Jede Branche hat ihre eigenen Stolpersteine. Wir kennen sie, weil wir sie in der Region täglich sehen.
- ProduktionMaschinennetze trennen, Hallen-WLAN, Wiederanlauf
- LogistikScanner, mehrere Standorte, Erreichbarkeit
- HandelKassensysteme, Filialen, Shop-Anbindung
- ArztpraxenVertraulichkeit belegen, Praxissoftware, TI
- KanzleienRechtssichere Archivierung, Mandantentrennung
- Kommunen & StadtwerkeNIS2, Netztrennung, Nachweise für die Aufsicht
- DienstleisterMobiles Arbeiten, Cloud, Zusammenarbeit
Eigene Leute an drei Standorten in Mittelfranken – deshalb können wir im Notfall denselben Tag zusagen.
Hand in Hand
Alles rund um Ihre IT – aus einer Hand
Von der Leitung im Serverraum bis zur KI im Arbeitsalltag: zwölf Bereiche, für jeden davon eigene Spezialisten. Was BES nicht selbst macht, übernimmt ein Haus der L&S Unternehmensgruppe – abgestimmt, nicht weitergereicht.
ISO 27001
ISO 27001 ist die international anerkannte Norm für Managementsysteme der Informationssicherheit. Sie beschreibt, wie ein Unternehmen Risiken systematisch erkennt, behandelt und dies nachweist.
Was ist ISO 27001?
Die ISO/IEC 27001 legt Anforderungen an ein Informationssicherheits-Managementsystem (ISMS) fest. Kern ist ein wiederkehrender Zyklus: Risiken bewerten, Maßnahmen festlegen, umsetzen, prüfen und verbessern. Im Anhang der Norm finden sich Maßnahmenbereiche wie Zugriffskontrolle, Kryptografie, physische Sicherheit, Betriebssicherheit, Lieferantenbeziehungen und Vorfallmanagement.
Eine Zertifizierung erfolgt durch eine akkreditierte Prüfstelle. Sie bestätigt, dass das Managementsystem der Norm entspricht und gelebt wird – nicht, dass ein Unternehmen unangreifbar ist. Das Zertifikat gilt in der Regel drei Jahre mit jährlichen Überwachungsaudits.
Warum ISO 27001 für den Mittelstand relevant ist
Lange galt ISO 27001 als Thema für Konzerne. Das ändert sich aus drei Gründen. Erstens fordern Großkunden aus Automobil, Maschinenbau und Handel von ihren Lieferanten zunehmend einen Nachweis über Informationssicherheit – ein Zertifikat beendet lange Fragebögen und Einzelaudits. Zweitens verlangen NIS2 und Cyber-Versicherer strukturierte Risikoprozesse, die ein ISMS ohnehin liefert. Drittens schafft die Norm intern Klarheit: Wer ist für was verantwortlich, welche Systeme sind kritisch, was passiert im Ernstfall?
Der Aufwand ist planbar. Für ein Unternehmen mit 50 bis 250 Arbeitsplätzen dauert der Weg zur Zertifizierung typischerweise neun bis achtzehn Monate. Die größte Hürde ist selten die Technik, sondern Dokumentation, Zuständigkeiten und Verbindlichkeit im Alltag.
Was passiert, wenn nicht? Ohne Nachweis fallen Sie in Ausschreibungen zurück, beantworten Sicherheitsfragebögen immer wieder von Hand und haben im Vorfall keine belastbare Grundlage, um Versicherern oder Behörden gegenüber Sorgfalt zu belegen.
Was BES daraus macht
BES Systemhaus durchläuft die ISO-27001-Zertifizierung derzeit selbst – wir kennen den Weg also aus eigener Erfahrung, nicht nur aus dem Lehrbuch. Für Kunden übernehmen wir die technische Seite: Härtung, Patchmanagement, Protokollierung, Backup und Zugriffskonzepte aus unseren Managed IT-Services liefern die Nachweise, die Auditoren sehen wollen. Die organisatorische Begleitung – Risikoanalyse, Richtlinien, interne Audits, Rolle des Informationssicherheitsbeauftragten – erfolgt über unsere Schwesterfirma CMD Datenschutz & Compliance innerhalb der L&S Unternehmensgruppe. Den Gesamtprozess beschreiben wir unter ISO 27001 Beratung. Wer zunächst nur regulatorisch fit werden will, startet mit der NIS2-Beratung; der IT-Notfallplan ist in beiden Fällen ein Baustein.
Häufige Fragen
Muss mein Unternehmen ISO 27001 zertifiziert sein?
Eine gesetzliche Pflicht besteht in der Regel nicht. Der Druck kommt aus Kundenverträgen, Ausschreibungen und Versicherungsbedingungen. Viele Unternehmen setzen die Norm zunächst ohne Zertifikat um und lassen sich später prüfen.
Was kostet eine ISO-27001-Zertifizierung?
Die Kosten hängen von Unternehmensgröße, Geltungsbereich und Reifegrad ab. Neben den Auditgebühren fällt vor allem interner Aufwand an. Eine Einschätzung geben wir im Erstgespräch.
Kann ein IT-Dienstleister das ISMS für uns betreiben?
Teilweise. Die technischen Maßnahmen lassen sich auslagern, die Verantwortung der Geschäftsführung und zentrale Entscheidungen nicht. Bewährt hat sich die Kombination aus Managed Services und externem Informationssicherheitsbeauftragten.