Der CyberRisikoCheck nach DIN SPEC 27076 gibt kleinen Unternehmen einen strukturierten Einstieg in die IT-Sicherheitsberatung. Für eine Therapiepraxis führt ein IT-Dienstleister ein Gespräch zur vorhandenen Arbeitsumgebung und erstellt einen Bericht mit nach Dringlichkeit geordneten Empfehlungen. Damit aus dem Gespräch ein brauchbarer erster Schritt wird, sollte die Praxis ihre tatsächlichen Arbeitswege erklären und offene Angaben sichtbar lassen.
Wenn Sie easymed verwenden, können Sie Terminplanung, Behandlungsdokumentation und Abrechnung als zusammenhängenden Praxissoftware-Weg zeigen. Das optionale Cloud-Backup von easymed sichert Datenbank und Dokumente nachts verschlüsselt nach Frankfurt und bewahrt die Sicherungen 90 Tage auf. Diese Angaben beschreiben den easymed-Teil Ihrer Umgebung; lokale Geräte, Netzwerktechnik, andere Anwendungen und deren Kontakte ergänzen Sie separat.
Der folgende Leitfaden nutzt eine Beispielaufgabe: Nach einem Berichtspunkt soll eine benötigte Unterlage über den vorhandenen Sicherungsweg wieder verfügbar sein. Die Praxis klärt zuerst, was tatsächlich gesichert wird, wählt danach eine passende erste Maßnahme und prüft anschließend das vereinbarte Ergebnis.
Den CyberRisikoCheck als Sicherheitsgespräch einordnen
Die DIN SPEC 27076 richtet sich an kleine und Kleinstunternehmen. Der DIN-Media-Katalog führt die Ausgabe 2023-05 aktuell. Nach der Verfahrensbeschreibung werden in einem persönlichen Gespräch etwa ein bis zwei Stunden lang 27 Anforderungen aus sechs Themenbereichen besprochen. Der IT-Dienstleister wertet die Antworten nach dem standardisierten Verfahren aus.
Der Ergebnisbericht fasst die Bewertung zusammen und ordnet Handlungsempfehlungen nach Dringlichkeit. Er ist damit ein Ausgangspunkt für die Auswahl und Planung von Maßnahmen, nicht bereits deren technische Umsetzung. Eine Zahl oder Bewertung beantwortet noch nicht, welche konkrete Praxisarbeit betroffen ist, welche Voraussetzung fehlt und woran das Team eine erfolgreiche Umsetzung erkennt.
Klären Sie den Umfang des Termins vorab. Wer sollte aus der Praxis teilnehmen? Werden vorhandene Unterlagen im Gespräch betrachtet und ist eine Besprechung des Ergebnisberichts enthalten? Die DIN-Media-Übersicht zum CyberRisikoCheck erläutert, dass die ein- bis zweistündige Beratung einschließlich Auswertung üblicherweise als Beratungstag abgerechnet wird. Fragen Sie den konkreten Dienstleister nach seinem Angebot und trennen Sie den Check von eventuell folgenden technischen Aufträgen.
Die tatsächliche Praxisumgebung verständlich mitbringen
Bereiten Sie eine kurze Systemübersicht vor: Welche Anwendung unterstützt welchen Arbeitsschritt, wo wird sie genutzt, welche Daten oder Unterlagen werden dabei verarbeitet und wer kennt den jeweiligen Zugangs- oder Betreuungsweg? Für die Übersicht reichen die Systeme und Verbindungen, die für den Alltag wichtig sind. Eine vollständige technische Dokumentation ist nicht Voraussetzung, um den eigenen Arbeitsweg verständlich zu erklären.
Zeigen Sie die Verbindung zwischen Arbeitsplatz, Anwendung und weiterer Übergabe. Am Empfang wird der Kalender genutzt; im Behandlungsraum wird der benötigte Dokumentationsstand bearbeitet; die abgeschlossene Rechnung gelangt über den vereinbarten Weg in die Buchhaltung. Der IT-Dienstleister kann anhand dieser Übersicht nach den jeweiligen Zugängen und nach einer möglichen Unterbrechung der Arbeit fragen.
Bei easymed können Sie dazu Kalender, Patientenakte, Behandlungsdokumentation und Rechnungsablauf benennen. Falls Ihre Praxis das optionale Cloud-Backup nutzt, ergänzen Sie: Es sichert die easymed-Datenbank und Dokumente nachts verschlüsselt an einem anderen Standort in Frankfurt; die Aufbewahrung beträgt 90 Tage. Ein Wiederherstellungsweg sollte mit dem zuständigen Kontakt besprochen und für den betrachteten Anwendungsfall nachvollziehbar geprüft werden. Die Softwareübersicht ersetzt nicht die Angaben zu Praxis-PCs, Internetverbindung, Druckern oder weiterer Software.
Nennen Sie auch die Zuständigkeiten, die Ihr Team tatsächlich kennt. Wer beantwortet Fragen zum Softwarekonto, wer betreut ein lokales Gerät und wer kann den Sicherungsweg erklären? Schreiben Sie zu jedem offenen Punkt die Person oder Stelle, bei der die Information zu holen ist. Vermutungen bleiben als Frage markiert und werden nicht als bestätigter Zustand in die Systemübersicht übernommen.
Antworten mit Beobachtungen und offenen Fragen verbinden
Halten Sie beim Gespräch auseinander, was bestätigt ist, was nur vermutet wird und was noch niemand geprüft hat. Eine vorhandene Sicherungsfunktion belegt zum Beispiel zunächst, dass ein Sicherungsweg eingerichtet ist. Sie beantwortet noch nicht, ob die benötigte Unterlage vollständig, aktuell und in einer lesbaren Form wiederhergestellt werden kann. Der BSI-Ratgeber zur Cyber-Sicherheit von Unternehmen empfiehlt, Backups regelmäßig auf Funktionalität, Konsistenz und Aktualität zu testen.
Im Beispiel weiß die Praxis, wer ihre Sicherung betreut. Unklar bleibt, wie die benötigte Unterlage nach einer Störung wieder verfügbar wird und wer ihre Verwendbarkeit prüft. Diese Angaben werden getrennt notiert: Der vorhandene Sicherungsweg ist bekannt; die praktische Wiederherstellung braucht noch Klärung. So kann der Dienstleister die Empfehlung auf eine konkrete offene Frage beziehen.
Die BSI-Empfehlungen raten außerdem dazu, die betrieblichen Daten zu erfassen und nach ihrer Bedeutung einzuordnen. Übertragen auf die Praxis heißt das, bei jedem Arbeitsweg zu benennen, welche Art von Information dort gebraucht wird und in welcher Anwendung oder Ablage sie liegt. Für die Besprechung genügt eine Beschreibung der Datenart und des Ablaufs; konkrete Patientenunterlagen gehören nicht in eine allgemeine Systemübersicht.
Halten Sie notwendige Ergänzungen direkt am jeweiligen Punkt fest: Wer beschafft die Information, welche Bestätigung wird erwartet und wie gelangt sie zum Dienstleister? Im Sicherungsbeispiel kann das eine vorhandene Beschreibung des Wiederherstellungswegs sein. Damit bleibt erkennbar, welche Aussage bereits auf einer Beobachtung beruht und welche noch überprüft werden muss.
Den Bericht vor der ersten Maßnahme gemeinsam verstehen
Gehen Sie nach dem Gespräch die Empfehlungen einzeln durch. Fragen Sie, welche Feststellung aus dem Gespräch zu einem Berichtspunkt geführt hat, welcher Arbeitsweg der Praxis betroffen ist und welche Veränderung vorgeschlagen wird. So lässt sich die Handlungsempfehlung aus dem Bericht auf eine konkrete Aufgabe beziehen, statt nur die Bewertung weiterzugeben.
Im Beispiel betrifft die Empfehlung den ungeklärten Wiederherstellungsweg. Klären Sie, welcher Sicherungsstand und welche Unterlage betrachtet werden sollen, welche technische Vorbereitung nötig ist und wer das Resultat in der Praxis beurteilt. Ist der Berichtspunkt noch zu allgemein, bitten Sie den Dienstleister, die offene Frage und die mögliche nächste Handlung verständlich zu erläutern.
Unterscheiden Sie eine Klärungsaufgabe von einer technischen Änderung. Vielleicht muss zuerst eine vorhandene Sicherungsbeschreibung beschafft werden. Erst dann lässt sich der passende Wiederherstellungsversuch planen. So beginnt die Praxis mit der tatsächlich fehlenden Information und beauftragt nicht vorschnell eine Maßnahme, deren Voraussetzung noch ungeklärt ist.
Besprechen Sie den gewählten Berichtspunkt mit den Personen, die den Arbeitsweg kennen. Für das Beispiel sind das der zuständige IT-Kontakt und die Person, die die benötigte Unterlage verwendet. Die eine Person kann den technischen Ablauf erklären; die andere beschreibt, woran sie Auffindbarkeit, Lesbarkeit und Verwendbarkeit erkennt.
Eine erste Maßnahme nach Wirkung und Voraussetzung auswählen
Beginnen Sie bei der Dringlichkeit, die der Bericht nennt, und ergänzen Sie zwei konkrete Fragen: Welche Praxisarbeit ist betroffen? Welche Voraussetzung muss erfüllt sein, bevor die empfohlene Handlung beginnt? Diese Verbindung macht nachvollziehbar, warum die Praxis gerade diesen Punkt als Nächstes aufgreift und was noch vor einem technischen Auftrag geklärt werden muss.
Im Beispiel wird zuerst der vorhandene Wiederherstellungsweg für eine benötigte Unterlage geklärt. Die Praxis benennt, welche Ausgabe sie braucht und wer sie anschließend beurteilt. Der IT-Kontakt erklärt, welcher Sicherungsstand dafür infrage kommt und welche Vorbereitung erforderlich ist. Erst wenn diese Punkte zusammenpassen, wird der konkrete Prüf- oder Umsetzungsauftrag festgelegt.
Die Auswahl verbindet drei Punkte: Dringlichkeit aus dem Bericht, Bedeutung für die betroffene Praxisarbeit und benötigte Voraussetzung. Wenn die Voraussetzung noch offen ist, wird zunächst genau diese Klärung beauftragt. Eine Maßnahme mit einem größeren Umfang erhält ihre eigene Planung. So folgt die erste Handlung der Empfehlung und bleibt für das kleine Team durchführbar.
Lassen Sie den Auftrag klar beschreiben: Welche Leistung ist enthalten, welche Vorarbeiten übernimmt die Praxis, was kostet der vereinbarte Umfang und wann wird das Ergebnis gemeinsam angesehen? Ein Sicherheitsgespräch und eine technische Umsetzung können getrennte Leistungen sein. Die klare Zuordnung hilft dem Team, die erste Maßnahme mit dem erwarteten Aufwand zu verbinden.
Die Maßnahme bis zu einem erkennbaren Ergebnis verfolgen
Vereinbaren Sie vor Beginn, welches Ergebnis die Praxis am Ende sehen soll und welche Person es beurteilt. Beim Wiederherstellungsbeispiel kann das eine bestimmte Unterlage sein, die über den besprochenen Weg bereitgestellt wird. Der IT-Kontakt erläutert, wie die Prüfung ohne ungeplante Änderung am laufenden Praxisbestand erfolgt; die Praxis legt den geeigneten Umfang und den vorgesehenen Zeitpunkt gemeinsam fest.
Nach dem vereinbarten Verfahren prüft die zuständige Person, ob die Unterlage auffindbar, lesbar und für die vorgesehene Aufgabe verwendbar ist. Das entspricht dem praktischen Kern der BSI-Empfehlung, die Funktion und Aktualität einer Sicherung nicht nur vorauszusetzen, sondern zu testen. Ein einzelner erfolgreicher Test beschreibt dabei den geprüften Fall und den verwendeten Sicherungsstand.
Nach der Durchführung prüft die zuständige Person die bereitgestellte Unterlage. Kann sie gefunden, gelesen und für die vorgesehene Aufgabe verwendet werden? Im Beispiel ist die technische Rückmeldung zunächst erfolgt, aber eine benötigte Zuordnung fehlt noch. Der offene Punkt geht mit genau dieser Beobachtung an den IT-Kontakt zurück. Die Maßnahme wird erst nach der vereinbarten Ergänzung abgeschlossen.
Halten Sie den bestätigten Weg und das Ergebnis zusammen fest. Notieren Sie den betrachteten Sicherungsstand, die geprüfte Unterlage, die beteiligten Kontakte und eine noch offene Ergänzung. Die Information bleibt am konkreten Arbeitsweg und unterstützt das Team beim nächsten Berichtspunkt, ohne aus einer Prüfung eine allgemeine Aussage über sämtliche Systeme abzuleiten.
Den nächsten Berichtspunkt auf den erreichten Stand beziehen
Sehen Sie nach der ersten Maßnahme den betreffenden Berichtspunkt erneut an. Welche offene Frage ist beantwortet, welcher Arbeitsweg wurde geprüft und was ist noch zu erledigen? Die Rückmeldung an den IT-Dienstleister hält den tatsächlich erreichten Stand fest. Der nächste Auftrag kann dann an der erledigten Arbeit ansetzen.
Im Beispiel liegt nun ein bestätigter Wiederherstellungsweg für die betrachtete Unterlage vor. Weitere Daten, Anwendungen oder Geräte ordnet die Praxis gesondert ein, falls der Bericht dort Handlungsbedarf nennt. Die erste Maßnahme liefert dafür bereits konkrete Erfahrung: welche Vorbereitung nötig war, wer das Resultat beurteilt hat und welche Ergänzung zum Abschluss fehlte.
Bereiten Sie Ihre Systemübersicht und einen offenen Berichtspunkt für das Gespräch vor. Wenn Sie easymed einsetzen, können Sie den integrierten Weg von Kalender über Dokumentation bis zur Rechnung und das optionale Backup präzise benennen. Ergänzen Sie die übrigen Systeme Ihrer Praxis, wählen Sie aus der priorisierten Empfehlung einen passenden nächsten Schritt und halten Sie fest, woran das Team dessen Ergebnis erkennt.
