Eine Richtlinie, 27 nationale Gesetze, und was sie von Ihnen verlangen.
Fünf Stufen, von der soliden Basis bis zur gruppenweiten Verteidigung.
Jede geforderte Maßnahme und der Dienst, der sie liefert.
Erkennung und Reaktion aus unserem europäischen SOC.
Geräte, Cloud und Support, als ein Dienst betrieben.
NIS2, DORA und DSGVO in einer Analyse.
Plattformen der Hersteller, ausgerollt und danach betrieben.
Ein namentlich benannter CISO, zwei Tage im Monat.
Sofort Hilfe, und Ihre Meldung fristgerecht eingereicht.
Nach dem Gespräch haben Sie eine priorisierte Liste Ihrer Lücken und eine Preisindikation für deren Schließung. Kostenlos und unverbindlich.
Gespräch vereinbarenWer wir sind und wie wir aufgestellt sind.
Amsterdam, Sofia, Varna und Stara Zagora.
Die Plattformen, die wir implementieren und betreiben.
Wie die Arbeit in der Praxis aussieht.
Das Kundenteam in Amsterdam, das Engineering in Bulgarien, alles innerhalb der EU. Ein Vertrag, nach niederländischem Recht.
Wie wir liefernReferenzen
Wir veröffentlichen keine Kundennamen, Logos, Zitate oder Ergebnisse ohne ausdrückliche schriftliche Erlaubnis. Auf dieser Seite stehen deshalb keine allgemeinen Kundengeschichten und keine anonymisierten Erfolgsangaben. Wir beschreiben stattdessen die Arten von Mandaten, die wir ausführen. Wenn Sie eine Zusammenarbeit mit uns ernsthaft erwägen, stellen wir auf Anfrage den Kontakt zu einem bestehenden Kunden aus einer vergleichbaren Branche oder Situation her.
Warum hier keine Logos stehen
Angaben über Sicherheitslieferanten, eingesetzte Technik und interne Arbeitsweisen können vertraulich sein. Deshalb veröffentlichen wir nichts über einen Kunden ohne Erlaubnis für genau diese Angabe.
Wer das Unternehmen nennt, das Ihre Sicherheit betreibt, verrät jedem Interessierten, auf welcher Technik Sie arbeiten, und liefert einem Anrufer einen glaubwürdigen Namen für Ihren Service Desk. Unsere Kunden behandeln das als Betriebsinformation.
Ein Kunde kann die Verwendung eines Namens, eines Logos, eines Zitats oder eines Ergebnisses einzeln erlauben. Ohne diese Erlaubnis bleibt der Kunde von der Website fern.
Anonyme Erfolgsgeschichten, die eine Leserin nicht überprüfen kann, veröffentlichen wir ebenfalls nicht. Stattdessen beschreiben wir unten vier Arten von Mandaten und bieten, wo möglich, ein direktes Referenzgespräch an.
Vier Muster
Die Beispiele unten beschreiben keine einzelnen Kunden. Sie zeigen, mit welchen Situationen Organisationen zu uns kommen, was wir dann tun und welche Laufzeit dazu gehört.
Die Ausgangslage: eine Organisation besteht aus mehreren juristischen Personen in verschiedenen Ländern. Die Verantwortung für Sicherheit ist auf IT, Finanzen, externe Berater und die Geschäftsleitung verteilt. Niemand überblickt das Ganze. Was wir tun: ein benannter CISO arbeitet zwei Blöcke zu acht Stunden im Monat für die Organisation, mit einer festen Vertretung in denselben Terminen. Der erste Schritt ist eine Übersicht je juristischer Person und Land: welches Gesetz gilt, wer verantwortlich ist und über welchen Weg Sicherheitsvorfälle gemeldet werden müssen. Danach folgen eine monatliche Besprechung von Risiken und Vorfällen und eine regelmäßige Berichterstattung an die Geschäftsleitung.
Die Übersicht der Einrichtungen und Länder dauert vier bis sechs Wochen. Die CISO-Leistung läuft danach monatlich weiter.
Managed CISODie Ausgangslage: eine Organisation arbeitet in mehreren europäischen Ländern und hat NIS2 als eine einheitliche Regelung behandelt. In der Praxis hat jedes Land ein eigenes nationales Gesetz, eine eigene Aufsichtsbehörde, eine eigene Registrierung und einen eigenen Meldeweg. Was wir tun: wir führen je Land und juristischer Person einen Klassifizierungsscan durch und trennen dabei fehlende Maßnahmen von Maßnahmen, die es gibt, die sich aber noch nicht nachweisen lassen. Anschließend können wir die Registrierungen vorbereiten, die fehlenden Maßnahmen umsetzen und die Meldeverfahren je Land festlegen.
Die Klassifizierung und die erste Bewertung dauern zwei bis drei Wochen je Land. Die Umsetzung kann mehrere Monate dauern, je nachdem, welche Maßnahmen fehlen.
LänderprogrammDie Ausgangslage: die Organisation fällt vermutlich nicht unmittelbar unter NIS2, erhält aber von einem wichtigen Kunden einen umfangreichen Sicherheitsfragebogen. Die Beantwortung hängt an einer Vertragsverlängerung oder einer Ausschreibung. Gefragt sind ein ISMS, ein Verfahren für Sicherheitsvorfälle, Multi-Faktor-Authentifizierung (MFA) überall und der Nachweis, dass ein Backup tatsächlich zurückgespielt wurde. Was wir tun: wir füllen den Fragebogen zuerst sachlich auf Basis der bestehenden Lage aus. Punkte, für die es keine Maßnahme und keinen Nachweis gibt, benennen wir als offen. Danach erstellen wir einen Umsetzungsplan nach dem Gewicht, das der Kunde jedem Punkt gibt. Die aufgebauten Nachweise lassen sich anschließend auch für andere Kunden nutzen.
Die erste sachliche Beantwortung ist innerhalb weniger Tage möglich. Die Umsetzung der Verbesserungen dauert meist Wochen und hängt davon ab, was fehlt.
LieferketteDie Ausgangslage: Dateien sind verschlüsselt, ein Konto wird missbraucht, oder anderes Verhalten weist auf einen laufenden Vorfall hin. Die Organisation hat noch keinen Vertrag mit uns. Was wir tun: wir beginnen die Bewertung bereits im ersten Telefongespräch. Die ersten Arbeiten dienen dazu, den Schaden zu begrenzen, Informationen zu sichern und die Zeitleiste festzuhalten: Maschinen isolieren, ohne sie auszuschalten, feststellen, was erreicht wurde, und die Vorfallakte anlegen. Wenn eine Meldepflicht gelten kann, sammeln wir die Angaben für die erste Meldung und die folgenden Berichte. Nach dem Vorfall lässt sich ein Teil der nötigen Sicherheit als Managed Service einrichten.
Die Reaktion beginnt im Gespräch. Für einen meldepflichtigen NIS2-Vorfall gelten danach Meldezeitpunkte nach 24 Stunden, 72 Stunden und einem Monat.
SicherheitsvorfallDiese Beschreibungen sind Beispiele für Arten von Mandaten und keine Berichte über einzelne Kunden. Einzelheiten zu einer konkreten Organisation, zum Verlauf des Mandats und zu den Teilen, die weniger gut liefen, besprechen wir nur in einem Referenzgespräch und mit Erlaubnis dieses Kunden.
Was alle vier gemeinsam haben
Je nach Ausgangslage kann ein Mandat aus fünf Phasen bestehen, mit einer Organisation, die über das Ganze verantwortlich bleibt, auch bei dem Schritt, an dem sonst ein Bericht und ein Maßnahmenplan den Besitzer wechseln.
| Phase | Was passiert | Was Sie bekommen | Wer es danach verantwortet |
|---|---|---|---|
| Bewerten | Wir bestimmen je Einrichtung und je Land, welche Pflichten gelten, und prüfen die bestehenden Maßnahmen und Nachweise gegen die zehn Maßnahmen aus Artikel 21 Absatz 2. | Eine Einstufung je Land und ein Umsetzungsplan mit Prioritäten. | Think Smart Europe kann den Plan umsetzen. |
| Beheben | Fehlende Maßnahmen werden eingerichtet: Multi-Faktor-Authentifizierung, Verwaltung privilegierter Konten, unveränderbare Backups, Protokollierung und Patch-Management. | Wirksame Maßnahmen mit festgelegten Verantwortlichkeiten. | Think Smart Europe oder Ihr bestehendes Team, nach der vereinbarten Aufgabenteilung. |
| Implementieren | Die nötigen Plattformen und Anbindungen werden in Ihrer Umgebung ausgerollt: Endpoint und EDR, SIEM, Identität, Netzwerk sowie Backup und Wiederherstellung. | Eine eingerichtete technische Lösung und die zugehörige Dokumentation. | Think Smart Europe oder Ihre eigene Betriebsorganisation. |
| Betreiben | Die wiederkehrenden Arbeiten werden ausgeführt: Service Desk, Endgeräte, Updates, Kontenverwaltung und Wiederherstellungstests. | Eine vereinbarte Arbeitsweise, ein Service Level und ein Bericht. | Die Partei, die im Vertrag als Verantwortliche benannt ist. |
| Überwachen | Das SOC bewertet Sicherheitsmeldungen, und über die Leistung wird regelmäßig berichtet. | Angaben für die Geschäftsleitung, Audits, Versicherer, Kunden und Aufsichtsbehörden. | Think Smart Europe führt das vereinbarte Monitoring durch. Ihre Geschäftsleitung bleibt für die formellen Entscheidungen verantwortlich, denn Artikel 20 lässt sie das nicht delegieren. |
Nicht jede Organisation braucht alle fünf Phasen. Bestehende Maßnahmen, die gut wirken, werden geprüft und dokumentiert statt neu aufgebaut, und wo ein bestehender Anbieter etwas gut macht, sagen wir das.
Referenzen
Eine schriftliche Kundengeschichte ist vom Lieferanten ausgewählt und redigiert. Deshalb erfahren Sie daraus meist wenig über Verzögerungen, Rückschläge oder den Unterschied zwischen der Schätzung und den tatsächlichen Kosten.
Billig herzustellen und von fast niemandem als Nachweis gelesen.
Langsamer, und die einzige Fassung, die wir selbst glauben würden.
Wie Sie fragen
In einem Referenzgespräch sprechen Sie direkt mit einem Kunden in einer vergleichbaren Lage. Welche Fragen Sie stellen, bestimmen Sie selbst. Ein solches Gespräch zu arrangieren dauert etwa zwei Wochen, weil der betreffende Kunde zuerst zustimmen muss.
Nennen Sie Ihre Branche, die ungefähre Größe Ihrer Organisation und das Thema, über das Sie mit einem bestehenden Kunden sprechen wollen. Das kann die Zusammenarbeit zwischen Amsterdam und Bulgarien sein, der Einsatz des Managed CISO oder der Verlauf einer Vorfallreaktion. Eine allgemeine Anfrage ergibt ein allgemeines Gespräch.
Wir sprechen ein oder zwei Organisationen an, die zu Ihrer Lage passen. Wir sagen ihnen, wer um das Gespräch bittet und warum. Der Kunde kann die Anfrage ablehnen. Wenn kein passender Kunde verfügbar ist oder niemand teilnehmen will, sagen wir das. Eine weniger passende Referenz bieten wir dann nicht als Ersatz an.
Die Vorstellung geht per E-Mail heraus. Think Smart Europe nimmt am Gespräch nicht teil und fragt hinterher nicht nach einem Bericht.
Sie können unter anderem fragen, was weniger gut lief, wodurch Verzögerungen entstanden, wie sich die Schlussrechnung zur Schätzung verhielt und ob der Kunde dieselbe Leistung erneut wählen würde. Jeden dieser Punkte können Sie uns danach vorlegen.
Wir arrangieren Referenzgespräche für Organisationen, die unsere Leistung tatsächlich beurteilen. So begrenzen wir die Belastung für Kunden, die freiwillig Zeit für das Gespräch aufbringen.
Häufige Fragen
Wir haben keine allgemeine Erlaubnis, Kundennamen und Logos zu veröffentlichen. Ohne ausdrückliche schriftliche Erlaubnis tun wir das nicht.
Unsere Kunden behandeln die Wahl ihres Sicherheitslieferanten als Betriebsinformation. Das ist eine vernünftige Haltung, und wir reden sie ihnen nicht aus.
Benannte Referenzen gibt es auf Anfrage und mit Zustimmung des betreffenden Kunden.
Beide Hälften, und es lohnt sich, genau zu sagen, welche was macht.
Think Smart Europe ist ein Joint Venture niederländischer Gründer mit Think Smart in Bulgarien. Die bulgarische Organisation wurde am 19. Dezember 2019 eingetragen, beschäftigt rund vierzig Menschen, hält die ISO-Zertifizierungen und die Herstellerpartnerschaften und stellt die Kapazität für Engineering und Monitoring.
Die niederländische Organisation übernimmt die CISO-Arbeit, die Compliance-Beratung, den Vertrag und die Verantwortung für das Mandat.
In Amsterdam und in Bulgarien.
Das Kundenteam, der CISO und der Vertrag sitzen in der Vijzelstraat 68 in Amsterdam. Engineering, Service Desk und das Monitoring rund um die Uhr laufen aus Sofia, Varna und Stara Zagora. Alle Standorte liegen in der Europäischen Union, unter einem DSGVO-Regime und den zertifizierten Managementsystemen unserer Muttergesellschaft.
Stellen Sie diese Frage auch direkt einer Referenz.
Ja. Drei der vier Arten von Mandaten beginnen häufig genau so.
Ein Managed CISO, eine Bewertung für mehrere Länder oder die Unterstützung bei Kundenfragen lässt sich neben einem bestehenden IT-Dienstleister einrichten. Arbeit, die bereits gut ausgeführt wird, muss nicht ersetzt werden.
Die Verantwortung für fehlende Maßnahmen und Nachweise muss allerdings klar festgelegt werden. Das entscheidende Gespräch dreht sich darum, wer die Nachweise liefert, wenn eine Aufsichtsbehörde, ein Versicherer oder ein Kunde danach fragt. Führen Sie es, bevor jemand fragt.
Nur mit schriftlicher Erlaubnis für genau diese Verwendung. Die Erlaubnis für einen Namen, ein Logo, ein Zitat und ein Ergebnis wird einzeln behandelt und kann widerrufen werden.
Ohne Erlaubnis bleibt Ihre Organisation aus unserer öffentlichen Kommunikation heraus. Das ist der Standard, und niemand fragt Sie ein zweites Mal.
Ja. Wir schicken eine kurze Beschreibung eines vergleichbaren Mandats ohne rückverfolgbare Angaben, brauchbar, wenn ein Business Case einen Absatz braucht.
Dieses Dokument ist als Hintergrundinformation gedacht und nicht als unabhängiger Nachweis unserer Leistung. Veröffentlichen tun wir es nicht.
Nennen Sie Ihre Branche, die ungefähre Größe Ihrer Organisation und die Frage, die Sie besprechen wollen. Wenn wir einen passenden Kunden haben und er zustimmt, bringen wir Sie direkt miteinander in Kontakt. Wenn keine passende Referenz verfügbar ist, sagen wir Ihnen das.
