Ab wann gilt DORA?
Seit dem 17. Januar 2025. Wir richten Prozesse und Nachweise entsprechend aus.

Muss jedes Institut TLPT durchführen?
Nein. TLPT betrifft nur bestimmte, risikorelevante Institute und folgt behördlichen Kriterien; grundsätzlich in mehrjährigen Intervallen. Ich bereite Sie gezielt darauf vor (Scope, Rollen, Evidenzen).

Wie laufen Vorfall‑Meldungen ab?
Mit Initialmeldung → Updates → Abschlussbericht über nationale Meldewege/Formulare. Wir definieren Kriterien, Playbooks und Nachweise – inklusive Kommunikationsplan.

Wie adressieren wir Cloud & kritische ICT‑Dienstleister?
Mit einem evidenzfähigen Third‑Party‑Programm (Register, Verträge, Kontrollen, Exit). Für als kritisch eingestufte Provider existiert ein gesondertes ESAs‑Oversight‑Regime – darauf bereite ich Ihre Zusammenarbeit vor.

1) Was umfasst Ihre Beratung im Kern?
Risikobasierte Cyber‑/Informationssicherheit mit klaren Prioritäten: von Gap‑Analyse über Maßnahmenplan bis zur Umsetzung und Audit‑Readiness.

2) Wie läuft das Erstgespräch ab?
30 Minuten kostenlos: Ziele, Betroffenheit (z. B. ISO 27001/NIS2/DORA/TISAX), grober Scope, nächster Schritt. Sie erhalten im Anschluss eine kurze Zusammenfassung.

3) Ab wann sehen wir Ergebnisse?
Schnell. Wir starten mit Quick‑Wins (z. B. Zugriff, Backup‑Restore‑Test, Patch‑Prozess, Incident‑Playbooks) und liefern in wenigen Wochen messbare Verbesserungen.

4) Arbeiten Sie remote oder vor Ort?
Beides. Häufig am effizientesten: hybrid (Workshops remote, kritische Termine vor Ort).

5) Wie wird abgerechnet?
Transparent per Tagessatz oder Paket/Festpreis für klar umrissene Leistungen. Optional: Retainer für laufende Begleitung.

6) Arbeiten Sie tool‑/anbieter‑neutral?
Ja. Entscheidungen treffen wir risikobasiert und dokumentieren sie nachvollziehbar – unabhängig von Herstellern.

7) Mit welchen Standards/Regulatorik arbeiten Sie?
ISO 27001/22301, NIS2, DORA, TISAX – plus praxisnahe Controls (z. B. IAM, EDR, Backup, Vulnerability‑/Patch‑Prozess, Monitoring/IR, TPRM, BCM).

8) Wie stellen Sie Audit‑/Nachweisfähigkeit sicher?
Evidenz‑First: Policies/Prozesse, Register, Protokolle, Reports. Was nicht nachweisbar ist, gilt als nicht erfolgt.

9) Wie stark binden Sie unser Team ein?
Nur so viel wie nötig. Wir bündeln Interviews/Workshops und arbeiten mit einem priorisierten Maßnahmenplan (Owner, Fälligkeit, Wirkung).

10) Begleiten Sie Zertifizierungen?
Ja – von Readiness‑Check über internes Audit & Management‑Review bis zur Zert‑Begleitung.

11) Übernehmen Sie auch operative Aufgaben?
Auf Wunsch interimistisch (z. B. ISB, TPRM‑Koordination, Incident‑Runbooks, KPI‑Reporting) – mit klaren Übergaben ins Team.

12) Vertraulichkeit & NDA?
Selbstverständlich. NDA und Need‑to‑know‑Prinzip sind Standard.

1) Was macht ein Auditor genau?
Ich prüfe Prozesse, Kontrollen und Nachweise evidenzbasiert gegen Standards (z. B. ISO 27001/ISO 19011, TISAX) – mit Interviews, Dokumenten‑Checks und Stichproben.

2) Interner Auditor vs. Zertifizierer – was ist der Unterschied?
Ich führe interne Audits/Readiness‑Audits durch und bereite auf die externe Zertifizierung vor. Zertifikate stellt ausschließlich eine akkreditierte Zertifizierungsstelle aus.

3) Wie stelle ich Unabhängigkeit/Objektivität sicher?
Keine Prüfung der eigenen Arbeit: Für Beratungsmandate trenne ich Rollen strikt (Chinese‑Wall‑Prinzip) oder setze einen unabhängigen Auditor ein.

4) Wie läuft ein Audit ab?
Kick‑off → Dokumenten‑Review → Interviews/Stichproben → Befunde & Priorisierung → Management‑Summary mit Maßnahmenliste (Owner, Fälligkeit, Wirkung).

5) Wie lange dauert das?
Je nach Scope meist 1–3 Tage Durchführung plus Reporting. Größere Scopes planen wir frühzeitig.

6) Was braucht mein Team zur Vorbereitung?
Aktuelle Policies/Prozesse, SoA, Risikoregister, Rollen/Verantwortlichkeiten, Nachweise (z. B. Zugriffs‑/Backup‑Protokolle, Patch‑Reports, Lieferanten‑Nachweise), letzte Auditergebnisse.

7) Vor Ort oder remote?
Beides – oft hybrid am effizientesten (Workshops remote, kritische Stichproben vor Ort).

8) In welchen Regelwerken auditiere ich?
ISO 27001/ISO 19011, TISAX‑Readiness, NIS2/DORA‑Readiness, ISO 22301 (BCM) – mit Fokus auf Nachweisfähigkeit.

9) Was ist das Ergebnis?
Ein auditfähiger Bericht mit klar priorisierten Befunden (kritisch/hoch/mittel/niedrig), umsetzbarer Maßnahmenliste und einer 1‑Seiten‑Summary für Geschäftsführung/Beirat.

10) Wie wird abgerechnet?
Transparent per Tagessatz oder Paket/Festpreis für klar definierten Scope.

11) Vertraulichkeit & NDA?
Selbstverständlich. NDA, Need‑to‑Know und sichere Übermittlungskanäle sind Standard.

12) In welchen Sprachen auditiere ich?
Deutsch & Englisch.