Pra­xis­tag In­for­ma­ti­ons­si­cher­heit 2026

Stra­te­gi­sche In­for­ma­ti­ons­si­cher­heit 2025: Lie­fe­ran­ten, Re­si­li­enz und KI im Drei­klang der Un­ter­neh­mens­si­cher­heit

Bo­ris Bärmichl | TechnologieScout 

Lieferantensicherheit neu den­ken: Die Si­cher­heit von Dritt­an­bie­tern ent­schei­det heute über den Erfolg ganzer Ökosysteme. Wer Partner nicht nur kon­trol­liert, sondern stra­te­gisch in­te­griert, stärkt die gesamte Kette – von der schwächsten zur stärksten Ver­bin­dung.

Busi­ness Con­ti­nui­ty als Führungsaufgabe: Re­si­li­enz entsteht nicht im Kri­sen­fall, sondern in der Vor­be­rei­tung. Un­ter­neh­men, die Wi­der­stands­kraft als Kultur be­grei­fen, sind besser ge­wapp­net, wenn der Sturm kommt.

KI-gestützte Ri­si­ko­ana­ly­se: Künstliche In­tel­li­genz erkennt Risiken früh, bewertet Sze­na­ri­en und unterstützt Ent­schei­dun­gen – präzise, schnell und ohne die Kon­trol­le aus der Hand zu ge­ben.

Si­cher­heit als In­no­va­ti­ons­mo­tor: In­te­grier­te In­for­ma­ti­ons­si­cher­heit schützt nicht nur, sondern ermöglicht Wachs­tum. Wer den Drei­klang aus Si­cher­heit, Re­si­li­enz und KI nutzt, sichert sich 2025 einen echten Wett­be­werbs­vor­teil.

NIS2-Com­pli­ance clever ge­stal­ten: Mit Struktur zur Cy­ber­si­cher­heit

Mar­kus Jegelka | DQS GmbH und Volker Bettag | S.A.M.

Mit dem NIS2-Um­set­zungs­ge­setz (NIS2UmsG) wird eine um­fas­sen­de Änderung des BSI-Ge­set­zes (BSIG-E) ver­ab­schie­det werden. Damit werden Risikomanagementmaßnahmen zur Cy­ber­si­cher­heit nach § 30 BSIG-E für be­son­ders wichtige und wichtige Ein­rich­tun­gen ver­pflich­tend.

Die­se Ein­rich­tun­gen müssen verhältnismäßige, an­ge­mes­se­ne tech­ni­sche und or­ga­ni­sa­to­ri­sche Maßnahmen treffen, um die Verfügbarkeit, Integrität und Ver­trau­lich­keit ihrer geschäftsprozess- re­le­van­ten IT-Sys­te­me zu schützen sowie Aus­wir­kun­gen von Sicherheitsvorfällen zu mi­ni­mie­ren. Geschäftsleitungen tragen gemäß § 38 BSIG-E die Ver­ant­wor­tung für Um­set­zung und Überwachung der Risikomanagementmaßnahmen und deren In­te­gra­ti­on in die Geschäftsprozesse.

Besondere Be­deu­tung erhält hierbei ein sys­te­ma­ti­sches In­for­ma­ti­ons­si­cher­heits-Ma­nage­ment­sys­tem nach ISO/IEC 27001, unterstützt durch ein In­for­ma­ti­ons­si­cher­heits-Ri­si­ko­ma­nage­ment gemäß ISO/IEC 27005. Dieses Vorgehen hilft, Risiken zu iden­ti­fi­zie­ren, zu bewerten und mit Maßnahmen gemäß Annex A gezielt zu adres­sie­ren.

Mit GenAI ef­fi­zi­ent zum in­di­vi­du­el­len ISMS – Ein Er­fah­rungs­be­richt aus der Broad­cast-Bran­che

Ni­klas Eh­ren­klau | LOGIC media so­lu­ti­ons GmbH

Die An­for­de­run­gen an ein ISMS in der Me­di­en­bran­che sind hoch: komplexe Pro­zes­se, spe­zi­fi­sche Schnitt­stel­len, he­te­ro­ge­ne Sys­tem­land­schaf­ten. Stan­dar­di­sier­te Tem­pla­tes und Check­lis­ten stoßen hier schnell an ihre Grenzen. In diesem Vortrag zeigt Niklas Eh­ren­klau anhand eines kon­kre­ten Pro­jekt­be­richts, wie sich Large Language Models (LLMs) im Aufbau- und Do­ku­men­ta­ti­ons­pro­zess eines ISMS gezielt nutzen lassen. Und wie es gelingt, auch mit einem kleinen Team in kurzer Zeit ein zertifizierungsfähiges ISMS auf­zu­bau­en.

Da­bei stehen die fol­gen­den Themen im Fo­kus:

• Wie bereitet man Eingaben und In­for­ma­tio­nen für LLMs so auf, dass hoch­wer­ti­ge Er­geb­nis­se ent­ste­hen?
• Wel­che Teile der ISMS-Er­stel­lung lassen sich sinnvoll durch ge­ne­ra­ti­ve KI (GenAI) au­to­ma­ti­sie­ren – und welche nicht?
• Kon­kre­tes Vorgehen für eine Control der ISO27001
• Wie können Un­ter­neh­men, unabhängig von ihrer Branche, von der KI-Unterstützung pro­fi­tie­ren? Welche Er­war­tun­gen sind rea­lis­tisch?

Ran­som­wa­re-An­griff: Die Krise managen und darüber kom­mu­ni­zie­ren - Kri­sen­kom­mu­ni­ka­ti­on bei einem Cy­ber-Ernst­fall

Jan­ka Kreißl | Dun­kel­blau GmbH & Co. KG

Je­de Or­ga­ni­sa­ti­on ist mit in­di­vi­du­el­len Risiken kon­fron­tiert, die ver­schie­de­ne Fach­ab­tei­lun­gen wie IT, Business Con­ti­nui­ty Ma­nage­ment oder Un­ter­neh­mens­kom­mu­ni­ka­ti­on bewältigen müssen. Doch eine Be­dro­hung betrifft heute nahezu alle gleichermaßen: Ran­som­wa­re-An­grif­fe. Wird dieses Risiko zur Realität, müssen Un­ter­neh­men zahl­rei­che or­ga­ni­sa­to­ri­sche und kom­mu­ni­ka­ti­ve Her­aus­for­de­run­gen meis­tern. Denn ein Cy­ber-An­griff legt nicht nur IT-Sys­te­me lahm – er stellt auch das Ver­trau­en in Un­ter­neh­men und deren Re­pu­ta­ti­on auf eine harte Probe. Pro­fes­sio­nel­le, stra­te­gisch kluge interne und externe Kom­mu­ni­ka­ti­on ent­schei­det al­so mit über den Erfolg der Krisenbewältigung.

Wie sich Or­ga­ni­sa­tio­nen aller Größen und Branchen gezielt auf solch ein Szenario vor­be­rei­ten können, zeigt dieser Vortrag auf. Janka Kreißl be­rich­tet von der Kri­sen­stabs-Ar­beit bei Ran­som­wa­re-An­grif­fen und erläutert, wie sich ver­schie­de­ne Ab­tei­lun­gen für den di­gi­ta­len Aus­nah­me­zu­stand rüsten können.

Sie erfahren unter an­de­rem:

• Wie Struk­tu­ren und Prozesse für ein ef­fek­ti­ves Kri­sen­ma­nage­ment aus­se­hen.
• Wel­che Fähigkeiten für eine stra­te­gisch kluge Ent­schei­dungs­fin­dung nötig sind.
• Wie eine ziel­ge­rich­te­te und pro­fes­sio­nel­le Kri­sen­kom­mu­ni­ka­ti­on ge­lingt.
• Wel­che Fall­stri­cke in realen Krisenfällen erlebt wurden und welche Lear­nings sich daraus ziehen las­sen.

Kryp­to? Klar! …Aber richtig! – Was der Hacker sieht, wenn die Policy nur auf dem Papier steht

Jo­han­nes Schönborn | Exploit Labs GmbH
André Säckel | DQS GmbH 

Wir nehmen Sie mit auf eine Reise in die Welt der un­zu­rei­chend um­ge­setz­ten Kryp­to-Po­li­ci­es – aus der Sicht eines Pen­test­ing-Teams.

In diesem Talk zeigt Jo­han­nes Schönborn aus der Per­spek­ti­ve eines Pen­tes­ters, wie NIS2 und ISO 27001 zwar klare An­for­de­run­gen an Verschlüsselung, Schlüsselmanagement und Pro­to­koll­hy­gie­ne de­fi­nie­ren – aber wie schnell sie wir­kungs­los werden, wenn sie nicht kon­se­quent tech­nisch um­ge­setzt wer­den.

An­hand realer Bei­spie­le aus dem Red-Team­ing-All­tag wird de­mons­triert wir, wie fehlende oder falsch um­ge­setz­te Krypto-Maßnahmen Tür und Tor öffnen für Man-in-the-Middle-Angriffe, Pass-the-Hash oder Credential Sniffing und wie schnell Richt­li­ni­en zur Illusion werden, wenn Technik und Kon­trol­le feh­len.

Sie erfahren aus der Sicht der Nor­m­an­for­de­run­gen, die von André Säckel, DQS auf­ge­zeigt werden und der Pra­xis, welche The­men­be­rei­che eine starke Kryp­to-Po­li­cy wirklich abdecken muss – und worauf An­grei­fer gezielt achten, wenn sie auf Lücken in der Um­set­zung hoffen. Ein Talk für CISOs, Admins, Ar­chi­tek­ten und alle, die si­cher­stel­len wollen, dass ihre Kryp­to­gra­phie nicht nur auf dem Papier stark ist.