In Zeiten immer kürzerer Betriebszugehörigkeiten trifft das früher oder später jeden Betrieb. Auch uns als TISAX®-Beratungsprofis geht es da nicht anders. Die Kollegin, die sich unserer eigenen TISAX®-Zertifizierung 2020 angenommen hatte, hat die TSX-Partners leider vor einem Jahr verlassen. Mit ihr als Hüterin aller internen Vorgänge ging leider auch wertvolles Wissen über unsere eigenen Prozesse. Was bleibt, sind zahlreiche Dateien in einem geduldigen Sharepoint-Verzeichnis.
Dazu kommt, dass der neue VDA/ISA Katalog 5.1 recht umfassend überarbeitet wurde. Einige Themen spielen keine Rolle mehr und andere Anforderungen sind inzwischen neu hinzugekommen.
Natürlich haben wir gegenüber anderen Unternehmen den Vorteil, hinsichtlich der geforderten Anforderungen auf dem neuesten Stand und bei der Bearbeitung von TISAX®-Audits routiniert zu sein. Dennoch muss man sich bei der Rezertifizierung erstmal durch eine unbekannte Ordnerstruktur quälen und alte Dateien durchforsten, um sich überhaupt ein Bild der Lage machen zu können. Was also tun? Und wann damit anfangen?

Das Kick-off

Eine gute und gleichzeitig auch schlechte Nachricht: Das neue TISAX®-Audit ist ein Komplett-Audit. Das heißt, der VDA/ISA-Katalog wird, wie schon vor drei Jahren, erneut komplett durchgeprüft. Die Ergebnisse des letzten Audits spielen dabei keine Rolle. Sie müssen also komplett von vorne beginnen. Es ist darüber hinaus zu erwarten, dass der Auditor bei der erneuten TISAX®-Zertifizierung höhere Maßstäbe ansetzen wird als beim ersten Audit vor drei Jahren, denn Ihr Unternehmen verfügt ja bereits über ein idealerweise gut eingespieltes Informationssicherheitsmanagementsystem. Entsprechend hoch sind die Erwartungen. 
Es gilt also keine Zeit zu verlieren. Stellen Sie ein Team zusammen und setzen Sie den Startschuss für die Dokumentation!
Verteilen Sie die Verantwortung und damit auch die Expertise auf mindestens zwei Personen. Fällt eine aus, haben Sie immer noch ein Backup – sowohl für die Vorbereitung des Audits als auch als Ansprechpartner:in für den Auditor während des Prüfungsprozesses selbst. Befindet sich noch ein/e Verantwortliche/r des letzten TISAX®-Audits in Ihrem Unternehmen, dann umgeben Sie sie oder ihn mit einem kleinen Team. – Stichwort Risikostreuung.

Verlieren Sie keine Zeit

Lassen Sie nicht unnötig Zeit verstreichen. Mindestens 12 Monate vor dem nächsten Audit sollte man sich im Unternehmen erneut fokussiert mit der Thematik auseinandersetzen. Vor allem, wenn neue Mitarbeitende sich neben dem regulären Tagesgeschäft ganz neu in das Thema und Ihre internen Prozesse einarbeiten müssen. Lassen Sie Sich mit dem Kick-off mehr Zeit, wird es schwieriger. Das Projektteam hat dann deutlich mehr Stress und Druck, alle Prüfkriterien und Prozesse noch rechtzeitig abzuarbeiten.

Externe Ansprechpartner und Prüfdienstleister

Dass sich Ihr Projektteam alleine durch den neuen VDA/ ISA-Katalog wühlt und dafür viel kostbare Zeit verbrennt, muss nicht sein. Unterstützen Sie Ihr Team durch einen externen Ansprechpartner, an den sich Ihre Mitarbeiter wenden können, wenn sie nicht mehr weiterwissen. Diese TISAX®-Beratung gibt Ihrem Team eine grobe Struktur und Etappenziele bzw. Milestones im Rahmen des Projektmanagements vor, hilft bei Prozessanalysen, kennt sich mit aktuellen Richtlinien aus und hilft bei der Suche nach einem Prüfdienstleister.
Hatten Sie bei der ersten TISAX®-Zertifizierung bereits eine externe TISAX®-Beratung und waren mit ihr zufrieden, dann wenden Sie sich am besten wieder an diese. Ansonsten gibt es zahlreiche Anbieter, aus denen Sie wählen können. Unser Tipp: Neben der fachlichen Kompetenz sollte auch die menschliche Komponente eine Rolle spielen.

Grundsätzlich müssen Sie die Rezertifizierung so handhaben, als wäre TISAX® ein völlig neues Thema für Ihr Unternehmen.  Wurde Ihr Informationssicherheitsmanagementsystems zumindest rudimentär gepflegt, so macht das einiges einfacher. In zeitlicher Hinsicht bleibt der Aufwand aber dennoch groß. Lassen Sie also nicht unnötig Zeit verstreichen, sondern gehen Sie das Thema an.

Der Bundesverband Mittelständischer Wirtschaft BVMW und die TSX Partners laden am 24.11.2022 zum hybriden TISAX® Weißwurstfrühstück mit Alpenblick ein.

Für TISAX®-Neulinge, aber auch wenn Ihr Unternehmen bereits zertifiziert ist

Erhalten Sie hier ganz unkompliziert alle wichtigen Informationen zu den Themen TISAX®, TISAX®-Zertifizierung und Informationssicherheit allgemein. Egal, ob diese noch Neuland für Sie sind oder Ihr Unternehmen bereits zertifiziert ist und das nächste Audit ansteht, ist dieses Event sicherlich auch für Sie spannend.
Die Experten von TSX Partners und CNX Consulting Partners GmbH, teilen ihre Erfahrungen und stehen mit ihrer Expertise für Ihre Fragen zur Verfügung.

Warum TISAX®?

Seit 2017 schreibt der Verband der Automobilindustrie (VDA) TISAX ® als verbindlichen Standard für Informationssicherheit für alle Unternehmen vor.
Alle Hersteller, Zulieferer und Dienstleister der OEMs sind also verpflichtet, ein TISAX® Label nachweisen zu können.

Kommen Sie vorbei oder nehmen Sie online teil:

• Wann: am 24.11.2022 von 10:00 bis 12:00 Uhr
• Wie: Vor Ort oder virtuell via MS Teams
• Bei CNX Consulting Partners GmbH
  Georg-Muche-Straße 5
  80807 München

Anmeldung:

• Sie möchten persönlich vorbeikommen?
  Dann melden Sie sich bitte bis zum 20.11.2022 unter folgendem Link an: BVMW
• Anmeldung zur Online-Teilnahme bis zum 22.11.2022 unter folgendem Link: BVMW

Eventdatum: Donnerstag, 24. November 2022 10:00 – 12:00

Eventort: München

Wie auch viele andere Unternehmen konnte REBEL selbst die Vorbereitung auf diese wichtige Zertifizierung intern nicht umsetzen. Die Firma TSX Partners aus München brachte die Lösung und konnte die Informationssicherheit des Unternehmens innerhalb von 10 Monaten zwischen Erstkontakt und erfolgreichem TISAX®-Audit komplett optimieren.

Was bringt eine TISAX®-Beratung?

Informationssicherheit ist nicht erst seit der Bedrohung durch ausländische Hackergruppen ein Thema. Seit 2017 setzt der Verband der deutschen Automobilwirtschaft (VDA) auf die TISAX®-Zertifizierung. Sie legt einen einheitlichen Standard in der Informationssicherheit für alle Lieferanten und Dienstleister fest.

Die TISAX®-Zertifizierung ist in der Automobilwirtschaft also ein verbindlicher Standard. Doch auch für Unternehmen außerhalb dieser Branche ist das Thema brandaktuell. Interne Informationen können unbewusst durch unaufmerksame Mitarbeiter, fehlende Prozesse oder eine schlecht geschützte IT verlorengehen oder durch unbefugte Dritte eingesehen werden. Dies kann ein Einfallstor für Informationsdiebstahl oder auch das Hacken der IT sein. Die Folgen sind juristische, und finanzielle Probleme, ein Imageschaden oder der Ausfall des ganzen IT-Systems.

Doch den umfangreichen TISAX®-Katalog aufzuarbeiten und im Unternehmen umzusetzen bedeutet einen großen Aufwand an personellen und finanziellen Ressourcen. Eine externe, auf Informationssicherheit spezialisierte Agentur, greift hier auf einen deutlich größeren Erfahrungsschatz zurück. Die Spezialisten kennen die entscheidenden Kriterien genau, erkennen Schwachpunkte zielsicher und können als externe Experten fehlerhafte Prozesse und Handlungsweisen deutlich schneller und effektiver umsetzen.

Was macht ein TISAX®-Audit im Medienumfeld besonders?

Eine TISAX®-Beratung ist bei einem kleineren Unternehmen nicht weniger komplex als bei einem großen Konzern. Oft gibt es keine eigene IT-Abteilung, sondern ein Mitarbeiter führt die IT-Administration nebenbei. Daneben sind Prozesse sehr individuell und agil, wodurch das Unternehmen schnell auf neue Herausforderungen reagieren kann, aber auch schlechter zu verwalten ist.

Im Medienumfeld wird zudem mit Bild- und Videomaterial gearbeitet, auf dem zum Teil auch unveröffentlichte Modelle oder Features zu sehen sein können – eine zusätzliche Gefahr.

Der Erfolg steht und fällt mit den Mitarbeitern

In einem kreativen und medienaffinen Umfeld haben Mitarbeiter oft nur wenig Bezug zu vermeintlich trockenen Verwaltungsthemen. Im Medienbereich ist auch ein hoher Anteil an Freelancern üblich, die das Medienunternehmen zusätzlich zu seinen festangestellten Mitarbeitern auditieren muss. Verursacht nämlich ein vom Dienstleister beauftragter freier Mitarbeiter einen Schaden beim Kunden, da er die Informationssicherheit nicht ausreichend berücksichtigt hat, ist der Dienstleister schadensersatzpflichtig.

Auch Freelancer müssen Informationssicherheit sicherstellen

Freiberufliche Mitarbeiter arbeiten oft „auf Zuruf“, sind nur lose an das Unternehmen gebunden und wollen sich oft auch nicht fest an eine Agentur binden. Dennoch muss der Betrieb auch Freiberuflern Regeln auferlegen, die deren Informationssicherheit sicherstellen, denn auch diese sind verpflichtet die allgemein für Lieferanten festgelegten Regeln zu erfüllen. Erst dann kann ein Pool an Freelancern angelegt werden, aus dem die Agentur Mitarbeiter für einzelne Projekte auswählen kann.

Keine Pause nach der TISAX®-Beratung

Wie geht es jetzt nach dem erfolgreichen TISAX®-Audit für REBEL weiter? Nach drei Jahren muss das TISAX®-Label erneuert werden. Verliert man zwischen den Zertifizierungen die Informationssicherheit aus dem Focus, dauert die Vorbereitungszeit für die Folge-Zertifizierung dann meist länger als gedacht. Kümmert man sich zu spät, riskiert man die Zertifizierung und damit wichtige Aufträge der Automobilbauer zu verpassen.

Das alles kostet natürlich viel Aufwand, aber auch hier kann eine externe TISAX®-Beratung helfen. Sie kümmert sich um den Betrieb des Informationsmanagementsystem und die Aufrechterhaltung der Informationssicherheit. Nach dem Audit ist schließlich vor dem Audit.

Anscheinend ist „Computersabotage“ der Grund, warum seit fast einem Monat Ausbildungsbescheinigungen, Meisterbriefe, die Kursplanung, Businesspläne und wer weiß was noch auf Servern liegen, auf die niemand mehr zugreifen kann – zumindest niemand von der IHK. Nicht einmal, ob bei dem Vorfall Daten abgeflossen sind, ist bisher klar. Laut Website der IHK von München und Oberbayern wird derzeit „sehr sorgfältig daran gearbeitet, nach intensiven Prüfungen sukzessive wieder online zu gehen“. Achso…

Ich hab’s ja gleich gesagt

Dieses Drama und seine Entwicklung wundern mich überhaupt nicht, denn wie die IHK mit dem Thema Informationssicherheit umgeht, oder eher nicht umgeht, habe ich schon vor einigen Jahren erfahren müssen.

Der Ansatz meines damaligen Arbeitgebers war es, der IHK kostenlos Kurse zum Thema Informationssicherheit anzubieten, die sie an Ihre Mitglieder weitergeben konnte. Doch, sie ahnen es bereits, die IHK lehnte ab. Die Begründung war, dass die Mitgliedsbetriebe schon von selbst mit so einer Bitte auf die IHK zukommen müssten. Erst dann würde das Thema auf die interne Agenda gesetzt und danach intern ausdiskutiert. Erst wenn alle Landesverbände zustimmen würden, könnte diese Schulung angeboten werden. – Dreimal dürfen Sie raten, ob die Kurse stattgefunden haben.

An dieser Stelle fragt man sich, ob überhaupt jemals irgendwelche innovativen Vorschläge diese Hürden nehmen konnten. Das Thema Informationssicherheit jedenfalls nicht.

Als ich bei der IHK daraufhin anfragte, wie sie sich denn selbst um die Gewährleistung ihrer Informationssicherheit kümmert, kam nur die vielsagende Auskunft, man habe das outgesourct.
Glückwunsch! Das hat ja anscheinend super geklappt.

Man kann ja heutzutage alles outsourcen, kein Problem. Aber dann sollte man sich mit seinen Dienstleistern auch ernsthaft auseinandersetzen. Die IHK hat ein so wichtiges Thema wie die Informationssicherheit anscheinend ohne einen standardisierten Lieferanten-Auswahlprozess ausgelagert. Klar wird nach VOL-A ausgeschrieben, aber Hand aufs Herz, da ist wohl meist der Preis das entscheidende Auswahlkriterium. Klar, wer soll auch sonst die entscheidenden Kriterien festlegen, wenn man intern schon keinen richtigen Ansprechpartner für ein so wichtiges Thema hat? Hier fehlen einfach entweder interne Experten oder die Bereitschaft, sich den Informationssicherheitsprozess wenigstens grundlegend einzuarbeiten – oder beides.

Fragen über Fragen

79 Landesverbände sind jetzt von dem Hackerangriff betroffen. Wie kann es sein, dass die IT-Infrastruktur der Verbände nicht voneinander getrennt ist? Warum sind sie alle gleichzeitig betroffen?

Alle? … nein! Denn anscheinend sind vereinzelte Landesverbände noch handlungsfähig, da sie offensichtlich nicht an den gehackten IT-Dienstleister angebunden sind oder eine eigene Infrastruktur haben. Da stellt sich die Frage wie chaotisch die IHK-IT-Infrastruktur überhaupt aussieht.

Und wie kann es sein, dass die IHK nach über drei Wochen noch immer komplett offline ist? Gibt es keine Notfallpläne, keinen definierten Prozesse, nach denen die Schwachstellen abgeklopft werden? Anscheinend nein, aber was noch schlimmer ist: Beim IT-Dienstleister gibt es anscheinend auch keine.

Da helfen nur noch IT-Forensiker, die den Schaden finden und eingrenzen können. Die sind natürlich schwer zu bekommen und nicht gerade günstig.

Wen hat es noch erwischt?

Welche Unternehmen sind eigentlich noch direkt mit der IHK verbunden? Man fragt sich, ob noch mehr Unternehmen von dieser „Cybersabotage“ betroffen sind. Hat die IHK die angedockten Unternehmen denn überhaupt benachrichtigt? Und wenn ja wie überhaupt, wenn die E-Mail Server nicht funktionieren? Etwa per Brief?

Am 25.8. lancierte Contintental die Pressemeldung, dass sie „Anfang August“ Opfer eines Cyberangriffs geworden wären. Autoteiledirekt.de hat es ebenfalls im August erwischt – das kann auch alles Zufall sein, muss es aber nicht. Sind diese Unternehmen etwa auch mit diesem ominösen IT-Dienstleister verbunden?

Seit drei Wochen Stift und Zettel

Fast alle Landesverbände der IHK sind nun seit dem 4.8.2022 offline. Viele Aufgaben können nur sehr begrenzt wahrgenommen werden. Die Ausbildungsjahre und Technikerprüfungen beginnen, an Datenverarbeitung und, e-Mail Kommunikation wagt schon niemand mehr zu denken und ob alte Dokumente überhaupt jemals wiederhergestellt werden können weiß niemand.

Was macht IHK jetzt? Sie holt Schreibmaschinen aus dem Keller, entstaubt Durchschlagpapier und baut wie früher Ortsverbände auf, zu denen Unternehmer persönlich an den Schalter kommen können. Zudem kann man auch anrufen oder einen Brief schreiben. Klar, warum nicht? Etwas Entschleunigung täte uns vielleicht allen gut, aber dann gleich so?

Alles in allem ein riesiges Drama, dessen Ende und Auswirkungen noch nicht absehbar sind. Und alles nur, weil das Thema Informationssicherheit einfach nicht ernst genug genommen wird.

Verstehen Sie mich nicht falsch: Natürlich kann man Informationssicherheitskonzepte und -Audits für Zertifizierungen auch outsourcen, aber dann muss man sich zumindest soweit mit dem Thema auseinandersetzen, damit man beurteilen kann, ob ein Dienstleister überhaupt so etwas wie Sicherheit gewähren kann oder zumindest weiß was Informationssicherheit überhaupt ist. 

Gökhan „Kurty“ Kurtbay ist Informationssicherheitsexperte bei CNX Consulting Partners in München. Seit Jahren beobachtet der Dipl.-Kommunikationswirt, zertifizierte Information Security Officer (ISO 27001), Datenschutzbeauftragter und Risikomanager (ISO 31000) den Informationssicherheitsmarkt und zunehmende Bedrohungen für Unternehmen.

Weitere Themen der Konferenz sind Cybersecurity in der Automobilbranche nach der Sicherheitsnorm ISO/SAE 21434, die aktuellen Anforderungen des IT-Sicherheitsgesetzes sowie KRITIS gemäß BSI und BNetzA. Die Organisatoren räumen genügend Raum für Fragen und Diskussionen ein und stellen Snacks und Getränke bereit.

Hochkarätige Fachkompetenz zum Thema Informationssicherheit und TISAX®

„Ich freue mich sehr über die Einladung des TÜV Nord, meine Expertise auf der Konferenz teilen zu dürfen“, sagt Kurty Kurtbay. „Die Teilnehmer treffen dort auf eine Reihe hochkarätiger Sicherheitsexperten, die ihr Fachwissen zum Thema ISMS (Information Security Management System) und CMS (Cybersecurity-Mangementsysteme) mit ihnen teilen“, fügt er hinzu.

Kurty Kurtbay ist ISO 27001-zertifizierter Information Security Officer, TÜV-geprüfter Datenschutzbeauftragter, Risikomanager nach ISO 31000 und Auditor für Managementsysteme nach ISO 19011. Seit 2017 ist er Trainer für das Thema TISAX® bei der TÜV Süd Akademie. Zusammen mit seinem Team bei TSX Partners berät Kurty Kurtbay KMU aus der Fahrzeugbranche in Sachen Informationssicherheit und Datenschutz und begleitet sie zum TISAX® Label.

Die Veranstaltung richtet sich neben KMU aus der Automobilbranche auch an Betreiber kritischer Infrastrukturen (KRITIS). Teilnehmer der hybriden Veranstaltung können sich beim TÜV NORD für die Konferenz anmelden.

Konferenz Informations- und Cybersecurity-Managementsysteme

Wann: 10. Juni 2022
Wo: Essen oder online
Registrierung über den TÜV NORD

Disclaimer:

TISAX® ist eine eingetragene Marke der ENX Association.

Zwischen TSX Partners powered by CNX Consulting Partners und der ENX Association besteht hinsichtlich der vorstehend beschriebenen Beratungsleistungen keine geschäftliche Beziehung. Mit der Nennung der Marke TISAX® ist keine Aussage des Markeninhabers zur Geeignetheit der hier beworbenen Leistungen verbunden.

Vor dem Hintergrund weltweit steigender Cyberangriffe können sich KMU und Betreiber kritischer Infrastrukturen (KRITIS) am 10 Juni zum Thema Informations- und Cybersecurity Managementsysteme (ISMS und CSMS) informieren. Die Veranstaltung organisiert der TÜV NORD.

Goekhan „Kurty“ Kurtbay, Head of Information Security bei CNX Consulting Partners, wird über die Bedeutung von TISAX® für KMU in der Automobilbranche und über den neuen VDA ISA Fragenkatalog referieren, der dem TISAX® Assessment zugrunde liegt.

Weitere Themen sind Cybersecurity in der Automobilbranche nach der Sicherheitsnorm ISO/SAE 21434, die aktuellen Anforderungen des IT-Sicherheitsgesetzes sowie KRITIS gemäß BSI und BNetzA. Die Organisatoren räumen genügend Raum für Fragen und Diskussionen ein und stellen Snacks und Getränke bereit.

Datum: 10. Juni 2022

Ort: TÜV NORD in Essen und online

Anmeldungen nimmt der TÜV NORD entgegen.

Disclaimer:

TISAX® ist eine eingetragene Marke der ENX Association.

Zwischen TSX Partners powered by CNX Consulting Partners und der ENX Association besteht hinsichtlich der vorstehend beschriebenen Beratungsleistungen keine geschäftliche Beziehung. Mit der Nennung der Marke TISAX® ist keine Aussage des Markeninhabers zur Geeignetheit der hier beworbenen Leistungen verbunden.

Eventdatum: Freitag, 10. Juni 2022 14:04 – 14:04

Eventort: Essen

Goekhan „Kurty“ Kurtbay, Head of Information Security bei TSX Partners, wird die Kurse leiten. „Die Mitarbeiter sind der Schlüssel zu einer funktionierenden Informationssicherheitsstrategie. Mit dieser Einführung in das Thema TISAX® stellen wir sicher, dass jeder versteht, worum es sich bei dem Label handelt und worauf bei den Vorbereitungen auf das Assessment zu achten ist“, sagt er.

Wissen aus der Praxis von einem Experten zum Thema TISAX®

Die Teilnehmer erhalten praxisnahes Basiswissen über Informationssicherheit in der Automobilindustrie und lernen grundlegende Inhalte und Ziele des Managements von Informationssicherheit nach dem VDA ISA Fragenkatalog kennen. Dabei stehen die praktische Umsetzung von Sicherheitsmaßnahmen sowie deren Wirksamkeit und Überprüfung im Vordergrund.

Kurty Kurtbay ist ISO 27001-zertifizierter Information Security Officer, TÜV-geprüfter Datenschutzbeauftragter und Risikomanager nach ISO 31000. Seit 2020 ist er Fachdozent für das Thema TISAX® bei der TÜV Süd Akademie. Zusammen mit seinem Team bei TSX Partners berät Kurty Kurtbay KMU aus der Fahrzeugbranche in Sachen Informationssicherheit und begleitet sie zum TISAX® Label.

Disclaimer:

TISAX® ist eine eingetragene Marke der ENX Association.

Zwischen TSX Partners powered by CNX Consulting Partners und der ENX Association besteht hinsichtlich der vorstehend beschriebenen Beratungsleistungen keine geschäftliche Beziehung. Mit der Nennung der Marke TISAX® ist keine Aussage des Markeninhabers zur Geeignetheit der hier beworbenen Leistungen verbunden.