Kundenart: Praxisnahes, anonymisiertes Projektszenario
Branche: Energie und kommunale Infrastruktur
Standorte: 4 Standorte in Deutschland
Mitarbeitende: 1.450
Leistung: BSI IT-Grundschutz
Praxisnahes, anonymisiertes Projektszenario. Unternehmensmerkmale und Kennzahlen wurden so gewählt, dass keine Rückschlüsse auf einzelne Auftraggeber möglich sind.
Ein regionaler Energieversorger mit 1.450 Mitarbeitenden und vier Standorten wollte seinen Informationsverbund nach BSI IT-Grundschutz neu strukturieren. Die bestehende Dokumentation war über Jahre gewachsen und bildete kritische Geschäftsprozesse, technische Abhängigkeiten und ausgelagerte Leistungen nicht mehr konsistent ab.
Ziel war eine prüffähige, aber zugleich steuerbare Grundlage für die weitere Sicherheitsarbeit. Der Informationsverbund sollte nicht nur methodisch korrekt beschrieben werden, sondern Netzbetrieb, Kundenservice, Abrechnung, Messwesen und zentrale IT so verbinden, dass Schutzbedarfe und Maßnahmen nachvollziehbar priorisiert werden können.
Prozessbeschreibungen, Systemlisten, Netzpläne und Sicherheitsdokumentation lagen in verschiedenen Werkzeugen und unterschiedlichen Detailgraden vor. Mehrere Zielobjekte waren doppelt erfasst, während Schnittstellen zu Dienstleistern, Fernwartungszugänge und Abhängigkeiten zwischen kaufmännischer IT und technischen Betriebsprozessen teilweise fehlten.
Schutzbedarfsfeststellungen waren vorhanden, wurden jedoch nicht durchgängig aus den Auswirkungen auf die Geschäftsprozesse abgeleitet. Dadurch entstanden uneinheitliche Bewertungen und eine große Zahl von Maßnahmen ohne klare Reihenfolge. Für Fachbereiche und Management war nur schwer erkennbar, welche Lücken den zuverlässigen Versorgungsbetrieb tatsächlich gefährden konnten.
Gleichzeitig musste das Modell pflegbar bleiben. Eine zu detaillierte Erfassung hätte hohen Dokumentationsaufwand erzeugt, ohne die Steuerung zu verbessern. Der Versorger benötigte daher ein konsistentes Abstraktionsniveau und klare Regeln, wie neue Anwendungen, Standorte und Dienstleister künftig aufgenommen werden.
BlackMount sollte den Informationsverbund gemeinsam mit den Verantwortlichen neu abgrenzen, die Strukturanalyse konsolidieren und die Schutzbedarfsfeststellung methodisch vereinheitlichen. Darauf aufbauend sollten die relevanten Bausteine des IT-Grundschutz-Kompendiums modelliert und ein realistischer Umsetzungsplan entwickelt werden.
Das Zielbild war ein belastbares Arbeitsmodell, das Fachprozesse, Informationen, Anwendungen, IT-Systeme, Räume, Netze und externe Leistungen nachvollziehbar miteinander verknüpft. Entscheidungen sollten für Prüfer erklärbar und für die operative Sicherheitssteuerung nutzbar sein.
Zu Beginn wurden die kritischen Leistungen und unterstützenden Geschäftsprozesse in Workshops mit Netzbetrieb, Messwesen, Kundenservice, Abrechnung, IT, Informationssicherheit, Datenschutz und Notfallmanagement abgegrenzt. Relevante Informationen und Abhängigkeiten wurden unmittelbar aus diesen Prozessen abgeleitet.
Anschließend konsolidierte BlackMount die vorhandenen Zielobjekte und führte technische Daten mit den fachlichen Prozessinformationen zusammen. Dubletten und historisch gewachsene Detailobjekte wurden bereinigt. Für wiederkehrende Systemgruppen wurden einheitliche Modellierungsregeln definiert, damit das Modell auch bei Veränderungen pflegbar bleibt.
Die Schutzbedarfe wurden anhand konkreter Schadensszenarien für Versorgungssicherheit, gesetzliche Verpflichtungen, finanzielle Auswirkungen, Reputation und betroffene Personen neu bewertet. Vererbungs- und Kumulationseffekte wurden dokumentiert, statt hohe Einstufungen pauschal zu übernehmen.
Auf Basis der Modellierung führte das Projektteam einen priorisierten IT-Grundschutz-Check durch. Lücken wurden nach Geschäftsrisiko, Abhängigkeiten und Umsetzbarkeit geordnet. Themen außerhalb des Standardmodells wurden in ergänzende Risikoanalysen überführt. Abschließend entstand eine abgestimmte Roadmap mit Verantwortlichkeiten, Meilensteinen und Nachweiskriterien.
Das Projekt lieferte eine konsistente Grundschutz-Dokumentation und eine belastbare Grundlage für die weitere Umsetzung. Besonders wichtig waren folgende messbare Ergebnisse:
Die Ergebnisse wurden nicht als einmalige Dokumentation übergeben. Rollen für Pflege, Review und Freigabe wurden in bestehende Prozesse integriert, damit Änderungen an Anwendungen, Infrastruktur und Dienstleistern künftig kontrolliert in das Modell einfließen.
Der Energieversorger erhielt eine gemeinsame Sicht auf kritische Prozesse, Informationen und technische Abhängigkeiten. Fachbereiche und IT konnten dadurch besser nachvollziehen, warum bestimmte Schutzmaßnahmen Vorrang haben und welchen Beitrag sie zur Versorgungssicherheit leisten.
Die bereinigte Modellierung reduzierte unnötige Doppelarbeit und machte den Pflegeaufwand planbar. Gleichzeitig verbesserte sich die Nachweisfähigkeit gegenüber internen Prüfern, Aufsichtsgremien und externen Auditoren, weil Schutzbedarfe und Maßnahmen aus den Geschäftsprozessen heraus begründet werden konnten.
Für das Management entstand eine transparente Roadmap mit klaren Prioritäten und Abhängigkeiten. Investitionsentscheidungen konnten damit auf konkrete Risiken und erwartete Wirkungen gestützt werden, statt auf eine unstrukturierte Liste technischer Einzelmaßnahmen.
Entscheidend war die konsequente Orientierung am Geschäftsmodell des Versorgers. Die Modellierung begann nicht bei Servern und Anwendungen, sondern bei den Leistungen, deren Ausfall Kunden und Betrieb unmittelbar treffen würde. Dadurch blieb der IT-Grundschutz fachlich verständlich und steuerungsrelevant.
Zugleich wurde nur so viel Detailtiefe aufgebaut, wie für Risikoentscheidungen und Nachweise erforderlich war. Verbindliche Modellierungsregeln, abgestimmte Rollen und die Nutzung vorhandener Datenquellen schufen eine Lösung, die auch nach Projektende zuverlässig gepflegt werden kann.
Der regionale Energieversorger verfügt nun über einen konsistenten, prüffähigen Informationsverbund und eine realistische Umsetzungsplanung. Kritische Abhängigkeiten sind transparent, Schutzbedarfe nachvollziehbar begründet und Maßnahmen nach ihrer Wirkung priorisiert.
Statt einer schwer pflegbaren Dokumentationssammlung entstand ein Arbeitsmodell, das Informationssicherheit, IT, Fachbereiche und Management verbindet. Neue Systeme und Dienstleister können nach klaren Regeln integriert werden, ohne die Struktur jedes Mal neu aufzubauen.
Das Projektszenario zeigt: BSI IT-Grundschutz wird besonders wirksam, wenn die Methodik konsequent vom Geschäft her gedacht wird. So entsteht nicht nur Prüffähigkeit, sondern eine belastbare Grundlage für Investitionen, Verantwortlichkeiten und den sicheren Betrieb kritischer Leistungen.
Vereinbaren Sie ein unverbindliches Erstgespräch und lassen Sie uns gemeinsam klären, wo Ihr Unternehmen steht und welche nächsten Schritte sinnvoll sind.
Lernen Sie die gemeinsamen Erfolgsgeschichten mit unseren Kunden kennen.
Schildern Sie uns Ihre Ausgangslage. Unser Senior-Team prüft persönlich, wie BlackMount sinnvoll unterstützen kann und welche nächsten Schritte Substanz haben.
