Wir beginnen mit einer GAP-Analyse, also einem Abgleich zwischen dem heutigen Stand und den maßgeblichen Anforderungen. Sie erfahren, was bereits vorhanden ist, wo Lücken bestehen und welche Schritte zuerst anstehen. Anschließend begleiten wir die Umsetzung und die Nachweisführung – mit Erfahrung aus dem laufenden IT-Betrieb.
Zuerst klären, was für Sie gilt
Ob und mit welchen Pflichten Ihre Organisation unter das BSI-Gesetz (BSIG) fällt, muss für Ihren konkreten Fall geklärt werden. Die Betroffenheitsprüfung des Bundesamts für Sicherheit in der Informationstechnik (BSI) hilft bei einer ersten Orientierung. Ihr Ergebnis beruht auf Ihren Angaben und ist nicht rechtsverbindlich.
Wir stellen mit Ihnen die betroffenen Unternehmensbereiche, Ansprechpartner und Unterlagen zusammen: etwa Systemlisten, Sicherheitsvorgaben und Dienstleistervereinbarungen. Offene Fragen zur Betroffenheit halten wir fest, bevor daraus Anforderungen für die Umsetzung abgeleitet werden.
Eine GAP-Analyse mit klaren Ergebnissen
Wir vergleichen Ihre Maßnahmen mit den Anforderungen im vereinbarten Umfang. § 30 BSIG nennt für erfasste Einrichtungen unter anderem Risikoanalyse, Vorfallbehandlung, Notfallvorsorge, Lieferkettensicherheit und die Prüfung der Wirksamkeit von Maßnahmen. Die Umsetzung ist zu dokumentieren. Welche Maßnahmen angemessen sind, hängt auch von Ihren Risiken und betrieblichen Umständen ab.
Das wird an konkreten Abläufen greifbar: Wer kann einen Dienstleisterzugang sperren? Was passiert beim Ausfall einer zentralen Anwendung? Welche Wiederherstellung wurde getestet? Wir unterscheiden beschriebene Vorgaben, umgesetzte Maßnahmen und geprüfte Ergebnisse. Daraus entsteht eine Aufgabenliste für Geschäftsleitung, IT und Fachabteilungen.
Ist-Stand und Lücken
Sie erhalten eine Übersicht vorhandener Maßnahmen und festgestellter Lücken. Wir beschreiben, welche Abläufe und Risiken damit verbunden sind.
Maßnahmen mit Reihenfolge
Wir halten Aufgaben, Verantwortliche und fehlende Voraussetzungen fest. Die Prioritäten richten sich nach den betrieblichen Auswirkungen.
Passende Nachweise
Für die Aufgaben legen wir fest, welche Unterlage oder Prüfung das Ergebnis belegt. Damit ist klar, was zum Abschluss gehört.
Die Maßnahmen im Betrieb umsetzen
econary begleitet technische Aufgaben und die dazugehörigen Entscheidungen. Bei einem Fernzugang gehören Konten, Berechtigungen, Freigabe und späteres Sperren zusammen. Beim Wiederanlauf müssen verfügbare Systeme zur Reihenfolge wichtiger Arbeitsabläufe passen. Wir verbinden diese Aufgaben mit den erforderlichen Unterlagen und Funktionstests.
Die Geschäftsleitung bleibt beteiligt: § 38 BSIG verpflichtet die Geschäftsleitungen erfasster Einrichtungen zur Umsetzung und Überwachung der Risikomanagementmaßnahmen sowie zu regelmäßigen Schulungen. Ein IT-Dienstleister übernimmt diese Verantwortung nicht automatisch. Entscheidungen und Ressourcen müssen im Unternehmen abgesichert sein.
In gemeinsamen Überprüfungen halten wir erledigte und offene Aufgaben fest. Neue Systeme oder Dienstleister können weitere Maßnahmen erfordern. Wir führen die Dokumentation mit dem tatsächlichen Stand fort, damit sie für die nächste Entscheidung nutzbar bleibt.
So gehen wir vor
Ausgangspunkt festlegen
Wir besprechen Ihre Fragen, den Umfang und vorhandene Unterlagen. Noch offene Zuständigkeiten und Fragen zur Betroffenheit werden festgehalten.
Lücken und Prioritäten zeigen
Sie erhalten den Abgleich zwischen Maßnahmen und Anforderungen. Wir beschreiben die Lücken und ordnen nächste Schritte nach ihrer betrieblichen Bedeutung.
Maßnahmen umsetzen
econary begleitet die vereinbarten technischen Änderungen, Entscheidungen, Unterlagen und Prüfungen. Die Aufgaben werden mit den zuständigen Ansprechpartnern bearbeitet.
Ergebnisse prüfen und fortführen
Wir besprechen Ergebnisse und offene Aufgaben mit den Verantwortlichen. Für weitere Prüfungen und die Pflege der Nachweise vereinbaren wir Termine.
Häufige Fragen
Wer aus unserem Unternehmen sollte beteiligt sein?
Neben der IT werden Geschäftsleitung und Verantwortliche wichtiger Arbeitsabläufe gebraucht. Sie entscheiden über Prioritäten, Ressourcen und betriebliche Auswirkungen. Für die Geschäftsleitung erfasster Einrichtungen gelten zudem gesetzliche Umsetzungs-, Überwachungs- und Schulungspflichten.
Was haben wir nach der GAP-Analyse konkret in der Hand?
Sie erhalten für den vereinbarten Umfang einen dokumentierten Ist-Stand, festgestellte Lücken und eine priorisierte Maßnahmenliste mit Aufgaben, Verantwortlichen, Voraussetzungen und vorgesehenen Nachweisen. Damit können Sie die Umsetzung beauftragen und ihren Fortschritt prüfen.
Sind nach der Analyse die NIS2-Pflichten erfüllt?
Die Analyse zeigt den Stand und den Handlungsbedarf. Offene Maßnahmen müssen anschließend umgesetzt und ihre Wirksamkeit geprüft werden. Auch spätere Änderungen im Unternehmen sind zu berücksichtigen. econary begleitet diese Arbeit; die Analyse allein belegt keine vollständige Erfüllung aller Pflichten.
Können wir unsere vorhandenen Sicherheitskonzepte weiterverwenden?
Ja. Wir prüfen, welche Teile zur heutigen Organisation und Technik passen und im Alltag genutzt werden. Darauf bauen wir auf und ergänzen fehlende Inhalte, Maßnahmen und Prüfungen. Vorhandene Unterlagen bleiben so eine Grundlage für die weitere Arbeit.