Ein Informationssicherheits-Managementsystem (ISMS) ist ein strukturierter Ansatz, um Informationen in einem Unternehmen dauerhaft zu schützen. Es regelt organisatorische und technische Maßnahmen zur Sicherstellung von Vertraulichkeit, Integrität und Verfügbarkeit von Daten – basierend auf normativen Standards wie ISO 27001, B3S oder IT-Grundschutz. 

KRITIS-Unternehmen unterliegen dem BSI-Gesetz. Sie sind verpflichtet, angemessene Sicherheitsmaßnahmen zum Schutz ihrer Informationssicherheit (§8a BSIG) umzusetzen und diese regelmäßig nachzuweisen.  

Die zunehmende Vernetzung industrieller Anlagen macht Operational Technology (OT) zu einem attraktiven Ziel für Cyberangriffe. Angriffe auf Steuerungs- und Produktionssysteme gefährden nicht nur Daten, sondern auch Sicherheit, Verfügbarkeit und Menschenleben. OT-Security schützt kritische Infrastrukturen, sichert Produktionsprozesse und ist unverzichtbar für die Resilienz moderner Industrieunternehmen.

IT-Sicherheit ist ein Teilaspekt der Informationssicherheit, in der technische Maßnahmen ergriffen werden, um die Schutzziele der Informationssicherheit zu etablieren. Informationssicherheit ist mehr als nur die Technik. Es ist die Menge aller technischen und organisatorischen Maßnahmen, um das Schutzniveau im Unternehmen zu erhöhen.

Informationssicherheits-Management ist ein umfassender Prozess. Dabei adressiert bspw. das Lieferantenmanagement explizit Anforderungen an den Umgang mit Unternehmen außerhalb des eigenen Unternehmens, um Informationssicherheit über die komplette Prozesskette zu gewährleisten. Wir unterstützen Sie beim Aufbau eines Lieferantenmanagements. 

Das CIA-Prinzip beschreibt die drei zentralen Schutzziele der Informationssicherheit:

• C – Confidentiality (Vertraulichkeit): Schutz sensibler Informationen vor unbefugtem Zugriff, z. B. durch Verschlüsselung.

• I – Integrity (Integrität): Sicherstellung, dass Daten vollständig und unverändert bleiben – etwa durch digitale Signaturen oder Prüfsummen.

• A – Availability (Verfügbarkeit): Systeme und Informationen müssen zuverlässig verfügbar sein, z. B. durch Redundanzen oder Notfallkonzepte.

Das CIA-Prinzip bildet die Grundlage jedes ISMS – alle Maßnahmen im Rahmen des KRITIS Security Managements zahlen auf mindestens eines dieser drei Ziele ein.

Dann übernehmen wir – mit CISOaaS und einem erfahrenen Beraterteam, das Sie bis zur Zertifizierungsreife begleitet, auf Wunsch auch als externer Informations-Sicherheits-Beauftragter.

Ihr Projekt umfasst: 

• Bestandsaufnahme & Gap-Analyse 
• Risikoanalyse inkl. Angriffsbaumanalyse 
• Maßnahmenkatalog & Umsetzung 
• Awareness-Schulungen & interne Audits 
• Zertifizierungsvorbereitung & -begleitung 

CISO as a Service (CISOaaS) ist unser Angebot für Unternehmen ohne internen Informationssicherheitsbeauftragten. Sie erhalten einen erfahrenen ICS-CISO als externen Berater – dauerhaft oder temporär, z. B. zur Projektleitung oder für Auditvorbereitung. Lesen Sie hier mehr zu unseren Leistungen rund um CISOaaS.

Wir erfassen kritische Geschäftsprozesse und dazugehörige Assets, bewerten sie hinsichtlich möglicher Bedrohungen und Schwachstellen, erstellen eine Risikomatrix und leiten daraus konkrete Maßnahmen zur Risikominimierung ab.

Ja. Wir bieten Awareness-Trainings für alle Mitarbeitenden sowie gezielte Schulungen für IT, Management und Sicherheitsbeauftragte – inklusive Unterlagen und Durchführung. Auch im Hinblick auf NIS2 Anforderungen. 

Das ist abhängig von Anforderungen, die an das Unternehmen gestellt werden. Informationssicherheit im ISMS wird für einen Geltungsbereich angewendet. Für diesen Geltungsbereich muss geschult werden. Fällt ein Unternehmen unter NIS2 ergibt sich bspw. daraus eine Schulungsanforderung an die Belegschaft.

Ein Penetrationstest führt gezielte Angriffe auf Ihre Systeme durch, um ausnutzbare Schwachstellen zu identifizieren. Er hilft, technische Risiken frühzeitig zu erkennen und Maßnahmen zu priorisieren.

Lesen Sie hier mehr zu unseren Leistungen rund um Penetration Testing.

KRITIS-Betreiber müssen Systeme zur Angriffserkennung (SzA) einführen. Das sind Systeme, die speziell dazu entwickelt wurden, kontinuierlich und automatisiert sicherheitsrelevante Ereignisse zu erkennen, zu analysieren und darauf zu reagieren. ICS unterstützt Sie bei der Auswahl, Implementierung und Dokumentation solcher Systeme.

ICS ist kein Zertifizierer. Wir setzen mit Ihnen gemeinsam das Informations-Sicherheits-Management-System entlang Ihrer Bedürfnisse auf. Die Umsetzung der Maßnahmen kann auf Wunsch ebenfalls gemeinsam passieren. Wir unterstützen Sie auf Ihrem Weg zur Zertifizierungsreife.