Für Verwaltungsrat, Geschäftsleitung, IT-Leitung & CISO · Schweiz und EU
Risk Assessment, Penetration Testing, Regulatorik und Krisenreaktion für Verwaltungsrat, Geschäftsleitung, IT-Leitung und CISO – unabhängig von Software- und Produktanbietern, vertraulich, auf Wunsch unter NDA. Über Ihre EU-Tochter, als Zulieferer eines regulierten Kunden oder als IT-Dienstleister einer Bank: NIS-2 und DORA erreichen Schweizer Unternehmen schneller, als es in den meisten Verwaltungsratsprotokollen steht.
Akuter Sicherheitsvorfall? Notfall-Kontakt →Mit dem Abspielen wird das Video von YouTube (Google) geladen. Dabei werden Daten an Google übermittelt. Mehr in der Datenschutzerklärung.
Vertrauen auf höchster Ebene
FÜR WEN
Cyber-Risiken landen nicht bei der IT allein. Jede Rolle braucht eine andere Antwort – und alle brauchen denselben Nachweis.
Verantwortlichkeiten, Risikoappetit und Berichtswege so geregelt, dass der Verwaltungsrat seine Sorgfaltspflicht belegen kann (OR Art. 716a).
Die Frühwarnung an die Behörde ist nach NIS-2 innert 24 Stunden fällig. Dann muss klar sein, wer entscheidet und was zuerst geschützt wird.
Schwachstellen und Angriffsflächen erkennen und nach Geschäftswirkung priorisieren – in IT und OT.
Prüfen, ob die Verteidigung im Ernstfall hält, und die Ergebnisse so aufbereiten, dass sie vor Regulator und Kunde bestehen.
Die Lage
Die Schweiz ist kein Sonderfall, sobald ein EU-Kunde, eine EU-Tochter oder ein regulierter Auftraggeber im Spiel ist. Drei Risiken landen dann nicht bei der IT, sondern am Verwaltungsratstisch.
Haftung und Recht
NIS-2 verpflichtet die Leitungsorgane, Massnahmen des Cyber-Risikomanagements zu genehmigen und zu überwachen (Art. 20). Bussgelder reichen bei wesentlichen Einrichtungen bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (Art. 34). Wer nicht nachweisen kann, dass er hingeschaut hat, trägt das Risiko persönlich.
Auftragsverlust in der Lieferkette
Art. 21 NIS-2 und Art. 28 bis 30 DORA zwingen regulierte Kunden, ihre Zulieferer zu prüfen und vertraglich zu binden. Wer den Nachweis nicht liefert, wird bei der nächsten Ausschreibung nicht abgelehnt, sondern gar nicht erst eingeladen.
Stillstand ohne BIA
Die Frühwarnung an die Behörde ist innert 24 Stunden fällig (Art. 23). Ohne Business Impact Analyse wissen Sie in dieser Zeit nicht, welche Prozesse zuerst gerettet werden müssen, wie lange sie ausfallen dürfen und wer entscheidet.
Man streicht nicht den Schornstein eines sinkenden Schiffs neu. Man prüft, ob die Rettungsboote reichen – bevor man ablegt.Betroffenheit jetzt prüfen
LEISTUNGEN · PRÜFEN UND TESTEN
Ihr Unternehmen mit den Augen eines Angreifers geprüft – und die Befunde übersetzt in Entscheidungen für die Geschäftsleitung.
Bedrohungen, Schwachstellen und Auswirkungen auf Ihre kritischen Prozesse bewertet – verknüpft mit der Business Impact Analyse.
Ergebnis: Risikobild und priorisierter Massnahmenplan.
Kontrollierte Angriffe auf Netzwerke, Anwendungen und Systeme – im vereinbarten Umfang und mit schriftlicher Freigabe.
Ergebnis: Befunde mit Einstufung und Empfehlungen, dazu eine Zusammenfassung für die Geschäftsleitung.
Red Teaming spielt einen realistischen Angreifer, Blue Teaming stärkt Erkennung und Abwehr. Gemeinsam zeigen sie, ob Ihre Verteidigung im Ernstfall hält.
Ergebnis: Angriffspfade, Erkennungslücken, verbesserte Abläufe.
Umfassende Analyse Ihrer Angriffsfläche und Schwachstellen, priorisiert nach Geschäftswirkung.
Ergebnis: Priorisierte Schwachstellenliste.
Wo setzen Sie KI ein, welche Daten fliessen, wer entscheidet? Bewertet werden Risiken wie Datenabfluss, Manipulation und fehlende Governance.
Ergebnis: KI-Risikoprofil und Empfehlungen zur Governance.
Produktions-, Steuerungs- und Gebäudetechnik: Risiken erheben, ohne den Betrieb zu gefährden.
Ergebnis: OT-Risikobild und Massnahmenplan.
Umfang, Methoden und Ergebnisse werden je Auftrag vereinbart.
Assessment anfragen →KRISENREAKTION
Ob Ransomware oder Datenabfluss: Unterstützung für Ihren Krisenstab bei Entscheidungen, Meldungen und Wiederanlauf.
Entscheidungen, Kommunikation und Meldungen an die Behörden strukturiert führen. NIS-2: Frühwarnung innert 24 Stunden. Schweiz: Meldung von Cyberangriffen auf kritische Infrastrukturen an das BACS innert 24 Stunden.
Erste Massnahmen koordinieren, den Wiederanlauf nach den Prioritäten der Business Impact Analyse steuern, die Abstimmung mit Behörden und die Kommunikation begleiten.
Krisen-Playbooks für Ransomware, Lieferantenausfall, Datenabfluss und Blackout. Tabletop- und Stabsrahmenübungen für den Krisenstab.
Rufen Sie direkt an: +41 78 880 98 48
REGULATORIK UND STANDARDS
Vorbereitung auf Prüfung, Assessment und Zertifizierung – pragmatisch und so dokumentiert, dass es vor Regulator und Kunde besteht.
Betroffenheit klären, Gap-Analyse zu Art. 21, Schulung der Leitungsorgane nach Art. 20.
Umsetzung für Finanzunternehmen und IKT-Drittdienstleister, Steuerung von Drittdienstleistern.
Vorbereitung auf das TISAX-Assessment in der Automobil-Lieferkette.
Vorbereitung auf die Zertifizierung des Informationssicherheits-Managementsystems.
Business Continuity Management, Business Impact Analyse und Notfallplanung.
Aufbau und Übung der Krisenorganisation.
Meldeprozess für Cyberangriffe auf kritische Infrastrukturen.
Operationelle Resilienz im Finanzsektor.
Risk Control RCC unterstützt bei Vorbereitung und Umsetzung. Zertifizierungen und Assessments erfolgen durch akkreditierte Stellen.
Betroffenheit jetzt prüfen →Das Einstiegsangebot
Der NIS-2 Resilience Check beantwortet in wenigen Wochen die Frage, die heute niemand im Verwaltungsrat sicher beantworten kann: Sind wir betroffen, wo stehen wir, und was ist als Nächstes zu tun? Er besteht aus zwei Modulen, die aufeinander aufbauen.
Sie erfahren verbindlich, ob und in welcher Rolle NIS-2 oder DORA Ihr Unternehmen erfasst – direkt, über eine EU-Tochter oder als Zulieferer.
Eine Gap-Analyse gegen die Anforderungen von Art. 21, die zeigt, wo Ihre Organisation heute steht – und was davon ein Regulator oder Kunde zuerst sehen würde.
Umfang und Konditionen besprechen wir im ersten Gespräch. Vertraulich, auf Wunsch unter NDA.
LEISTUNGEN · FÜHRUNG UND GOVERNANCE
Governance gibt die Richtung vor, die Umsetzung von NIS-2 und DORA liefert den Nachweis, die Business Impact Analyse trägt im Ernstfall. Ich verbinde alle drei, damit sie nicht in drei getrennten Projekten enden.
Governance als Führungs- und Schutzinstrument
Verantwortlichkeiten, Risikoappetit und Berichtswege werden so geregelt, dass Verwaltungsrat und Geschäftsleitung ihre Sorgfaltspflicht belegen können (OR Art. 716a).
Pragmatisch, für regulierte Unternehmen und Zulieferer
Anforderungen werden in Massnahmen übersetzt, die zu Ihrer Organisation passen, und so dokumentiert, dass sie einer Prüfung durch Regulator oder Kunde standhalten.
Das Fundament wahrer Resilienz
Kritische Geschäftsprozesse, ihre Abhängigkeiten und tolerierbaren Ausfallzeiten werden erhoben. Daraus folgen Prioritäten für Schutz, Wiederanlauf und Investitionen.
Warum Risk Control RCC
Grosskanzleien liefern Rechtsgutachten, Systemhäuser liefern Tools. Dazwischen bleibt die Frage unbeantwortet, wie ein Unternehmen im Ernstfall tatsächlich handelt. Genau dort arbeite ich.
| Grosskanzlei | Systemhaus | Risk Control RCC | |
|---|---|---|---|
| Schwerpunkt | Rechtliche Auslegung | Technik und Produkte | Management-Verantwortung und operative Krisenpraxis |
| Ergebnis | Gutachten und Memoranden | Implementierte Lösung | Nachweisbares Programm mit Massnahmenfahrplan |
| Unabhängigkeit | Hoch | Gebunden an das eigene Portfolio | Unabhängig von Software- und Produktanbietern |
| Ansprechpartner | Wechselnde Teams | Projektleiter | Ich persönlich, mit Experten aus meinem Netzwerk |
Geschäftsführer Risk Control RCC GmbH
30 Jahre Erfahrung in Governance, Risk & Compliance, Business Continuity und Krisenmanagement. Wirtschaftsprofessor, Studium in Stanford und Wien, Keynote Speaker. Hinter Risk Control RCC steht ein Netzwerk erfahrener Senior-Experten, das ich je nach Aufgabe zusammenstelle.
Es kommt nicht darauf an, die Zukunft vorauszusagen, sondern darauf, auf die Zukunft vorbereitet zu sein.Perikles zugeschrieben
Das Vorgehen
Wir klären, ob und wie Sie betroffen sind, und messen Ihren Stand gegen die Anforderungen. Ergebnis: Gap-Analyse und eine Entscheidungsgrundlage für den Verwaltungsrat.
Wir identifizieren Ihre kritischen Prozesse und deren Abhängigkeiten und leiten daraus einen priorisierten Fahrplan ab. Ergebnis: Sie wissen, was zuerst geschützt werden muss und was es kostet.
Massnahmen, Verantwortlichkeiten und Berichtswege werden in Ihre Organisation verankert und gemeinsam geübt. Ergebnis: Ein Programm, das im Alltag läuft und im Ernstfall trägt.
Die besten Spieler nützen nichts, wenn die Mannschaft nicht trainiert hat, diszipliniert zusammenzuspielen. Resilienz ist eine Übung, kein Dokument.
Mit Schritt 1 beginnenVIDEO
Die Grundlagen in wenigen Minuten: Betroffenheit, Pflichten der Leitung und der Weg zur Nachweisfähigkeit.
Mit dem Abspielen wird das Video von YouTube (Google) geladen. Dabei werden Daten an Google übermittelt. Mehr in der Datenschutzerklärung.
Die Einwände
NIS-2 gilt für Einrichtungen im EU-Raum. Betroffen sind Sie dennoch, wenn Sie eine EU-Tochter betreiben, Dienste in der EU erbringen oder als Zulieferer eines regulierten Kunden dessen Lieferkettenanforderungen erfüllen müssen. Dasselbe gilt für DORA bei Finanzunternehmen und deren IKT-Dienstleistern. Ob und in welcher Rolle das bei Ihnen zutrifft, klärt die Qualifizierung verbindlich.
Sie ist eine gute Grundlage, aber selten ausreichend. ISO 27001 oder ISO 22301 decken viele Anforderungen ab, nicht aber automatisch die Verantwortung der Leitungsorgane, die Meldefristen oder die Lieferkettensteuerung nach Art. 21 NIS-2. Der Resilience Check zeigt, was Sie bereits erfüllen und wo konkret Lücken bleiben.
Umfang und Dauer hängen von Grösse, Struktur und Lieferbeziehungen Ihres Unternehmens ab. Ich nenne Ihnen im ersten, unverbindlichen Gespräch einen klaren Rahmen, bevor Sie sich verpflichten.
Auf Wunsch arbeiten wir von Beginn an unter NDA. Ich arbeite unabhängig von Software- und Produktanbietern und gebe keine Daten an Dritte weiter. Hinzuziehende Experten aus meinem Netzwerk verpflichte ich ebenfalls zur Vertraulichkeit.
Kontakt
Ob Regulator, EU-Kunde oder Versicherer: Die Frage nach dem Nachweis kommt. Beantworten Sie sie lieber zuerst selbst. Schildern Sie mir kurz Ihre Lage, ich melde mich persönlich.