Leistungen

Was wir tun

Vier Linien, in denen sich bündelt, was wir anbieten. Jedes Stichwort der Übersicht führt zu dem Abschnitt weiter unten, der es ausführt.

Vier Linien

Security Governance & Compliance

Das Managementsystem aufbauen — von der Bestandsaufnahme bis zur Zertifizierungsreife.

Regulatorik & Nachweisfähigkeit

Wir zeigen, was für Sie gilt — und liefern die Nachweise, die dafür verlangt werden.

KI-Governance & Strategie

Klare Regeln für das, was bereits genutzt wird — und eine Grundlage für das, was Sie als Nächstes vorhaben.

Führung, Resilienz & Befähigung

Feste Rollen für Verantwortung, die sonst niemand trägt — und Übung für den Ernstfall.

Linie 01

Security Governance & Compliance

Das Managementsystem aufbauen — von der Bestandsaufnahme bis zur Zertifizierungsreife.

ISMS nach ISO 27001/2

Ein Informationssicherheits-Managementsystem ist kein Ordner voller Richtlinien, sondern ein Kreislauf aus Bewerten, Handeln und Nachweisen. Wir bauen es entlang der Norm auf — von der Anwendbarkeitserklärung bis zum internen Audit — und orientieren uns dabei an dem, was in Ihrem Unternehmen tatsächlich läuft, nicht an einer Idealvorlage. So entsteht ein System, das im Alltag getragen wird und nicht nur zur Zertifizierung aus der Schublade geholt wird. Am Ende steht ein Zertifikat, das etwas wert ist, weil es etwas belegt.

BSI-Grundschutz

Für Unternehmen mit Bezug zu Behörden, kritischer Infrastruktur oder deutschen Auftraggebern ist der BSI-Grundschutz oft die erwartete Sprache. Wir bilden Ihre Informationsverbünde nach der Grundschutz-Methodik ab, wählen die passenden Bausteine aus und dokumentieren so, dass eine Prüfung durch das BSI oder einen Auftraggeber standhält. Wo eine Kombination aus ISO 27001 und Grundschutz sinnvoller ist als eines von beidem, sagen wir das auch. Das Ziel ist Nachweisfähigkeit, nicht Methodentreue um ihrer selbst willen.

Risikomanagement ISO 31000

Risiken zu managen heißt nicht, jede denkbare Bedrohung zu dokumentieren, sondern die relevanten zu erkennen und Entscheidungen darüber nachvollziehbar zu machen. Wir richten einen Risikomanagementprozess nach ISO 31000 ein, der zu Ihrer Unternehmensgröße passt: Identifikation, Bewertung, Behandlung, Wiedervorlage. Das Ergebnis ist ein Risikoregister, das die Geschäftsführung tatsächlich liest, weil es priorisiert statt aufzuzählen. Und ein Prozess, der auch funktioniert, wenn wir nicht mehr im Raum sind.

Gap- & Prozessanalyse

Bevor irgendetwas neu aufgebaut wird, schauen wir, was schon da ist. Die Gap-Analyse vergleicht Ihren Ist-Zustand mit dem geforderten Soll — sei es eine Norm, eine Regulatorik oder ein Kundenanspruch — und zeigt konkret, wo die Lücken liegen und wie groß sie sind. Die Prozessanalyse ergänzt das um die Frage, ob Verantwortlichkeiten und Abläufe überhaupt zu den Regeln passen, die dafür gelten sollen. Aus beidem entsteht keine Mängelliste, sondern eine Priorisierung: was ist dringend, was ist wichtig.

Statement of Applicability

Das Statement of Applicability ist das Kerndokument jeder ISO-27001-Zertifizierung — und meist das am schlechtesten gepflegte. Wir erstellen es so, dass jede Entscheidung für oder gegen eine Maßnahme begründet ist und im Audit auch erklärt werden kann, ohne dass jemand improvisieren muss. Das schließt die Verknüpfung zu Risikobewertung, Richtlinien und tatsächlich umgesetzten Kontrollen mit ein. Ein SoA, das nur existiert, aber nicht erklärt werden kann, ist im Audit ein Risiko — wir sorgen dafür, dass es keins ist.

Richtlinienwerk

Richtlinien, die niemand liest, ändern nichts. Wir entwickeln ein Richtlinienwerk, das knapp genug ist, um tatsächlich gelesen zu werden, und konkret genug, um im Streitfall eine Antwort zu geben — von der übergeordneten Sicherheitsleitlinie bis zu Regelungen für einzelne Bereiche wie Zugriffe, mobile Geräte oder Lieferantenbeziehungen. Jede Richtlinie bekommt einen Verantwortlichen und ein Überprüfungsdatum, damit das Werk nicht nach der Erstellung sofort veraltet. So wird aus Papier ein Steuerungsinstrument.

Auditvorbereitung

Ein Audit — intern, extern oder durch einen Kunden angestoßen — verzeiht keine Überraschungen. Wir bereiten Sie systematisch vor: Dokumente auf Vollständigkeit prüfen, Nachweise dort ablegen, wo der Auditor sie erwartet, und die Menschen briefen, die im Gespräch Rede und Antwort stehen müssen. Wo Lücken bestehen, schließen wir sie vorher oder sorgen zumindest für eine belastbare Erklärung. Ziel ist ein Audit ohne böse Überraschung — für Sie und für uns.

Reifegradmessung

Bevor man sagt, wohin man will, sollte man wissen, wo man steht. Die Reifegradmessung bewertet Ihre Informationssicherheit entlang eines nachvollziehbaren Modells — nicht als Schulnote, sondern als Grundlage für eine Roadmap mit realistischen nächsten Schritten. Das Ergebnis zeigt nicht nur Schwächen, sondern auch, was bereits solide steht und nicht angefasst werden muss. So verhindern wir, dass Budget in Bereiche fließt, die längst in Ordnung sind.

Linie 02

Regulatorik & Nachweisfähigkeit

Wir zeigen, was für Sie gilt — und liefern die Nachweise, die dafür verlangt werden.

NIS2-Betroffenheit

Die erste Frage ist oft die schwierigste: Gilt NIS2 überhaupt für uns — und wenn ja, als wesentliche oder wichtige Einrichtung? Wir prüfen Ihre Betroffenheit anhand von Sektor, Größe und Sonderregelungen und dokumentieren das Ergebnis so, dass es im Zweifel auch gegenüber einer Behörde Bestand hat. Aus der Einstufung leiten wir ab, welche Pflichten konkret greifen — Meldewege, Risikomanagement, Nachweise. Das erspart Ihnen, im Ernstfall zum ersten Mal über diese Fragen nachzudenken.

Umsetzungsfahrplan

Regulatorik wird nicht an einem Tag umgesetzt, aber sie sollte auch nicht auf unbestimmte Zeit vertagt werden. Wir übersetzen die Anforderungen aus NIS2, ISO-Normen oder Kundenverträgen in einen Fahrplan mit realistischen Etappen, klaren Verantwortlichkeiten und Aufwandsschätzung. So wird aus einer abstrakten Pflicht ein Projektplan, den die Geschäftsführung genehmigen und die IT tatsächlich abarbeiten kann. Der Fahrplan wird regelmäßig nachgeschärft, statt einmal erstellt und dann ignoriert zu werden.

Rechtsregister

Wer haftet wofür, und woher weiß man das, wenn es darauf ankommt? Das Rechtsregister listet die für Ihr Unternehmen relevanten gesetzlichen, regulatorischen und vertraglichen Anforderungen an Informationssicherheit und Datenschutz — aktuell gehalten und mit Verweis darauf, wie die Anforderung erfüllt wird. Das ist zugleich Pflichtdokument vieler Managementsysteme und praktisches Nachschlagewerk für Geschäftsführung und IT-Leitung. Ohne dieses Register verlässt sich jede Nachweisführung auf das Gedächtnis Einzelner.

Kundenaudits & Fragebögen

Ein 80-seitiger Sicherheitsfragebogen von einem Großkunden ist kein Ausnahmefall, sondern für viele Mittelständler mittlerweile Alltag. Wir beantworten diese Fragebögen fachlich fundiert, konsistent zu Ihrem tatsächlichen Sicherheitsstand und so, dass Zusagen später auch eingehalten werden können. Parallel bauen wir eine Wissensbasis auf, damit der nächste Fragebogen nicht wieder bei null beginnt. Bei Vor-Ort-Audits durch Kunden bereiten wir die Gesprächspartner inhaltlich vor.

TISAX-Vorbereitung

Für Zulieferer der Automobilindustrie ist TISAX häufig Voraussetzung für den nächsten Auftrag, nicht nur ein Gütesiegel. Wir bereiten Sie auf das Assessment vor — von der Auswahl des passenden Prüfziels über die Umsetzung der VDA-ISA-Anforderungen bis zur Begleitung durch die Prüfung selbst. Dabei bauen wir möglichst auf einem bestehenden ISMS auf, statt eine Parallelstruktur zu schaffen. So wird TISAX zum Zusatznachweis, nicht zum eigenständigen Großprojekt.

Cyber-Versicherung

Cyber-Versicherer prüfen zunehmend genau, bevor sie zahlen — und noch genauer, bevor sie überhaupt versichern. Wir bereiten die Angaben zum Sicherheitsniveau vor, die Versicherer im Underwriting verlangen, und zeigen, wo Nachbesserung nötig ist, bevor der Antrag zu ungünstigen Konditionen oder zur Ablehnung führt. Im Schadensfall zählt zudem, ob zugesagte Maßnahmen tatsächlich umgesetzt waren — auch dafür sorgt eine saubere Dokumentation im Vorfeld. Das senkt nicht nur die Prämie, sondern auch das Risiko einer bösen Überraschung im Ernstfall.

Lieferkette & Beschaffung

Sicherheitsrisiken entstehen selten nur im eigenen Haus, sondern häufig bei Dienstleistern und Lieferanten. Wir helfen, Sicherheitsanforderungen in Beschaffungsprozesse und Verträge einzubauen, kritische Lieferanten zu identifizieren und deren Sicherheitsniveau nachvollziehbar zu bewerten — ohne jeden Lieferanten mit demselben Aufwand zu prüfen. Das ist zugleich Pflicht vieler Regulatorik wie NIS2 und schlicht wirtschaftlich sinnvoll. Am Ende wissen Sie, wo in Ihrer Lieferkette die eigentlichen Risiken liegen.

Linie 03

KI-Governance & Strategie

Klare Regeln für das, was bereits genutzt wird — und eine Grundlage für das, was Sie als Nächstes vorhaben.

AIMS nach ISO 42001

So wie ein ISMS Informationssicherheit strukturiert, strukturiert ein AI-Management-System nach ISO 42001 den Umgang mit Künstlicher Intelligenz — Rollen, Risikobewertung, Lebenszyklus-Kontrollen für KI-Systeme. Wir bauen dieses System dort auf, wo es proportional zum tatsächlichen KI-Einsatz Sinn ergibt, und nicht als Selbstzweck. Für Unternehmen, die KI-Systeme entwickeln, anbieten oder in größerem Umfang einsetzen, wird es zunehmend zum Nachweis gegenüber Kunden und Aufsicht. Wir sorgen dafür, dass dieser Nachweis auf echter Praxis beruht, nicht nur auf Papier.

EU AI Act

Der EU AI Act stuft KI-Anwendungen nach Risiko ein und verlangt je nach Einstufung sehr unterschiedliche Pflichten — von minimalen Anforderungen bis zu strengen Auflagen für Hochrisiko-Systeme. Wir ordnen Ihre eingesetzten und geplanten KI-Anwendungen in dieses Raster ein und zeigen, welche Pflichten daraus konkret folgen und bis wann. Das betrifft nicht nur Unternehmen, die KI entwickeln, sondern auch die, die sie im Alltag einsetzen. Wer das jetzt klärt, vermeidet spätere Nachrüstung unter Zeitdruck.

KI-Richtlinie

Die meisten Mittelständler nutzen längst KI-Werkzeuge — oft ohne verbindliche Regeln dafür, was erlaubt ist und was nicht. Wir entwickeln eine KI-Richtlinie, die praxisnah beschreibt, welche Werkzeuge freigegeben sind, welche Daten damit verarbeitet werden dürfen und wer im Zweifel entscheidet. Das schafft Rechtssicherheit für Mitarbeitende und verhindert, dass Schatten-KI unkontrolliert wächst. Die Richtlinie wird so formuliert, dass sie tatsächlich befolgt werden kann, statt nur auf dem Papier zu existieren.

Inventar genutzter Dienste

Man kann nicht steuern, was man nicht kennt — und in den meisten Unternehmen nutzt jede Abteilung andere KI-Dienste, oft ohne Wissen der IT. Wir erfassen systematisch, welche KI-Anwendungen tatsächlich im Einsatz sind, mit welchen Daten sie arbeiten und über welche Anbieter. Dieses Inventar ist die Grundlage jeder weiteren Steuerung — von der Risikobewertung bis zur Erfüllung von AI-Act-Pflichten. Ohne dieses Inventar bleibt jede KI-Governance Theorie.

KI-Kompetenz nach Art. 4

Der EU AI Act verlangt ausdrücklich, dass Mitarbeitende, die mit KI-Systemen arbeiten, über ausreichende Kompetenz dafür verfügen — eine Pflicht, die viele Unternehmen noch gar nicht auf dem Schirm haben. Wir konzipieren Schulungen, die zur tatsächlichen Nutzung in Ihrem Unternehmen passen, statt generischer KI-Einführungen, und dokumentieren die Durchführung nachweisfähig. Das erfüllt nicht nur eine gesetzliche Pflicht, sondern senkt auch das Risiko von Fehlanwendungen im Alltag. Kompetenz entsteht durch konkrete Beispiele aus Ihrem Arbeitsumfeld, nicht durch abstrakte Folien.

Freigabeprozess

Neue KI-Werkzeuge tauchen schneller auf, als IT-Abteilungen sie bewerten können — mit dem Ergebnis, dass entweder alles verboten oder alles stillschweigend geduldet wird. Wir richten einen schlanken Freigabeprozess ein, der neue Anwendungen zügig, aber mit Blick auf Datenschutz, Sicherheit und Regulatorik bewertet, bevor sie unternehmensweit genutzt werden. Das beschleunigt sinnvolle Einführungen und verhindert riskante im gleichen Zug. Ein Prozess, der Wochen statt Monate dauert, wird auch tatsächlich genutzt.

Potenzialanalyse (risikobasiert)

Die meisten KI-Potenzialanalysen fragen nur, wo sich Automatisierung lohnt — nicht, ob sie sich mit vertretbarem regulatorischem und Risiko-Aufwand umsetzen lässt. Wir bewerten KI-Anwendungsfälle deshalb von Anfang an entlang ihrer Risikoklasse nach EU AI Act, der Sensitivität betroffener Daten und der Kritikalität der Prozesse. So entsteht eine Priorisierung, die nicht erst nach Monaten an Datenschutz, Zulassungsfähigkeit oder fehlender Auditierbarkeit scheitert. Das Ergebnis ist eine Roadmap, die tatsächlich umsetzbar ist — nicht nur eine Liste vielversprechender Ideen.

Architecture & Control

KI-Systeme werden oft zuerst technisch gebaut und erst danach auf Regelkonformität geprüft — mit der Folge, dass Nachbesserungen teuer werden oder ganze Architekturentscheidungen revidiert werden müssen. Wir entwerfen KI-Architekturen so, dass Kontrollen wie Zugriffssteuerung, Protokollierung sowie Modell- und Datenherkunft von Beginn an mitgedacht sind, nicht nachträglich aufgesetzt. Das umfasst die technische Referenzarchitektur ebenso wie die Frage, wer Freigaben erteilt und wie Änderungen nachvollziehbar bleiben. So wird Governance zum festen Bestandteil des Systems — nicht zur Nachrüstung nach dem ersten Audit.

Schnittstelle Datenschutz

KI-Governance und Datenschutz überschneiden sich an vielen Stellen — Trainingsdaten, Auftragsverarbeitung, betroffene Personen — werden aber häufig getrennt betrachtet und laufen dadurch auseinander. Wir stimmen KI-Richtlinien und -Prozesse mit den datenschutzrechtlichen Anforderungen ab, arbeiten dabei eng mit Ihrem Datenschutzbeauftragten zusammen und vermeiden doppelte oder widersprüchliche Regelungen. So entsteht ein konsistentes Bild statt zweier Baustellen, die sich gegenseitig im Weg stehen.

Linie 04

Führung, Resilienz & Befähigung

Feste Rollen für Verantwortung, die sonst niemand trägt — und Übung für den Ernstfall.

CISO as a Service

Nicht jedes Unternehmen braucht oder kann sich eine Vollzeitstelle für Informationssicherheitsführung leisten — die Verantwortung dafür verschwindet dadurch aber nicht. Als externer CISO übernehmen wir diese Rolle mit vereinbartem Zeitbudget: strategische Steuerung, Berichte an die Geschäftsführung, Ansprechpartner für Audits und Vorfälle. Das bringt Kontinuität und Erfahrung, ohne die Fixkosten und das Risiko einer Fehlbesetzung. Sie bekommen Führung für ein Thema, das sonst niemand im Haus konsequent vorantreibt.

ISB-Mandat

Viele Regulatorik und Normen verlangen die Benennung eines Informationssicherheitsbeauftragten mit klar definiertem Mandat — eine Rolle, die intern oft nebenbei und ohne echte Befugnisse besetzt wird. Wir übernehmen dieses Mandat oder unterstützen eine interne Besetzung mit klaren Zuständigkeiten, Eskalationswegen und Berichtspflichten. Das schafft die formale Grundlage, die Auditoren und Aufsichtsbehörden erwarten, und zugleich eine Rolle, die im Alltag tatsächlich etwas bewegen kann. Ein ISB ohne Mandat ist nur ein Titel.

Berichte an die Geschäftsführung

Informationssicherheit wird zur Chefsache erklärt, aber selten so berichtet, dass eine Geschäftsführung damit tatsächlich entscheiden kann. Wir erstellen regelmäßige Berichte, die den Sicherheitsstatus, offene Risiken und nötige Entscheidungen kompakt und verständlich zusammenfassen — ohne technisches Fachvokabular, das die eigentliche Botschaft verdeckt. So wird Sicherheit Teil der Unternehmenssteuerung statt eines IT-internen Themas. Und im Ernstfall lässt sich belegen, dass die Geschäftsführung informiert war und gehandelt hat.

BIA & BCM

Die Business Impact Analyse klärt, welche Prozesse wie lange stillstehen dürfen, bevor es wirklich teuer wird — das Business Continuity Management sorgt dafür, dass im Ernstfall auch tatsächlich weitergearbeitet werden kann. Wir erarbeiten beides gemeinsam mit den Fachbereichen, die ihre Prozesse am besten kennen, und übersetzen das Ergebnis in konkrete Notfallpläne statt in graue Theorie. Das betrifft nicht nur IT-Ausfälle, sondern auch Personalausfall, Gebäudeausfall oder Lieferantenprobleme. Ohne BIA weiß niemand, wo im Ernstfall zuerst gehandelt werden muss.

Notfallorganisation

Wenn ein Vorfall eintritt, zählt jede Stunde — und genau dann darf niemand erst überlegen müssen, wer was entscheidet. Wir bauen eine Notfallorganisation mit klaren Rollen, Meldewegen und Entscheidungsbefugnissen auf, die im Krisenfall sofort greift, statt erst improvisiert zu werden. Das umfasst auch die Frage, wer extern informiert werden muss — Kunden, Behörden, Versicherer — und in welcher Reihenfolge. Eine gute Notfallorganisation zeigt sich nicht auf dem Papier, sondern in den ersten vier Stunden eines echten Vorfalls.

Tabletop-Übungen

Ein Notfallplan, der nie geübt wurde, funktioniert im Ernstfall meist anders als gedacht. In Tabletop-Übungen simulieren wir realistische Vorfallszenarien mit den tatsächlich Verantwortlichen — ohne echten Systemausfall, aber mit echtem Entscheidungsdruck. Das deckt Lücken in Plänen und Zuständigkeiten auf, bevor sie im Ernstfall teuer werden, und macht die Beteiligten mit ihrer Rolle vertraut. Nach jeder Übung fließen die Erkenntnisse konkret in die Notfallorganisation zurück.

Rollen & Berechtigungen

Zugriffsrechte, die über Jahre gewachsen sind, aber nie systematisch aufgeräumt wurden, sind eines der häufigsten und am leichtesten vermeidbaren Sicherheitsrisiken. Wir überprüfen bestehende Rollen- und Berechtigungskonzepte, gleichen sie mit tatsächlichen Zuständigkeiten ab und richten einen Prozess ein, der Berechtigungen bei Rollenwechseln oder Austritten zuverlässig anpasst. Das reduziert nicht nur Risiken, sondern häufig auch Lizenzkosten für ungenutzte Zugänge. Ein sauberes Berechtigungskonzept ist zudem in fast jedem Audit ein Prüfpunkt.

Awareness & Trainings

Die beste technische Absicherung hilft wenig, wenn eine Phishing-Mail genügt, um sie zu umgehen. Wir konzipieren Awareness-Maßnahmen und Trainings, die auf reale Situationen in Ihrem Unternehmen zugeschnitten sind, statt auf generische Best-Practice-Folien — inklusive messbarer Ergebnisse für Nachweiszwecke gegenüber Auditoren und Regulatorik. Ziel ist nicht Angst vor Fehlern, sondern ein Grundverständnis, das im Arbeitsalltag tatsächlich trägt. Wiederholung und Praxisnähe schlagen dabei jede einmalige Pflichtschulung.

Nicht sicher, wo Sie anfangen sollen?

30 Minuten. Sie schildern Ihre Lage, ich sage Ihnen ehrlich, ob und wo wir helfen können — und wenn nicht, wer besser passt.

Zum Kontaktformular

Oder direkt: 0211 / 542 604 60 · info@cheironx.de