Als Verantwortlicher für Cybersicherheit (CISO) trägt man eine große Verantwortung. NIS2 und das nationale Cybersicherheitsrecht geben vor, welche Anforderungen erfüllt werden müssen. Audits und Kontrollen prüfen, ob die Anforderungen ordnungsgemäß erfüllt werden. Und gleichzeitig verändern sich Cyberbedrohungen ständig.
Für jemanden, der neu in dieser Rolle ist, kann sich das wie eine Straßenkarte ohne Kompass anfühlen – man weiß, dass man losgehen muss, aber nicht, in welche Richtung. Erfahrene Verantwortliche stehen dagegen häufig vor einem anderen Problem: Sie nutzen zahlreiche Tools, von denen jedes nur einen Teil ihrer Aufgaben abdeckt. Statt sich auf strategische Entscheidungen zu konzentrieren, verbringen sie ihre Zeit damit, einzelne Informationen und Prozesse mühsam zusammenzuführen.
Genau hier setzt Tazilla an. Nicht als weitere isolierte Softwarelösung, sondern als einfach aufgebaute, modulare Plattform, die zentrale Prozesse zu einem übersichtlichen Gesamtsystem verbindet. Sie unterstützt Organisationen dabei, regulatorische Anforderungen zu erfüllen, Auditunterlagen vorzubereiten und vor allem ihre Widerstandsfähigkeit gegenüber Cyberangriffen zu stärken. Tazilla schafft Orientierung dort, wo zuvor Komplexität und Unübersichtlichkeit herrschten.
Cybersicherheit ist heute nicht mehr nur eine technische Herausforderung, sondern vor allem eine strategische Disziplin, die sich unmittelbar auf die Betriebskontinuität und das Vertrauen der Nutzer auswirkt. Organisationen sind mit einer wachsenden Zahl von Bedrohungen konfrontiert. Ein wirksames Risikomanagement erfordert deshalb einen systematischen, transparenten und wiederholbaren Ansatz. Genau aus diesem Grund haben wir eine Lösung entwickelt, mit der Cyberrisiken umfassend identifiziert, bewertet und gesteuert werden können – abgestimmt auf die tatsächlichen Anforderungen einer Organisation.
In diesem Artikel zeigen wir, wie dieses System in der Praxis eingesetzt wurde – am konkreten Beispiel unseres Kunden, des Spezialkrankenhauses für orthopädische Prothetik Bratislava, n.o. (ŠNOP). Dort hat Tazilla dazu beigetragen, die Cyberresilienz zu stärken und einen besseren Überblick über kritische Bereiche zu schaffen.
RISIKOMANAGEMENT UND STÄRKUNG DER RESILIENZ
Cyberbedrohungen verändern sich ständig, und traditionelle reaktive Ansätze reichen längst nicht mehr aus. Tazilla ermöglicht deshalb ein systematisches Risikomanagement – von der Erfassung der Assets über Bedrohungs- und Maßnahmenkataloge bis hin zu übersichtlichen Reports. Verantwortliche wissen dadurch jederzeit, welche Bereiche unter Kontrolle sind und wo zusätzlicher Handlungsbedarf besteht.
Praxisbeispiel: ŠNOP
Im Krankenhaus ŠNOP wurde die erste Risikoanalyse direkt in Tazilla durchgeführt. Der Prozess begann mit der Inventarisierung der Assets – von den wichtigsten und kritischsten Assets bis hin zu einzelnen unterstützenden Systemen. Den Assets wurden Verantwortliche zugeordnet und anschließend eine Klassifizierung hinsichtlich Vertraulichkeit, Verfügbarkeit und Integrität vorgenommen.
Anschließend wurden den Assets Bedrohungen aus dem Tazilla-Katalog zugeordnet. Das System berechnete automatisch das Risikoniveau und schlug geeignete Maßnahmen zur Risikominderung vor. Der Verantwortliche für Cybersicherheit überprüfte sämtliche Ergebnisse und passte sie bei Bedarf auf Grundlage seiner fachlichen Bewertung an.
Das Ergebnis war ein detaillierter Bericht mit einer Übersicht der Risiken, ihrer Auswirkungen, bereits implementierter sowie geplanter Maßnahmen und quantifizierter jährlicher Kosten. Die erste strukturierte Risikoanalyse konnte innerhalb weniger Tage statt mehrerer Wochen abgeschlossen werden. Dadurch erhielt das Management unmittelbar einen umfassenden Überblick. Die Krankenhausleitung konnte erstmals klar erkennen, in welchen Bereichen Investitionen notwendig waren – und erhielt gleichzeitig nachvollziehbare Argumente dafür, warum diese Investitionen erforderlich sind.
Sämtliche Prozesse wurden mit dem slowakischen Gesetz über Cybersicherheit als nationaler Umsetzung der NIS2-Richtlinie in Einklang gebracht. Dadurch wurden Nachvollziehbarkeit, dokumentierte Verantwortlichkeiten und die Einhaltung der regulatorischen Anforderungen sichergestellt.
Die Risikoanalyse wurde damit nicht nur zu einer technischen Aufgabe für den Cybersicherheitsverantwortlichen, sondern zu einem praktischen Instrument für strategische Entscheidungen auf Managementebene – und schuf so messbaren Mehrwert sowohl für den operativen Betrieb als auch für die Unternehmensführung.
PARTNER UND LIEFERANTEN IM BLICK
Die Sicherheit einer Organisation hängt nicht nur von den eigenen Prozessen und Maßnahmen ab. Zunehmend spielen auch Partner, Lieferanten und Subunternehmer eine Rolle, die Zugriff auf Systeme oder Daten der Organisation haben. Regulatorische Anforderungen legen deshalb großen Wert auf das Risikomanagement innerhalb der Lieferkette.
In Tazilla können Informationen über Drittparteien zentral an einem Ort verwaltet werden. Bestandteil der Plattform ist zudem ein Fragebogen zur Risikobewertung, mit dem Drittparteien in wesentlichen Sicherheitsbereichen bewertet werden können.
Praxisbeispiel: ŠNOP
Bei der Bewertung eines neuen Lieferanten nutzte ŠNOP den in Tazilla verfügbaren Fragebogen. Der Lieferant musste Fragen zum Zugriffsmanagement, zum Datenschutz, zur Reaktion auf Sicherheitsvorfälle und zur Geschäftskontinuität beantworten.
Tazilla verarbeitete die Antworten zu einer übersichtlichen Risikoanalyse für Drittparteien. Dabei zeigte sich, dass der Lieferant zwar den Großteil der Sicherheitsanforderungen erfüllte, jedoch über keinen ausreichend detaillierten Incident-Response-Plan verfügte.
Auf Grundlage dieser Erkenntnis ergänzte das Krankenhaus die Vertragsbedingungen unmittelbar um zusätzliche Anforderungen. Statt die Zusammenarbeit zu beenden, entschied sich ŠNOP somit für eine sicherere und transparentere Fortführung der Geschäftsbeziehung.
Die Ergebnisse der Drittparteienbewertung konnten direkt aus Tazilla exportiert werden. Die Krankenhausleitung erhielt einen klar strukturierten Bericht mit Empfehlungen dazu, welche Geschäftsbeziehungen als sicher eingestuft werden können, wo zusätzliche Maßnahmen notwendig sind und welche ein zu hohes Risiko darstellen.
Für Auditoren stellt dieses Vorgehen einen nachvollziehbaren Nachweis dafür dar, dass das Krankenhaus seine Lieferkette systematisch bewertet und steuert und für alle relevanten Entscheidungen dokumentierte Grundlagen vorliegen. So wurde die Drittparteienanalyse von einer administrativen Pflicht zu einem praktischen Instrument des Risikomanagements.
AUF AUSFÄLLE UND SICHERHEITSVORFÄLLE VORBEREITET
Selbst bei sehr guten Sicherheitsmaßnahmen kann es zu einem Ausfall oder Sicherheitsvorfall kommen. Entscheidend ist dann, wie gut eine Organisation in einer Krisensituation handlungsfähig bleibt und wie schnell sie den normalen Betrieb wiederherstellen kann.
In Tazilla ist die Geschäftskontinuität eng mit dem Risikomanagement verknüpft. Für einzelne Assets oder Services können RTO- und RPO-Werte definiert, Wiederherstellungspläne erstellt und regelmäßig getestet sowie die Ergebnisse entsprechender Übungen dokumentiert werden. Sicherheitsvorfälle werden direkt im System erfasst – einschließlich der getroffenen Maßnahmen und des Verlaufs ihrer Bearbeitung.
Auch wenn sich die Meldung von Sicherheitsvorfällen derzeit noch nicht vollständig automatisieren lässt, bietet Tazilla eine strukturierte und übersichtliche Dokumentation, die den gesamten Prozess deutlich vereinfacht.
MENSCHEN ALS ERSTE VERTEIDIGUNGSLINIE
Technologien sind wichtig. Dennoch spielt menschliches Fehlverhalten bei vielen Sicherheitsvorfällen eine entscheidende Rolle. Ein Klick auf einen betrügerischen Link, ein schwaches Passwort oder ein Moment der Unachtsamkeit können selbst gut geschützte Systeme gefährden.
Deshalb haben Schulungen und die Stärkung des Sicherheitsbewusstseins in Tazilla einen festen Platz. Die Plattform umfasst ein Modul mit Online-Schulungen, die Mitarbeitenden zentrale Themen der Cybersicherheit verständlich vermitteln. Die Inhalte sind praxisnah gestaltet und lassen sich direkt auf den Arbeitsalltag übertragen.
Alle absolvierten Kurse werden unmittelbar im System erfasst, sodass Verantwortliche jederzeit einen Überblick über Teilnahme und Ergebnisse haben. Für Auditoren ist dies ein nachvollziehbarer Nachweis dafür, dass Schulungen nicht nur geplant, sondern tatsächlich durchgeführt werden. Für die Organisation selbst ist es zugleich eine Möglichkeit, Verhaltensweisen schrittweise zu verändern und eine Kultur aufzubauen, in der Sicherheit zu einem selbstverständlichen Bestandteil des Arbeitsalltags wird.
Praxisbeispiel: ŠNOP
Auch wenn das Krankenhaus bislang erst eine der grundlegenden Schulungen genutzt hat, ist geplant, weitere Tazilla-Videokurse einzusetzen. Die verfügbaren Schulungen ermöglichen eine kontinuierliche Weiterbildung der Mitarbeitenden und die direkte Auswertung ihrer Ergebnisse im System. Dadurch erhalten sowohl das Management als auch Auditoren einen transparenten Überblick und einen nachvollziehbaren Nachweis über die tatsächliche Erfüllung der Schulungspflichten.
ERGÄNZENDE SERVICES – MEHR ALS NUR COMPLIANCE
Regulatorische Anforderungen verlangen von Organisationen, zentrale Bereiche wie Risikomanagement, Compliance, Geschäftskontinuität und Mitarbeiterschulungen abzudecken. Diese Themen bilden grundlegende Säulen, die im Rahmen von Audits und Kontrollen regelmäßig überprüft werden.
Tazilla geht jedoch darüber hinaus. Die Plattform bietet spezialisierte Services, mit denen Organisationen ihr Sicherheitsniveau weiter erhöhen und sich gezielt auf reale Angriffe vorbereiten können.
Über einen geführten Prozess können Verantwortliche beispielsweise Penetrationstests planen, deren Umfang definieren und eine Kostenschätzung erhalten. Die Ergebnisse lassen sich anschließend direkt im System hinterlegen und im Risikomanagement weiterverwenden. Darüber hinaus steht eine Codeanalyse zur Verfügung, mit der Open-Source-Komponenten in Projekten überprüft, bekannte Schwachstellen erkannt und Empfehlungen zu deren Behebung bereitgestellt werden können. Eine weitere Möglichkeit sind Honeypots – digitale Ködersysteme, die Angreifer von produktiven Systemen ablenken und gleichzeitig wertvolle Informationen über ihre Vorgehensweisen liefern. Organisationen ohne eigenes Security Operations Center können zudem SOC as a Service nutzen und damit professionelle Sicherheitsüberwachung erhalten, ohne ein kostenintensives internes Team aufbauen zu müssen.
Ergänzt wird das Angebot durch War Games – simulierte Übungen, mit denen sowohl die Vorbereitung der Mitarbeitenden als auch die eingesetzten Technologien getestet werden. Sie zeigen, wie eine Organisation auf einen tatsächlichen Cyberangriff reagieren würde.
In Kombination mit den grundlegenden Funktionen bilden diese ergänzenden Services ein umfassendes Instrumentarium, das Verantwortlichen die Arbeit erleichtert und die Widerstandsfähigkeit der gesamten Organisation gegenüber Cyberbedrohungen erhöht.
MEHRWERT FÜR DIE ORGANISATION
Cybersicherheit betrifft nicht nur Technologien – sie betrifft ebenso Zeit, Menschen und Vertrauen. Tazilla hilft dabei, all diese Faktoren zu einem funktionierenden Gesamtsystem zu verbinden.
Die Plattform spart Zeit, weil Verantwortliche nicht mehr nach Dokumenten suchen oder Informationen aus verschiedenen Tabellen zusammenführen müssen, sondern relevante Informationen und Dokumentation zentral an einem Ort zur Verfügung haben. Sie stärkt die Resilienz der Organisation, indem sie grundlegende Sicherheitsbereiche mit ergänzenden Services verbindet und damit ein breites Spektrum an Bedrohungen abdeckt. Gleichzeitig reduziert sie den Aufwand rund um Audits, weil die erforderlichen Unterlagen jederzeit verfügbar, aktuell und übersichtlich strukturiert sind.
Für jemanden, der neu für Cybersicherheit verantwortlich ist, bietet Tazilla Orientierung und zeigt, wo man beginnen sollte. Erfahrenen Verantwortlichen gibt die Plattform Kontrolle und schafft Freiraum für strategische Entscheidungen. Und für die Organisation als Ganzes bietet sie einen Weg zu einer Cybersicherheit, die systematisch, nachweisbar und nachhaltig gestaltet ist.