Strukturiertes ISMS für kritische Infrastrukturen: Informationssicherheit nachhaltig und NIS2-konform etabliert

Mit steigenden regulatorischen Anforderungen wächst der Bedarf an strukturierter Informationssicherheit. jovoco unterstützt kritische Organisationen beim Aufbau eines ISMS, erhöht das Sicherheitsniveau und stellt NIS2-Konformität nachhaltig sicher.

Kunde

Kundennutzen

Technologie Stack

NIS2-Richtlinie
ISO/IEC 27001
BSI IT-Grundschutz
Microsoft 365 (Entra ID, Intune, Defender, Forms)
ISMS-Dokumentations- und Governance-Strukturen
Zentrales Projektmanagement-Tool

„Durch die strukturierte Vorgehensweise der jovoco GmbH haben wir erstmals eine ganzheitliche Sicht auf unsere Informationssicherheit erhalten. Besonders wertvoll war die Kombination aus technischer Umsetzung und organisatorischer Klarheit.“

Assistenz der Geschäftsführung

Herausforderungen des Kunden

Mit Inkrafttreten der NIS2-Richtlinie entstand für die Klinik die Notwendigkeit, Informationssicherheit systematisch, nachvollziehbar und organisationsweit umzusetzen. Zu Projektbeginn waren einzelne Sicherheitsmaßnahmen zwar vorhanden, jedoch nicht einheitlich dokumentiert, bewertet oder in ein übergreifendes Managementsystem integriert.

Die Organisation ist durch mehrere Standorte und Fachbereiche geprägt. Sicherheitsrelevante Prozesse – etwa im Identitäts- und Berechtigungsmanagement, im Umgang mit sensiblen Informationen oder bei organisatorischen Zuständigkeiten – waren historisch gewachsen und nicht durchgängig harmonisiert. Eine konsolidierte Sicht auf Risiken, Schutzbedarfe und Abhängigkeiten fehlte.

Zudem bestand Unsicherheit darüber, welche Maßnahmen zwingend erforderlich sind, wie technische und organisatorische Anforderungen sinnvoll zusammenspielen und wie Informationssicherheit dauerhaft im laufenden Betrieb verankert werden kann. Ziel des Projekts war es daher, Risiken gezielt zu reduzieren, Transparenz zu schaffen und eine belastbare Grundlage für NIS2-Konformität sowie eine ISO/IEC-27001-Zertifizierung aufzubauen.

Unser Vorgehen

Zu Projektbeginn wurde ein strukturiertes Vorgehensmodell definiert, das regulatorische Anforderungen, organisatorische Abläufe und technische Sicherheitsmaßnahmen ganzheitlich miteinander verbindet. Ziel war es, Informationssicherheit praxisnah aufzubauen, Risiken gezielt zu reduzieren und nachhaltige Strukturen im laufenden Betrieb zu etablieren.

Ganzheitliche Gap-Analyse
(ISO 27001 & NIS2)

Zu Beginn wurde eine umfassende Gap-Analyse durchgeführt, die technische, organisatorische und regulatorische Anforderungen aus ISO/IEC 27001 und NIS2 zusammenführt. Bestehende Maßnahmen, Zuständigkeiten und Dokumentationen wurden bewertet und Abweichungen zum Soll-Zustand strukturiert erfasst.

Prozessaufnahme in allen Fachabteilungen

Auf Basis der initialen Analyse wurden sicherheitsrelevante Prozesse in allen beteiligten Fachabteilungen aufgenommen. In Interviews und strukturierten Befragungen wurden reale Abläufe, Verantwortlichkeiten und Datenflüsse erfasst, um Schutzbedarfe praxisnah und abteilungsbezogen abzuleiten.

Erweiterte Risikoanalyse auf Basis des BSI IT-Grundschutzes

Ergänzend zur normativen Betrachtung wurde der BSI IT-Grundschutz herangezogen. Dadurch konnten zusätzliche Risiken identifiziert werden, die über Mindestanforderungen hinausgehen, etwa organisatorische, physische oder umgebungsbezogene Risiken. Dies ermöglichte eine fundierte Priorisierung der weiteren Maßnahmen.

Umsetzung technischer und organisatorischer Maßnahmen

Auf Grundlage der identifizierten Gaps, Prozesse und Risiken wurden notwendige technische und organisatorische Maßnahmen gezielt umgesetzt. Dazu zählten unter anderem die Optimierung von Identitäts- und Zugriffskonzepten, die Durchsetzung sicherer Authentifizierungsmechanismen sowie der Schutz sensibler Daten und Endgeräte in der Microsoft-365-Umgebung.

Abteilungsübergreifende Wirksamkeitsprüfung

Abschließend wurde in allen beteiligten Fachabteilungen geprüft, ob die definierten Maßnahmen vollständig umgesetzt und wirksam etabliert wurden. Identifizierte Abweichungen wurden nachgeschärft, sodass organisatorische und technische Sicherheitsanforderungen konsistent erfüllt sind.

Ergebnisse für den Kunden

der NIS2-relevanten Anforderungen strukturiert erfasst, bewertet und umgesetzt

0 %

sicherheitsrelevante Fachbereiche vollständig in das ISMS einbezogen

Weitere Ergebnisse:

Deutlich erhöhtes Sicherheitsniveau für kritische und sensible Informationen
Organisation bereit für eine ISO/IEC-27001-Zertifizierung
NIS2-Konformität strukturiert und nachvollziehbar umgesetzt
Einheitliche Sicherheits- und Governance-Struktur über alle Organisationseinheiten hinweg