Sicherheit ist
kein Zufall.
Sie ist konstruiert.

In Deutschland greifen zwei Regelwerke nebeneinander. Nach Art. 37 DSGVO ist die Bestellung unter anderem erforderlich, wenn die Kerntätigkeit in einer umfangreichen regelmäßigen und systematischen Überwachung von Personen besteht oder wenn umfangreich besondere Kategorien personenbezogener Daten verarbeitet werden.

Ergänzend verlangt § 38 BDSG eine Bestellung, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Beschäftigtenzahl besteht die Pflicht auch dann, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung unterliegen oder personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung oder der Markt- und Meinungsforschung verarbeitet werden. Ob eine Bestellpflicht vorliegt, lässt sich nur anhand der konkreten Verarbeitungstätigkeiten beurteilen.

Für den erstmaligen Aufbau eines Informationssicherheits-Managementsystems bis zum Zertifikat sind je nach Unternehmensgröße, Geltungsbereich und vorhandenem Reifegrad üblicherweise sechs bis achtzehn Monate zu veranschlagen.

Unternehmen, die bereits über dokumentierte Prozesse oder ein ISO 9001 Qualitätsmanagementsystem verfügen, erreichen das Ziel in der Regel schneller. Den größten Einfluss auf die Dauer haben die Verfügbarkeit interner Ansprechpartner und die Breite des gewählten Geltungsbereichs.

ISO/IEC 27001 ist ein international anerkannter Standard, der Anforderungen an ein Informationssicherheits-Managementsystem formuliert, die konkrete Maßnahmenauswahl jedoch weitgehend der risikobasierten Entscheidung des Unternehmens überlässt.

Der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik ist demgegenüber deutlich konkreter und stellt mit seinen Bausteinen einen umfangreichen Katalog vorgefertigter Standardmaßnahmen bereit. Beide Wege führen zu einem Zertifikat nach ISO 27001; der IT-Grundschutz gilt dabei als methodisch strenger und ist im öffentlichen Sektor verbreiteter, während die reine ISO-Zertifizierung international besser vermittelbar ist.

Ja. Beide Normen folgen der sogenannten High Level Structure, einer einheitlichen Gliederung für Managementsystemnormen. Kapitel wie Kontext der Organisation, Führung, Planung, interne Audits und Managementbewertung sind daher weitgehend deckungsgleich und lassen sich in einem integrierten Managementsystem gemeinsam abbilden.

Das reduziert Dokumentationsaufwand, Auditzeiten und interne Reibungsverluste erheblich gegenüber zwei getrennt geführten Systemen.

Eine externe Bestellung vermeidet Interessenkonflikte, die bei internen Beschäftigten mit operativer Verantwortung für Verarbeitungen entstehen können. Externe Datenschutzbeauftragte genießen zudem keinen datenschutzrechtlichen Sonderkündigungsschutz als Arbeitnehmer, bringen Erfahrung aus zahlreichen Mandaten mit und übernehmen die Pflicht zur kontinuierlichen Fortbildung selbst.

Für kleinere und mittlere Unternehmen ist die externe Lösung in der Regel wirtschaftlicher als der Aufbau und die dauerhafte Qualifizierung interner Fachkunde.

Ja. Der Sitz in Stadtbergen bei Augsburg ist der Ausgangspunkt, die Mandate erstrecken sich jedoch über Bayern hinaus auf das gesamte Bundesgebiet.

Ein erheblicher Teil der Zusammenarbeit – Workshops, Dokumentenprüfungen, Schulungen und Abstimmungen – lässt sich remote abwickeln; Audits und Kick-off-Termine finden in der Regel vor Ort statt.

Das Beratungsangebot richtet sich an kleine und mittlere Unternehmen ebenso wie an Konzerngesellschaften. Die betreuten Mandate stammen aus unterschiedlichen Branchen, darunter produzierendes Gewerbe, IT-Dienstleistung, Handel und technische Dienstleistung.

Der methodische Zuschnitt richtet sich nach Größe, Risikoprofil und regulatorischem Umfeld des jeweiligen Unternehmens.

Der Aufwand hängt maßgeblich vom Geltungsbereich, der Unternehmensgröße, dem vorhandenen Dokumentationsstand und dem angestrebten Termin ab. Eine belastbare Aussage ist daher erst nach einer kurzen Bestandsaufnahme möglich.

Diese Ersteinschätzung ist unverbindlich und kostenfrei; darauf aufbauend entsteht ein transparentes Angebot mit klar abgegrenzten Leistungspaketen.