IT-Sicherheit in Österreich: ein Angebot von genau einem Sicherheitsdienstleister

Bei einem laufenden Angriff wählen Sie im Formular die Dringlichkeit »Notfall, sofort«. Löschen Sie nichts und setzen Sie keine Systeme neu auf, bevor Fachleute die Lage gesehen haben; sonst gehen Spuren verloren.

Sind personenbezogene Daten betroffen, ist eine Meldung an die Datenschutzbehörde nach Art. 33 DSGVO zu prüfen; die Behörde bietet dafür ein eigenes Meldeformular an. Strafanzeigen nimmt die Polizei entgegen, im Bundeskriminalamt gibt es eine eigene Meldestelle für Cybercrime.

• Penetrationstest: gezielte, vorher schriftlich freigegebene Angriffe auf Website, Netz oder Anwendungen, mit Bericht und Empfehlungen
• Sicherheitsaudit: Abgleich von Organisation und Technik mit einem Maßstab wie ISO 27001, Ergebnis ist eine priorisierte Mängelliste
• Zertifizierung: Vorbereitung auf ISO 27001; das Zertifikat vergibt eine akkreditierte Zertifizierungsstelle, nicht der Berater
• Überwachung (SOC): laufende Auswertung von Protokollen und Warnmeldungen mit Reaktion auf Angriffe
• Schulung: Phishing-Übungen und Verhaltensregeln für Mitarbeitende

Das Formular fragt die Punkte ab, nach denen Umfang und Aufwand kalkuliert werden.

• Größe Ihres Unternehmens und Anzahl der Arbeitsplätze
• Bedarf: Pentest, Audit, Zertifizierung, Überwachung, Schulung oder akuter Vorfall
• ob Ihr Unternehmen unter NIS-2 fällt, soweit Sie es schon wissen
• Dringlichkeit und grober Budgetrahmen in Euro
• eine kurze Beschreibung, etwa welche Systeme geprüft werden sollen oder welcher Nachweis verlangt wird

Die NIS-2-Richtlinie ersetzt die frühere NIS-Richtlinie und weitet den Kreis der betroffenen Einrichtungen deutlich aus. Sie gilt grundsätzlich für mittlere und größere Unternehmen in den genannten Sektoren, einzelne Einrichtungen fallen aber unabhängig von ihrer Größe darunter. Unterschieden werden wesentliche und wichtige Einrichtungen mit unterschiedlich strenger Aufsicht.

Österreich muss dafür sein Netz- und Informationssystemsicherheitsgesetz (NISG) anpassen. Den aktuellen Stand, die Meldewege und einen Verweis auf den Online-Ratgeber der Wirtschaftskammer finden Sie bei der NIS-Anlaufstelle im Innenministerium. Prüfen Sie dort, welche Fassung für Ihr Unternehmen gilt, bevor Sie einen Dienstleister mit der Umsetzung beauftragen; die rechtliche Einordnung klären Sie mit einer Anwältin oder einem Anwalt.

Quelle: nis.gv.at

• Prüfumfang mit Systemen, Adressen und Standorten sowie ausdrückliche Ausschlüsse
• Methode und Maßstab, nach dem geprüft wird
• Ihre schriftliche Freigabe; bei gehosteten Systemen auch die Zustimmung des Anbieters
• Aufbau des Berichts und ob ein Nachtest nach der Behebung enthalten ist
• Vertraulichkeit, Umgang mit gefundenen Daten und Vereinbarung zur Auftragsverarbeitung
• bei Überwachung: Reaktionszeiten, Eskalation, Laufzeit und Kündigung

Sie beschreiben Ihren Bedarf und bestätigen Telefonnummer und E-Mail-Adresse. Dienstleister sehen zunächst nur die Eckdaten, ohne Ihren Firmennamen; technische Einzelheiten besprechen Sie erst direkt. Nur ein Dienstleister kann übernehmen und bezahlt Offrano dafür; für Sie ist die Anfrage kostenlos und unverbindlich. Bevor er Ihre Kontaktdaten sieht, erhalten Sie per E-Mail seinen Namen, seine Anschrift und seine Telefonnummer.

Geprüft ist nur, dass er als Unternehmen existiert, über UID-Nummer oder Firmenbuchauszug; seine Qualifikation prüfen wir nicht. Fragen Sie deshalb selbst nach Referenzen und Zertifikaten. Wir können nicht zusagen, dass sich jemand meldet; nach 21 Tagen ohne Übernahme nehmen wir die Anfrage aus dem Angebot. Offrano ist nicht Vertragspartner.