180 Tage bis zu einem Audit, das Sie wirklich bestehen

Beim Kick-off, nicht bei der Unterschrift — und dazwischen liegen Tage, nicht Wochen. Plattformzugang und Onboarding, der Kick-off selbst und die Meldung des Informationssicherheitsbeauftragten an die Aufsichtsbehörde fallen alle in die ersten zwei Wochen; die Klärung des Geltungsbereichs und die Gap-Analyse beginnen innerhalb der ersten zehn Tage.

Die Plattform ist bei jedem Mandat Teil der Leistung und in der Pauschale enthalten. Ihre Hosting-Region wird vor der Initialisierung gewählt — EU oder USA —, also eine Entscheidung, die zu Beginn mit Ihnen getroffen wird und nicht später auffällt.

Ein Team statt einer Person, damit das Programm nicht stillsteht, wenn jemand ausfällt: ein leitender vCISO mit der fachlichen Verantwortung und der Berichterstattung an die Leitung, ein Experte für die Informationssicherheitsbeauftragten-Rolle mit der gesetzlichen Qualifikation und dem Behördenkontakt, ein Berater für Richtlinien, Verzeichnisse und Nachweise, und ein technischer Experte für Zugriff, Endpoint, Protokollierung, Backup und Wiederherstellung. Gemeinsam halten sie ISO/IEC 27001 Lead Auditor, NIS2-Auditor, ISO/IEC 42001 Lead Auditor, CISA und CISM. Etwa ein Fünftel der Arbeit findet vor Ort statt, mit Schwerpunkt auf Bewertung und Probeaudit.

Es kann ein externer Beauftragter sein, wo die jeweilige Umsetzung das zulässt — und in unseren Märkten tut sie das. Wir übernehmen die Rolle mit einer benannten Person, die die gesetzlichen Ausbildungs- und Qualifikationsvoraussetzungen erfüllt und der Aufsichtsbehörde gemeldet wird, und diese Person hält eine dokumentierte Mindestpräsenz vor Ort. Eines sei klar gesagt: die gesetzliche Verantwortung bleibt bei der Leitung Ihrer Organisation. Wir erbringen die fachlichen Leistungen und bereiten die Entscheidungen vor — die Verantwortung können wir niemandem abnehmen.

Zwei bis drei Stunden monatlich vom Sponsor auf Leitungsebene: Freigabe von Geltungsbereich und Plan, Monatsbericht und GO/NO-GO. Drei bis vier Stunden pro Woche von der Person, die das Projekt intern verantwortet, meist der IT-Leitung. Und ein bis eineinhalb Tage pro Woche vom IT-Betrieb in den ersten fünf Monaten, weil die Kontrollen jemand einführen und vorführen muss. Diese letzte Zahl ist der tatsächliche Aufwand einer Auditvorbereitung, und Sie sollten sie vor der Unterschrift kennen und nicht im zweiten Monat entdecken.

Dann wird ein Teil davon nicht begonnen — als Entscheidung, nicht als Verzug. Jede Feststellung wird nach Risiko, Dringlichkeit und dem in der Zeit wirklich Machbaren in drei Gruppen eingeordnet: auditkritisch und jetzt machbar; auditkritisch, aber mit längerer Vorlaufzeit — sofort begonnen, mit kompensierender Kontrolle und dokumentiertem Fortschritt; und nicht auditkritisch, was in einen eigenen längerfristigen Plan wandert und bewusst außerhalb der 180 Tage bleibt. Wir schlagen die Aufteilung vor, Ihre Geschäftsleitung gibt sie frei, am Meilenstein nach sechzig Tagen.

Weil das Probeaudit so läuft wie das echte und nicht als Selbstbewertung. Es folgt der Methodik des offiziellen Audits: Dokumentenprüfung, stichprobenartige Nachweisprüfung, Interviews, und technische Kontrollen vorgeführt statt beschrieben. Auditkritische Kontrollen werden vollständig abgedeckt, der Rest stichprobenartig, und Sie erhalten die Feststellungen nach Schwere klassifiziert, jede mit einem Korrektur- und Vorbeugemaßnahmenplan. Wo der Nachweis nicht trägt, lautet die Empfehlung NO-GO.

Nein, und diese Trennung ist struktureller Natur, kein Versprechen: das Cybersicherheitsaudit führt ein registrierter, unabhängiger Auditor durch, und dessen Honorar ist nicht Teil unseres. Bei uns liegt die Vorbereitung und anschließend die Koordination des offiziellen Audits in der CISO- und der Informationssicherheitsbeauftragten-Rolle.

Eine feste Monatspauschale in zwei Stufen: höher in den Vorbereitungsmonaten, niedriger in den folgenden Betriebsmonaten, ohne Stundenabrechnung und mit enthaltener Plattform. Was die Zahl bewegt, ist die Größe der Landschaft und nicht die aufgewendete Zeit — wie viele Menschen und Benutzerkonten, wie viele Standorte, wie viele Systeme in den Auditumfang fallen und in welcher Sicherheitsklasse, und wie viele kritische Lieferanten zu bewerten sind.