Lückenanalyse
Wir vergleichen den Ist-Zustand mit den Anforderungen der Regelung oder des Standards: Dokumente, Kontrollen, Prozesse. Sie erhalten eine priorisierte Liste und einen realistischen Plan.
Compliance
NIS2, DORA und ISO 27001 verlangen keinen Ordner voller Dokumente, sondern ein funktionierendes System: Risikomanagement, Sicherheitskontrollen, Verfahren für Vorfälle und Nachweise. Wir helfen Ihnen, es aufzubauen, zu pflegen und einem Auditor vorzuführen, mit von ISACA und PECB zertifizierten Spezialisten.
Ausgelegt für ISO 27001NIS2 DORA
- NIS2-Richtlinie
- DORA
- CISO as a Service (vCISO)
Compliance, die auch zwischen den Audits funktioniert
- NIS2 · DORA Umsetzung vom Risiko bis zu den Meldeverfahren
- ISO 27001 Einführung eines ISMS bis zum Zertifizierungsaudit
- vCISO eine Sicherheitsleitung ohne Vollzeitstelle
- ISACA + PECB zertifizierte Auditoren und Implementierer
Compliance-Projekte enden oft mit einem Ordner voller Dokumente, die nichts damit zu tun haben, wie das Unternehmen tatsächlich arbeitet. Ein Auditor bemerkt das in der ersten Stunde, eine Aufsichtsbehörde nach einem Vorfall. NIS2, DORA und ISO 27001 verlangen im Kern dasselbe: die eigenen Risiken kennen, Kontrollen zu ihrer Beherrschung haben, auf Vorfälle nach Verfahren reagieren und alles belegen.
Unser Vorteil ist, dass wir zugleich IT-Dienstleister und Compliance-Berater sind. Die Dokumente, die wir schreiben, beruhen auf dem, was wir selbst betreuen: EDR, MFA, Backup, Schwachstellen-Scans, SOC-Überwachung. So beschreibt die Richtlinie, was die Systeme tun, und die Audit-Nachweise entstehen aus der täglichen Betreuung, statt vor dem Audit geschrieben zu werden. Die Projekte leiten Spezialisten mit den Zertifizierungen CISA, CISM, CRISC und ISO/IEC 27001 Lead Implementer.
Leistungen
NIS2-Richtlinie
Für wen sie gilt, was Sie an Dokumenten und Systemen brauchen, wie Vorfälle gemeldet werden: Umsetzung von A bis Z.
Mehr erfahren 
DORA
Für Finanzinstitute und ihre IT-Dienstleister: IKT-Risikomanagement, Vorfälle, Resilienztests, Risiken durch Dritte.
Mehr erfahren 
CISO as a Service (vCISO)
Eine Sicherheitsleitung ohne Vollzeitstelle: Richtlinien, Risikoregister, Notfallplan, Berichte an die Geschäftsleitung, Audit-Koordination.
Mehr erfahren 
IT-Sicherheitsaudit
Technische und prozessuale Bewertung mit Risikoeinstufung und Maßnahmenplan, durch CISA-zertifizierte Auditoren.
Mehr erfahren 
Risikobewertung
Risikoregister, Bewertungsmethodik und Maßnahmenplan nach ISO 27005 und den Anforderungen von NIS2 / DORA.
Mehr erfahren 
Sicherheitsrichtlinien und Verfahren
Ein Dokumentensatz, der zur Arbeitsweise des Unternehmens passt: Zugriff, Backup, Vorfälle, Lieferanten, Mitarbeitende.
Mehr erfahren 
Compliance-Beratung
Für den Fall, dass Sie Sicherheitsfragebögen von Kunden beantworten, eine Ausschreibung vorbereiten oder prüfen müssen, ob eine Regelung für Sie gilt.
Mehr erfahren NIS2, DORA und ISO 27001: was für wen gilt
Drei verschiedene Anforderungen, ein Sicherheitssystem.
| NIS2 | DORA | ISO 27001 | |
|---|---|---|---|
Was es ist | eine EU-Richtlinie, in nationales Cybersicherheitsrecht umgesetzt | eine EU-Verordnung für den Finanzsektor, anwendbar seit dem 17. Januar 2025 | ein internationaler Standard für Informationssicherheits-Managementsysteme |
Für wen es verpflichtend ist | wesentliche und wichtige Einrichtungen: Energie, Verkehr, Gesundheit, digitale Infrastruktur und mehr | Banken, Kreditgenossenschaften, Versicherer, Zahlungsinstitute und ihre IKT-Dienstleister | für niemanden per Gesetz; gefordert von Kunden, Ausschreibungen und Partnern |
Was es verlangt | Risikomanagement, Sicherheitsmaßnahmen, Meldung von Vorfällen, Kontrolle der Lieferkette | IKT-Risikomanagement, Vorfälle, Resilienztests, ein Register der Drittanbieter | ein ISMS: Richtlinien, Risiken, Kontrollen, interne Audits, kontinuierliche Verbesserung |
Meldung von Vorfällen | Erstmeldung innerhalb von 24 Stunden, Bericht innerhalb von 72 Stunden | an die Aufsichtsbehörde innerhalb der Fristen der Verordnung | internes Verfahren im Rahmen des ISMS |
Nachweise | Dokumente und Berichte für das BSI | Register, Berichte, Testprotokolle | Zertifizierungsaudit alle 3 Jahre, Überwachungsaudits jedes Jahr |
Wie wir helfen | Audit, Risiken, Richtlinien, Kontrollen, vCISO | IKT-Risikoregister, PlanB, Übungen, Lieferantenregister | ISMS-Einführung bis zur Zertifizierung (Lead Implementer) |
Wie ein Compliance-Projekt abläuft
Von der Lückenanalyse bis zum Audit, je nach Umfang meist innerhalb von 3–6 Monaten.
Risiken und Richtlinien
Wir erstellen das Risikoregister und bereiten Richtlinien und Verfahren vor, abgestimmt auf die Arbeitsweise des Unternehmens und die Systeme, die wir betreuen.
Kontrollen
Wir setzen die fehlenden Kontrollen um: MFA, EDR, Backup, Schwachstellen-Management, SOC-Überwachung, PlanB, damit die Dokumente beschreiben, was die Systeme tun.
Nachweise und Audit
Wir sammeln Nachweise, führen Übungen zu Vorfällen und zur Wiederherstellung durch, begleiten Sie durch das Audit und pflegen das System weiter, bei Bedarf mit einem vCISO-Service.
Häufige Fragen zur Compliance
Gilt NIS2 für uns?
Das hängt von Ihrer Branche und Größe ab. In der ersten Beratung prüfen wir, ob Sie eine wesentliche oder wichtige Einrichtung sind oder ob die Anforderungen Sie als Lieferanten über Ihre Kunden erreichen.
Wie lange dauert ISO 27001?
Für ein kleines oder mittleres Unternehmen meist 4–8 Monate bis zum Zertifizierungsaudit, je nach Ausgangslage. Ein Teil dieser Zeit entfällt nicht auf Dokumente, sondern auf die Umsetzung von Kontrollen und die Veränderung von Gewohnheiten.
Können Sie sowohl auditieren als auch umsetzen?
Um die Unabhängigkeit zu wahren, führt eine externe Stelle das Zertifizierungsaudit durch. Wir übernehmen interne Audits, Lückenanalyse und Umsetzung, mit unterschiedlichen Personen in unterschiedlichen Rollen.
Was, wenn wir keine eigene IT-Abteilung haben?
Dann sind wir Ihr IT-Dienstleister und Ihr Compliance-Partner zugleich: Wir setzen die Kontrollen selbst um und betreuen sie, sodass die Audit-Nachweise aus der täglichen Betreuung entstehen.
Fachwissen, das Zertifizierungen belegen
Diese Leistung erbringen Spezialisten mit gültigen internationalen Zertifizierungen. Ihr Fachwissen bestätigen unabhängige Organisationen, nicht wir selbst.
-
Certified Information Systems Auditor
Audit und Nachweise nach den internationalen Standards für die Prüfung von Informationssystemen.
-
Certified Information Security Manager
Sicherheitssteuerung, Richtlinien und Vorfallprozesse nach der ISACA-Methodik.
-
Certified in Risk and Information Systems Control
Risiken werden mit der internationalen Methodik für IT-Risiken bewertet und gesteuert.
-
ISO/IEC 27001 Lead Implementer
Die Leistung wird nach den Anforderungen eines Managementsystems nach ISO/IEC 27001 erbracht.
Compliance-Angebot anfordern
Sagen Sie uns, welche Regelung oder welcher Standard für Sie relevant ist. Innerhalb eines Werktags schlagen wir einen Plan und eine Aufwandsschätzung vor.
Antwort innerhalb von 1 Werktag