Erfahrene Sicherheitsführung, ohne einen CISO in Vollzeit einzustellen

Wir liefern nicht nur Werkzeuge, sondern integrierte Beratung und technische Führung. Indem wir unsere nach ISO/IEC 27001 zertifizierte Expertise mit einer KI-gestützten Virtual-CISO-Plattform verbinden, schlagen wir die Brücke zwischen komplexer IT-Sicherheit und Geschäftsstrategie. Unser Ziel ist eine messbare Risikoreduktion: die wesentlichen Risiken benannt, priorisiert, einer verantwortlichen Person zugeordnet und mit Fristen nachverfolgt — bei gleichzeitig agilem und regelkonformem Betrieb.

Ein Virtual CISO bietet die strategische Führung eines erfahrenen Chief Information Security Officer, ohne dass Sie eine Vollzeitstelle auf Führungsebene schaffen müssen. Der Service eignet sich besonders für Organisationen, die eine Sicherheits-Roadmap aufbauen, Risiken steuern und regulatorische Anforderungen erfüllen wollen, dabei aber ein flexibles, expertengeführtes Modell bevorzugen.

Wir begleiten den gesamten Compliance-Weg. Dazu gehören eine anfängliche Gap-Analyse zur Ermittlung von Schwachstellen, die Umsetzung der erforderlichen technischen Maßnahmen (etwa Mehrfaktor-Authentifizierung, Verschlüsselung und Incident-Response-Rahmenwerke) sowie laufendes Monitoring, um die strengen EU-Meldefristen einzuhalten. So wird aus einer rechtlichen Pflicht ein Wettbewerbsvorteil.

Weder noch für sich genommen. Das Mandat wird von einem Team getragen — einem leitenden vCISO, einem Informationssicherheitsbeauftragten, einem Berater für Auditvorbereitung und einem technischen Experten —, damit der Service nicht am Kalender einer einzelnen Person hängt und weder Urlaub noch Krankheit ihn anhält. Gemeinsam bringt das Team die Qualifikationen ISO/IEC 27001 Lead Auditor, NIS2-Auditor, ISO/IEC 42001 Lead Auditor, CISA und CISM mit. Die Plattform läuft über die gesamte Laufzeit mit und ist in der Pauschale enthalten: Dort liegen Ihr Sicherheitsniveau, Ihr Compliance-Stand und Ihre offenen Aufgaben — keine Lizenz, die Sie getrennt kaufen.

Über beiden, nicht an ihrer Stelle. Wir übernehmen die Sicherheitsführung und, wo ein Rahmenwerk oder das Gesetz einen benannten Informationssicherheitsbeauftragten verlangt, auch diese Rolle einschließlich des Kontakts zur Aufsichtsbehörde. Ihr IT-Team und Ihre Dienstleister machen die technische Arbeit weiterhin selbst; wir prüfen die Maßnahmen, legen fest, was sich ändern muss, und verfolgen es bis zum Abschluss. Ein externer Dienstleister ist in diesem Modell kein blinder Fleck, sondern ein Lieferantenrisiko, das wir bewerten und über seine Verträge und seine eigenen Nachweise belegen. Die gesetzliche Verantwortung bleibt bei Ihrer Leitung; unsere Aufgabe ist es, diese Entscheidungen sauber vorzubereiten.

Die Steuerungsarbeit machen wir selbst, Ihre Systeme fassen wir nicht an. Richtlinien, Verfahren, Systemsicherheitspläne und Verzeichnisse schreiben und pflegen, den Nachweisbestand aufbauen, das interne Prüfaudit und den Korrekturmaßnahmenplan durchführen, Mitarbeitende auf Auditinterviews vorbereiten, den Behördenkontakt führen — das ist unsere Arbeit, keine Liste, die wir Ihnen übergeben. Eine Firewall-Regel ändern, MFA ausrollen oder das Backup-Konzept neu aufsetzen bleibt bei Ihrem IT-Team oder Ihrem Dienstleister: Wir spezifizieren es, bringen es in eine Reihenfolge und bleiben dran, bis es erledigt ist. Ein Penetrationstest ist nicht Teil der Pauschale, seine Organisation schon.

Die Plattformzugänge stehen rund eine Woche nach Vertragsschluss bereit, der Kick-off findet in derselben Woche statt. In den ersten 30 Tagen wird der benannte Beauftragte bestellt und dort, wo es vorgeschrieben ist, registriert, und der Geltungsbereich wird geklärt und von der Leitung freigegeben — welche Systeme dazugehören und wo die Systemgrenzen verlaufen —, während die Gap-Analyse bereits läuft. Danach ist der Takt wöchentlich: ein kurzer Status zu offenen Aufgaben und Hindernissen, gesteuert über die Aufgabenliste der Plattform. Monatlich erhalten Sie einen Management-Bericht über den Fortschritt an den Meilensteinen, offene Risiken und anstehende Entscheidungen. Quartalsweise prüfen wir Maßnahmenplan, Risikoregister und Lieferantenbewertungen erneut, jährlich die Sicherheitsbewertung und den Schulungsplan. Wo ein benannter Beauftragter vor Ort sein muss, findet dieser Besuch alle zwei bis drei Monate statt und wird dokumentiert. Übers Jahr liegt das Verhältnis bei etwa 20% vor Ort und 80% remote.

Sie können kleiner anfangen. Neben der laufenden Zusammenarbeit übernehmen wir Sicherheitsprojekte mit festem Umfang und einmalige, kostenpflichtige Bewertungen — eine Bewertung ist ein vernünftiger Weg, unsere Arbeitsweise kennenzulernen, bevor Sie sich auf etwas festlegen. Das laufende Modell bevorzugen wir, weil Sicherheitsführung keine Aufgabe ist, die endet: Deshalb läuft die laufende Zusammenarbeit über eine Mindestlaufzeit von zwölf Monaten. Ein Programm, das nach einem Quartal abgeräumt wird, hinterlässt Dokumente statt gelebter Praxis.

Eine feste Monatspauschale, vor dem Start vereinbart, ohne Stundensatz und ohne Abrechnung am Monatsende — die Plattform inbegriffen. Ihre Höhe ergibt sich aus dem bei Vertragsschluss festgelegten Umfang: wie viele Informationssysteme dazugehören und in welcher Sicherheitsklasse sie liegen. Wo ein Audittermin ansteht, ist die Pauschale zweistufig: höher in den Vorbereitungsmonaten, niedriger in den folgenden Betriebsmonaten. Die feste Pauschale gilt nach dem Prinzip der angemessenen Nutzung: Übersteigt der tatsächliche Bedarf den vereinbarten Umfang dauerhaft und wesentlich, öffnen wir Umfang und Pauschale gemeinsam neu, statt Ihnen eine höhere Rechnung zu schicken. Nicht enthalten sind die technische Umsetzung selbst und was sie an Anschaffungen erfordert, Penetrationstests, Anfahrten zu entfernten Standorten sowie die Auditgebühr, die Sie direkt an den Auditor zahlen.