Ihre Verteidigungsakte.

Sektor, Größe, Umsatz – und ob Kunden Sie als Zulieferer vertraglich verpflichten.

Die fünf Systeme, deren Ausfall den Betrieb stoppt. Dazu: Cloud-Anbieter, Dienstleister mit Fernzugang, Einzelpersonen mit Admin-Rechten.

Eine Analyse von 2022 belegt nur, dass Sie 2022 hingeschaut haben.

Mit Beschluss, nicht als Randnotiz.

Welcher Bericht lag vor? Warum wurde etwas nicht gemacht, und was stattdessen? Ein „Nein“ ohne Begründung ist später Beweisstück der Gegenseite.

Wer kein Budget ausweist, kann nicht zeigen, dass er ausgestattet hat.

Mit Aufgaben, Befugnissen, Budget und Zeitanteil. Und mit geprüfter Eignung, nicht nur einem Abschluss.

Offene kritische Updates, MFA-Abdeckung, Phishing-Testquote, Datum des letzten Backup-Tests.

Wer erreicht die Geschäftsleitung innerhalb einer Stunde, auch nachts und im Urlaub?

Ohne Ausnahme für die Chefetage. Die Ausnahme ist das Einfallstor.

Ein Backup im selben Netz ist ein zweites Opfer. Der Test zeigt, wie lange der Wiederanlauf wirklich dauert.

Zum Beispiel 72 Stunden bei aktiv ausgenutzten Lücken. Dienstleister kommen nur auf Anforderung, zeitlich begrenzt und protokolliert ins Netz.

Jeder zweite Ransomware-Fall beginnt mit einer Mail. Schulung ohne Test ist ein Zertifikat, keine Sicherheit.

IBAN-Änderung nur nach Rückruf über eine bekannte Nummer. Vier-Augen ab festem Betrag. Codewort für Chef-Anrufe. Die Bankwarnung „keine Übereinstimmung“ wird nie übergangen.

Welche Tools sehen Firmendaten? Kein Werkzeug liest fremde Inhalte und sendet im selben Durchgang nach außen. Für die Cloud: Exit-Plan und Backup außerhalb des Hauptanbieters.

Außerhalb der IT erreichbar. Mit Auslöser, Frist und Zuständigem: BSI 24 Stunden (NIS2), Datenschutzaufsicht 72 Stunden, Bank-Rückruf, Strafanzeige, Versicherer.

Inklusive Ersatzkommunikation, wenn Mail und Telefon tot sind, und einer Liquiditätsrechnung für drei Wochen Stillstand.

Deckungssumme, Ausschlüsse, Anzeigefristen. Cyber: Risikofragen wahrheitsgemäß beantwortet und jährlich aktualisiert; Social Engineering und Zahlungsbetrug mitversichert?

Eine Cybersicherheits-Schulung in den letzten zwölf Monaten – für NIS2-Einrichtungen Pflicht, für alle anderen das beste Beweisstück. Nachweise mindestens fünf Jahre aufbewahren.