Cyber-Security · Strategie & Governance

Security-Richtlinien & Governance

Sicherheit scheitert selten an fehlenden Dokumenten und oft an fehlender Steuerung: Niemand ist wirklich verantwortlich, vierzig Richtlinien widersprechen einander, und die Leitung sieht nie eine Kennzahl. Wir bauen Governance, die funktioniert: klare Rollen, eine schlanke Richtlinien-Landschaft und ein Reporting, mit dem Sicherheit steuerbar wird.

Nach BSI IT-Grundschutz und passgenau zu den NIS2-Pflichten Ihrer Leitung. Teil unseres Cyber-Security-Portfolios.

8-12

Kern-Richtlinien statt Papierberge

RACI

klare Verantwortung statt „die IT macht schon"

Art. 20

NIS2 verlangt Billigung und Überwachung durch die Leitung

Governance-Projekt anfragen →

Warum Governance das unterschätzte Fundament ist

Jede Sicherheitsmaßnahme braucht drei Antworten: Wer entscheidet, wer setzt um, wer kontrolliert? Wo diese Antworten fehlen, entsteht das bekannte Muster: Die IT macht, was sie kann, die Fachbereiche machen Ausnahmen, und bei Vorfällen sucht man erst Zuständige, dann Schuldige. Governance ist die Struktur, die das beendet, lange bevor teure Technik hilft.

NIS2 macht daraus eine Pflicht mit Adressat: Die Leitungsorgane müssen die Risikomanagement-Maßnahmen billigen und ihre Umsetzung überwachen, und das geht nur mit definierten Rollen, einem Berichtsweg und Kennzahlen, die oben ankommen. Der BSI IT-Grundschutz liefert dafür die bewährten Bausteine, von der Sicherheitsleitlinie bis zur Organisation der Informationssicherheit.

Unser Anspruch dabei: Governance, die schlank genug ist, um gelebt zu werden. Acht bis zwölf Kern-Richtlinien, die gelesen werden, schlagen vierzig Dokumente, die keiner kennt.

Die Governance-Bausteine

Sicherheitsleitlinie
Das Bekenntnis der Leitung auf zwei Seiten: Ziele, Geltungsbereich, Verantwortung, die Wurzel aller weiteren Dokumente.

Rollen & RACI
CISO oder ISB, Asset- und Prozess-Owner, Vertretungen: Wer entscheidet, setzt um, wird konsultiert, wird informiert, pro Sicherheitsaufgabe.

Gremien & Berichtsweg
Ein schlankes Sicherheitsboard und ein fester Berichtsrhythmus an die Leitung, damit Billigung und Überwachung nach NIS2 gelebte Praxis sind.

Kern-Richtlinien
Acht bis zwölf kurze, widerspruchsfreie Dokumente (Zugriff, Passwörter/MFA, Backup, Mobilarbeit, Dienstleister, Vorfälle), statt des historischen Wildwuchses.

Ausnahmen-Prozess
Ausnahmen wird es immer geben; entscheidend ist, dass sie beantragt, befristet, kompensiert und dokumentiert sind, statt still zu wuchern.

Kennzahlen & Reporting
Eine Handvoll Kennzahlen, die Steuerung erlauben: MFA-Abdeckung, Patch-Stand, offene Risiken, Übungsstand, aufbereitet für die Leitungssitzung.

Dienstleister-Governance
Sicherheitsanforderungen in Verträgen, Berichtspflichten und Prüfrechte, die NIS2-Lieferketten-Pflicht in praktikabler Form.

Review-Zyklus
Jedes Dokument hat einen Eigentümer und ein Prüfdatum; so altert die Governance nicht schneller als die Organisation.

Unser Vorgehen: 4 Phasen

Governance-Review

Bestandsaufnahme: vorhandene Dokumente, gelebte Zuständigkeiten, Berichtswege, Ausnahme-Realität. Ergebnis ist die ehrliche Landkarte, was existiert, was gelebt wird und was fehlt.

Zielbild & Rollen

Leitlinie, Rollenmodell und RACI werden mit den Beteiligten vereinbart, nicht verordnet; das Sicherheitsboard und der Berichtsweg an die Leitung stehen.

Richtlinien-Redesign

Konsolidieren statt neu schreiben: Aus dem Bestand entstehen die Kern-Richtlinien, kurz, adressatengerecht und widerspruchsfrei, inklusive Ausnahmen-Prozess.

Kennzahlen & Betrieb

Das Reporting geht in den Regelbetrieb: erste Leitungssitzung mit Kennzahlen, Review-Zyklus verankert, Eigentümer benannt. Governance läuft jetzt, statt im Ordner zu liegen.

Typische Fehler, an denen Governance scheitert

1.Richtlinien-Wildwuchs: 40 Dokumente aus 10 Jahren, teils widersprüchlich, niemand kennt sie. Konsolidierung schlägt Neuproduktion.
2.Verantwortungs-Vakuum: „Die IT macht Sicherheit" ist keine Governance, sondern die Abwesenheit davon, und für die Leitung unter NIS2 ein Haftungsrisiko.
3.Copy-Paste von Konzernvorlagen: Eine 60-Personen-Verwaltung braucht andere Strukturen als eine Bank; unpassende Governance wird ignoriert.
4.Kein Ausnahmen-Prozess: Dann entstehen Ausnahmen trotzdem, nur undokumentiert, und die Richtlinie verliert schleichend jede Geltung.
5.Kennzahlen-Blindflug: Die Leitung soll überwachen, bekommt aber nie Zahlen; das erste Reporting entsteht dann für den Auditor statt für die Steuerung.
6.Governance ohne Anlass-Check: Nach Umstrukturierungen und Personalwechseln stimmen Rollen und Vertretungen nicht mehr, ohne Review-Zyklus merkt es niemand.

Für wen wir Governance bauen

Kommunen & Behörden

Informationssicherheits-Leitlinien und Organisation nach Grundschutz-Bausteinen, abgestimmt auf Landesvorgaben und die Realität von Fachverfahren, Hauptamt und Personalvertretung.

KRITIS & NIS2-Einrichtungen

Governance, die die Billigungs- und Überwachungspflichten der Leitung nachweisbar macht, mit Kennzahlen und Protokollen, die Aufsicht und Auditoren überzeugen.

Mittelstand

Der schlanke Einstieg für Organisationen, die (noch) kein volles ISMS wollen: Leitlinie, Rollen, Kern-Richtlinien und Reporting, ausbaufähig zum ISMS, wenn es soweit ist.

Warum IT-LV für Ihre Governance

Wir haben in realen Krisen erlebt, was gute Governance ausmacht: Organisationen mit klaren Rollen entscheiden in Stunden, die anderen suchen tagelang Zuständige. Diese Praxiserfahrung fließt in jedes Rollenmodell und jede Richtlinie, die wir schreiben, kurz, konkret und auf Ihre Organisation gemünzt.

Governance ist bei uns zudem kein Solo-Produkt: Sie ist das Fundament, auf dem ISMS, IR-Readiness und NIS2-Nachweise aufsetzen, und wenn die Führungsrolle fehlt, übernimmt unser Interim CISO sie gleich mit.

So sieht ein typisches Projekt aus

Ein Governance-Redesign passt typischerweise in acht bis zehn Wochen:

Woche 1-2

Governance-Review: Dokumente sichten, Interviews zu gelebten Zuständigkeiten, Ausnahme-Realität erheben; Landkarte mit der Leitung besprechen.

Woche 3-4

Zielbild: Leitlinie, Rollenmodell mit RACI und Sicherheitsboard werden mit IT, Fachbereichen und Leitung vereinbart.

Woche 5-8

Richtlinien-Redesign: Konsolidierung auf die Kern-Richtlinien, Ausnahmen-Prozess, Abstimmung mit Personalvertretung und Datenschutz.

Woche 9-10

Kennzahlen-Set und erstes Leitungs-Reporting; Review-Zyklus und Dokument-Eigentümer verankert, Übergabe in den Regelbetrieb.

Top 10 statt 100+: unser Anbieter-Netzwerk

Auch Governance führt zu Werkzeug-Fragen: GRC-Tools, Richtlinien-Management, Schulungsplattformen. Unsere Antwort bleibt dieselbe.

Marktkenntnis aus Erfahrung

Aus fachlich geleiteten Ausschreibungen, hunderten Anbietergesprächen und eigenen Marktstudien wissen wir, wer in welchem Feld wirklich liefert. Dieses Wissen halten wir aktuell, mit jedem Projekt und jedem Anbietergespräch.

Kuratierte Shortlist statt Marktschlacht

Ob GRC-Werkzeug oder Reporting-Tool: Wir kennen die Kandidaten aus Projekten und kuratieren die Auswahl passend zu Größe und Budget, die Top-Kandidaten statt 100+ Anbieter, und oft ist die ehrliche Empfehlung: erst Prozesse, dann Tool.

Freie Anbieterwahl, sauber dokumentiert

Wir sind an keinen festen Partner gebunden und fragen bei Bedarf jeden Anbieter am Markt an: gemeinsam mit Ihnen, nicht als Vermittler dazwischen. Wir sitzen zusammen in den Anbietergesprächen, Sie entscheiden, und jede Empfehlung ist in einer nachvollziehbaren Wertungsmatrix begründet, die auch Gremien, Rechnungsprüfung und Vergabekammern überzeugt.

Häufige Fragen zu Richtlinien & Governance

Was unterscheidet Governance vom ISMS?

Governance ist der Steuerungskern: Rollen, Richtlinien, Kennzahlen. Das ISMS ist das vollständige Managementsystem mit Risikomethodik, Maßnahmen und Audit-Zyklus. Wer klein startet, baut erst Governance; das ISMS wächst später darauf, ohne Doppelarbeit.

Wie viele Richtlinien braucht eine Organisation wirklich?

Weniger als sie meist hat: Eine Leitlinie plus acht bis zwölf Kern-Richtlinien decken die Praxis der meisten Organisationen ab. Alles Weitere sind Arbeitsanweisungen auf operativer Ebene, die nicht durch die Leitung müssen.

Wer sollte bei uns die ISB- oder CISO-Rolle übernehmen?

Jemand mit Organisationskenntnis, Standing und Zeit, nicht automatisch der beste Techniker. Wo niemand passt oder Kapazität fehlt, besetzen wir die Rolle interimistisch und bauen parallel die interne Lösung auf.

Welche Kennzahlen gehören ins Leitungs-Reporting?

Eine Handvoll mit Steuerungswirkung, etwa: MFA-Abdeckung, kritische offene Schwachstellen nach Alter, Stand der Top-Risiken, offene Ausnahmen, Übungs- und Schulungsstand. Wichtig ist der Trend über die Quartale, nicht die dritte Nachkommastelle.

Wie gehen wir mit bestehenden Ausnahmen um?

Amnestie mit Frist: Alle bekannten Ausnahmen werden einmalig erfasst, bewertet, kompensiert und befristet. Danach gilt der neue Prozess, und die Zahl offener Ausnahmen wird zur Kennzahl.

Was kostet ein Governance-Projekt?

Der Review ist ein Kompaktformat zum Festpreis, das Redesign ein Projekt über acht bis zehn Wochen mit definierten Paketen. Nach dem kostenlosen Erstgespräch erhalten Sie ein klares Angebot; erfolgsbasierte Komponenten sind möglich.

Was hat der Personalrat damit zu tun?

Einiges: Richtlinien zu Mobilarbeit, Protokollierung oder privater Nutzung berühren Mitbestimmung. Wir holen Personalvertretung und Datenschutz früh an den Tisch, das kostet eine Woche und spart drei Monate.

Verlangt NIS2 bestimmte Richtlinien?

NIS2 verlangt wirksames, von der Leitung gebilligtes Risikomanagement über die zehn Maßnahmenbereiche, und das lässt sich ohne dokumentierte Richtlinien und Zuständigkeiten schlicht nicht nachweisen. Unsere Kern-Richtlinien decken die Bereiche systematisch ab.

Wie halten wir die Governance aktuell?

Durch den Review-Zyklus: Jedes Dokument hat Eigentümer und Prüfdatum, das Sicherheitsboard prüft quartalsweise Kennzahlen und Ausnahmen, und einmal jährlich wird das Rollenmodell gegen die Organisationsrealität gehalten. Aufwand: wenige Tage pro Jahr.