Betroffenheit nicht aus einer Kurzliste ableiten
Erfassen Sie Branche, Unternehmensstruktur, Größe, verbundene Unternehmen und erbrachte Dienste. Die Einordnung kann von gesetzlichen Definitionen und nationaler Umsetzung abhängen. Prüfen Sie den aktuellen Stand bei den zuständigen offiziellen Stellen und holen Sie bei Unsicherheit rechtliche oder fachkundige Beratung ein. Eine allgemeine Web-Checkliste kann eine individuelle Betroffenheitsprüfung nicht ersetzen.
Verantwortlichkeiten und Entscheidungswege erfassen
Notieren Sie, wer Informationssicherheit verantwortet, welche Leitungsebene Entscheidungen trifft und welche internen oder externen Stellen im Vorfall eingebunden werden. Stellen Sie sicher, dass Vertretungen benannt sind und Eskalationswege auch bei Ausfall der üblichen Kommunikationsmittel funktionieren. Dokumentieren Sie, wie wichtige Entscheidungen und Freigaben nachvollziehbar festgehalten werden.
Risiken, Maßnahmen und Nachweise zusammenführen
Erstellen Sie einen Überblick über zentrale Systeme, Daten, Dienstleister und Abhängigkeiten. Verknüpfen Sie erkannte Risiken mit bestehenden Maßnahmen, verantwortlichen Personen und offenen Punkten. Prüfen Sie unter anderem Zugriffsverwaltung, Sicherungen, Wiederherstellbarkeit, Schwachstellen- und Änderungsprozesse, Lieferantenkontakte sowie den Umgang mit Sicherheitsvorfällen. Bewerten Sie die Wirksamkeit anhand geeigneter Nachweise und praktischer Übungen, nicht allein anhand vorhandener Richtlinien.
Umsetzungsplan priorisieren
Ordnen Sie offene Maßnahmen nach Risiko, Abhängigkeiten, Aufwand und Zuständigkeit. Legen Sie für jede Maßnahme einen Verantwortlichen, ein realistisches Zieldatum und einen überprüfbaren Abschlussnachweis fest. Klären Sie, welche Themen kurzfristig technische Änderungen, Vertragsprüfungen oder Entscheidungen der Leitung benötigen. Prüfen Sie den Fortschritt regelmäßig und aktualisieren Sie die Bewertung, wenn sich Dienste oder Risiken ändern.
Vorbereitungs-Checkliste
- Organisationsdaten und Tätigkeiten sind für die fachkundige Prüfung zusammengestellt.
- Aktueller offizieller Rechts- und Behördenstand wurde geprüft.
- Verantwortliche, Vertretungen und Entscheidungswege sind benannt.
- Systeme, Abhängigkeiten, Risiken und bestehende Maßnahmen sind dokumentiert.
- Offene Maßnahmen haben Eigentümer, Priorität und überprüfbaren Nachweis.
Für eine technische Bestandsaufnahme Ihrer IT finden Sie Informationen zur Business-IT. Für die rechtliche Einordnung wenden Sie sich bitte an qualifizierte Rechtsberatung.