Für ISO 27001, TISAX® und NIS-2 braucht es jemanden, der das Informationssicherheitsmanagementsystem (ISMS) operativ steuert und die Nachweise führt. Die QAS-Company AG übernimmt diese Funktion extern – dauerhaft in festem Umfang oder befristet, wenn Ihr ISB ausfällt. Wir betreiben Ihr bestehendes ISMS und bereiten Entscheidungen für Ihre Leitung vor. Die Verantwortung bleibt bei Ihrer Geschäftsleitung.
Drei Konstellationen führen fast immer zur selben Frage: Muss der ISB fest angestellt sein, oder reicht eine verlässliche externe Betreuung?
Ein Kunde verlangt TISAX® von uns.
Die Anforderung kommt von außen und ist terminiert. Im Haus gibt es weder eine benannte Funktion noch jemanden mit freier Kapazität dafür.
Unser ISB macht das nebenbei.
Dafür ist heute die IT-Leitung oder die Geschäftsführung zuständig. Risikoanalysen, interne Audits und Nachweise bleiben liegen, weil das Tagesgeschäft vorgeht.
Unser ISB fällt für Monate aus.
Elternzeit, Krankheit oder Stellenwechsel – das ISMS läuft weiter, der Überwachungsaudit-Termin ebenso. Risikobewertung, Nachweise und interne Audits müssen trotzdem weiterlaufen.
Der Aufgabenumfang wird vorab schriftlich festgelegt. Sie entscheiden, was extern läuft und was im Haus bleibt.
Pflege der Leitlinie, Richtlinien und Nachweise. Fortschreibung des Statement of Applicability und Anpassung bei Norm- oder Organisationsänderungen.
Fortschreibung des Asset- und Risikoinventars, Schutzbedarfsfeststellung, Bewertung von Risiken und Nachverfolgung der abgeleiteten Maßnahmen.
Planung und Durchführung interner Audits unter Wahrung der Unabhängigkeit, Wirksamkeitsprüfung der Maßnahmen und Nachverfolgung von Feststellungen.
Aufbereitung der Eingaben und Kennzahlen, Moderation der Bewertung durch die oberste Leitung und Dokumentation der Ergebnisse.
Vorbereitung und Begleitung von Zertifizierungs-, Überwachungs- und Kundenaudits sowie von TISAX®-Assessments.
Ermittlung des Schulungsbedarfs, Unterweisungen zu Informationssicherheit und Nachweisführung für die Belegschaft.
Die häufigste Frage bei einer externen ISB-Besetzung ist nicht, ob wir das können – sondern wie die Zusammenarbeit im Haus organisiert wird und was intern verbleibt.
Trägt die Verantwortung für die Informationssicherheit und entscheidet über Sicherheitsziele, akzeptierte Risiken und Budgets. Diese Verantwortung lässt sich nicht auslagern – auch bei NIS-2 bleibt sie bei der Leitung. Wir bereiten die Entscheidungen auf und dokumentieren sie.
Betreibt die Systeme und setzt technische Maßnahmen um. Wir sagen, was das ISMS verlangt und wie es nachzuweisen ist – nicht, wie Ihre Firewall konfiguriert wird. Die Abstimmung läuft über einen festen Ansprechpartner in der IT.
Steuert das Managementsystem: Risikobewertung, Richtlinien, interne Audits, Managementbewertung und Auditbegleitung. Er berichtet an die Leitung und ist Ansprechpartner für Auditoren und Zertifizierer.
Informationssicherheit endet nicht in der IT. Personalwesen, Einkauf und Produktion liefern Zuarbeit. Wir binden die Beteiligten ein, ohne dass daraus für jeden ein Projekt wird.
Feste Betreuungstermine statt Rückfragen auf Zuruf. Zwischen den Terminen bleiben wir per Mail erreichbar, bei kritischen Themen auch kurzfristig.
Vor dem Start halten wir fest, welche Aufgaben übergehen, welche im Haus bleiben und wer worüber entscheidet. Das ist die Grundlage für die Benennung – und für ein sauberes Audit.
Der Umfang wird nach Systemgröße, Standorten und Auditzyklus festgelegt – als fester Betreuungsrhythmus, der angepasst wird, wenn sich der Bedarf ändert.
Der häufigste Fall: ein fester Betreuungstag oder mehrere Tage im Monat. Bei kleinen, eingespielten Systemen auch in größeren Abständen.
Bei größeren Geltungsbereichen, mehreren Standorten oder komplexen ISMS-Strukturen.
Zeitlich verdichtet vor Zertifizierung, Rezertifizierung oder TISAX®-Assessment.
Sie rufen Tage ab, wenn Sie sie brauchen, zu vorab vereinbarten Konditionen. Termine stimmen wir jeweils mit Ihnen ab.
Ausbildung, Auffrischung und Normenaktualisierung entfallen. Die fachliche Aktualität liegt bei uns.
Wer die Systeme nicht selbst betreibt, bewertet ihre Sicherheit klarer. Das ist gerade bei internen Audits ein Vorteil.
Vor dem Zertifizierungsaudit mehr, in ruhigen Phasen weniger. Der Umfang folgt dem Bedarf.
Fällt die eingesetzte Person aus, suchen wir nicht neu. Wir kennen sie persönlich und wissen, wer in Ihr System passt.
Was in vergleichbaren Unternehmen funktioniert, fließt in Ihr ISMS ein, statt neu erfunden zu werden.
Bei integrierten Systemen kann dieselbe Person beide Beauftragtenfunktionen übernehmen – ein Ansprechpartner, ein Vertrag.
Auch mehrere Normen parallel in einem integrierten Managementsystem. Branchenkenntnis entscheidet dabei, wie schnell jemand in Ihrem System arbeitsfähig ist.
Der externe ISB betreut Ihr Informationssicherheitsmanagementsystem – bei integrierten Systemen auch die angrenzenden Normen gemeinsam mit unseren Fachspezialisten.
Wir wählen die Person danach aus, dass sie Ihre Branche und deren Anforderungen bereits kennt.
Wenn es um das Qualitätsmanagement geht oder eine Führungsposition unbesetzt ist, passt ein anderer Einsatzbereich besser.
Dieselbe Lösung für das Qualitäts- oder Umweltmanagement: Systempflege, interne Audits und Managementbewertung nach ISO 9001, IATF 16949 oder ISO 14001 – dauerhaft oder befristet.
Zum externen QMB → WENN EINE POSITION VAKANT ISTIm Qualitätswesen fehlt eine Position – in der Leitung oder im Team. Wir besetzen sie auf Zeit: als Interim-Führungskraft, die den Bereich fachlich führt, oder als Fachkraft, die im bestehenden Team mitarbeitet.
Zum Interim-Management →Ein pauschaler Tagessatz sagt wenig aus, solange Geltungsbereich und Betreuungsrhythmus nicht feststehen. Wir legen offen, welche Faktoren den Preis bestimmen, und rechnen nach dem vereinbarten Modell ab.
Wie sich die Kosten zusammensetzenWas Interessenten vor einer Anfrage wissen wollen.
Ein externer Informationssicherheitsbeauftragter übernimmt den Betrieb des Informationssicherheitsmanagementsystems: Pflege der Leitlinie und Richtlinien, Fortschreibung von Risikoinventar und Schutzbedarfsfeststellung, interne Audits, Managementbewertung sowie die Begleitung von Zertifizierungs- und TISAX®-Assessments. Dazu Awareness-Maßnahmen für die Belegschaft.
Ja. Die Verantwortung für die Informationssicherheit liegt bei Ihrer Geschäftsleitung und lässt sich nicht auslagern. Der externe ISB steuert das Managementsystem operativ, bereitet Entscheidungen auf und dokumentiert sie – entschieden wird bei Ihnen.
Den technischen Betrieb und die Umsetzung technischer Maßnahmen. Wir sagen, was das ISMS verlangt und wie es nachzuweisen ist, nicht wie ein System zu konfigurieren ist. Die Abstimmung läuft über einen festen Ansprechpartner in Ihrer IT.
Ja. Für das Assessment ist nicht entscheidend, ob die Informationssicherheit intern oder extern betreut wird, sondern ob die Anforderungen des ISA-Prüfkatalogs wirksam umgesetzt und nachweisbar sind. Der externe ISB steuert das ISMS, bereitet die Nachweise vor und begleitet das Assessment. Wir sagen Ihnen nach einer ersten Sichtung, wo Sie stehen. Das Assessment selbst wird ausschließlich durch Prüfdienstleister durchgeführt, die von der ENX Association zugelassen sind: Liste der Prüfdienstleister.
Ob Ihr Unternehmen in den Anwendungsbereich fällt, ist eine rechtliche Frage und sollte entsprechend geklärt werden. Klar ist: Die Pflichten treffen die Geschäftsleitung, auch wenn die Umsetzung extern erfolgt. Wir übernehmen dann die operative Arbeit am Managementsystem und die Nachweisführung.
Ein paar Stichpunkte reichen: welche Norm oder Kundenanforderung, wie groß der Geltungsbereich, wann das nächste Audit ansteht. Wir melden uns zur fachlichen Klärung und schlagen einen passenden Betreuungsumfang vor.
