Nach dem Audit: von den Feststellungen zu wirksamen Kontrollen

Sie, oder wer Ihre Systeme betreibt. Wir definieren, was „fertig“ für jede Feststellung heißt, bringen die Feststellungen in eine Reihenfolge, benennen die verantwortliche Person und prüfen das Ergebnis, bevor etwas als geschlossen erfasst wird — und eine Firewall-Regel zu ändern, einen Prüfzyklus zu starten oder einen Backup-Plan neu aufzubauen braucht jemanden mit Zugriff, und das sind bei Beratungsarbeit nie wir. Rechnen Sie mit zwei getrennten Posten: der Umsetzungsaufwand ist Ihrer und die größere Zahl; Spezifikation, Reihenfolge, Prüfung und Nachweise sind unsere. Wenn Ihre Kapazität die Umsetzung nicht trägt, ist das eine Tatsache, die ins erste Gespräch gehört und nicht in den zweiten Monat.

Es ist kein Tagessatz, und es gibt keine Stundenzählung und keine Abrechnung am Monatsende. Die Arbeit wird als benannter Leistungsumfang zu einem benannten Honorar angeboten, vor dem Beginn vereinbart — die Zahl, die Sie Ihrer Finanzleitung vorlegen, ist die Zahl auf der Rechnung. Übersteigt das, was Sie tatsächlich brauchen, diesen Umfang dauerhaft und erheblich, öffnen wir Umfang und Honorar gemeinsam neu, statt Ihnen für dieselbe Vereinbarung eine größere Rechnung zu schicken. Zwei Dinge bestimmen die Höhe: die Mitarbeiterzahl und die Anzahl der Standorte. Was wir nicht tun: eine Zahl für einen Auditbericht nennen, den wir nicht gelesen haben — das Angebot folgt dem ersten Gespräch und bleibt dreißig Tage gültig.

Das Register erfasst jede Feststellung Ihres Berichts, wo der Auditor sie auch gefunden hat; eine Abweichung im Anlagennetz wird genauso priorisiert, zugeordnet und nachgewiesen wie eine im Serverraum. Wir übernehmen Arbeit an industriellen und Anlagensystemen, und wie sie kalkuliert wird, sollten Sie früh wissen: das ist einmalige Umsetzungsarbeit, separat angeboten, und sie liegt nicht innerhalb einer Beratungs- oder vCISO-Pauschale. Bringen Sie die Feststellungen, die die Produktion berühren, ins erste Gespräch — Sie erfahren dann, welche davon Ingenieurarbeit und welche Governance sind, weil beide sehr unterschiedliche Zahlen tragen.

Drei Rollen, und die Last verteilt sich ungleich. Ein Sponsor auf Leitungsebene wendet wenig Zeit auf, aber an festen Tagen: die Freigabe der Priorisierung ist ein Meilenstein mit Datum, und verschiebt sie sich, verschiebt sich alles danach. Jemand intern führt es im Tagesgeschäft, meist wer die IT verantwortet. Ihre IT-Betriebsleute tragen den größten Anteil, denn jede geschlossene Feststellung ist eine Änderung, die gemacht und dann vorgeführt werden muss — und das ist die Zahl, die über die Bezahlbarkeit entscheidet, nicht unser Honorar. Wir rechnen sie vor der Unterschrift gegen Ihre tatsächlichen Feststellungen, und wo die Kapazität fehlt, sagen wir, welche Punkte gefährdet sind, statt zu planen, als wäre sie da.

Für das erste Gespräch nichts. Es läuft auf dem, was Sie aussprechen können, und kein Dokument muss Ihr Haus verlassen, damit wir sagen können, ob wir helfen können. Wir unterzeichnen eine Vertraulichkeitsvereinbarung, bevor wir irgendein Dokument von Ihnen erhalten, oder die Vertraulichkeit wird in den Mandatsvertrag selbst geschrieben — so oder so steht sie, bevor der Bericht sich bewegt, nicht danach. Das Anfrageformular ist bewusst kein Weg für einen Auditbericht, und Feststellungen gehören nicht hineinkopiert; wie das Dokument uns erreicht, vereinbaren wir, sobald es etwas zu lesen gibt. Unser eigenes ISO/IEC-27001-Zertifikat, über eine UKAS-akkreditierte Stelle, deckt den Umgang mit Informationen, solange sie bei uns liegen, und die Erklärung zum Geltungsbereich dahinter ist das, wonach man fragt.

Die gesetzliche Verantwortung bleibt bei Ihrer Geschäftsleitung, und kein Berater kann sie vertraglich übernehmen — wir schreiben das lieber auf die Seite, als Sie in diesem Glauben kaufen zu lassen. Was wir tragen: dass das Risiko früh und schriftlich sichtbar ist. Die Priorisierung benennt, was nicht hineinpasst, Ihre Freigabe dazu ist festgehalten, und was verschoben wird, wird als Entscheidung mit einer kompensierenden Maßnahme verschoben und nicht still fallen gelassen. Mit dem Auditor über Wortlaut oder Nachweis einer Feststellung zu sprechen, gehört zur Arbeit; Kontakt mit einer Behörde nur dort, wo wir auch die benannte Rolle des Sicherheitsverantwortlichen halten. Was eine Aufsichtsbehörde bei einer gerissenen Frist tut, bestimmt das Umsetzungsgesetz, unter dem Ihr Audit gelaufen ist — wir gehen das mit Ihnen an Ihren tatsächlichen Feststellungen durch, statt die Folgen eines Landes auf eine Seite zu schreiben, die in drei gelesen wird. Eine verbindliche Einschätzung Ihrer Exponierung gibt Ihre Rechtsberatung. Was wir nicht tun: Sie planen lassen, als wäre der Termin unserer zu verschieben.

Ja, und das ist der übliche Einstieg, kein Zugeständnis. Ein abgegrenzter erster Teil wird als eigener benannter Umfang verkauft: Ihre Feststellungen gelesen gegen das, was schon vorhanden ist, was halbfertig ist, und welche Abweichung auf einem Fehllesen des Berichts beruht statt auf einer fehlenden Maßnahme. Er endet in einem Dokument, das Sie Ihrem Gremium vorlegen können — oder einer anderen Firma —, und danach schulden Sie uns nichts. Sie sollten sich nicht auf ein Programm verpflichten müssen, um herauszufinden, wie groß das Problem ist.

Keines von beiden ist ein Zeitplan für Ihre Arbeit. Das 180-Tage-Programm ist eine andere Leistung, für Unternehmen mit einem Termin und noch ohne Audit; der Link am Fuß dieser Seite führt dorthin. Ihre Korrekturarbeit läuft bis zur Frist in Ihrem Feststellungsschreiben, und das ist hier die einzige Uhr. Die Tageszahlen im Beispielregister sind relativ, weil das Beispiel keinen Kunden und keine Frist hat, von der aus gezählt werden könnte — in einem echten Register stehen dort Kalenderdaten, von Ihrem Termin rückwärts gerechnet und an dem gemessen, was Ihre Leute leisten können. Bringen Sie Ihren Termin ins erste Gespräch, und das Beispiel wird daran gelesen.

Namentlich genannte Kunden stehen auf dieser Website und nicht in abstrakter Beschreibung — die Kundenwand auf der Startseite und der Über-uns-Seite trägt sie —, und die Branchen, die wir von innen kennen, sind Telekommunikation, Energie und Versorger sowie das Bankwesen: dort verlief die Laufbahn unserer Gründer. Was wir nicht tun: einen Namen und eine Telefonnummer zu Ihrer Situation nennen, bevor wir gesprochen haben. Ein Angebot enthält die Referenzen, die zu dem passen, was Sie tatsächlich kaufen, mit genug Detail, um einen Anruf zu lohnen. Wenn die Referenz eines Herstellers Ihrer Größe das hier entscheidet, sagen Sie es im ersten Gespräch, dann steht sie im Angebot.