Ihre Verteidigungs­akte.

Sektor, Größe, Umsatz – und ob Kunden Sie als Zulieferer vertraglich verpflichten.

Die fünf Systeme, deren Ausfall den Betrieb stoppt. Dazu: Cloud-Anbieter, Dienstleister mit Fernzugang, Einzelpersonen mit Admin-Rechten.

Eine Analyse von 2022 belegt nur, dass Sie 2022 hingeschaut haben. Eine feste gesetzliche Frist von zwölf Monaten gibt es nicht; als Richtwert empfehlen wir eine jährliche Aktualisierung.

Mit Beschluss, nicht als Randnotiz.

Welcher Bericht lag vor? Warum wurde etwas nicht gemacht, und was stattdessen? Ein „Nein“ ohne Begründung ist später Beweisstück der Gegenseite.

Wer kein Budget ausweist, kann nicht zeigen, dass er ausgestattet hat.

Mit Aufgaben, Befugnissen, Budget und Zeitanteil. Und mit geprüfter Eignung, nicht nur einem Abschluss.

Offene kritische Updates, MFA-Abdeckung, Phishing-Testquote, Datum des letzten Backup-Tests.

Wer erreicht die Geschäftsleitung innerhalb einer Stunde, auch nachts und im Urlaub?

Ohne Ausnahme für die Chefetage. Die Ausnahme ist das Einfallstor.

Ein Backup im selben Netz ist ein zweites Opfer. Der Test zeigt, wie lange der Wiederanlauf wirklich dauert.

Zum Beispiel 72 Stunden bei aktiv ausgenutzten Lücken. Dienstleister kommen nur auf Anforderung, zeitlich begrenzt und protokolliert ins Netz.

Phishing ist ein wichtiger Angriffsweg. Schulen Sie Beschäftigte und prüfen Sie regelmäßig, ob Melde- und Reaktionswege funktionieren. Die Jahresfrequenz ist unsere Empfehlung, keine feste gesetzliche Vorgabe.

IBAN-Änderung nur nach Rückruf über eine bekannte Nummer. Vier-Augen ab festem Betrag. Codewort für Chef-Anrufe. Die Bankwarnung „keine Übereinstimmung“ wird nie übergangen.

Welche Tools sehen Firmendaten? Kein Werkzeug liest fremde Inhalte und sendet im selben Durchgang nach außen. Für die Cloud: Exit-Plan und Backup außerhalb des Hauptanbieters.

Außerhalb der IT erreichbar. Mit Auslöser, Frist und Zuständigem: BSI 24 Stunden (NIS2), Datenschutzaufsicht 72 Stunden, Bank-Rückruf, Strafanzeige, Versicherer.

Inklusive Ersatzkommunikation, wenn Mail und Telefon tot sind, und einer Liquiditätsrechnung für drei Wochen Stillstand.

Deckungssumme, Ausschlüsse, Anzeigefristen. Cyber: Risikofragen wahrheitsgemäß beantwortet und jährlich aktualisiert; Social Engineering und Zahlungsbetrug mitversichert?

Geschäftsleitungen betroffener Einrichtungen müssen regelmäßig an geeigneten Schulungen teilnehmen (§ 38 Abs. 3 BSIG). Als organisatorische Routine empfehlen wir eine jährliche Überprüfung des Schulungsbedarfs. Schulungs- und Entscheidungsnachweise bewahren Sie nach einer festgelegten, an Haftungsrisiken und Verjährungsfristen ausgerichteten Regel auf.