oder Leistung erkennbar machen können (§ 87 Abs. 1 Nr. 6 BetrVG)
Alle drei Felder zusammen bearbeitet Sicherheitsmaßnahmen, die die Beteiligung von Anfang an berücksichtigen
Angemessen statt maximal
Ein Managementsystem muss zum Haus passen. Ein Konzern-Regelwerk auf einen Betrieb mit vierzig Beschäftigten zu übertragen, erzeugt Dokumente, die niemand liest, und ein Zertifikat, hinter dem keine Praxis steht. Umgekehrt genügt es nicht, einzelne Maßnahmen zu ergreifen und auf das Beste zu hoffen.
Wir bauen so viel System, wie das Risiko und die Anforderungen Ihrer Kunden verlangen – und so wenig, dass es im Betrieb gelebt wird. Das ist dieselbe Haltung wie im Datenschutz: nachweisbar, nicht maximal.
Wo unsere Beratung endet
Wir beraten fachlich, technisch und organisatorisch. Ob und wie NIS‑2 Ihr Unternehmen erfasst, ordnen wir als Teil eines Mandats ein. Eine Vertretung gegenüber Behörden oder vor Gericht übernehmen wir nicht.
Das erste Gespräch
Am Anfang stehen zwei Fragen: Welche Anforderungen treffen Sie – von Kunden, aus dem Recht, von Versicherern? Und was ist bereits vorhanden? Daraus ergibt sich der Weg. Ob und wie wir dabei helfen können, klären wir in einem ersten Gespräch. Es ist kostenfrei und unverbindlich.