Vom konkreten Anlass zur nachweisbaren Informationssicherheit
Ob gesetzliche Pflicht, Kundenanforderung oder Sicherheitsvorfall: Der Einstieg in eine strukturierte Informationssicherheit beginnt meist mit einem konkreten Anlass. Hier finden Sie typische Ausgangslagen, die zu klärenden Fragen und den jeweils passenden ersten Schritt.
NISG 2026: Einstufung und Registrierung
Ausgangslage
Das NISG 2026 gilt seit 1. Oktober 2026. Bereits betroffene Einrichtungen registrieren sich bis 31. Dezember 2026, später hinzukommende binnen drei Monaten. Ob ein Unternehmen als wesentliche oder wichtige Einrichtung gilt, hängt vor allem von Sektor, Tätigkeit und Unternehmensgröße ab; im Einzelfall können weitere Umstände maßgeblich sein.
Rollen
Geschäftsführung genehmigt die Risikomanagementmaßnahmen und überwacht ihre Umsetzung.
IT / Systemhaus liefert die technischen Angaben und setzt die priorisierten Maßnahmen um.
Was zu klären ist
- Ist das Unternehmen in einem der erfassten Sektoren tätig, und wird die maßgebliche Größenschwelle erreicht?
- Welche Pflichten folgen daraus für Registrierung, Risikomanagement und Meldewesen?
- Wie werden Genehmigung und Überwachung der Maßnahmen durch die Leitungsorgane dokumentiert?
Wie wir unterstützen
Der Selbstcheck liefert eine erste Einstufung. Im Erstgespräch prüfen wir das Ergebnis, unterstützen bei der Vorbereitung der Registrierung und überführen die Pflichten in einen Umsetzungsplan (Leistungsmodul A.3). Das GAP- & Risiko-Audit zeigt, wo der Ist-Zustand von den Anforderungen abweicht.
Ergebnis
Eine nachvollziehbare Einstufung, vorbereitete Angaben für die Registrierung und eine priorisierte Roadmap für die gesetzlichen Pflichten.
Erster Schritt: Selbstcheck durchführen und das Ergebnis im Erstgespräch gemeinsam einordnen.
Die rechtliche Beurteilung im Einzelfall bleibt der Rechtsberatung vorbehalten.
Sicherheitsanfrage eines Kunden
Ausgangslage
Größere Kunden müssen die Informationssicherheit ihrer Lieferanten zunehmend nachweisbar steuern, häufig aufgrund eigener Pflichten aus dem NISG 2026. Sie verlangen deshalb Fragebögen, Nachweise oder vertragliche Zusagen – oft mit kurzer Frist und vor einer Vertragsverlängerung.
Rollen
Geschäftsführung entscheidet über Zusagen gegenüber dem Kunden.
IT / Systemhaus bestätigt den technischen Stand und setzt zugesagte Maßnahmen um.
Was zu klären ist
- Welche Anforderungen stellt der Kunde, und welche Nachweise erwartet er?
- Welche Antworten lassen sich mit vorhandenen Maßnahmen und Unterlagen belegen?
- Wo bestehen Lücken, und welche Zusagen sind realistisch einzuhalten?
Wie wir unterstützen
Wir werten die Anfrage aus, stimmen die Antworten mit Ihrer IT bzw. Ihrem Systemhaus ab und belegen sie mit vorhandenen Unterlagen. Fehlende Richtlinien oder Nachweise erstellen wir gezielt (Leistungsmodul E.5). Bei umfangreichen Anforderungen schafft das GAP- & Risiko-Audit die Grundlage.
Ergebnis
Fachlich belastbare Antworten, eine geordnete Nachweisablage für künftige Anfragen und ein Plan für offene Punkte.
Erster Schritt: Erstgespräch mit dem Fragebogen bzw. den Anforderungen Ihres Kunden und der gesetzten Frist.
Cyber-Versicherung
Ausgangslage
Versicherer machen Abschluss und Verlängerung einer Cyber-Versicherung zunehmend von bestimmten Sicherheitsmaßnahmen abhängig, etwa von Multi-Faktor-Authentifizierung oder vom Netz getrennten Datensicherungen. Im Schadensfall prüft der Versicherer, ob die vereinbarten Maßnahmen umgesetzt und dokumentiert waren.
Rollen
Geschäftsführung verantwortet die Angaben gegenüber dem Versicherer.
IT / Systemhaus setzt die geforderten Maßnahmen um und dokumentiert den technischen Stand.
Was zu klären ist
- Welche Obliegenheiten und Sicherheitsanforderungen enthalten Vertrag und Antragsfragebogen?
- Sind die angegebenen Maßnahmen tatsächlich umgesetzt und belegbar?
- Wie bleibt die Dokumentation über die Vertragslaufzeit aktuell?
Wie wir unterstützen
Wir gleichen die Anforderungen des Versicherers mit dem Ist-Zustand ab, insbesondere bei Datensicherung und Notfallvorsorge (Leistungsmodule C.4 und C.5), und strukturieren die Nachweise. Das GAP- & Risiko-Audit bezieht die Klauseln Ihrer Cyber-Versicherung ausdrücklich ein.
Ergebnis
Ein Abgleich zwischen Vertragsanforderungen und umgesetzten Maßnahmen sowie eine nachvollziehbare Dokumentation für Antrag, Verlängerung und Schadensfall.
Erster Schritt: Erstgespräch mit Polizze, Antragsfragebogen und den vereinbarten Obliegenheiten.
Die Auslegung der Versicherungsbedingungen bleibt Ihrem Versicherungsmakler bzw. der Rechtsberatung vorbehalten.
Audit oder Zertifizierung
Ausgangslage
Eine Zertifizierung nach ISO 27001, das Gütesiegel Cyber Trust Austria oder ein Audit durch einen Kunden steht an. Häufig sind Maßnahmen umgesetzt, aber Richtlinien, Verantwortlichkeiten und Nachweise liegen nicht in der Form vor, die eine Prüfung verlangt.
Rollen
Geschäftsführung stellt die Ressourcen bereit und verantwortet das Managementsystem.
IT / Systemhaus liefert die technischen Nachweise und behebt festgestellte Abweichungen.
Was zu klären ist
- Welcher Standard bzw. welches Prüfschema ist gefordert, und in welchem Umfang?
- Welche Dokumente und Nachweise fehlen oder sind nicht aktuell?
- Welcher Zeitplan ist bis zum Prüftermin realistisch?
Wie wir unterstützen
Wir bewerten die Ausgangslage, planen die Vorbereitung und führen interne Audits durch (Leistungsmodul A.6). Bei externen Prüfungen begleiten wir die Vorbereitung und den Prüftermin (Leistungsmodul A.7). Die Zertifizierung selbst erteilt eine unabhängige Zertifizierungsstelle.
Ergebnis
Ein Vorbereitungsplan bis zum Prüftermin, vollständige und aktuelle Nachweise sowie Klarheit über verbleibende Abweichungen.
Erster Schritt: Erstgespräch mit dem geforderten Standard bzw. Prüfschema und dem geplanten Prüftermin.
Investitionsentscheidung
Ausgangslage
Die IT oder das Systemhaus sieht Handlungsbedarf, etwa bei Datensicherung, Netzsegmentierung oder Zugriffsschutz. Für die Geschäftsführung ist jedoch schwer einzuschätzen, welches Risiko die Investition verringert und wie dringend sie ist.
Rollen
Geschäftsführung entscheidet auf Basis einer nachvollziehbaren Risikobewertung.
IT / Systemhaus bringt den technischen Bedarf ein und plant die Umsetzung der freigegebenen Maßnahmen.
Was zu klären ist
- Welches Geschäftsrisiko adressiert die Maßnahme, und welche Folgen hätte ein Verzicht?
- Wie verhält sich die Maßnahme zu Pflichten aus Gesetz, Verträgen und Versicherung?
- In welcher Reihenfolge sind die Investitionen sinnvoll?
Wie wir unterstützen
Wir bewerten die vorgeschlagenen Maßnahmen unabhängig und ohne Verkaufsinteresse, ordnen sie in das Risikomanagement ein (Leistungsmodul A.1) und bereiten sie als Entscheidungsvorlage für die Geschäftsführung auf (Leistungsmodul A.8). Für eine umfassende Priorisierung ist das GAP- & Risiko-Audit die Grundlage.
Ergebnis
Eine Entscheidungsvorlage, die Risiko, Aufwand und Wirkung gegenüberstellt, und eine abgestimmte Reihenfolge der Investitionen.
Erster Schritt: Erstgespräch zu einer konkreten Maßnahme mit dem Vorschlag Ihrer IT bzw. Ihres Systemhauses.
Sicherheitsvorfall
Ausgangslage
Ein Sicherheitsvorfall ist eingetreten oder konnte nur knapp verhindert werden, etwa ein Ransomware-Angriff, ein kompromittiertes E-Mail-Konto oder ein Datenabfluss. Neben der technischen Bewältigung sind Meldepflichten, Kommunikation und Entscheidungen der Geschäftsführung zu steuern.
Rollen
Geschäftsführung leitet den Krisenstab und verantwortet Meldungen und Kommunikation.
IT / Systemhaus analysiert, begrenzt und behebt den Vorfall technisch.
Was zu klären ist
- Bestehen Meldepflichten, etwa nach dem NISG 2026 oder der DSGVO, und welche Fristen gelten?
- Wer entscheidet, wer kommuniziert intern und extern, und wie werden Entscheidungen dokumentiert?
- Welche Lehren ergeben sich, und welche Maßnahmen verhindern eine Wiederholung?
Wie wir unterstützen
Bei einem akuten Vorfall unterstützen wir die Geschäftsführung bei der Steuerung des Krisenstabs (Leistungsmodul OD.4) und bei den behördlichen Meldungen (Leistungsmodul C.7). Die technische Analyse und Wiederherstellung übernehmen Ihre IT, Ihr Systemhaus bzw. spezialisierte Forensik-Dienstleister. Nach dem Vorfall bauen wir Notfallpläne und Krisen-Playbooks auf (Leistungsmodul C.6).
Ergebnis
Geordnete Entscheidungen und Meldungen im Ereignisfall sowie vorbereitete Abläufe für künftige Vorfälle.
Erster Schritt: Bei einem laufenden Vorfall der direkte Anruf, danach ein Erstgespräch zur Aufarbeitung.
Bei einem akuten Vorfall erreichen Sie uns telefonisch unter +43 720 317007.
Ihr Anlass ist nicht dabei?
Viele Ausgangslagen lassen sich keinem einzelnen Anlass zuordnen. Im unverbindlichen Erstgespräch klären wir Ihre Situation und den sinnvollen ersten Schritt. Leistungsumfang und Konditionen stimmen wir individuell mit Ihnen ab.