Sicherheit. Geprüft.
ISO 27001 NIS2 Notfallplanung
Sicherheitsberatung, die wirkt – mit oder ohne Audit.
Unabhängiger externer Berater für ISO 27001, NIS2 und Notfallplanung: klare Prioritäten statt noch mehr Tools.
Standards und Rahmenwerke
Kurz erklärt – zum Nachlesen anklicken
Leistungen
Unabhängige Beratung und Begleitung für den Mittelstand: von der Schwachstellenanalyse bis zu Sicherheitskonzepten nach ISO 27001, NIS2 und BSI – mit oder ohne Audit-Ziel, on-premises und in der Cloud.
-
Externer Sicherheitsberater (vCISO)
Erfahrene Sicherheitsführung nach Bedarf. Ich übernehme die CISO-Rolle in Teilzeit, steuere Ihr Sicherheitsprogramm und vertrete das Thema gegenüber Geschäftsleitung, Kunden und Prüfern, ohne die Kosten einer Vollzeitstelle.
- Sicherheitsstrategie und mehrjährige Roadmap
- Berichtswesen für Geschäftsleitung und Aufsichtsgremien
- Beantwortung von Kunden- und Lieferantenfragebögen
-
Schwachstellenanalyse und Sicherheitskonzepte
Ich frage die relevanten Sicherheitsparameter strukturiert mit Ihrem Team ab, bewerte Ihre Infrastruktur on-premises und in der Cloud und entwickle daraus priorisierte Konzepte und Empfehlungen – beratend, ohne selbst an Ihrer Konfiguration zu arbeiten.
- Strukturierte Parameter-Abfrage statt reiner Checkliste
- Bewertung on-premises und in der Cloud
- Priorisierte Konzepte und Empfehlungen
-
Sicherheitskonzepte nach ISO 27001, NIS2, BSI
Ich entwickle mit Ihnen Sicherheitskonzepte nach ISO 27001, NIS2 oder BSI IT-Grundschutz – ob mit Zertifizierungsziel oder um Ihre IT-Sicherheit strukturiert zu stärken, auch wenn kein Audit ansteht. Streben Sie eine Zertifizierung an, begleite ich Sie Schritt für Schritt bis zum bestandenen Audit.
- Gap-Analyse gegen den gewählten Standard
- Sicherheitskonzepte und Dokumentation
- Begleitung bis zum Audit, wenn gewünscht
-
Laufende Weiterentwicklung mit Ihrem Sicherheitsdienstleister
Ich begleite Sie laufend im Umgang mit Ihrem externen Sicherheitsdienstleister: Ich interpretiere die Datenlage und Berichte für Sie, nehme für Sie oder gemeinsam mit Ihnen an technischen Terminen teil und halte Workshops, mit denen Ihr Team eigene Kompetenz aufbaut.
- Laufende Interpretation der Datenlage und Berichte des Dienstleisters
- Teilnahme an technischen Terminen – für Sie oder mit Ihnen
- Workshops zum Kompetenzaufbau im Unternehmen
-
Notfall- und Kontinuitätsmanagement
Schriftliche Notfall- und Kontinuitätspläne, die auf Basis einer Business-Impact-Analyse Wiederanlaufprioritäten, Rollen und Abläufe festlegen und getestet sind, bevor der Ernstfall eintritt.
- Business-Impact-Analyse
- Wiederanlaufpläne und Runbooks
- Test- und Übungsplan
-
Datenschutz und DSGVO-Sicherheit
Technische und organisatorische Maßnahmen (TOM), die die DSGVO-Umsetzung unterstützen und zu Ihren Sicherheitskontrollen passen. Dies ist Sicherheitsberatung, keine Rechtsberatung.
- Dokumentation der TOM
- Konzepte für Zugriff, Verschlüsselung und Protokollierung
- Prozess für Datenpannen
-
Workshops und Schulungen
Praxisnahe Workshops für IT-Teams und Management: Grundlagen zu NIS2 und ISO 27001, Awareness und Tabletop-Übungen.
- Zugeschnitten auf Ihre Zielgruppe
- Übungen statt reiner Folien
- Unterlagen zur Nachbereitung
-
Sicherheits-Roadmap und laufende Begleitung
Ein priorisierter, budgetbewusster Plan und laufende Begleitung, damit Sicherheits- und Fachverantwortliche gemeinsam auf das Audit hinarbeiten.
- Nach Risiko priorisierte Maßnahmenliste
- Budget- und Aufwandsschätzung
- Quartalsweiser Fortschrittsbericht
So läuft ein Auftrag ab
-
Abgrenzen
Wir klären Ziele, betroffene Systeme und anzuwendende Standards.
-
Analysieren
Interviews, Dokumentenprüfung und technische Checks schaffen eine belastbare Faktenbasis.
-
Priorisieren
Feststellungen werden nach Risiko und Aufwand geordnet, nicht nach Menge.
-
Beraten
Sie erhalten einen schriftlichen Bericht mit Roadmap und eine Besprechung mit Ihrem Team.
Hintergrund
Ich berate IT- und Sicherheitsverantwortliche zu Schwachstellen und Compliance, on-premises und in der Cloud. Ich analysiere Schwachstellen und Risiken, entwickle Sicherheitskonzepte nach ISO 27001, NIS2 und BSI IT-Grundschutz, halte Workshops und begleite Sie laufend im Umgang mit Ihrem bestehenden Sicherheitsdienstleister, interpretiere die Datenlage und vertrete Sie bei technischen Terminen. Dabei geht es nicht nur um die Vorbereitung auf ein Audit: Auch ohne Zertifizierungsziel stärke ich Ihre IT-Sicherheit Schritt für Schritt nach denselben anerkannten Standards – etwa, wenn eigenes technisches Personal vorhanden ist, aber zusätzliche Priorisierung und Expertise für die Umsetzung gebraucht wird.
Netzwerk
Für Themen außerhalb meines Schwerpunkts arbeite ich mit zwei unabhängigen Partnern zusammen, die ich aus eigener Erfahrung empfehlen kann.
-
Datenschutz
VB-Datenschutz
Für den Datenschutz arbeite ich mit der VB-Datenschutz GmbH zusammen. VB-Datenschutz begleitet Unternehmen und öffentliche Stellen bei Datenschutz, Hinweisgeberschutz und KI-Governance, unter anderem als externer Datenschutzbeauftragter für Unternehmen und als behördlicher Datenschutzbeauftragter für Kommunen und andere öffentliche Stellen. Die Betreuung erfolgt bundesweit und mit festen Ansprechpartnern. Als nachgewiesene Fachkunde nennt VB-Datenschutz die DEKRA-Fachkunde sowie Mitgliedschaften in BvD und GDD. So verbinden sich IT-Sicherheit und Datenschutz inhaltlich, bleiben aber zwei eigenständige, unabhängige Leistungen.
-
Red Teaming und Penetrationstests
SiSoBe
Für technische Sicherheitstests arbeite ich seit vielen Jahren mit SiSoBe zusammen. SiSoBe führt manuelle Penetrationstests für Websites, Webanwendungen und Active-Directory-Umgebungen nach OWASP-Standard durch und ist mit dem OSCP+ zertifiziert – einer der anspruchsvollsten und in der Pentester-Szene angesehensten praktischen Zertifizierungen. Durch regelmäßige Teilnahme an Security-Events und Plattformen wie Hack The Box und TryHackMe bleibt er immer auf dem neuesten Stand der Technik. So lässt sich eine Schwachstellenanalyse bei Bedarf um einen praktischen technischen Test ergänzen, als eigenständige, unabhängige Leistung.
Häufige Fragen
Muss ich ein Audit oder eine Zertifizierung anstreben, um mit Ihnen zusammenzuarbeiten?
Nein. Viele Kunden stärken ihre IT-Sicherheit laufend nach ISO 27001, NIS2 oder BSI IT-Grundschutz, ohne eine Zertifizierung anzustreben – etwa, wenn eigenes technisches Personal vorhanden ist, aber zusätzliche Priorisierung und Expertise für die Umsetzung gebraucht wird. Ein Audit ist eine mögliche Zielsetzung, keine Voraussetzung.
Was ist ein externer Cyber-Security-Berater bzw. vCISO?
Ein vCISO ist eine erfahrene Sicherheitsführungskraft, die in Teilzeit oder projektbezogen für Sie arbeitet. Sie erhalten Strategie, Governance und praktische Unterstützung, ohne einen Vollzeit-CISO einzustellen.
Gilt NIS2 für mein Unternehmen?
Das hängt von Branche, Größe und Rolle in der Lieferkette ab. Am Anfang steht meist eine Betroffenheitsprüfung: ein kurzes Gespräch und die Sichtung Ihrer Geschäftstätigkeit.
Wie lange dauert die Vorbereitung auf ISO 27001?
Das hängt von Größe, Geltungsbereich und aktuellem Reifegrad ab. Eine Gap-Analyse zeigt den realistischen Zeitplan; viele Organisationen benötigen mehrere Monate vom Start bis zum Zertifizierungsaudit.
Erstellen Sie Notfall- und Kontinuitätspläne?
Ja. Die Pläne entstehen gemeinsam mit IT und Fachbereichen auf Basis einer Business-Impact-Analyse und enthalten einen Zeitplan für Tests.
Arbeiten Sie mit unserem bestehenden Sicherheitsdienstleister zusammen?
Ja. Ich nehme bei Bedarf an den entsprechenden Terminen teil, vertrete Ihre Interessen, übersetze die technischen Inhalte und fasse das Ergebnis schriftlich für Sie zusammen.