BSI IT-Grundschutz - prüffest umgesetzt, als Festpreis-Paket

ISO 27001 definiert Anforderungen an ein ISMS, lässt die Methodik aber offen. IT-Grundschutz liefert zusätzlich eine konkrete Methodik (200-2) und einen riesigen Maßnahmenkatalog (Kompendium). Du kannst auf Basis von IT-Grundschutz nach ISO 27001 zertifizieren - beides schließt sich nicht aus, es ergänzt sich.

NIS2 schreibt keinen Standard vor, aber IT-Grundschutz gilt als anerkannter Umsetzungsweg. Wer Grundschutz umgesetzt hat, deckt einen großen Teil der NIS2-Pflichten strukturiert und nachweisbar ab. Den NIS2-Delta klären wir gezielt.

Häufig ist Basis-Absicherung der schnellste sinnvolle Einstieg, mit gezieltem Ausbau zur Standard-Absicherung dort, wo der Schutzbedarf hoch ist. Kern-Absicherung passt, wenn klar abgrenzbare „Kronjuwelen" zuerst geschützt werden sollen. Wir empfehlen die Variante nach der Strukturanalyse.

Das hängt von Größe, Reifegrad und gewählter Variante ab. Wir nennen Dir nach Strukturanalyse und Grundschutz-Check einen realistischen Zeit- und Aufwandsrahmen - keine Pauschalversprechen vor der Standortbestimmung.

Nein. IT-Grundschutz ist im öffentlichen Sektor verbreitet, eignet sich aber genauso für Mittelstand und KRITIS-Zulieferer, die eine prüffeste, vom BSI gestützte Methodik wollen.

Beides. Wir liefern die Methodik und die Doku - und setzen die Maßnahmen der Bausteine technisch um (MFA, Härtung, Segmentierung, Backup, Monitoring). Auf Wunsch übernehmen wir den Betrieb als Security-as-a-Service.

Den Preis nennen wir erst, wenn der Informationsverbund geschnitten und die Absicherungs-Variante gewählt ist - danach arbeiten wir zum Festpreis. Auf den Beratungsanteil sind als BAFA-gelisteter Berater bis zu 50 % Förderung möglich (Bemessungsgrundlage 3.500 €, Zuschuss also max. 1.750 €; bis zu zwei geförderte Beratungen pro Jahr), den Antrag übernehmen wir. Was in Deinem Fall förderfähig ist, prüfen wir vorher ehrlich.

Ein abgegrenzter Informationsverbund ist zulässig und oft sinnvoll - er muss aber in sich schlüssig sein und die Schnittstellen nach außen sauber dokumentieren. Ein zu eng geschnittener Scope fällt spätestens im Audit auf, ein zu großer bläht das Projekt unnötig auf. Den Schnitt legen wir in der Strukturanalyse gemeinsam fest.

Entbehrlich heißt, dass eine Anforderung auf Deinen Informationsverbund sachlich nicht zutrifft, etwa weil die betreffende Technik gar nicht im Einsatz ist. Jede solche Einstufung braucht eine nachvollziehbare Begründung, denn genau hier schaut ein Auditor zuerst hin. Pauschal gesetzte Entbehrlich-Vermerke ohne Begründung sind der häufigste Kritikpunkt im Check.

Immer dann, wenn die Standard-Anforderungen nicht ausreichen: bei hohem oder sehr hohem Schutzbedarf, bei Zielobjekten ohne passenden Baustein und bei Einsatzszenarien außerhalb dessen, was das Kompendium abdeckt. Für alles andere reicht der reguläre Grundschutz-Check. Wo eine 200-3-Analyse nötig wird, ergibt sich direkt aus Schutzbedarf und Modellierung.

Die Verantwortung für Informationssicherheit muss benannt, mandatiert und mit Arbeitszeit hinterlegt sein, sonst bleibt ein ISMS Papier. In kleineren Organisationen ist das häufig eine Teilzeit-Rolle neben anderen Aufgaben. Die Rolle gehört zu Dir ins Unternehmen; wir liefern Methodik, Vorlagen und die technische Zuarbeit.

Der Löwenanteil fällt in Strukturanalyse und Schutzbedarfsfeststellung an: Dafür brauchen wir Gespräche mit den Prozess- und Systemverantwortlichen sowie Entscheidungen der Leitung. Methodik, Dokumentation und technische Umsetzung übernehmen wir. Nach dem Scoping sagen wir Dir konkret, welche Termine und Beteiligten wir brauchen.

Ein ISMS ist ein Zyklus, kein Projekt mit Enddatum. Üblich ist eine jährliche Wiederholungsprüfung, dazu anlassbezogene Prüfungen bei wesentlichen Änderungen am Informationsverbund und bei neuen Editionen des Kompendiums. Wer den Check einmalig macht und dann liegen lässt, steht vor dem nächsten Audit wieder am Anfang.

Geprüft wird typischerweise in zwei Schritten: Sichtung der Referenzdokumente und anschließend eine Vor-Ort-Prüfung mit Stichproben an Systemen und Interviews. Ausgestellt wird das Ergebnis immer von einer akkreditierten Stelle beziehungsweise einem dafür zugelassenen Auditor, nie von uns. Wir setzen um, dokumentieren prüffest und begleiten Dich durch den Termin.

Vier Klassiker: ein zu großer Scope im ersten Anlauf, pauschal auf hoch gesetzter Schutzbedarf ohne Begründung, unbegründete Entbehrlich-Einstufungen und eine Dokumentation, die keinen tatsächlich gelebten Prozess beschreibt. Der fünfte ist fehlende Pflege nach dem Projekt. Wir arbeiten deshalb von Anfang an mit Nachweisen aus dem laufenden Betrieb statt mit Wunschbeschreibungen.