IT-Sicherheit stärken: Mit Getsec erfolgreich zum ISMS und ISO 27001

Informations- und IT-Sicherheit ist längst ein zentraler Erfolgsfaktor für Unternehmen. Früher oder später kommen viele Betriebe an den Punkt, an dem sie ein Informationssicherheits-Managementsystem (ISMS) einführen müssen – sei es aus Eigeninitiative oder aufgrund äußeren Drucks. Doch ohne professionelle Unterstützung scheitern viele an der Umsetzung: Die Anforderungen der ISO-Norm sind komplex, die Prozesse aufwendig und die rechtlichen Rahmenbedingungen verändern sich laufend. Ein aktuelles Beispiel dafür ist die EU-Richtlinie NIS-2, die derzeit ins deutsche Recht überführt wird. Sie verpflichtet Unternehmen dazu, ihre IT-Sicherheit umfassend zu stärken – und stellt Geschäftsführungen bei Verstößen in die direkte Verantwortung. „Ohne professionellen Partner an ihrer Seite haben Unternehmen kaum eine Chance, die Interdisziplinarität zu erfüllen, die mit der Einführung eines ISMS einhergeht“, verrät Christian Schilling, Gründer und Geschäftsführer von Getsec.

„Die Vorteile einer ISO-27001-Zertifizierung liegen jedoch auf der Hand: Neben der Erfüllung gesetzlicher Anforderungen hilft sie Unternehmen dabei, ihre eigenen internen Risiken zu erkennen. Zudem schafft der Nachweis der Zertifizierung Vertrauen für ihre Kunden“, ergänzt Christian Lorenz, ebenfalls Gründer und Geschäftsführer von Getsec. Mit ihrem spezialisierten Beratungsunternehmen für ISMS unterstützen die Experten Unternehmen dabei, ein ISMS aufzubauen und die Informationssicherheit systematisch und nachhaltig zu etablieren. Neben der Zertifizierung nach ISO 27001 zählt die Verbesserung der Sicherheitsstandards zu den Zielen der Zusammenarbeit. Mit klaren Strukturen und schlanken Prozessen begleiten Christian Schilling und Christian Lorenz ihre Kunden auf diesem Weg – bis hin zur erfolgreichen Zertifizierung durch eine offizielle Stelle wie den TÜV. Eine unschlagbare Erfolgsquote und langjährige Kundenbeziehungen spiegeln die hohe Dienstleistungsqualität von Getsec wider.

Christian Schilling und Christian Lorenz von Getsec bei uns im Interview!

Herzlich willkommen im ConsultingMagazin, Christian Schilling und Christian Lorenz! Vor welchen Herausforderungen stehen Ihre Kunden, wenn sie auf Getsec zukommen?

Christian Schilling: Die Einführung eines ISMS erfolgt selten freiwillig. In der Regel sorgen entweder gesetzliche Vorgaben oder Branchenanforderungen dafür, dass Unternehmen diesen Schritt gehen wollen oder müssen. Manchmal entsteht der Bedarf auch durch Kundenvorgaben – etwa bei Ausschreibungen. Die meisten Unternehmen haben weder Vorerfahrung mit ISMS noch verfügen sie über interne Expertise oder Ressourcen. Sobald sie merken, wie komplex das Thema in der Praxis ist, wird den Unternehmen klar, dass sie professionelle Hilfe in Anspruch nehmen müssen.

Denn ISMS geht weit über den IT-Bereich hinaus: Es betrifft die Personalabteilung, das Facility-Management, das Dokumentenmanagement, die Geschäftsführung und andere Fachabteilungen. Kurzum: Unsere Dienstleistung ist interdisziplinär und von Unternehmen in der Regel nicht allein umsetzbar. Fehlendes Verständnis für die spezifische Normsprache, immer neue gesetzliche Anforderungen und ein Mangel an geeigneten Mitarbeitern tragen außerdem dazu bei, dass viele Unternehmen mit der Einführung eines ISMS überfordert sind.

Wie läuft die Zusammenarbeit mit Getsec dann ab?

Christian Lorenz: Verfügt der Kunde bereits über Prozesse im Bereich Qualitäts- und Informationsmanagement, beginnt die Zusammenarbeit mit einer Gap-Analyse. Im Rahmen eines Workshops beim Kunden vor Ort gehen wir alle Schritte gemeinsam durch und gleichen sie mit den Anforderungen der Zertifizierungsnorm ab. So können wir Lücken zuverlässig identifizieren. Basierend auf dieser Ersteinschätzung erstellen wir einen Maßnahmenplan für jeden Themenbereich, der anschließend schrittweise umgesetzt wird. Ob vor Ort oder remote – im Rahmen von Workshops werden alle relevanten Prozesse und Dokumentationen erstellt. Je nach Ressourcen und Einsatzbereitschaft des Kunden dauert dieser Vorgang drei bis sechs Monate. Am Ende findet die Qualitätssicherung durch ein internes Audit und die Vorbereitung auf das externe Audit statt.

Mit Getsec zum ISMS – und sicher durch die Re-Zertifizierung

Wir begleiten unsere Kunden nicht nur durch das Audit, sondern auch über die erfolgreiche Zertifizierung hinaus. Denn ISMS ist kein Projekt, sondern ein kontinuierlicher Verbesserungsprozess. Jährliche Risikobewertungen und interne Audits sind Pflichtbestandteile zur Aufrechterhaltung der Zertifizierung. Um reibungslose Re-Zertifizierungen und die dauerhafte Einhaltung der Normen sicherzustellen, setzen viele Kunden auf die langfristige Zusammenarbeit mit Getsec. So betreuen wir die meisten unserer Kunden bereits seit dem ersten Tag nach Abschluss der Einführungsprojekte – bei sehr geringer Fluktuation. Neben persönlicher Beratung zu immer neuen Themen erstellen wir für den Kunden außerdem ein Handbuch, das sein ISMS in einen formellen Rahmen bringt.

Was unterscheidet Getsec von anderen Beratungsunternehmen für ISMS am Markt?

Christian Schilling: Statt auf überdimensionierte Richtlinien setzen wir auf Praxisnähe und Pragmatismus. Mit klar definierten Themenblöcken für jede Fachabteilung gehen wir strukturiert vor und orientieren uns dabei an den tatsächlichen Gegebenheiten des Kunden. Dadurch können wir eine außerordentliche Schnelligkeit bei der Umsetzung bieten – ein klarer Vorteil gegenüber anderen Marktteilnehmern.

“Mit einem jungen, modernen Team und frischen Strukturen und Methoden heben wir uns zudem deutlich von unseren Wettbewerbern ab.”

Dadurch dass Christian und ich parallel zu unserer Beratertätigkeit als Auditoren bei Zertifizierungsstellen tätig sind, verfügen wir über tiefgreifendes Wissen und praktische Erfahrung. Zudem erhalten wir regelmäßig fundierte Einblicke in Zertifizierungsprozesse und aktuelle Entwicklungen.

ISO-27001-Zertifizierung mit Getsec: Schnell, praxisnah und erfolgreich 

Was würden Sie Kunden raten, worauf sie bei der Wahl eines professionellen Beraters achten sollten?

Christian Lorenz: Zentrale Kriterien für die Wahl eines Beraters für ISMS sind Qualifikationen und Projekterfahrungen. Leider tummeln sich viele Theoretiker am Markt – teilweise frisch von der Universität. Sie verfügen in der Regel nicht über die nötige Erfahrung, um ISMS strukturiert, effizient und erfolgreich in Unternehmen einzuführen. Hierbei handelt es sich um ein Defizit, das vermehrt bei großen Beratungshäusern auftritt. Insbesondere mit Blick auf die Big Four mussten viele unserer Kunden bereits die Erfahrung machen, dass Preisstruktur und Dienstleistungsqualität nicht übereinstimmen.

Bei der Auswahl des Beraters sollte also nicht nur darauf geachtet werden, dass seine Dienstleistung zur Unternehmensgröße und -struktur passt. Eine moderne und lösungsorientierte Vorgehensweise ist ebenfalls wichtig. Darüber hinaus empfiehlt es sich, Projektergebnisse und Erfolgsquoten des jeweiligen Beraters unter die Lupe zu nehmen.

NIS-2: Haftungsrisiken minimieren, IT-Sicherheit stärken

In Bezug auf IT-Sicherheit geht es immer häufiger um NIS-2. Was hat es mit dieser Richtlinie auf sich und warum birgt sie so große Risiken für Unternehmer?

Christian Schilling: Mit NIS-2 kommt eine neue EU-Richtlinie zur Cybersicherheit auf uns zu. Ihre Umsetzung war bereits bis Oktober 2024 geplant, doch wurde noch nicht finalisiert. Während andere EU-Staaten die Richtlinie bereits umsetzen, hinkt Deutschland hinterher. Fakt ist aber: NIS-2 wird kommen und vor allem für Unternehmen aus dem Bereich kritischer Infrastrukturen wie Energie, Verkehr und Banken von Relevanz sein. Aber auch kleinere Unternehmen müssen die Maßnahmen umsetzen. Insgesamt betrifft die Richtlinie zur Cybersicherheit etwa 30.000 Unternehmen in Deutschland – ob sie betroffen sind, müssen die Unternehmen jedoch selbst prüfen.

Von NIS-2 betroffene Unternehmen sind dazu verpflichtet, Risiken zu analysieren und entsprechende Schulungen zu absolvieren. Kommt es zu Schäden durch Lücken in der IT-Sicherheit, stehen die Unternehmen in der Verantwortung, ihre Pflichterfüllung nachzuweisen. Bei Verstößen entstehen folgenschwere Haftungsrisiken für die Geschäftsführungen – unternehmerisch und privat. Um derartige Konsequenzen zu vermeiden und sich ideal auf NIS-2 vorzubereiten, empfiehlt es sich, ein ISMS im Unternehmen einzuführen. Die ISO-27001-Zertifizierung gilt zum Beispiel als passende Maßnahme zur Erfüllung der Anforderungen.

ISMS in wenigen Monaten: Getsec überzeugt mit 100 Prozent Erfolgsquote

Welche Ergebnisse können Kunden aus der Zusammenarbeit mit Getsec erwarten?

Christian Lorenz: In der Zusammenarbeit mit einem sehr engagierten Unternehmen ist es uns gelungen, in nur drei Monaten ein vollständiges ISMS einzuführen – von null bis zur Zertifizierung. Zum Vergleich: Der Erwerb der ISO-27001-Zertifizierung ist ein Prozess, der sich mit anderen Beratungsunternehmen oft über Jahre hinzieht. Darüber hinaus zeichnet sich Getsec durch eine hundertprozentige Erfolgsquote aus: Von über zwanzig Zertifizierungen haben bisher alle unsere Kunden beim ersten Versuch bestanden. Aus Auditorensicht ist diese Quote alles andere als selbstverständlich.

Weitere Ergebnisse aus der Zusammenarbeit mit uns sind überraschende Erkenntnisse bei der Bestandsaufnahme. Beispielsweise haben wir während eines unserer Projekte entdeckt, dass der zuständige IT-Leiter privat eine Leitung aus dem Firmennetzwerk in sein benachbartes Wohnhaus gelegt hatte – bis zur Zusammenarbeit mit uns war dies unbemerkt geblieben.

Christian Schilling und Christian Lorenz: Von Konzernprojekten zur eigenen Beratung

Was können Sie über Ihren beruflichen Hintergrund verraten?

Christian Lorenz: Ich bin Diplom-Volkswirt, Diplom-Soziologe und habe einen Master in Informatik. Zunächst war ich für ein Start-up tätig, das später zum Unicorn wurde. Über eine nächste Station, die Beratung, bin ich anschließend in der Energiebranche gelandet. Dort habe ich Christian kennengelernt: Wir waren gemeinsam dafür zuständig, die ISMS für Konzerntöchter und -schwestern aufzubauen. Dabei bemerkten wir jedoch immer wieder, dass unser Thema in den bestehenden Strukturen keinen Platz fand. So gründeten wir mit Getsec schließlich unser eigenes Beratungsunternehmen. Parallel dazu bin ich unter anderem für den TÜV Nord, TÜV Thüringen und Würth IT als Auditor tätig.

Christian Schilling: Ich habe eine Ausbildung zum Industriekaufmann bei Siemens absolviert und war anschließend über zehn Jahre für die Stadtwerke München tätig. Bevor ich in die Beratung ging, war auch ich kurze Zeit für ein Start-up tätig. Obwohl ich ebenfalls Auditor bin, liegt mein Fokus heute stärker auf Beratungen. Was mir an der Arbeit bei Getsec besonders gefällt, ist unser breites Kundenspektrum: Während wir zunächst mit der Beratung von Energieversorgern gestartet sind, beraten wir heute branchenübergreifend – vom multinationalen DAX-Konzern bis zur Bäckerei oder Unternehmen mit drei Mitarbeitern ist alles dabei.