Der Einstieg · Für NIS2 und ISO 27001
Cyber Risk Assessment für NIS2
Ein belastbares Bild Ihrer Cyber-Risiken in vier bis sechs Wochen - mit einer priorisierten Roadmap, die zeigt, was zuerst zu tun ist und warum. Methodik und Maßnahmen nach ISO/IEC 27001, regulatorisch eingeordnet nach NIS2/BSIG und den Vorgaben Ihrer Branche. Ohne Eingriff in Ihre Systeme.
DAS PROBLEM
Zwischen Fragebogen und Großprojekt fehlt ein belastbares Format.
Die meisten Einrichtungen bestimmen ihr Cyber-Risiko heute auf einem von drei Wegen. Jeder liefert einen Ausschnitt - keiner eine Entscheidungsgrundlage für die Geschäftsführung. Das Cyber Risk Assessment ist das Format dazwischen: ein unabhängiger, normbasierter Blick auf das gesamte Cyber-Risikobild - in Wochen statt Monaten.
Selbstauskunft
Checklisten und Fragebögen sind schnell ausgefüllt, aber ohne Außenblick: Wer sich selbst bewertet, findet die eigenen blinden Flecken nicht. Und eine abgehakte Liste sagt nicht, welches Risiko zuerst behandelt werden muss.
Technik-Test
Scans und Penetrationstests sind wertvoll, aber punktuell: Sie zeigen technische Schwachstellen - nicht Governance, Meldefähigkeit, Notfallvorsorge, Menschen oder Lieferkette. Eine Vorlage für die Entscheidung der Geschäftsführung enthalten sie nicht.
Großprojekt
Klassische Beratungsmandate sind gründlich, laufen aber oft über Monate - mit langen Befundlisten, die niemand priorisiert hat. Bis der Bericht vorliegt, hat sich die Lage verändert.
DAS ERGEBNIS
Ein Bericht, mit dem Ihre Geschäftsführung entscheiden kann.
Geschrieben für zwei Leser: die Geschäftsleitung, die entscheiden muss, und die IT- und OT-Verantwortlichen, die umsetzen. Der Empfehlungsteil ist der umfangreichste Teil des Berichts - an ihm entscheidet sich der Nutzen.
Auszüge aus dem Musterbericht
Die fünf größten Risiken, die Risikomatrix mit allen 19 Risiken und die Roadmap der Maßnahmenpakete - aus einem vollständig ausgearbeiteten Musterbericht für ein fiktives Stadtwerk. Das ganze Dokument mit 22 Seiten zeigen wir Ihnen gern im Gespräch.
Management Summary
Gesamtrisikobild, Top-5-Risiken und die nächsten 90 Tage auf zwei Seiten - ohne Fachvokabular lesbar.
Risikoanalyse & Risikoregister
Externe Bedrohungslage, Szenarien und Detailbefunde über alle zehn Domänen. Jedes Risiko ist in der Matrix verortet und mit seiner Quelle belegt.
Maßnahmenpakete & Roadmap
Priorisierte Pakete mit Zielhorizont, Aufwand und Verantwortung - Quick Wins zuerst, umsetzbar mit eigenen Teams, mit Dritten oder mit uns.
Restrisiko & Akzeptanzvorlage
Das nach Umsetzung verbleibende Risiko, transparent ausgewiesen. Die formale Akzeptanz durch die Geschäftsleitung macht ihre Pflichten nach § 38 BSIG belegbar.
Abschlusspräsentation
Die Ergebnisse persönlich vor der Geschäftsleitung, mit Zeit für Rückfragen - von der Person, die die Befunde selbst erhoben hat.
Vier-Augen-Prüfung
Kein Bericht verlässt Entropy CS ohne Qualitätssicherung durch eine zweite fachkundige Person: Schlüssigkeit, Belege und Umsetzbarkeit der Empfehlungen.
WAS WIR PRÜFEN
Zehn Prüfdomänen in sechs Themenfeldern - 80 Leitfragen, das gesamte Cyber-Risikobild.
Je Domäne acht Leitfragen mit definierten Nachweisen, bewertet ereignis- und assetbasiert nach den Leitlinien der ISO/IEC 27005. Die Leitfragen sind ein Gesprächsgerüst, keine abzuhakende Checkliste - Auffälligkeiten verfolgen wir in die Tiefe. Kalibriert an der aktuellen Bedrohungslage für Ihren Sektor.
KLARER GELTUNGSBEREICH
Entlang der 93 Maßnahmen aus ISO/IEC 27001 Annex A.
Annex A gliedert alle Referenzmaßnahmen in vier Themenfelder. Jede Empfehlung im Bericht ist auf diese Landkarte gemappt - so wissen Sie vorab, wo das Assessment seine Schwerpunkte setzt.
37
Maßnahmen · Kapitel 5
Organisatorisch
Leitlinien, Rollen, Risikomanagement, Lieferanten, Incident Management, Kontinuität, Compliance
Schwerpunkt
8
Maßnahmen · Kapitel 6
Personell
Überprüfung, Verpflichtungen, Awareness, Meldewege, Verantwortlichkeiten, Offboarding
Schwerpunkt
34
Maßnahmen · Kapitel 8
Technologisch
Zugriffe und Identitäten, Netzwerke, Schwachstellen, Protokollierung, Backup, Kryptografie, sichere Konfiguration
Schwerpunkt
14
Maßnahmen · Kapitel 7
Physisch
Nur wo Physisches IT und OT unmittelbar schützt: Zutritt zu IT- und Technikräumen, Versorgung, Datenträger, Entsorgung
anteilig
Physische Sicherheit bleibt eine eigene Disziplin. Objektschutz, Naturgefahren und die Resilienz nach dem KRITIS-Dachgesetz bewerten wir nicht. Wo Befunde diese Felder berühren, benennen wir die Schnittstelle im Bericht - und empfehlen, wer sie bearbeiten sollte.
SO LÄUFT ES AB
Sechs Phasen, vier bis sechs Wochen.
Ein Terminplan, ein Ansprechpartner vom Kick-off bis zur Präsentation. Ihr Eigenaufwand liegt typischerweise bei drei bis vier Personentagen, vor allem für Interviews. Erhoben wird über Dokumente, Gespräche und eine Begehung - ohne eigenes Scanning, ohne Eingriff in laufende Systeme.
01
Scope und Terminplan, Vertraulichkeitsvereinbarung, Klärung einer Auftragsverarbeitung. Sie erhalten die Liste der benötigten Unterlagen - Vorhandenes genügt.
02
Workshop mit Geschäftsleitung und IT-/OT-Verantwortlichen: kritische Prozesse, regulatorische Einstufung je Sparte, gemeinsame Risikokriterien und Bewertungsskalen.
03
Sichtung Ihrer Unterlagen, sechs bis acht Interviews, Begehung von Leitstelle und Technikräumen, Auswertung vorhandener Scan- und Prüfberichte.
04
Bedrohungslage für Ihren Sektor, Risikoszenarien und Detailbewertung entlang kritischer Assets - verortet in einer 5x5-Matrix mit vier Akzeptanzzonen.
05
Maßnahmenpakete je Risiko mit Aufwand, Verantwortung und Bezug auf ISO/IEC 27001 Annex A und BSIG bzw. EnWG - geordnet nach Quick Wins, sechs Monaten und 12-24 Monaten.
06
Qualitätssicherung im Vier-Augen-Prinzip, dann die Abschlusspräsentation vor der Geschäftsleitung - durch die Person, die auch erhoben hat.
FÜR WEN GEEIGNET
Für Gesundheitswesen, Versorger und Industrie.
Für Einrichtungen, die neu unter NIS2 fallen oder als Betreiber kritischer Anlagen besondere Pflichten haben - besonders dort, wo kein eigenes Security-Team das Risikobild pflegt. Szenarien und Bedrohungslage kalibrieren wir auf Ihren Sektor.
Krankenhäuser und Kliniken
Medizingeräte, Altsysteme und Rund-um-die-Uhr-Betrieb: ein Risikobild, das Versorgungsrelevanz und Meldefähigkeit in den Mittelpunkt stellt.
Pflege und Praxen
Verteilte Standorte, Fachsoftware und Dienstleisterzugänge: klare Prioritäten statt langer Befundlisten - passend für Häuser ohne eigene IT-Sicherheit.
Medizintechnik und Pharma
Entwicklung, Produktion und Lieferkette: Risiken nach ISO/IEC 27001 bewertet - anschlussfähig an Ihr ISMS und an die Anforderungen Ihrer Kunden.
Stadtwerke und Energieversorger
Mehrere Sparten, mehrere Regime: Einstufung nach BSIG und EnWG je Sparte, Leittechnik und Fernwartung im Fokus.
Wasser und Abwasser
Kleine Teams, verteilte Anlagen, Fernwirktechnik: ein pragmatisches Risikobild mit einer Roadmap, die zu Ihren Ressourcen passt.
Industrie und Produktion
Office-IT, Fertigung und Lieferantenzugänge: Risiken für Produktion und Lieferfähigkeit bewertet - als Grundlage für Kundenaudits und ISO 27001.
NACH DEM ASSESSMENT
Vom Risikobild in den laufenden Betrieb - wenn Sie wollen.
Das Assessment ist eine Momentaufnahme, Sicherheit ist ein Betriebszustand. Wo Empfehlungen in unser Portfolio fallen, bieten wir die Umsetzung als Option an - nicht als Bedingung. Der Bericht empfiehlt, was wirkt, nicht was wir verkaufen. Das jährliche Re-Assessment arbeitet mit derselben Methodik und bewertet zusätzlich den Fortschritt Ihrer Roadmap.
IHR EINSTIEG
Risk Check oder Cyber Risk Assessment?
Zwei Formate, klar getrennt: Der Risk Check ist eine erste Standortbestimmung im Gespräch. Das Cyber Risk Assessment ist das Projekt mit vollständigem Prüfkatalog, Begehung und berichtsfähigem Ergebnis. Der Weg dorthin: Risk Check, Scope-Klärung, Festpreisangebot mit Terminplan.
Kostenlos · 30 Minuten
Kostenloser Risk Check
30 Minuten Gespräch mit einem Security-Experten, im Anschluss ein schriftlicher Kurzreport mit Reifegrad, Risikobereichen und Sofortmaßnahmen. Ohne Verpflichtung - der übliche erste Schritt.
Festpreis · 4-6 Wochen
Cyber Risk Assessment
Zehn Prüfdomänen, Interviews und Begehung - Methodik und Maßnahmen nach ISO/IEC 27001. Mit Risikoregister, priorisierter Roadmap und Akzeptanzvorlage für die Geschäftsleitung.
Die Fragen, die wir von Geschäftsführungen, IT-Leitungen und Informationssicherheitsbeauftragten zum Cyber Risk Assessment hören. Weitere Fragen gern im kostenlosen Risk Check.