Wer entscheidet – und auf welcher Grundlage?
Sind Rollen, Eskalationswege und Risikobereitschaft verständlich festgelegt oder bleibt Sicherheit faktisch allein bei der IT?
Für Geschäftsführung, IT- und IS-Verantwortliche
Wenn der Betrieb stillsteht, fragt niemand nach der IT-Abteilung.
Wasser, Strom, Wärme, Nahverkehr, Klinik: Was Sie leisten, merkt die Öffentlichkeit erst, wenn es fehlt. Dazu kommen Aufsicht, NIS2, knappe Stellen und eine IT, die längst mit der Leittechnik verwoben ist. Was dann hilft, ist keine weitere Maßnahmenliste, sondern jemand von außen, der sagt, wo Sie stehen.
Unabhängige Zweitmeinung · managementgerechter Bericht ·
keine operative Systemadministration
Fragen, die auf dem Tisch liegen
Könnten Sie es belegen, wenn morgen jemand fragt?
Wie belastbar ist der NIS2-/BSIG-Reifegrad?
Sind organisatorische Maßnahmen, Nachweise und Managementverantwortung auf die tatsächliche Betroffenheit ausgerichtet?
Werden ausgelagerte Leistungen wirksam gesteuert?
Verträge und SLA allein zeigen nicht, ob kritische Leistungen, Abhängigkeiten und Wiederanlauf tatsächlich beherrscht werden.
Leistungsbausteine
Was ich für Sie tun kann.
Wie tief wir gehen, hängt von Ihrer Frage ab – und davon, wie viel schon dokumentiert ist. Beides klären wir vorher, nicht in der Rechnung.
Governance- und NIS2-Orientierung
Fokussierte Einordnung von Betroffenheit, Verantwortung, wesentlichen Pflichten und den größten organisatorischen Lücken.
Risiko- und Governance-Review →Backup-/Recovery-Managementcheck
Bewertung von Wiederherstellungszielen, Schutz der Sicherungen, Tests, Rollen, Abhängigkeiten und Managementnachweisen.
Recovery-Review →Informationssicherheits-Roadmap
Aus Befunden entsteht ein abgestimmtes Programm mit Verantwortlichen, Zeitachse, Abhängigkeiten und Entscheidungspunkten.
Roadmap →Management-Workshop
Risiken, Handlungsoptionen und Zielniveau werden verständlich vorbereitet und mit der Leitung in Entscheidungen überführt.
Workshop →
Arbeitsweise
Wie ich vorgehe.
Ich beginne mit Auftrag, Entscheidungsfrage und Scope. Anschließend werte ich vorhandene Dokumente aus, führe strukturierte Interviews und prüfe ausgewählte Nachweise auf Konsistenz und Wirksamkeit.
Die Bewertung wird risikoorientiert verdichtet: Sachverhalt, Auswirkung, Priorität und konkrete nächste Entscheidung. Technische Details werden dort aufgenommen, wo sie für Risiko und Steuerung relevant sind.
Scope und Nachweise
Fragestellung, Systeme, Verantwortliche und benötigte Unterlagen festlegen.
Interviews und Plausibilisierung
Regelwerk, gelebten Prozess und ausgewählte Nachweise miteinander abgleichen.
Risikoorientierte Bewertung
Lücken nach möglicher Auswirkung, Eintrittsnähe und Steuerbarkeit priorisieren.
Managementbericht
Entscheidungen, Verantwortlichkeiten und realistische Umsetzungsschritte festhalten.
Erfahrung im kommunalen Umfeld
Ich kenne Ihr Umfeld.
Governance
ISMS, Risikomanagement und NIS2-Orientierung
Rollen, Leitlinien, Risikoverfahren, Maßnahmensteuerung, Managementbewertung und belastbare Nachweise.
Resilienz
Backup, Recovery und Notfallvorsorge
Wiederherstellungsziele, geschützte Sicherungen, administrative Trennung, Restore-Tests und Wiederanlauf.
IT/OT
Segmentierung, Fernzugriff und technische Abhängigkeiten
Schutzarchitektur, Konfigurations- und Patchprozesse, privilegierte Zugänge sowie betriebliche Nachvollziehbarkeit.
Infrastruktur
Physische Sicherheit und Rechenzentrumsbetrieb
Verfügbarkeit, Zutritt, Energie, Klima, Brandschutz, Alarmierung und organisatorische Betriebsreife.
Reden wir darüber, wo Sie stehen.
Im ersten Gespräch klären wir Entscheidungsfrage, Scope, vorhandene Nachweise und einen realistischen Umfang.