CyberRisikoCheck nach DIN SPEC 27076
Ein strukturiertes Gespräch statt eines Werkzeuglaufs, für Betriebe ohne eigene Sicherheitsabteilung. Am Ende ein Bericht mit priorisierten Empfehlungen.
Ein Verfahren für Betriebe unter fünfzig Beschäftigten
Der CyberRisikoCheck ist in der DIN SPEC 27076 beschrieben und vom BSI mitentwickelt. Er richtet sich an kleine und mittlere Betriebe, die keine eigene IT-Sicherheit haben und für die ein Managementsystem nach ISO 27001 nicht im Verhältnis stünde.
Das Verfahren ist ein Interview entlang von 27 Anforderungen aus sechs Themenbereichen, geführt mit der Geschäftsführung und der Person, die sich um die IT kümmert. Es dauert ein bis zwei Stunden.
Eine Reihenfolge, mit der sich arbeiten lässt
Sie erhalten einen Bericht mit einer Bewertung je Themenbereich und einer Liste von Handlungsempfehlungen, sortiert nach Dringlichkeit: was sofort gehört, was kurzfristig, was mittelfristig, was später.
Jede Empfehlung ist so formuliert, dass ein Betrieb ohne eigene Sicherheitsabteilung damit arbeiten kann. Jede Empfehlung nennt einen konkreten Schritt und eine Einschätzung, was er kostet.
Der Bericht taugt außerdem als Grundlage für Förderanträge, weil er den Bedarf begründet.
Worüber gesprochen wird
Die Anforderungen der DIN SPEC decken die Bereiche ab, in denen bei kleinen Betrieben die meisten Lücken liegen.
Organisation und Menschen
Zuständigkeiten, Regelungen, Sensibilisierung. Wer entscheidet im Ernstfall und weiß die Belegschaft, an wen sie sich wendet.
Technik und Betrieb
Aktualisierungen, Schadsoftwareschutz, Zugänge und Passwörter, Sicherung und Wiederherstellung. Ob eine Sicherung existiert und ob jemand schon einmal zurückgespielt hat.
Dienstleister und Notfall
Wer betreut Ihre IT, was steht im Vertrag und was passiert, wenn dieser Dienstleister ausfällt. Dazu die Frage, was im Fall eines Angriffs geschieht.
Wie der Check abläuft
Ein Gespräch von ein bis zwei Stunden, dazu die Auswertung. Mehr sieht die DIN SPEC 27076 nicht vor und mehr braucht es auch nicht.
Termin und Beteiligte
Am Tisch sitzen die Geschäftsführung und die Person, die sich um die IT kümmert. Betreut ein Dienstleister Ihre IT, ist er willkommen, aber nicht nötig.
Das Gespräch
Wir gehen die 27 Anforderungen aus sechs Themenbereichen durch. Die Fragen sind für Menschen ohne Fachkenntnis formuliert; wo eine Antwort unklar ist, halten wir das fest statt zu raten.
Auswertung
Eine Bewertung je Themenbereich und eine Liste von Empfehlungen, sortiert nach Dringlichkeit. Jede Empfehlung nennt einen konkreten Schritt und eine Einschätzung, was er kostet.
Besprechung
Der Bericht wird durchgesprochen, damit klar ist, womit anzufangen ist. Er taugt außerdem als Grundlage für Förderanträge, weil er den Bedarf begründet.
Häufige Fragen zum CyberRisikoCheck
Der Aufwand ist durch das Verfahren begrenzt: ein Gespräch von ein bis zwei Stunden und die Auswertung. In mehreren Bundesländern gibt es Förderungen, die einen Teil davon tragen.
Nein. Die Fragen sind für Menschen ohne Fachkenntnis formuliert. Sinnvoll ist, dass jemand dabei ist, der weiß, wer die IT betreut.
Nein. Der Check schaut auf Organisation und Verfahren, ein Penetrationstest auf die Technik. Für einen Betrieb ohne eigene IT-Sicherheit ist der Check der sinnvollere erste Schritt, weil er zeigt, wo überhaupt anzufangen ist.
Zertifizierungen und Mitgliedschaften.
Sprechen Sie mit uns.
Ein Erstgespräch dauert in der Regel 30 Minuten. Wir schauen uns Ihre Ausgangslage an und sagen offen, ob wir der passende Partner sind.