DIN SPEC 27076
Die DIN SPEC 27076 und der darauf basierende CyberRisikoCheck wurden speziell für kleine und mittlere Unternehmen entwickelt, um einen strukturierten und einfachen Einstieg in die IT-Sicherheit zu ermöglichen.
Was ist die DIN SPEC 27076?
Die DIN SPEC 27076, auch bekannt als CyberRisikoCheck, ist eine speziell für kleine und mittlere Unternehmen entwickelte Spezifikation zur Verbesserung der IT-Sicherheit. Sie entstand aus einer erfolgreichen Zusammenarbeit zwischen dem Bundesverband mittelständische Wirtschaft (BVMW) und einem eigens gegründeten Konsortium.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) übernahm die Leitung dieses Konsortiums, während der BVMW die stellvertretende Leitung innehatte. An der Entwicklung waren insgesamt fast 20 Partner beteiligt, darunter:
- Das Deutsche Institut für Normung (DIN)
- Wirtschaftsförderungen
- Eine Tochter des Gesamtverbandes der deutschen Versicherungswirtschaft
- IT-Grundschutz-Expertinnen und -Experten
- Auditorinnen und Auditoren
- Fachkundige zum Thema Datenschutz
- IT-Dienstleister
Die Finanzierung des Projekts erfolgte durch das Bundesministerium für Wirtschaft und Klimaschutz im Rahmen des Programms „Mittelstand Digital“. Nach achtmonatiger intensiver Arbeit entstand die DIN SPEC 27076 mit dem Titel „IT-Sicherheitsberatung für kleine und Kleinstunternehmen“ und der darauf aufbauende CyberRisikoCheck.
Warum wurde die DIN SPEC 27076 entwickelt?
Kleine und mittlere Unternehmen stehen täglich vor der Herausforderung, ihre IT-Systeme vor Cyberangriffen zu schützen. Doch oft fehlt das Wissen, wo man anfangen soll. Komplexe Standards wie das IT-Grundschutz-Kompendium des BSI oder die ISO/IEC 27001 überfordern viele KMU, insbesondere solche mit weniger als 50 Mitarbeitern.
Die DIN SPEC 27076 schließt diese Lücke, indem sie einen praxisorientierten Ansatz bietet, der speziell auf die Bedürfnisse und Ressourcen kleiner Unternehmen zugeschnitten ist. Sie ermöglicht es KMU, bei qualifizierten IT-Dienstleistern eine standardisierte Beratung zu erhalten, die auf ihre spezifischen Anforderungen eingeht.
Wie funktioniert der CyberRisikoCheck?
Der CyberRisikoCheck bietet KMU die Möglichkeit, bei IT-Dienstleistern eine standardisierte Beratung zu erhalten, die speziell auf ihre Bedürfnisse zugeschnitten ist. In der DIN SPEC wurden auch die Handlungsempfehlungen für KMU standardisiert, sodass sowohl Auftraggeber als auch Auftragnehmer genau wissen, welche Leistungen zu erwarten bzw. zu erbringen sind.
Die vier Schritte im Detail
Die IT-Sicherheitsberatung nach DIN SPEC 27076 umfasst vier klar definierte Schritte:
• Ablauf und zeitlicher sowie personeller Aufwand werden erläutert
• Benötigte Personen (insbesondere die Geschäftsleitung) werden identifiziert
• Themenbereiche und Kosten werden besprochen
Eine gute Vorbereitung ist entscheidend für den Erfolg des gesamten Prozesses. Hier erhalten Sie alle notwendigen Informationen, um sich optimal auf den CyberRisikoCheck vorzubereiten.
• Gespräch vor Ort oder online
• Teilnahme der gesamten Geschäftsführung sowie der für IT-Sicherheit zuständigen Person
• Bereitstellung relevanter Dokumente wie Backup-Konzepte, Sicherheitsrichtlinien, Notfallpläne etc.
• Überprüfung von 27 Anforderungen aus sechs Themenbereichen
Die Anwesenheit der Geschäftsführung ist hierbei besonders wichtig, da IT-Sicherheit eine Führungsaufgabe ist und als solche behandelt werden sollte.
• Berechnung eines Risiko-Status
• Erstellung eines standardisierten Berichts
Der kompakte Bericht sorgt dafür, dass Sie einen schnellen Überblick über Ihre aktuelle IT-Sicherheitslage erhalten, ohne sich durch umfangreiche Dokumentationen arbeiten zu müssen.
• Detaillierte Erläuterung des Ergebnisses
• Vorstellung der priorisierten Handlungsempfehlungen
• Aufzeigen von Möglichkeiten zur weiteren Förderung der IT-Sicherheit
Nach diesem Schritt haben Sie einen klaren Fahrplan für die nächsten Maßnahmen zur Verbesserung Ihrer IT-Sicherheit.
Bewertungssystem und Punktevergabe
Bei der Durchführung des CyberRisikoChecks werden Punkte nach folgendem System vergeben:
- TOP-Anforderungen: Bei Erfüllung 3 Punkte, bei Nichterfüllung -3 Punkte
- Reguläre Anforderungen: Bei Erfüllung 1 Punkt, sonst 0 Punkte
Eine Zwischenbewertung ist nicht zulässig, und der niedrigste Gesamtwert ist 0. Die Handlungsempfehlungen im abschließenden Bericht sind nach Dringlichkeit sortiert und enthalten Hinweise auf mögliche staatliche Fördermaßnahmen auf Bundes-, Landes- und kommunaler Ebene.
Welche Anforderungen werden im CyberRisikoCheck überprüft?
Der CyberRisikoCheck umfasst insgesamt 27 Anforderungen aus sechs verschiedenen Themenbereichen. Diese Anforderungen bilden die Grundlage für die Bewertung der IT-Sicherheit in Ihrem Unternehmen.
Was umfasst der Bereich Organisation & Sensibilisierung?
Der Bereich Organisation und Sensibilisierung ist fundamental für eine erfolgreiche IT-Sicherheitsstrategie:
- Die Geschäftsführung muss die Gesamtverantwortung für die Informationssicherheit im Unternehmen tragen
- Benennung einer verantwortlichen Person für IT-Sicherheit
- Vorhandensein eines Notfallkontakts
- Klare Verhaltensregeln für Sicherheitsvorfälle
- Schulung aller Nutzer der Unternehmensinfrastruktur im sicheren Umgang
- Sensibilisierung externer Dienstleister
- Interne Vertraulichkeitsregelungen
- Schriftliche Verpflichtungen für Externe
- Richtlinie für Homeoffice und mobiles Arbeiten
Wie funktioniert das Identitäts- und Berechtigungsmanagement?
Beim Identitäts- und Berechtigungsmanagement geht es darum, wer Zugang zu welchen Informationen hat:
- Beschränkung des Zutritts zu Unternehmensräumlichkeiten auf berechtigte Personen
- Zugriffsbeschränkung für Beschäftigte nur auf notwendige Daten
- Verwendung individueller, langer und komplexer Passwörter für Benutzerkonten
- Einsatz der Zwei-Faktor-Authentifizierung wo möglich
Das Prinzip der minimalen Berechtigungen ist hier der Schlüssel: Jeder Mitarbeiter sollte nur auf die Daten und Systeme zugreifen können, die für seine Arbeit tatsächlich erforderlich sind.
Welche Regeln gelten für die Datensicherung?
Eine regelmäßige und zuverlässige Datensicherung ist von entscheidender Bedeutung für den reibungslosen Geschäftsbetrieb. Sie gewährleistet, dass im Falle eines Datenverlusts oder eines Angriffs die Geschäftskontinuität aufrechterhalten werden kann.
Um dies zu erreichen, sollten Datensicherungen in festgelegten Intervallen durchgeführt werden, um sicherzustellen, dass stets aktuelle Daten zur Verfügung stehen. Darüber hinaus ist es wichtig, dass die Backups vor unbefugtem Zugriff geschützt sind, um die Sicherheit der gespeicherten Informationen zu gewährleisten.
Für den reibungslosen Ablauf der Datensicherung müssen klare Verantwortlichkeiten und Prozesse definiert werden. Zudem sollten regelmäßige Tests der Funktionsfähigkeit externer Sicherungen durchgeführt werden, um sicherzustellen, dass diese im Notfall problemlos wiederhergestellt werden können.
Was beinhaltet das Patch- und Änderungsmanagement?
Beim Patch- und Änderungsmanagement geht es darum, die Software stets aktuell und sicher zu halten:
- Unverzügliche Installation von Updates für IT-Systeme und Software nach Veröffentlichung
- Klare Zuständigkeiten für Updates
- Ausmusterung von Geräten, die keine Sicherheitsupdates mehr erhalten
Regelmäßige Updates sind entscheidend, um Sicherheitslücken zu schließen, bevor sie von Angreifern ausgenutzt werden können.
Wie erfolgt der Schutz vor Schadprogrammen?
Der Schutz vor Schadprogrammen stellt eine fundamentale Sicherheitsmaßnahme dar, die für den Schutz der IT-Infrastruktur unerlässlich ist. Alle IT-Geräte sollten mit geeigneten Schutzmechanismen ausgestattet werden, die sie vor Schadsoftware bewahren.
Zudem ist es wichtig, Software ausschließlich aus vertrauenswürdigen Quellen zu beziehen, um das Risiko von Sicherheitslücken zu minimieren. Die Installation von Software sollte ausschließlich durch IT-Verantwortliche erfolgen, um sicherzustellen, dass nur geprüfte und sichere Programme auf den Geräten laufen.
Ein weiterer wichtiger Schritt ist die standardmäßige Deaktivierung der Ausführung von Makros, da diese häufig als Einfallstor für Schadsoftware genutzt werden. Besonders die Deaktivierung von Makros trägt dazu bei, das Risiko von Angriffen erheblich zu verringern.
Wie werden IT-Systeme und Netzwerke abgesichert?
Die Absicherung von IT-Systemen und Netzwerken umfasst verschiedene technische Maßnahmen:
- Installation und korrekte Konfiguration einer Firewall
- Passwortschutz für alle Geräte
- Verwendung einer verschlüsselten Verbindung (VPN) beim mobilen Arbeiten
- Verschlüsselung des WLAN nach aktuellen Standards mit komplexem Passwort
- Einrichtung eines separaten Netzwerks für Gäste
- Verschlüsselte Durchführung von Fernwartungen
- Schutz sämtlicher IT-Komponenten vor Elementarschäden
Diese Maßnahmen bilden zusammen eine solide Basis für die technische Absicherung der IT-Infrastruktur.
Welche Vorteile bietet die DIN SPEC 27076 für KMU?
Die DIN SPEC 27076 bietet für KMU zahlreiche konkrete Vorteile:
Besserer Schutz vor finanziellen Verlusten durch Cyberattacken, da Unternehmen Cyberrisiken besser einschätzen und gezielte Maßnahmen ergreifen können
Stärkung der Widerstandsfähigkeit
bzw. Resilienz durch die Förderung
von IT-Notfallplänen, was die potenziellen Ausfallzeiten nach einem Cyberangriff erheblich verringert
Schaffung von Vertrauen und Wettbewerbsvorteilen gegenüber Kunden, Lieferanten und bei öffentlichen Ausschreibungen
Einheitlicher Rahmen für Cybersicherheit, der den Vergleich zwischen Unternehmen erleichtert und den Erfahrungsaustausch fördert
Kontinuierliche Weiterentwicklung
der DIN SPEC 27076, sodass KMU
stets auf dem neuesten Stand bleiben und flexibel auf neue Gefahren reagieren können
Bezahlbarer Einstieg in die Cybersicherheit mit staatlicher Förderung in vielen Bundesländern
All diese Vorteile machen die DIN SPEC 27076 zu einem wertvollen Instrument für KMU, die ihre IT-Sicherheit verbessern möchten.
Für wen eignet sich der CyberRisikoCheck besonders?
Der CyberRisikoCheck eignet sich besonders gut für Einsteiger, da er:
- Relativ einfach durchzuführen ist
- Keine tiefgreifenden IT-Kenntnisse erfordert
- Schnell Ergebnisse liefert, sodass Unternehmen rasch Maßnahmen ergreifen können
- Durch die Fokussierung auf die wichtigsten Sicherheitsaspekte für KMU Kosten optimiert werden können
Der CyberRisikoCheck kann als Grundlage für die Einführung eines umfassenderen Informationssicherheitsmanagementsystems dienen und ist somit ein wertvoller erster Schritt für KMU, um ihre IT-Sicherheit zu verbessern.
Wie können Sie den CyberRisikoCheck in Ihrem Unternehmen durchführen lassen?
Um den CyberRisikoCheck in Ihrem Unternehmen durchführen zu lassen, sollten Sie folgende Schritte beachten:
- Suchen Sie einen qualifizierten IT-Dienstleister, der den CyberRisikoCheck anbietet
- Bereiten Sie sich auf das Gespräch vor, indem Sie relevante Dokumente zusammenstellen
- Stellen Sie sicher, dass die Geschäftsführung beim Gespräch anwesend sein kann
- Setzen Sie die empfohlenen Maßnahmen nach Priorität um
- Überprüfen Sie regelmäßig Ihren IT-Sicherheitsstand
Mit diesen Schritten können Sie den CyberRisikoCheck effektiv für die Verbesserung Ihrer IT-Sicherheit nutzen.
eISB Preisvergleich
Sie haben einen eISB und möchten einen schnellen Preis-Leistungs-Vergleich? Nutzen Sie unseren Rechner für eine individuelle Preiskonfiguration.
Häufig gestellte Fragen zur DIN SPEC 27076 und dem CyberRisikoCheck
Ist der CyberRisikoCheck eine IT-Sicherheitszertifizierung?
Nein, der CyberRisikoCheck stellt keine IT-Sicherheitszertifizierung dar. Er ermöglicht vielmehr eine Standortbestimmung des eigenen IT-Sicherheitsniveaus und zeigt auf, welche konkreten Maßnahmen ein Unternehmen umsetzen sollte.
Der Check ist als Einstieg in die IT-Sicherheit zu verstehen und kann der Ausgangspunkt für weiterführende Maßnahmen und eventuell später eine Zertifizierung sein.
Wie lange dauert die Durchführung des CyberRisikoChecks?
Das Erstgespräch zur Erhebung des IST-Zustandes sollte mindestens drei Stunden dauern. Die gesamte Durchführung des CyberRisikoChecks erfolgt in einem ein- bis zweistündigen Interview durch einen IT-Dienstleister.
Hinzu kommen die Zeit für die Auswertung der Daten und die Präsentation der Ergebnisse. Insgesamt sollten Sie mit einem Zeitaufwand von etwa einem Arbeitstag rechnen.
Welche Software wird für den CyberRisikoCheck verwendet?
Die Durchführung des CyberRisikoChecks erfolgt mithilfe einer Software, die das BSI den IT-Dienstleistern kostenlos zur Verfügung stellt.
Diese Software erleichtert die Erfassung und Auswertung der Daten und stellt sicher, dass der Check nach einem einheitlichen Standard durchgeführt wird.
Welche Qualifikationen benötigen IT-Dienstleister für die Durchführung?
IT-Dienstleister müssen für die Durchführung des CyberRisikoChecks bestimmte Qualifikationen nachweisen:
- Mindestens ein Jahr Erfahrung in der Durchführung von IT-Sicherheitsberatungen oder Audits
- Mindestens drei Referenzprojekte bei KMU
- Das notwendige methodische Wissen
Diese Anforderungen stellen sicher, dass der CyberRisikoCheck von kompetenten Fachleuten durchgeführt wird, die die spezifischen Bedürfnisse von KMU verstehen.
Wie werden die Handlungsempfehlungen priorisiert?
Die Handlungsempfehlungen werden nach Dringlichkeit sortiert und enthalten Hinweise auf mögliche staatliche Fördermaßnahmen auf Bundes-, Landes- und kommunaler Ebene.
Die Priorisierung erfolgt basierend auf:
- Der Bewertung der TOP-Anforderungen
- Der Bewertung der regulären Anforderungen
- Der Risikobewertung für Ihr spezielles Unternehmen
So erhalten Sie einen klaren Fahrplan, welche Maßnahmen Sie zuerst umsetzen sollten, um Ihre IT-Sicherheit effektiv zu verbessern.
Gibt es staatliche Förderungen für die Durchführung des CyberRisikoChecks?
Ja, in vielen Bundesländern gibt es staatliche Förderungen für die Durchführung des CyberRisikoChecks oder die Umsetzung der empfohlenen Maßnahmen. Diese Förderungen können die Kosten für kleine Unternehmen erheblich reduzieren.
Aktuelle Informationen zu Fördermöglichkeiten erhalten Sie bei:
- Ihrer Industrie- und Handelskammer
- Ihrer Handwerkskammer
- Regionalen Wirtschaftsförderungen
- Der Mittelstand-Digital-Initiative des Bundesministeriums für Wirtschaft und Klimaschutz
Es lohnt sich, nach solchen Fördermöglichkeiten zu fragen, da sie den finanziellen Aufwand für die Verbesserung Ihrer IT-Sicherheit deutlich senken können.
Wie oft sollte der CyberRisikoCheck durchgeführt werden?
Es wird empfohlen, den CyberRisikoCheck mindestens alle zwei Jahre durchzuführen, um sicherzustellen, dass Ihre IT-Sicherheitsmaßnahmen aktuell bleiben und neuen Bedrohungen standhalten können.
Bei größeren Veränderungen in Ihrer IT-Infrastruktur oder nach signifikanten Sicherheitsvorfällen kann es sinnvoll sein, den Check früher zu wiederholen.
Die regelmäßige Überprüfung ist wichtig, da sich sowohl die Bedrohungslandschaft als auch Ihre eigene IT-Umgebung kontinuierlich verändern.
Wir übernehmen auf Wunsch auch die Rolle des externen Informationssicherheits-beauftragten für Ihr Unternehmen – so bleiben Sie dauerhaft geschützt & erfüllen gleichzeitig regulatorische Anforderungen.
Vermittlung von Inhalten zur Cyber-Sicherheit. Videos und Best Practices inklusive.
Benötigen Sie Unterstützung bei der Zertifizierung nach ISO 27001?
Externer ISB für KMU
Als Beratungsdienstleister und externer Informationssicherheitsbeauftragter unterstützen wir Sie bei der Ausarbeitung und Entwicklung einer IT-Sicherheitsstrategie, die zu Ihrem Unternehmen passt.
- Gebündelte Erfahrung aus 10 Jahren in der Branche und 500 erfolgreichen Projekten
- Beratung, Software & Schulung aus einer Hand
- Prozessoptimierung frei nach dem Motto: so viel wie nötig, so wenig wie möglich
