Leistungen

Unser Schwerpunkt liegt auf Informationssicherheit, regulatorischen Anforderungen und Datenschutz. Daneben übernehmen wir Führung auf Zeit, Funktionen wie CISO oder Datenschutz­beauftragter extern, Projekt- und Beschaffungs­management, Organisationsfragen und Schulungen, wo diese den Erfolg der Sicherheitsarbeit bestimmen.

Informationssicherheit, Regulierung und Datenschutz

Jedes Thema für sich oder als gemeinsames Vorhaben: Ein ISMS nach ISO/IEC 27001 oder IT-Grundschutz trägt große Teile der DORA-, KRITIS- und Datenschutzanforderungen mit, wenn es von Anfang an darauf ausgelegt wird.

ISO/IEC 27001 und BSI IT-Grundschutz

Informations­sicherheits-Management­system

Aufbau, Betrieb und Zertifizierungs­vorbereitung eines ISMS – nach ISO/IEC 27001, nach BSI IT-Grundschutz oder als ISO-27001-Zertifizierung auf Basis von IT-Grundschutz.

  • ISMS-Aufbau und Weiterentwicklung
  • Lückenanalyse zu ISO/IEC 27001 und 27002
  • IT-Grundschutz: Basis-, Kern- und Standard-Absicherung, Sicherheitskonzepte für Behörden
  • Sicherheits­architekturen für Fachanwendungen (u. a. Modellierungsmethodik Bund, Schweiz)
  • Technische und organisatorische Maßnahmen für die Verarbeitung von Verschluss­sachen (VS-NfD)
  • Physische Sicherheit im ISMS: Zutritt, Einbruch- und Gefahren­meldung, Video­überwachung, Serverräume – nach ISO/IEC 27001 Anhang A und IT-Grundschutz (INF-Bausteine)
  • Risikoanalysen und Risikobehandlung
  • Zertifizierungs­vorbereitung und Auditbegleitung
  • Interne Audits
  • Externer Informations­sicherheits­beauftragter (CISO)

DORA

Digitale operationale Resilienz im Finanzsektor

Umsetzung der Anforderungen an IKT-Risikomanagement, Vorfallmeldung, Resilienz­tests und Drittparteienrisiken für Finanz­unternehmen und ihre IKT-Dienstleister.

  • DORA-Lückenanalyse und Umsetzungs­planung
  • IKT-Risiko­management­rahmen
  • Kontrollkataloge und Umsetzung der Kontrollen in der Second Line of Defense
  • Management von IKT-Dritt­parteien­risiken und Vertragsanforderungen
  • Kontrollen und Audits Ihrer IKT-Dienstleister
  • Prozesse für Vorfallmeldung und Resilienz­tests
  • Vorbereitung auf aufsichtliche Prüfungen

KRITIS und NIS2

Nachweise für Betreiber kritischer Anlagen

Vorbereitung und Begleitung der KRITIS-Nachweise nach § 39 BSIG sowie Umsetzung der Pflichten aus der NIS2-Gesetzgebung.

  • Prüfvorbereitung und Nachweisführung nach § 39 BSIG
  • Stand der Technik und branchenspezifische Sicherheits­standards (B3S)
  • Systeme zur Angriffserkennung (SzA): Konzeption und Bewertung
  • NIS2-Betroffenheits­analyse und Umsetzungs­fahrplan
  • Meldeprozesse und Registrierung

Datenschutz

DSGVO und Schweizer Datenschutzgesetz

Datenschutz, der mit der Informationssicherheit verzahnt ist statt neben ihr zu stehen: von der Lückenanalyse bis zur laufenden Betreuung als externer Datenschutz­beauftragter.

  • DSGVO-Lückenanalyse und Umsetzung
  • Externer Datenschutz­beauftragter (TÜV-zertifiziert)
  • Verarbeitungs­verzeichnis und Datenschutz-Folgen­abschätzung
  • Auftrags­verarbeitung, Verträge und Drittland­transfers
  • Schweizer Datenschutzgesetz (DSG) für Unternehmen mit Schweiz-Bezug
  • Technisch-organisatorische Maßnahmen im Verbund mit dem ISMS

Wir sprechen die Sprache aller Beteiligten

Ein Sicherheits- oder Regulierungsvorhaben hat drei Sprachen: die des Managements, das Risiko, Aufwand und Termin wissen will; die der Administration, die Systeme, Schnittstellen und Konfigurationen kennt; und die der Juristen in Rechtsabteilung oder Anwaltskanzlei, die die Anforderungen rechtlich prüfen und auslegen. Meist scheitert nicht die Umsetzung, sondern die Verständigung dazwischen.

Wir übersetzen in alle drei Richtungen. Für die Juristen heißt das: Sie kennen das Gesetz, aber selten die Normen und Standards, auf die es verweist, das IT-Grundschutz-Kompendium, die branchenspezifischen Sicherheits­standards oder die Systemlandschaft, in der die Anforderungen wirken. Wir bestimmen Betroffenheit und Geltungsbereich, erheben den fachlichen Ist-Zustand, übersetzen Anforderungen in Maßnahmen, Prozesse und Nachweise und bereiten das Ergebnis so auf, dass es rechtlich beurteilt werden kann. Für Management und Administration heißt es: Sie erhalten die Anforderungen in Entscheidungen und Arbeitspakete übersetzt statt in Paragrafen.

Die rechtliche Prüfung selbst bleibt dabei, wo sie hingehört: bei Ihren Juristen, mit denen wir auf Wunsch direkt zusammenarbeiten. Rechtsdienstleistungen im Sinne des Rechtsdienstleistungsgesetzes sind nicht Teil unserer Leistung.

Weitere Leistungen

Interim-Management und externe Funktionen

  • Externer Informations­sicherheits­beauftragter (CISO) – auf Zeit oder dauerhaft
  • Externer Datenschutz­beauftragter – auf Zeit oder dauerhaft
  • Interim-Leitung IT, Architektur oder Change
  • Standort­bestimmung und Forensik in notleidenden Großprojekten
  • Sanierung und Supervising von Projekten und Programmen

Projekte, Programme, Beschaffung

  • Projekt- und Programmleitung nach HERMES5, PRINCE2 und agilen Vorgehen
  • Aufbau und Betrieb von Project Management Offices
  • Öffentliche Beschaffung: WTO/EU-Ausschreibungen, Pflichtenhefte, Vertragsvorlagen
  • Expertisen zu Cloud-Diensten: Sicherheit, Datenschutz, Risiko, Strategie­konformität

Organisation und Sourcing

  • IT-Strategie und Governance: Regeln, Prozesse, Strukturen
  • Demand-/Supply-Beziehungen und IT-Leistungskataloge
  • Service-Management nach ITIL und ISO/IEC 20000
  • Restrukturierung, Outsourcing, Pre- und Post-Merger

Schulung und Coaching

  • Trainings zu ITIL, ISO/IEC 20000, HERMES5 und IT-Sicherheit (Trainer TÜV/EXIN)
  • Coaching von Sicherheits- und Projekt­verantwortlichen
  • Kulturentwicklung in IT-Organisationen

Physische Sicherheit und Gebäude­technik

  • Sicherheits­konzepte für Gebäude, Serverräume und Rechenzentren
  • Zutritts­konzepte und Zonenmodelle
  • Planung, Auswahl und Integration von Einbruchmelde-, Alarm- und Videosystemen
  • Einbindung der Systeme in Vorfall­prozesse und das ISMS
  • Resilienz­maßnahmen nach dem KRITIS-Dachgesetz

Unverbindliches Erstgespräch

Schildern Sie uns Ihre Ausgangslage: welche Anforderung ansteht, welcher Termin drängt, was bereits vorhanden ist. Sie erhalten eine ehrliche Einschätzung, wie viel Aufwand tatsächlich vor Ihnen liegt.

kontakt (at) dojokun.de

Vertraulich. Ohne Verpflichtung.