Informationswerte wirksam schützen
Sie planen ein neues IT-System oder Fachverfahren und müssen dafür ein Informationssicherheitskonzept erstellen lassen? Sie brauchen Klarheit über Anforderungen, Risiken und notwendige Maßnahmen.
Mit secuvera klären Sie zunächst die passende Methodik und den nötigen Umfang. Anschließend erstellen, prüfen oder aktualisieren wir Ihr Sicherheitskonzept. Geeignete vorhandene Unterlagen beziehen wir ein.
Anforderungen und Konzeptumfang gemeinsam klären
Ihre Situation
Ihr vorhandenes Konzept passt nicht mehr zum aktuellen System. Ein Auftraggeber verlangt einen Nachweis oder eine Prüfung hat Lücken aufgezeigt. Vielleicht fehlen Ihnen auch die Ressourcen oder die methodische Erfahrung für ein neues Konzept.
Sie brauchen zunächst Klarheit darüber, welche Vorgaben gelten und welche Systeme und Abhängigkeiten dazugehören. Daraus ergibt sich, ob eine Prüfung, eine Fortschreibung oder eine Neuerstellung sinnvoll ist. Wir klären das mit Ihnen und stimmen die geeignete Methodik ab.
Leistung und Ergebnisse
Sie können jede der drei Leistungen einzeln beauftragen. Welche Analysen und Schritte dazugehören, bestimmen die geltenden Anforderungen, die betrachteten Systeme und der vereinbarte Umfang.
Unser Vorgehen
Sie erhalten je nach Auftrag ein zusammenhängendes Sicherheitskonzept, einen eigenständigen Prüfbericht oder eine vollständig aktualisierte Konzeptfassung. Dafür benötigen Sie kein bestehendes Informationssicherheitsmanagementsystem (ISMS).
Grundlage unserer Arbeit sind eigene Prozesse, die wir seit vielen Jahren verbessern. Innerhalb dieses Vorgehens wählen wir die fachliche Methodik passend zu Ihrer Aufgabe. Ihre Verantwortlichen bringen dabei ihr Wissen über Systeme und Abläufe ein.
Sie erläutern den Anlass und das gewünschte Ergebnis. Gemeinsam klären wir die regulatorischen, vertraglichen und internen Vorgaben. Danach grenzen wir die Systeme, Prozesse und relevanten Abhängigkeiten ab und stimmen die Methodik mit Ihnen ab.
Abgestimmter Projektumfang
Betrachtungsgegenstand, Vorgehen und erwartetes Ergebnis sind festgelegt.
Wir entnehmen geeignete Informationen möglichst eigenständig aus Ihrer Dokumentation. Fehlende Angaben erheben wir anschließend in strukturierten Interviews und Workshops. Ihre Verantwortlichen aus Informationssicherheit, IT und Fachbereichen erläutern dafür Systeme und Abläufe.
Nutzbare Informationsbasis
Verwertbare Vorarbeiten und ergänzte Angaben stehen für die Analysen und Bewertungen bereit.
Bei der Neuerstellung erarbeiten wir die erforderlichen Analysen und Maßnahmen. Bei der Prüfung bewerten wir vorhandene Inhalte anhand der vereinbarten Kriterien. Für eine Fortschreibung bearbeiten wir die von Änderungen betroffenen Teile. Ihre zuständigen Personen stimmen Bewertungen mit uns ab und treffen die erforderlichen Entscheidungen.
Bewerteter Handlungsbedarf
Es ist erkennbar, welche Maßnahmen erforderlich sind und wo Entscheidungen ausstehen.
Zum Abschluss dokumentieren wir die Ergebnisse passend zum Auftrag: als neues Konzept, eigenständigen Prüfbericht oder aktualisierte Gesamtfassung. Bewertungen und Empfehlungen halten wir nachvollziehbar fest. Offene Risiken und notwendige Entscheidungen bleiben sichtbar.
Ihre Entscheidungsgrundlage
Mit dem Dokument können Sie Maßnahmen planen, Verbesserungen veranlassen und Sicherheitsentscheidungen begründen.
Wir verbinden methodische und technische Erfahrung aus Sicherheitskonzepten für unterschiedliche Organisationen, IT-Systeme und Fachverfahren. So können wir Anforderungen aus Regelwerken mit den technischen Zusammenhängen Ihrer Umgebung abgleichen.
Vorhandene Systembeschreibungen, Schutzbedarfsfeststellungen, Risikoanalysen und Maßnahmenbeschreibungen prüfen wir auf Eignung und Aktualität. Verwertbare Inhalte übernehmen und ergänzen wir gezielt. Das erhält bereits geleistete Arbeit und vermeidet doppelte Erhebungen.
Bei IT-Grundschutz wählen wir die Bausteine passend zum tatsächlichen Informationsverbund. Verbindliche Anforderungen und relevante Abhängigkeiten bleiben dabei berücksichtigt. Erlaubt Ihre Aufgabe ein schlankeres Vorgehen, empfehlen wir es. Unsere Empfehlungen richten sich nach den Sicherheitsanforderungen und sind unabhängig vom Verkauf technischer Produkte.
Ihr Einstieg
Beschreiben Sie das System, Fachverfahren oder den Informationsverbund. Hilfreich sind bekannte Anforderungen, vorhandene Konzepte, Systembeschreibungen und Feststellungen aus früheren Prüfungen.
Benennen Sie Personen aus Informationssicherheit, IT und den betroffenen Fachbereichen. Sie liefern Informationen und stimmen Bewertungen mit uns ab. Den nötigen Aufwand berücksichtigen wir bei der Projektplanung. Entscheidungen über Risiken und Maßnahmen bleiben bei Ihren Verantwortlichen.
Das Sicherheitskonzept dokumentiert Anforderungen, Risiken und Maßnahmen. Damit daraus Schutz entsteht, müssen die erforderlichen Maßnahmen umgesetzt werden. Ein fertiges Dokument allein gewährleistet noch keine Informationssicherheit.
Der Auftrag ist ein einzelnes Projekt zur Erstellung, Prüfung oder Fortschreibung. Optional begleiten wir Sie fachlich bei der Umsetzung. Die technische Implementierung und eine dauerhafte Betreuung gehören nicht zum Umfang. Spätere Prüfungen oder Aktualisierungen vereinbaren wir als weitere Projekte; Penetrationstests sind separat beauftragbar.
Ihre zuständigen Personen stellen Informationen bereit und treffen fachliche Entscheidungen. Diese Verantwortung lässt sich nicht vollständig auf uns übertragen.
Die tatsächlich geltenden Anforderungen bestimmen die Methodik. BSI IT-Grundschutz ist nicht pauschal verpflichtend. Wir berücksichtigen IT-Grundschutz, ISO/IEC 27001 und 27002 sowie kunden- und branchenspezifische Vorgaben. Lassen verbindliche Anforderungen es zu, ist auch ein risikobasiertes Vorgehen ohne Bindung an ein bestimmtes Regelwerk möglich. ISO/IEC 27001 gibt keine universelle Gliederung für jedes Sicherheitskonzept vor.
Maßgeblich sind die abgegrenzten Systeme, Prozesse und ihre relevanten Abhängigkeiten. Bei IT-Grundschutz wählen wir die Bausteine anhand des tatsächlichen Informationsverbunds aus. Dadurch bleibt der Umfang auf Ihre Aufgabe ausgerichtet. Verbindliche Anforderungen bleiben berücksichtigt.
Die Leistung richtet sich branchenübergreifend an Unternehmen, Behörden und öffentliche Einrichtungen. Dazu gehören KRITIS-Betreiber, regulierte Unternehmen, IT-Dienstleister und Softwarehersteller. Organisationsgröße und Reife des ISMS sind keine grundsätzlichen Einschränkungen.
Mögliche Gegenstände sind Organisationen und Informationsverbünde, Fachanwendungen, IT-Verfahren, Infrastrukturen, Netzwerke und Plattformen. Auch Cloud-Dienste und ausgelagerte IT-Leistungen kommen infrage. Entscheidend sind Komplexität, Schutzbedarf und konkrete Aufgabe. Fachliche Ansprechpersonen sind insbesondere Informationssicherheitsbeauftragte (ISB), CISO, IT-Leitungen, Projektleitungen und Verantwortliche für Fachverfahren.
Wir werten vorhandene Unterlagen aus und erheben fehlende Angaben gezielt. Ihre Fachverantwortlichen erläutern Systeme und Abläufe, beantworten Fragen und stimmen Bewertungen mit uns ab. Der Aufwand hängt deshalb auch von der Qualität Ihrer Unterlagen ab. Entscheidungen über Risiken und Maßnahmen treffen die zuständigen Personen Ihrer Organisation.
Sie erhalten einen eigenständigen Prüfbericht mit Feststellungen und Empfehlungen. Das vorhandene Konzept bleibt unverändert. Für eine Überarbeitung können Sie die Fortschreibung gesondert beauftragen. Kontrollen der tatsächlichen Maßnahmenumsetzung gehören bei entsprechender Vereinbarung zum Prüfauftrag.
Sie erhalten ein vollständig aktualisiertes Sicherheitskonzept. Darin sind die betroffenen Inhalte, Analysen, Bewertungen und Maßnahmen fortgeschrieben. Ein separater Fortschreibungsbericht oder eine gesonderte Änderungsübersicht ist kein grundsätzlich geschuldeter Bestandteil.
Bei der Neuerstellung können Sie optional eine sicherheitsneutrale Kurz- oder Managementzusammenfassung vereinbaren. Diese können Sie weitergeben, ohne sicherheitskritische Details des vollständigen Konzepts offenzulegen.
Optional begleiten wir Sie fachlich bei der Umsetzung der Maßnahmen. Eine spätere Prüfung oder Fortschreibung vereinbaren wir als eigenes Projekt. Ergänzende technische Prüfungen können Sie separat als Penetrationstest beauftragen. Für eine laufende Betreuung des ISMS gibt es die gesonderte Leistung des externen ISB.
Nennen Sie uns das IT-System oder Fachverfahren und die bekannten Anforderungen. Anhand Ihrer Ausgangslage klären wir, welcher nächste Schritt passt: prüfen, fortschreiben oder neu erstellen.
