Beratung informationssicherheit und NIS 2
Schutz für KRITIS-Betreiber: Professionelle Beratung zu ISO 27001, ISMS-Aufbau, externer ISBBeratung & Aufbau eines ISMS nach ISO 27001-NIS 2 konform
Zuverlässig – Kompetent – Ganzheitlich
ISO 27001 und NIS 2-Beratung
Die Umsetzung von ISO 27001 steht und fällt mit der richtigen Expertenberatung. Wir unterstützen Sie beim Aufbau Ihres Informationssicherheits-Managementsystems (ISMS).
NIS2 – was jetzt gilt
Mit dem NIS2UmsuCG wurde das BSI-Gesetz (BSIG) grundlegend neu gefasst. Das Gesetz ist am 6. Dezember 2025 in Kraft getreten. Statt bislang rund 4.500 KRITIS-Betreibern fallen nun Unternehmen aus 18 Sektoren unter die Regulierung, darunter Energie, Wasser, Abfallwirtschaft, Gesundheit, Transport, digitale Dienste, Lebensmittel, Chemie und das verarbeitende Gewerbe (u. a. Maschinenbau).
Je nach Sektor, Mitarbeiterzahl und Umsatz unterscheidet das Gesetz zwischen besonders wichtigen und wichtigen Einrichtungen. Betreiber kritischer Anlagen unterliegen zusätzlich verschärften Anforderungen.
Für betroffene Unternehmen ergeben sich insbesondere folgende Pflichten:
- Registrierung beim BSI über das MUK-Portal (mit ELSTER-Organisationszertifikat). Die Registrierung ist eine Holschuld; das BSI kommt nicht auf Sie zu.
- Risikomanagementmaßnahmen nach § 30 BSIG: angemessene, verhältnismäßige technische und organisatorische Maßnahmen, u. a. Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Business Continuity und Krisenmanagement, Sicherheit der Lieferkette, Zugriffskontrolle, Kryptografie und Schulungen.
- Meldepflichten nach § 32 BSIG: erhebliche Sicherheitsvorfälle müssen gestuft gemeldet werden: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats.
- Verantwortung der Geschäftsleitung nach § 38 BSIG: Die Geschäftsleitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Bei Pflichtverletzungen haftet sie persönlich.
-
Auch nicht direkt betroffene Unternehmen sind gefordert: Wer als Zulieferer oder Dienstleister für NIS2-pflichtige Kunden tätig ist, muss häufig im Rahmen der Lieferkettensicherheit vertraglich nachweisen, dass ein angemessenes Sicherheitsniveau besteht, etwa durch ein ISMS oder eine ISO-27001-Zertifizierung.
Wir prüfen mit Ihnen, ob und in welcher Form Ihr Unternehmen betroffen ist, begleiten die Registrierung und übersetzen die gesetzlichen Anforderungen in umsetzbare Maßnahmen, die zu Ihrer Unternehmensgröße passen.
Aufbau ISMS
Wir unterstützen Unternehmen bei der Umsetzung und Verbesserung von Informationssicherheitsmanagementsystemen gemäß der ISO 27001. Unser Ziel ist es, gemeinsam mit Ihnen praxistaugliche und nachhaltige Lösungen zu entwickeln. Daher verfolgen wir keine pauschalen Ansätze.
Das ISMS muss dabei immer auf die individuellen Bedürfnisse einer Organisation ausgerichtet sein. Für Organisationen, die ein ISMS einführen oder verbessern wollen, ergeben sich in der Praxis vier typische Herausforderungen:
- Integration des ISMS in die bestehenden Betriebsabläufe,
- Effiziente Aufrechterhaltung des ISMS
- Erzielen eines angemessenen Sicherheitsniveaus und
- Konformität mit dem Standard
Ziel ist es, ein für das Unternehmen angemessenes Sicherheitsniveau zu erreichen, bestehende Risiken zu erkennen und zu beseitigen sowie das ISMS nach dem PDCA-Modell aufrechtzuerhalten. Der Fokus liegt dabei auf den drei Grundwerten des Datenschutzes und der Informationssicherheit:
- Vertraulichkeit
- Integrität
- Verfügbarkeit
Die Anforderungen sind auf Unternehmen jeder Art und Größe anwendbar. Wir unterstützen Sie auch bei begleitenden Leistungen im Rahmen bestehender Managementsysteme.
Externer Informationssicherheitsbeauftragter (ISB)
Immer mehr Unternehmen mit komplexeren IT-Strukturen oder erhöhten Anforderungen an ihre IT-Sicherheit erkennen die Vorteile eines Informationssicherheitsbeauftragten.
Bestellung Externer Informationssicherheitsbeauftragter (ISB)
Durch die Digitalisierung vieler Prozesse und ganzer Wertschöpfungsketten hat sich der Aufgabenbereich des Informationssicherheitsbeauftragten stark erweitert. Denn heute muss nicht nur die Sicherheit der IT gewährleistet werden, sondern auch die Sicherheit bei der Verarbeitung personenbezogener Daten nach DSGVO sowie aller anderen verarbeiteten Informationen.
Zunächst bringt der externe Informationssicherheitsbeauftragte viel Expertise, Erfahrung und Praxiswissen mit sich. Darüber hinaus ist er in der Lage, zwischen den verschiedenen Abteilungen und Rollen innerhalb einer Organisation zu vermitteln und einen neutralen und objektiven Standpunkt einzunehmen.
Zu den Leistungen gehören unter anderem:
- Erstellung, Umsetzung und Kontrolle des übergeordneten Sicherheitskonzeptes sowie aller untergeordneten Teilkonzepte, Regeln und Richtlinien zur Informationssicherheit
- Analyse der bereits vorhandenen IT‑Sicherheits-Maßnahmen
- Der externe Informationssicherheitsbeauftragte kann die regelmäßige Pflege der Referenzdokumente eines ISMS übernehmen und damit die internen IT-Ressourcen entlasten.
- Teilnahme an Sitzungen der IT-Abteilung. Damit soll sichergestellt werden, dass wesentliche Veränderungen und strategische Entwicklungen begleitet werden können.
- Teilnahme und Leitung des Sicherheitsgremiums.
- Informationsbeschaffung und Erstellung des jährlichen Managementberichts des IT-Sicherheitsbeauftragten an die Unternehmensleitung.
- Einweisung neuer Mitarbeiterinnen und Mitarbeiter, um sie mit den Grundregeln des Hauses und der Informationssicherheit vertraut zu machen. Dazu gehört auch die Erstellung und Aktualisierung der für diese Einweisung erforderlichen Unterlagen.
- Durchführung von Sensibilisierungsveranstaltungen in geeigneten Zusammenkünften entlang der Organisationsstruktur des Auftraggebers.
- Durchführung von Awareness-Schulungen für Mitarbeiter (1 x jährlich)
Wir beraten Sie gerne: 06232 / 980 22 55
30 Jahre Erfahrung
Praxiswissen
Rechtskonforme Umsetzung
Ausgereifte Konzepte
Hohe Effizienz
Niedrige Kosten
Häufige Fragen zur Informationssicherheit und NIS 2
Was versteht man unter ISMS?
Ein Informationssicherheits-Managementsystem (ISMS) ist die Etablierung von Verfahren und Regeln innerhalb einer Organisation, die dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und kontinuierlich zu verbessern.
Ein ISMS umfasst somit Regeln, Verfahren, Methoden und Tools, die die Informationssicherheit erhöhen.
Es unterstützt Unternehmen dabei, wichtige Daten und Informationen systematisch zu schützen, Vorschriften einzuhalten und IT-Risiken zu vermeiden.
Wer muss ein ISMS haben?
Ein ISMS ist für jedes Unternehmen empfehlenswert. Der Umfang richtet sich nach der Unternehmensgröße.
Was kostet ein ISMS?
Die Kosten für ein ISMS hängen von der Branche und der Größe des Unternehmens ab. Je größer das Unternehmen, desto höher der Aufwand und die Kosten.
Wie baut man ein ISMS auf?
Ein Information Security Management System ist die Aufstellung von Verfahren und Regeln innerhalb einer Organisation, die dazu dienen, die Informationssicherheit dauerhaft zu definieren, zu steuern, zu kontrollieren, aufrechtzuerhalten und fortlaufend zu verbessern.
Ein ISMS ist somit ein dokumentiertes Managementsystem, das dem Unternehmen hilft, die Vertraulichkeit, Verfügbarkeit und Integrität seiner Informationen zu schützen.
Dementsprechend wird zu Beginn eine Bestands-Analyse durchgeführt und anschließend ein Maßnahmenkatalog erstellt. Dabei werden alle relevanten Informationen gesammelt und dokumentiert. Ein ISMS beinhaltet auch einen kontinuierlichen Verbesserungsprozess, um die Maßnahmen regelmäßig zu überprüfen.
Ist mein Unternehmen von NIS2 betroffen?
Das hängt vom Sektor, der Mitarbeiterzahl und dem Umsatz ab. In der Regel sind Unternehmen ab 50 Beschäftigten oder mehr als 10 Mio. Euro Jahresumsatz und Bilanzsumme in einem der regulierten Sektoren betroffen. Das BSI bietet eine Betroffenheitsprüfung zur ersten Orientierung an. Wir unterstützen Sie bei der verbindlichen Einordnung.
Reicht eine ISO-27001-Zertifizierung für NIS2?l
Sie ist eine sehr gute Grundlage, erfüllt aber nicht alle Pflichten. Die Registrierung beim BSI, die Meldefristen und die Pflichten der Geschäftsleitung müssen zusätzlich umgesetzt werden.
Muss die Geschäftsführung selbst tätig werden?
Ja. Nach § 38 BSIG ist Cybersicherheit Leitungsaufgabe. Die Geschäftsleitung muss die Maßnahmen billigen, überwachen und regelmäßig an Schulungen teilnehmen.