Feldnotizen aus den Security Operations und dem Auditraum.
Notizen zu NIS2, ISO 27001, Meldepflichten und Lieferkettenrisiken. Geschrieben von den Menschen, die die Plattform betreiben.
Überwachungsaudits: was Jahr zwei und Jahr drei wirklich bedeuten
Zertifizierung ist eine Verpflichtung über drei Jahre, keine einmalige Prüfung. Jahr eins beweist, dass Sie ein System gebaut haben. Jahr zwei fragt, ob es jemand betrieben hat. Daran scheitern mehr Unternehmen.
ISO 27001 ergänzen, wenn Sie ISO 9001 bereits haben
Wenn Sie bereits ein zertifiziertes Qualitätsmanagementsystem betreiben, entsprechen rund sieben der zehn Abschnitte von ISO 27001 dem, was Sie ohnehin erfüllen. Die anderen drei sind die eigentliche Arbeit.
Zertifiziert ist nicht sicher: was ein Zertifikat offen lässt
Ein ISO 27001 Zertifikat ist eine echte Leistung und ein realer kommerzieller Vorteil. Es schweigt auch zu den vier Fragen, die entscheiden, ob Sie kompromittiert werden. Hier endet die Norm genau.
ISO 27001 und NIS2 einmal machen statt zweimal
Rund 70 bis 80 Prozent dessen, was NIS2 Artikel 21 verlangt, deckt ein ISO 27001 ISMS bereits ab. Im verbleibenden Fünftel steckt die Arbeit, und es ist nicht der Teil, den jemand einplant.
Nachweise, die sich selbst sammeln, und Nachweise, die Sie im Monat davor sammeln
Jedes Rahmenwerk verlangt den Nachweis, dass eine Maßnahme gelaufen ist. Dafür gibt es zwei Wege, und der Unterschied beträgt etwa einen Monat Arbeit je Audit, bei jedem Audit, dauerhaft.
Stufe 1 und Stufe 2: was der Auditor verlangt und was er akzeptiert
Stufe 1 liest Ihre Dokumente. Stufe 2 prüft, ob das dokumentierte System tatsächlich gelaufen ist. Die meisten Projekte bereiten die erste gründlich vor und stolpern über die zweite.
Internes Audit und Managementbewertung, die zwei Schritte, die alle unterschätzen
Die Abschnitte 9.2 und 9.3 stehen in den meisten Projektplänen als zwei Termine und ein Bericht. Sie sind zugleich der Grund, weshalb Stufe-2-Audits verschoben werden. Was jeder wirklich verlangt, wer ihn durchführen darf und wann er zu planen ist.
Was ISO 27001 einen Mittelständler wirklich kostet, samt der Posten, die niemand beziffert
Die Zertifizierungsstelle ist der kleinste Posten auf der Rechnung und der einzige, den jemand beziffert. Hier stehen die vollen Dreijahreskosten von ISO 27001 für ein Unternehmen mit 20 bis 250 Beschäftigten, samt der vier Posten, die in keinem Angebot auftauchen.
Die 93 Maßnahmen aus Anhang A, gruppiert so wie Sie sie wirklich abarbeiten
ISO ordnet die 93 Maßnahmen vier Themen zu. Das ist ein Ablagesystem, kein Arbeitsplan. Hier ist die Gruppierung, die dazu passt, wie ein Unternehmen ohne Sicherheitsteam tatsächlich vorankommt.
Wie lange ISO 27001 wirklich dauert, und was es verlangsamt
Neun bis zwölf Monate ist die ehrliche Antwort für ein Unternehmen, das bei null anfängt. Hier steht, wohin jeder Monat geht, was sich komprimieren lässt und die eine Bedingung, die sich nicht komprimieren lässt.
Anwendungsbereich und Erklärung zur Anwendbarkeit, ohne Fachjargon erklärt
Zwei Dokumente entscheiden, was ISO 27001 Sie kostet und ob das Zertifikat die Frage Ihres Kunden beantwortet. Was Anwendungsbereich und Erklärung zur Anwendbarkeit wirklich sind, und wie kleine Unternehmen sie verfehlen.
ISO 27001 für ein Unternehmen ohne Sicherheitsteam: was wirklich dahintersteckt
Was ISO 27001 einem Unternehmen ohne CISO und ohne Sicherheitsteam tatsächlich abverlangt: die Entscheidungen, die nur Sie treffen können, die geforderten Dokumente, die 93 Maßnahmen und der ehrliche Zeitplan.
Lohnen sich 50.000€ für ISO27001? Wahrscheinlich nicht so, wie Sie es ausgeben.
KMUs geben 50-80K € für ISO 27001 aus, ohne echte Sicherheitslücken zu schließen. Erfahren Sie, wann sich die Investition wirklich lohnt.