Danach weißt du, wo dein Unternehmen steht. Und was zuerst dran ist.
Nicht als Gutachten, das im Schrank landet, sondern als Plan mit Reihenfolge, Aufwand und Kosten. Belastbar genug, um ihn der Geschäftsführung vorzulegen.
Betroffenheit kostenlos prüfen Direkt zum Souveränitäts- und Resilienz-Check.jpg)
Der Anlass kommt meistens von außen
Kaum jemand beginnt aus eigenem Antrieb. Der Auslöser sitzt fast immer woanders und hat ein Datum.
- Ein Großkunde verlangt einen Nachweis, sonst wird der Rahmenvertrag nicht verlängert.
- Die Registrierungspflicht aus NIS2 greift und niemand weiß sicher, ob das Unternehmen betroffen ist.
- Eine Ausschreibung setzt ein Zertifikat voraus, das es noch nicht gibt.
- Die Zertifizierung steht an und niemand weiß genau, wie weit die Vorbereitung wirklich ist.
- Ein Kundenfragebogen fragt nach dem KI-Einsatz und offen ist, welche Pflichten daraus folgen.
Das Problem ist selten fehlendes Wissen, sondern fehlende Reihenfolge. Es gibt fast immer zu viel zu tun und zu wenig Klarheit darüber, was davon zuerst zählt.
Jeder kennt seine Software. Kaum jemand weiß, wovon er abhängt.
Die meisten Unternehmen wissen genau, welche Software sie einsetzen. Was sie sich damit an Abhängigkeiten einkaufen, wissen deutlich weniger. Wer hat die Hoheit über die Verschlüsselung eurer Daten, in wessen Rechtsraum liegen sie und wie lange dauert es wirklich, bis ihr nach einem Ausfall wieder arbeitet?
Das sind keine reinen IT-Fragen. Das sind vor allem unternehmerische Fragen. Und sie werden meistens erst gestellt, wenn es zu spät ist, sie in Ruhe zu beantworten.
Souveränitäts- und Resilienz-Check
Wovon hängt euer Geschäft ab und wie schnell seid ihr nach einem Ausfall wieder da? Ihr bekommt einen belastbaren ersten Überblick: wo ihr wirklich die Wahl habt, wo ihr gebunden seid, wie es um die Widerstandsfähigkeit steht und wovon es abhängt, wie schnell ihr wieder arbeitet. Unabhängig von Normen und Vorschriften: Es geht um euer Unternehmen, nicht um eine Checkliste.
Souveränität
- Wo liegen eure Daten physisch und welche Rechtsordnung greift darauf zu?
- Wer kann eure Daten entschlüsseln und haltet ihr eigene Schlüssel?
- Wie schnell könnt ihr wechseln, wenn ein Anbieter kündigt, ausfällt oder den Preis verdoppelt?
- Wer hat die Hoheit über eure Benutzerkonten?
- Welche eurer Daten fließen heute in fremde KI-Modelle, gewollt und ungewollt?
Resilienz
- Welche Prozesse dürfen nicht stehen und wovon hängen sie wirklich ab?
- Wie lange dauert der Wiederanlauf tatsächlich und wurde die Wiederherstellung je erprobt?
- Welches System, welcher Dienstleister, welche Person ist aktuell nicht ersetzbar?
- Wer entscheidet im Ernstfall, wer meldet und wer spricht mit euren Kunden?
.jpg)
So läuft der Check ab
Der Auswertungstag
Am Vormittag sitzen die Geschäftsführung und die Bereiche, die es betrifft, an einem Tisch: in der Regel IT und Einkauf, je nach Lage weitere. Etwa eine Stunde lang spielen wir eine Abhängigkeit durch, die aus eurer eigenen Erhebung stammt. Kein technischer Ausfall, sondern der Fall, dass eine Abhängigkeit bricht: Ein Anbieter kündigt, ein Rechtsraum ändert sich, ein Zugang liegt bei jemand anderem.
Das ist kein Test mit Note. Der Raum soll die eigene Lage einmal erleben, bevor er am Nachmittag über sie entscheidet. Erfahrungsgemäß fällt der Groschen in den ersten zwanzig Minuten.
Nicht zu verwechseln mit einer Notfall- und Krisenübung. Hier wird eine strategische Abhängigkeit durchgespielt, dort der Ernstfall trainiert. Beides hat seinen Platz, aber es ist nicht dasselbe.
.jpg)
Was der Check nicht ist
Der Check bewegt sich auf Entscheidungs- und Vertragsebene: Wer hält was, was steht im Vertrag, was ist getestet. Er ersetzt keine technische Prüfung einzelner Systeme und ist auch kein Audit.
Was danach möglich ist
Manche Unternehmen setzen den Maßnahmenplan selbst um. Für alle anderen ist der naheliegendste Anschluss der Manager Digitale Souveränität und Resilienz, der genau diese Befunde über die Zeit bearbeitet. Daneben kommen infrage: ein ISB- oder CISO-Mandat, eine Interimsbesetzung, wenn die Rolle unbesetzt ist, oder Sparring für die verantwortliche Person.
Und wenn der Anlass schon feststeht
Dann braucht es keine volle Erhebung. Drei Wege, je nachdem, wie weit das Unternehmen ist.
Klarheit über eine Pflicht
wenn eine Vorschrift greift und die Folgen unklar sindNIS2-Standortbestimmung
Der schnelle Weg zur Klarheit über die Pflichten aus dem BSIG. Kickoff, ein Tag vor Ort oder remote, Abgleich gegen die Pflichten, priorisierter Maßnahmenplan, Präsentation vor der Geschäftsführung. Ergebnis innerhalb von drei Wochen ab Abschluss der Fachgespräche.
KI-Governance-Check
Eine belastbare Einschätzung, welche KI-Nutzung im Unternehmen zu welchen Pflichten führt und was zuerst geregelt gehört. Orientiert an EU AI Act und ISO/IEC 42001.
Vor dem Audit (ISO 27001)
wenn ein Termin steht und die Unsicherheit noch vorhanden istAudit-Generalprobe
Ein internes Audit vor dem Zertifizierungsaudit. Die Findings sind bekannt, bevor sie eine Zertifizierungsstelle findet. Dazu ein Korrekturplan mit Terminen und Verantwortlichkeiten. Der Umfang folgt derselben Systematik, mit der auch Zertifizierungsstellen ihre Audittage berechnen.
Zertifizierungsreife prüfen
Für Unternehmen mit laufendem Managementsystem: Abgleich gegen Norm und Anhang A, Prüfung der Pflichtdokumentation, interne Auditsimulation, Korrekturplan und die Begleitung durch die Stufe 1.
Zum Zertifikat (ISO 27001)
wenn am Ende ein Nachweis stehen mussZertifizierung vorbereiten
Ein Managementsystem ist vorhanden, aber lückenhaft. Wir schließen die Lücken bis zur Auditreife, in Etappen, die neben dem Tagesgeschäft zu schaffen sind.
Zertifizierung von Grund auf
Es gibt noch kein Managementsystem. Von der ersten Richtlinie bis zum Zertifizierungsaudit, mit einer Ansprechperson und einem Plan bis dorthin. Über das Zertifikat entscheidet die Zertifizierungsstelle, nicht ich.
Managementsystem aufbauen und verantworten
Vom ersten Dokument bis zum laufenden System. Und zwar so lange, bis das Team die Verantwortung selbst trägt. Wer die Rolle dauerhaft besetzen lassen will, findet das unter Interim und CISO-Service.
Alle Preise netto in Euro, zuzüglich Reise- und Nebenkosten. Als Festpreis gekennzeichnete Angebote sind fest, alle übrigen Angaben sind Ab-Preise. Zusätzliche Termine vor Ort und Standortbegehungen werden nach Tagessatz gesondert ausgewiesen. Remote ist bei allen Leistungen eine gleichwertige Option. Einzige Ausnahme ist der Souveränitäts- und Resilienz-Check, dessen Auswertungstag vor Ort stattfindet.
KI-Security braucht kein zweites System
Hier geht es um die Sicherheitsseite von KI, nicht um ein KI-Managementsystem nach ISO/IEC 42001. Das wäre tatsächlich ein eigenes System. Für die Sicherheitsfragen gilt das nicht: Sie lassen sich in ein bestehendes ISMS einhängen. Der häufigste Fehler ist, stattdessen etwas Neues danebenzustellen. Das verdoppelt die Arbeit und niemand pflegt am Ende beides.
Im Managementsystem
Bestehende Regelwerke werden um KI-Bausteine ergänzt, statt ein zweites System daneben aufzubauen.
In NIS2 und Regulatorik
Der Umgang mit KI wird in das vorhandene Risikomanagement aufgenommen.
Im Audit
Der KI-Einsatz wird Prüfgegenstand innerhalb des bestehenden Umfangs.
Wo es tiefer gehen soll, etwa als Bestandsaufnahme des KI-Einsatzes oder als Betrachtung eines ganzen Geschäftsprozesses, klären wir das im Gespräch. Der KI-Governance-Check oben ist der Einstieg dafür.
Warum du dich auf diese Einschätzung verlassen kannst
Prüfen und beraten sind zwei verschiedene Blickrichtungen. Ich kenne beide aus der Praxis.
Für wen das hier nichts ist
- Wenn am Ende nur das Zertifikat zählt und sich im Unternehmen nichts ändern soll. Ein Managementsystem, das niemand lebt, übersteht vielleicht ein Audit. Geschützt ist damit nichts.
- Wenn ein Gutachten gebraucht wird, das eine bereits getroffene Entscheidung bestätigt. Meine Einschätzung steht vor dem Ergebnis fest, nicht danach.
- Wenn die Rolle dauerhaft besetzt werden soll, statt beraten zu werden. Dann führt Interim und CISO-Service schneller zum Ziel.
- Wenn es nicht um das Unternehmen geht, sondern um Sicherheit in der eigenen Rolle. Dafür gibt es Sparring.
Erst prüfen, ob es euch überhaupt betrifft
30 Minuten im Videocall, danach eine schriftliche Kurzeinschätzung zur Betroffenheit nach NIS2. Kostenlos, ohne Anschlussverpflichtung. Wenn keine Pflicht besteht, ist das auch ein Ergebnis.
Betroffenheit kostenlos prüfen Oder direkt einen Termin buchen.jpg)