Klinikverbund im KRITIS-Umfeld · Vollmandat
ISMS nach fünf Monaten, NIS2-Programm in Linienverantwortung
Ausgangslage
Ein Klinikverbund mit rund 1.200 Anwendern, etwa 200 Servern und zwei Standorten stand vor den Anforderungen aus NIS2, ohne über ein Managementsystem für Informationssicherheit zu verfügen. Parallel liefen die Telematikinfrastruktur, eine anstehende Digitalisierungsstrategie und die IT-Planung für einen Krankenhausneubau.
Vorgehen
Ich übernahm die Rolle als Leiter Digitalisierung und IT mit direkter Berichtslinie an die Geschäftsführung, also nicht beratend von außen, sondern in eigener Linienverantwortung. Das NIS2-Umsetzungsprogramm und der Aufbau des ISMS nach ISO 27001 liefen als Gesamtprojekt gemeinsam mit den übrigen Vorhaben.
Ergebnis
Das ISMS stand nach fünf Monaten und wurde danach fortlaufend weiterentwickelt, denn ein Managementsystem lebt von der laufenden Pflege. Alle Projekte habe ich abgeschlossen und übergeben. Die Tätigkeit wurde mit einer uneingeschränkten Empfehlung bewertet.
Leitung in Linienverantwortung · 25 Monate · 1.200 Anwender, 2 Standorte, rund 200 Server
Universitätsklinikum · Lieferantenprüfung und Freigabe
Externe Anwendung für über 400 Techniker geprüft und freigegeben
Ausgangslage
Ein Universitätsklinikum wollte eine mobile Anwendung eines externen Dienstleisters für die Inventarisierung der Medizintechnik einsetzen. Die Lösung greift auf Bestandsdaten des Hauses zu und bindet externe Katalogdaten an. Betroffen waren über 400 Techniker an vier Standorten. Vor der Freigabe war zu klären, ob Dienstleister und Lösung den eigenen Anforderungen standhalten.
Vorgehen
Ich prüfte die Leistungen des Dienstleisters entlang von vier Achsen: Compliance, Governance, Cybersicherheit und Integration in das bestehende ISMS des Klinikums. Bewertet wurden dabei nicht nur die Anwendung selbst, sondern auch die Prozesse des Anbieters und die Schnittstellen zu den Bestandssystemen. Aus der Prüfung gingen zwei begleitende Vorhaben zur Berechtigungsverwaltung und zur Datensicherheit hervor, die ich ebenfalls verantwortete. Die Schulung der Anwender gehörte zum Auftrag.
Ergebnis
Die Prüfung führte zur Freigabe für den Betrieb. Die Lösung ging für über 400 Techniker an vier Standorten in den Einsatz, ohne dass das Klinikum seine Anforderungen an Informationssicherheit und Nachweisführung aufgeben musste.
Sicherheit in der Lieferkette gehört zu den Maßnahmenbereichen nach § 30 BSIG und damit zu den Pflichten, die NIS2 unmittelbar auslöst. Wer Dienstleister einbindet, muss deren Sicherheitsniveau bewerten und die Bewertung belegen können.
Prüfung, Freigabe und Begleitung auf Auftraggeberseite · 6 Monate · über 400 Anwender an 4 Standorten
Facility-Management-Gesellschaft eines Universitätsklinikums · Risikomanagement
Durchgängiger Risikoprozess für eine Organisation mit über 3.000 Mitarbeitern
Ausgangslage
Die Gesellschaft verantwortet Betriebstechnik und technische Dienste eines Universitätsklinikums und beschäftigt über 3.000 Mitarbeiter. Risiken wurden bis dahin anlassbezogen behandelt, ohne durchgängigen Prozess und ohne regelmäßige Berichterstattung an die Geschäftsführung.
Vorgehen
Ich baute den Risikomanagementprozess vollständig auf, von der Erfassung und Bewertung der schützenswerten Werte über die Risikobewertung und die Festlegung der Akzeptanzkriterien bis zur Risikobehandlung. Dazu kamen die laufende Überwachung und ein festes Berichtsformat für die Geschäftsführung.
Ergebnis
Ein wiederholbarer Prozess, der die Anforderungen aus ISO 27001 an das Risikomanagement erfüllt. Weil er Einzelbewertungen und Doppelarbeit ersetzt, sank zugleich der Aufwand für die Risikobearbeitung. Die Geschäftsführung erhält seither eine belastbare Entscheidungsgrundlage statt einmalig abgearbeiteter Listen.
Aufbau und Einführung · 12 Monate · über 3.000 Mitarbeiter
Ingenieurbüro im Mittelstand · Governance-Aufbau
Sicherheitsorganisation mit Rollen, Regeln und Berichtsweg
Ausgangslage
Ein mittelständisches Ingenieurbüro betrieb eine über Jahre gewachsene IT. Verantwortlichkeiten für Informationssicherheit waren nicht benannt, verbindliche Regelungen fehlten und die Leitung hatte keinen Überblick über den eigenen Sicherheitsstand.
Vorgehen
Wir erarbeiteten zunächst Sicherheitsstrategie und Governance-Konzept, daraus folgten das Governance-Framework mit den zugehörigen Richtlinien sowie die Definition der Rollen und ihrer Befugnisse. Die Verankerung auf Leitungsebene war Teil des Auftrags, ebenso ein Satz Kennzahlen mit einem festen Berichtsformat.
Ergebnis
Eine Sicherheitsorganisation mit benannten Rollen, verabschiedeten Richtlinien und einem regelmäßigen Bericht an die Geschäftsführung. Weil Zuständigkeiten und Nachweispflichten erstmals festgelegt waren, verringerten sich die Compliance-Risiken. Damit war zugleich die Grundlage geschaffen, auf der sich ein ISMS oder eine Zertifizierung ohne Neuanfang aufsetzen lässt.
Konzeption und Einführung · 3 Monate
