pflichten prüfen, technik umsetzen

Ein Betrieb hört von NIS2, von der Pflicht zur E-Rechnung oder von einer Anforderung seines Versicherers und weiß nicht, ob er gemeint ist. Die Sicherung läuft, sagt die IT, aber zurückgespielt hat sie noch niemand. Zugriffsrechte sind über Jahre gewachsen, und wer was darf, steht in keinem Dokument. Die Geschäftsführung haftet und braucht eine Antwort, die sie versteht. Die IT braucht eine Liste, die sie abarbeiten kann.

• Betroffenheit prüfen: welche Vorschrift für diesen Betrieb gilt, mit Begründung und Quelle.
• Das Ergebnis in zwei Fassungen liefern, als Entscheidungsvorlage für die Geschäftsführung und als Leitfaden für die IT.
• Sicherung nach dem Generationenprinzip aufbauen, mit verschlüsselter Kopie außer Haus, und die Rücksicherung proben.
• Überwachung einrichten, mit einem Alarmweg, der bei einem Menschen ankommt, und einer Ansicht nach Geschäftsdiensten statt nach Gerätenamen.
• Zugriff nach Gruppen und mit minimalen Rechten ordnen und jedes Öffnen schützenswerter Dokumente protokollieren.
• Fernzugriff über ein selbst betriebenes VPN lösen, mit einer eigenen Instanz je Kunde.
• Meldewege festlegen. Bei NIS2 sind das eine Frühwarnung nach 24 Stunden, eine Meldung nach 72 Stunden und ein Abschlussbericht nach einem Monat.
• Die Maßnahmen in das vorhandene Managementsystem einbinden, etwa in ein Qualitätsmanagement nach ISO 13485.

• Vorschriften im Wortlaut: BSIG mit den zehn Mindestmaßnahmen nach NIS2, DSGVO, GoBD
• agentenlose Sicherung virtueller Maschinen mit Deduplizierung, gestaffelten Läufen und verschlüsselter Zweitkopie
• Zabbix für Überwachung, Dienstbäume und Wandanzeigen
• NetBird als selbst betriebenes VPN
• Rechtemodelle aus Rolle, Dokumentklasse und Zeilenfilter, mit Zugriffsprotokoll
• Entscheidungsvorlagen und Berechtigungskonzepte als kurze Dokumente, nicht als Ordner

• Die Prüfung der Betroffenheit ist ein abgegrenzter Auftrag mit festem Ergebnis: Einstufung, Entscheidungsvorlage, Leitfaden.
• Die Umsetzung wird nach den Entscheidungen der Geschäftsführung angeboten, nicht vorher.
• Eine Zertifizierung stellt KREATIKA nicht aus. Rechtsberatung im Einzelfall bleibt beim Anwalt.

Fällt jeder Betrieb unter NIS2? Nein. Es kommt auf Branche und Größe an. Die Prüfung endet mit einer begründeten Einstufung.

Reicht die vorhandene Sicherung? Das zeigt erst die Rücksicherung. Eine Sicherung, die noch nie zurückgespielt wurde, ist eine Annahme.

Was bekommt die Geschäftsführung in die Hand? Eine Entscheidungsvorlage mit wenigen, klar benannten Entscheidungspunkten. Die technischen Einzelheiten stehen im Leitfaden für die IT.

Ersetzt das einen Datenschutzbeauftragten oder einen Auditor? Nein. KREATIKA setzt die technische Seite um und bereitet Entscheidungen vor.

Werden Ergebnisse aus Kundenprojekten veröffentlicht? Nein. Befunde, Netzaufbau und Zugänge eines Kunden erscheinen nirgends, auch nicht als Referenz.