Praxisszenario: 90-Tage-Einstieg für KMU

Ein praxistauglicher Einstieg lässt sich für viele KMU als 90-Tage-Arbeitsplan formulieren. Dieser Plan ersetzt kein vollständiges Grundschutz-Projekt, schafft aber eine belastbare Grundlage für Entscheidungen, Nachweise und spätere Vertiefung. Die Zeitangabe ist dabei nicht als starre Projektvorgabe zu verstehen. Sie zeigt, dass ein erster Sicherheitsprozess auch dann möglich ist, wenn Budget, Personal und Vorwissen begrenzt sind.

In den ersten 30 Tagen sollte die Organisation den Betrachtungsbereich festlegen und die wichtigsten Grundlagen erfassen. Dazu gehören die kritischen Geschäftsprozesse, die wichtigsten Anwendungen, zentrale IT-Systeme, externe IT- und Cloud-Dienstleistungen, administrative Zugänge, Backup-Verfahren, Standorte und Kommunikationswege. Der Schwerpunkt liegt nicht auf technischer Vollständigkeit, sondern auf einem gemeinsamen Lagebild. Dieses Lagebild sollte mit der Leitungsebene abgestimmt werden, damit klar ist, welche Prozesse für das Unternehmen tatsächlich wesentlich sind.

Zwischen Tag 31 und Tag 60 folgt die fachliche Bewertung. Für die betrachteten Prozesse und Systeme wird der Schutzbedarf bestimmt. Danach werden die einschlägigen Grundschutz-Bausteine ausgewählt und in einem verschlankten Grundschutz-Check bewertet. In dieser Phase entstehen die wichtigsten Lückenbilder: fehlende Rollen, unvollständige Systemübersichten, nicht getestete Backups, schwache Administrationskontrollen, fehlende Dienstleister-Nachweise, ungeklärte Notfallrollen oder nicht dokumentierte Sicherheitsentscheidungen. Entscheidend ist, diese Punkte nicht nur technisch zu sammeln, sondern nach Risiko und geschäftlicher Auswirkung zu priorisieren.

Zwischen Tag 61 und Tag 90 wird aus dem Check ein steuerbarer Maßnahmen- und Nachweisplan. Die Organisation entscheidet, welche Maßnahmen kurzfristig umgesetzt werden, welche mittelfristig geplant werden und welche Restrisiken vorübergehend akzeptiert werden. Für jede wesentliche Entscheidung sollte eine verantwortliche Stelle benannt werden. Gleichzeitig wird ein Nachweisregister angelegt, damit vorhandene Dokumente, Protokolle, Verträge, Testergebnisse und Screenshots nicht verstreut bleiben. Am Ende der ersten Umsetzungswelle sollte ein kurzer Managementbericht vorliegen, der Ausgangslage, Top-Risiken, priorisierte Maßnahmen, offene Entscheidungen und nächste Prüftermine zusammenfasst.