Sicherheit von Netz- und Informationssystemen (NIS)
Mit der Verabschiedung des NIS-Gesetzes (NISG) fordert die österreichische Bundesregierung ein hohes Sicherheitsniveau der Netz- und Informationssysteme im Bereich der kritischen Infrastruktur. Als Qualifizierte Stelle (QuaSte) steht SEC Consult allen nachweispflichtigen Organisationen für die Überprüfung und Umsetzung der im NIS-Gesetz angeführten Vorgaben zur Verfügung.
Detailierte Informationen und Services zur NIS2-Richtlinie finden Sie hier.
Überprüfung und Nachweis durch SEC Consult
Kompetenz durch das Bundesministerium für Inneres bestätigt
Als Qualifizierte Stelle (QuaSte) wurde unsere Kompetenz von der DSN - Direktion Staatsschutz und Nachrichtendienst (vormals BVT - Bundesamt für Verfassungsschutz und Terrorismusbekämpfung) geprüft und bestätigt. Unsere Experten ermöglichen eine kompetente Begutachtung Ihrer Netz- und Informationssysteme und geben Auskunft über das momentane Sicherheitsniveau.
Weiterführende Informationen zur Funktion einer Qualifizierten Stelle (QuaSte)
Eine Qualifizierte Stelle ist ein Unternehmen, das vom Bundesamt für Verfassungsschutz und Terrorismusbekämpfung (BVT) ermächtigt wird, als externer Auditor alle Sicherheitsvorkehrungen zum Schutz kritischer Infrastruktur von Betreibern wesentlicher Dienste, Anbieter digitaler Dienste und Einrichtungen des Bundes zu überprüfen.
Die Bevölkerung muss sich darauf verlassen können, dass jene kritischen Systeme, die für das Funktionieren der Daseinsvorsorge und des Wirtschaftslebens wesentlich sind, vor Cyberattacken angemessen geschützt sind. Die Überprüfung dieser Sicherheitsvorkehrungen ist also eine höchst verantwortungsvolle Aufgabe, deren Ausführung großes Wissen, viel Erfahrung und absolute Vertrauenswürdigkeit erfordert. Den Nachweis, dafür qualifiziert zu sein, müssen Unternehmen, die eine QuaSte werden wollen, im Rahmen eines Akkreditierungsprozesses erbringen.
Bei der Überprüfung geht SEC Consult - in Anlehnung an ISO 19011 - in fünf Phasen vor.
Erste Phase
Die erste Phase beginnt mit der Initialisierung der Prüfung. Hier wird der Erstkontakt mit der nachweispflichtigen Organisation hergestellt und die Machbarkeit der Prüfung bestätigt.
Zweite Phase
In der zweiten Phase wird die Prüfung vorbereitet und im Prüfplan dokumentiert. Dieser ist die Basis, um die späteren Schritte effizient abwickeln und sich mit allen Beteiligten laufend abstimmen zu können. Da SEC Consult auch in der Standardisierung tätig ist, verfügen wir bei der Festlegung der entsprechenden Prüfkataloge über Kenntnisse aus erster Hand.
Dritte Phase
In der dritten Phase überprüfen die SEC Consult-Auditor*innen gemeinsam mit den Mitarbeiter*innen der nachweispflichtigen Organisation, ob die technischen und organisatorischen Sicherheitsmaßnahmen angemessen und auch wirksam sind.
Vierte Phase
Die Ergebnisse werden anschließend in der vierten Phase in einem Prüfbericht dokumentiert. Im Prüfbericht legen wir die Schwerpunkte vor allem auf die Nachvollziehbarkeit der Darstellung der geprüften Bereiche und die verwendete Methodik. Mit der Beurteilung des Berichts durch eine zweite, nicht beteiligte Prüferin bzw. Prüfer gewährleistet SEC Consult einen objektiven Blick auf die Erfüllung der Vorgaben. Im Zuge dieser Phase erfolgt auch die Ergebnispräsentation, in deren Rahmen wir die Resultate der Prüfung präsentieren und mit den Mitarbeiter*innen der geprüften Organisation besprechen bzw. mögliche Handlungsempfehlungen ableiten.
Fünfte Phase
Die Nachbehandlung stellt die fünfte und letzte Phase dar. In der Nachbehandlung behebt die geprüfte Organisation etwaige Sicherheitsmängel. Die Behebung wird anschließend von SEC Consult verifiziert und – falls zufriedenstellend – bestätigt.
In dem Fall machen die Expert*innen von SEC Consult das, was sie auch sonst tun, wenn sie Schwachstellen entdecken. Sie schlagen entsprechende Maßnahmen vor, die geeignet sind, die Schwachstellen nachhaltig zu schließen. Unsere Mitarbeiter*innen bringen Erfahrung aus unzähligen Sicherheitsüberprüfungen und Assessments ein. Ausgestattet mit erprobten Analysetools und immer up to date, was die neuesten Bedrohungen betrifft, sind sie unser wichtigstes Asset, um unseren Kunden ein verlässlicher Partner zu sein.
