Einblicke in Compliance und Risikomanagement
Notizen aus der Praxis zu ISO 27001, NIS2, DSGVO, dem EU AI Act und asset-zentriertem Risikomanagement.
Wirksamkeit von Maßnahmen: Umgesetzt heißt nicht wirksam
Ein hoher Umsetzungsgrad zeigt, dass Maßnahmen existieren, nicht, dass sie wirken. Wirksamkeit belegen drei Prüfungen je Maßnahme: ob sie läuft, ob sie den Bestand abdeckt und ob sie ihr Ziel erreicht.
Risikoquantifizierung: Risiko in Euro statt Ampelfarben
Risikoquantifizierung beantwortet die Budgetfrage, die eine Heatmap offenlässt: Erst ein Erwartungswert in Euro lässt sich mit den Kosten einer Maßnahme vergleichen. Für die Erstsortierung eines Bestands bleibt die Matrix geeignet.
NIS2 und die Lieferkette: die unterschätzte Pflicht
NIS2 macht die Sicherheit der Lieferkette zur Pflicht der beauftragenden Einrichtung, und Fragebögen belegen sie nicht. Tragfähig sind vier Hebel: Kritikalität, Vertrag, Nachweise mit Geltungsbereich und ereignisbezogene Prüfung.
Asset-Management für Informationssicherheit: Warum Inventare veralten
Ein Asset-Inventar veraltet im Tempo, in dem sich die Organisation verändert, nicht im Tempo seiner Pflege. Aktuell bleibt ein Bestand, dessen Einträge aus Beschaffung, Rollenvergabe und Betrieb entstehen und der täglich abgefragt wird.