Wo die Zeit verloren geht
NIS2 und DORA machen Sicherheit von guter Praxis zur Pflicht, mit Fristen, Bußgeldern und persönlicher Haftung der Geschäftsleitung. Die meisten Unternehmen wissen ungefähr, wo sie Lücken haben, aber nicht in der Tiefe, die ein Auditor verlangt.
Was wir für regulierte Unternehmen tun
- Eine Gap-Analyse zu Zugriffen, Identitäten, Netzwerkexposition, Protokollierung, Backups, Incident Response und Lieferanten, nach Risiko priorisiert.
- Umsetzung: Single Sign-on und minimale Rechte, zentrale Protokollierung, in Tests wiederhergestellte Backups, Alarmierung und ein geübter Incident-Prozess.
- Nachweise: Konfiguration und Testergebnisse so dokumentiert, dass ein Auditor sie prüfen kann, durch automatische Prüfungen aktuell gehalten.
- Laufender Betrieb der Maßnahmen, mit Monatsbericht.
Ein Beispiel
Ein Zahlungsdienstleister mit 80 Mitarbeitenden, der unter DORA fällt. In zehn Werktagen findet die Prüfung 23 Lücken, fünf davon mit hohem Risiko. In den folgenden sechs Wochen werden diese fünf geschlossen, Backups zum ersten Mal in einem Test wiederhergestellt, und der Auditor erhält einen Ordner mit Nachweisen.