SINuS steht für „Sicherheit für Informationstechnik und Netzwerke als universelles System“ und ist ein Cybersicherheits-Managementsystem, um IT-Sicherheitsrisiken im Unternehmen zu erkennen, Maßnahmen abzuleiten und deren Umsetzung nachzuverfolgen. Es unterstützt bei der kontinuierlichen Verbesserung der IT-Sicherheit und bei der Erfüllung der NIS2-Anforderungen. Die Selbsteinschätzung über die Prüffragen ist dabei der Einstieg – der eigentliche Mehrwert liegt im gesteuerten Managementkreislauf, der daraus entsteht.

SINuS ermöglicht eine präzise Selbsteinschätzung von Cyberrisiken, basierend auf den BSI-Standards. Das System kann Ihnen nicht die Arbeit abnehmen, aber es hilft, die NIS2-Anforderungen schnell und effizient umzusetzen. Im Selbstaudit werden zunächst die Fragen von Ihnen selbst beantwortet. Dabei wird durch Sie zu jeder Frage der Umsetzungsgrad festgelegt. Externe Beratung kann zu einem späteren Zeitpunkt hinzugenommen werden, wenn es in die Umsetzungsphase geht oder wenn eine ISMS bzw. ISO 27001 Zertifizierung geplant ist. Das reduziert Beratungskosten.

Nein. Die Beantwortung der Prüffragen mit der daraus abgeleiteten Risikobewertung ist nur das Fundament. Aus den Ergebnissen leiten sich konkrete Maßnahmen ab, die Verantwortlichen im Unternehmen zugeordnet werden – also Funktionen wie IT-Administration, dem ISB oder der Personalabteilung. Der Umsetzungsstand ist jederzeit in jeder Prüffrage ablesbar. Der Verantwortliche kann die Antwort zum Umsetzungsstand selbst ändern, sobald er eine Maßnahme umgesetzt hat. Damit ist SINuS ein vollständiger Managementkreislauf – erheben, bewerten, Maßnahmen zuordnen, Umsetzung verfolgen und jährlich überprüfen – und nicht nur eine einmalige Analyse.

Die NIS2-Anforderungen verlangen kein einmaliges Audit, sondern einen fortlaufend gesteuerten Sicherheitsprozess. SINuS bildet diesen Zyklus ab: Der Ist-Zustand wird über die Prüffragen erhoben und bewertet (Plan), Maßnahmen werden Verantwortlichen zugewiesen und umgesetzt (Do), der Umsetzungsstand und das Restrisiko werden laufend verfolgt (Check), und das jährliche Management Review dokumentiert die Veränderung und bereitet die nächsten Schritte vor (Act). So entsteht aus einer Momentaufnahme ein dauerhaft nachvollziehbarer Verbesserungsprozess.

Einmal jährlich generiert SINuS ein Management Review, das den aktuellen Status der Informationssicherheitsziele zusammenfasst. Dargestellt werden die Erfüllungsgrade und das Restrisiko je NIS-Baustein, die Anzahl der Cybersicherheitsvorfälle und der Meldungen an das BSI sowie ein Ausblick auf Veränderungen in der Bedrohungslage und der Gesetzgebung. Das Review richtet sich an die Leitungsebene und unterstützt die Geschäftsführung dabei, ihrer Pflicht zur Überwachung und zum Nachweis der Umsetzung nachzukommen (§ 38 NIS2UmsuCG). Da es die Entwicklung über die Zeit sichtbar macht, ist es ein zentraler Baustein, um die kontinuierliche Verbesserung gegenüber Dritten zu belegen.

SINuS ist ein Self-Assessment Tool, insofern sollten immer die Bereiche / Abteilungen die Fragen beantworten, deren Themen adressiert werden. Der überwiegende Teil der Fragen betrifft inhaltlich bedingt natürlich die IT-Abteilung sowie sofern vorhanden den ISB (Informationssicherheitsbeauftragten). Fragen zu Organisation und Personal hingegen werden wahrscheinlich von der Verwaltung oder Personalabteilung beantwortet werden müssen. Insbesondere der Status und die Inhalte von Richtlinien sind wahrscheinlich dort verankert.

Sofern Sie externe Dienstleister einsetzen, gibt es Fragen, die in deren Kompetenz- bzw. Erfüllungsbereich gehören. Dabei ist zu beachten, dass die NIS2-Richtlinie (bzw. das NIS2UmsuCG) vorsieht, dass der Auftraggeber auch für die Compliance innerhalb der Lieferkette verantwortlich ist.

Gem. den gesetzlichen Auflagen ist die Geschäftsführung für die Umsetzung der Anforderungen verantwortlich, hat diese zu überwachen und nachzuweisen (§ 38 NIS2UmsuCG). Insofern ist es durchaus sinnvoll, dass auch die Leitung sich mit dem Tool auskennt.

Nein. SINuS stellt als Self-Assessment-System einen Fragenkatalog auf Grundlage von BSI-Grundschutzkriterien bereit. Auf dieser Grundlage wird eine Risikobewertung zu den BSI-Gefährdungen durchgeführt. Empfehlungen für Maßnahmen zur Risikoreduzierung werden zu jeder Frage angeboten und zudem den ISO Controls (Statement of Applicability, SoA) nach der ISO 27001:2022 Anhang A zugeordnet. SINuS kann allerdings als Vorbereitung für eine Zertifizierung durch eine externe Zertifizierungsstelle dienen.

SINuS basiert auf dem vom BSI initiierten Projekt „Weg in die Basis-Absicherung“ (WiBA). Das BSI betrachtet in WiBA 19 Kategorien, welche durch zahlreiche Fragen unterlegt sind. Zusätzlich wurden durch das BSI die Kategorien mit den BSI-Grundschutz Bausteinen verknüpft (Mappingtabelle: „WiBA auf IT-Grundschutz-Profil „Basis-Absicherung Kommunalverwaltung“). Auf dieser Grundlage werden die Fragenkataloge vertieft und den BSI-Gefährdungen über eine vom BSI zur Verfügung gestellte Kreuztabelle zugeordnet.

WiBA wurde vom BSI entwickelt, um den Einstieg in den IT-Grundschutz für Behörden, Unternehmen und Einrichtungen zu vereinfachen. Unternehmen in kritischen Sektoren wie Energie, Transport, Gesundheitswesen, Bankenwesen, Wasser- und Abfallwirtschaft sowie digitale Infrastruktur können SINuS genauso nutzen wie alle öffentlichen Verwaltungen und Unternehmen der KMU mit mehr als 50 Beschäftigten, die unter NIS2 fallen.

Es gibt eigentlich keine Einschränkungen. Um die NIS2-Richtlinien umzusetzen, eignet sich SINuS für Landesverwaltungen, Kreisverwaltungen und Stadtverwaltungen genauso wie für Stadtwerke, ÖPNV und Abfallbetriebe.

Ja. SINuS basiert auf einem Datenmodell des BSI, welches für jedes Unternehmen, insbesondere mit einer Größe von mehr als 50 Beschäftigten oder einem Jahresumsatz größer als 10 Mio. € interessant ist. Da SINuS ein Cybersicherheits-Managementsystem ist, welches das Ziel verfolgt, Risiken zu identifizieren, zu bewerten und Maßnahmen abzuleiten, ist es für jede Organisation und jedes Unternehmen interessant, welche sich gegen Cyberkriminalität gut aufstellen möchte.

Ja. SINuS eignet sich selbstverständlich auch für eine Risikobewertung im Rahmen des Abschlusses einer Cyberversicherung. Oft verlangen Cyberversicherungen nur eine kleine Auskunft zu den IT-Sicherheitsmaßnahmen. Diese reichen allerdings in der Regel nicht aus, um die Risiken zu identifizieren. Mit SINuS als Managementsystem können die Risiken und somit der Versicherungsbeitrag reduziert werden. Die Wahrscheinlichkeit, dass die Cyberversicherung in Anspruch genommen werden muss, wird durch Umsetzung der empfohlenen Maßnahmen gesenkt. Zudem kann das Risiko reduziert werden, dass der Versicherer im Zweifel nicht zahlt, weil Vertragsbedingungen nicht erfüllt wurden. Sprechen Sie mit Ihrem Versicherer.

Zu jeder Frage haben wir Maßnahmen hergeleitet, es werden etwa 10 separate Empfehlungen gegeben. Dabei handelt es sich um technische und organisatorische Maßnahmen.

Nein. Die angebotenen Maßnahmen sind eher umfassende Empfehlungen, nicht jede Maßnahme wird auf die jeweilige Organisation passen. Es ist möglich, Empfehlungen zu löschen und Neue selbst hinzuzufügen. SINuS ist ein individuelles, skalierbares Managementsystem, welches auf jede Einrichtung und jedes Unternehmen angepasst werden kann.

Die Idee von SINuS ist, ein Managementsystem zur Verfügung zu stellen, welches bereits Antworten auf Fragen gibt. Aus diesem Grund sind Empfehlungen für Maßnahmen bereits vorgegeben. Im Selbstaudit muss nun zu jeder Frage festgelegt werden, wie der Umsetzungsstand bereits ist. Hier gibt es eine Unterteilung in 5 Feststellungen. Die Empfehlungen in den Maßnahmen können dabei helfen, den Grad der Umsetzung selbst festzulegen. Bereits umgesetzte Maßnahmen können im Tool zu jeder Frage dokumentiert werden, z. B. durch Dokumente oder Bemerkungen.

Zu jeden Fragenkomplex (NIS-Baustein) und jeder Frage (NIS-Frage) wird jederzeit der Bearbeitungsstand angezeigt. Warum bei NIS-Fragen? Eine NIS-Frage kann sich in viele Unterfragen (Prüffragen) unterteilen, welche das BSI aus den Grundschutz Bausteinen hergeleitet hat. Jeder Prüffrage ist zudem der Status der Bearbeitung zugeordnet, also „offen“, „in Arbeit“ oder „erledigt“ Hiernach kann später gefiltert werden.

Ja. Sobald das BSI seinen Fragenkatalog aktualisiert, werden wir diese Aktualisierungen selbstverständlich übernehmen. Durch unseren Support und die Pflege der Prüffragen, haben Sie jederzeit ein aktuelles System, das den Stand der Technik und die Anforderungen von BSI und ISO widerspiegelt.

Ja. Es gibt jederzeit die Möglichkeit, eigene Fragen hinzuzufügen. Das wird insbesondere dann der Fall sein, wenn im Rahmen des Selbstaudits der Fragenkatalog des BSI zur Cyberabsicherung nicht ausreicht. Insofern wir zusätzliche Fragen einfügen, kennzeichnen wir diese mit einem Stern (*).

Das Risiko berechnet sich aus dem möglichen Schaden und der Eintrittswahrscheinlichkeit. Zu jeden Fragenkomplex (NIS-Baustein) und zu jeder Frage (NIS-Frage) wird das Risiko ermittelt. SINuS orientiert sich an der Risikoklassifikation des BSI in einer Ausprägung von 5 x 5. Jeder NIS-Frage ist eine Risikomatrix zugeordnet, in welcher die Ausprägung automatisch berechnet und hinzugefügt wird.

Der mögliche Schaden wird in 8 Kategorien erfasst und als Durchschnittswert ermittelt. Es wird eine Schadensermittlung in den Kategorien „Verletzung Persönlichkeitsrechte“, Offenbarung Geschäftsgeheimisse“, „Offenbarung Know-how“, „Datenverlust“, „Ausfallzeit“, „Erpressung“, „Schadensersatzforderungen“ und „Bußgeld“ durchgeführt. In SINuS ist zu jeder Frage eine potenzielle Schadenshöhe vorgegeben, welche im Rahmen des Selbstaudits entsprechend der Branche selbst angepasst werden kann.

Die Eintrittswahrscheinlichkeit wird zunächst aus dem Grad der Umsetzung abgeleitet, der als Antwort im Selbstaudit zu jeder Frage gegeben wird. Dieser Startwert kann bei Bedarf manuell angepasst werden, wenn im Einzelfall besondere Umstände – etwa kompensierende Schutzmaßnahmen – eine andere Einschätzung rechtfertigen. So bleibt die Bewertung konsistent und zugleich flexibel.

Ja. SINuS ist zwar als papierloses Managementtool konzipiert, allerdings wird es immer wieder im Rahmen einer bereichsübergreifenden Zusammenarbeit erforderlich sein, Ausdrucke nach bestimmten Filterkriterien zu erstellen.

Ja. Jeder Frage kann ein „Verantwortlicher“ zugewiesen und ein Wiedervorlagetermin erstellt werden. Im Dashboard und in der Maßnahmenübersicht lässt sich dann nach unterschiedlichen Auswahlkriterien filtern und eine Aufgabenübersicht erstellen.

Ja. Sollte es doch einmal zu einem meldepflichtigen Vorfall kommen, befindet sich in SINuS der Zugang zum Meldeportal des BSI. Darüber hinaus können Sicherheitsvorfälle im Tool vollständig dokumentiert werden – mit Verantwortlichen, Zeitpunkten und dem Bearbeitungsverlauf. Die gesamte Dokumentation wird direkt in SINuS zum Abruf verfügbar gehalten. So weisen Sie nicht nur die Meldung selbst, sondern auch die ordnungsgemäße Behandlung des Vorfalls nach – ebenfalls eine Anforderung der NIS2-Richtlinie.

SINuS wurde auf der Ninox Plattform programmiert. Ein Template ist die Programmoberfläche, welches auf der Low-Code-Plattform von Ninox entwickelt wurde. Die Software wird als sichere Cloudlösung angeboten. Natürlich ist der Anbieter zertifiziert (ISO 27001) und datenschutzkonform (Standort in Deutschland, Auftragsverarbeitung vertraglich abgesichert).

Ninox ist ein deutsches Unternehmen mit Sitz in Berlin. Das Unternehmen hat sich zu einer erfolgreichen SaaS-Plattform entwickelt, die es Unternehmen jeder Größe ermöglicht, schnell individuelle Anwendungen für spezifische Anforderungen zu erstellen.

Die Privat Cloud enthält einen dezidierten Server mit eigener Benutzerverwaltung. Hoster / Standort / Sub-domain können frei ausgewählt werden. Für die eigene Privat Cloud benötigen Sie mindestens 10 Lizenzen.

Beim Kauf der „SINuS Lizenz“ bleibt die Anwendung in der Privat Cloud von uns als Systemanbieter. Als Ninox-Partner können wir Lizenzgebühren günstig weitergeben. Es lohnt sich erst ab 10 Lizenzen, eine eigene Privat Cloud bei Ninox einzurichten. Da SINuS multimandantenfähig ist, erfolgt die Trennung der Daten logisch nach Benutzerrechten.

Beim Kauf des Templates richtet Ninox eine Privat Cloud für den Kunden ein. In dieser Privat Cloud befinden sich nur die eigenen Daten, es gibt eine physische Trennung. Das Template wird von uns hochgeladen. Ninox wird Vertragspartner, alle Nutzerlizenzen sind über Ninox zu kaufen. Insofern ein Support erwünscht ist, müssen wir als Systemanbieter eingeladen werden. So behalten Sie die vollständige Kontrolle.

Insofern eine SINuS Lizenz über unsere Privat Cloud gekauft wird, befinden sich die Daten bei Hetzner, also in Deutschland. Das Hosting der eigenen Privat Cloud ist mit Ninox abzustimmen.

Zunächst haben wir als Anbieter von SINuS mit Ninox eine sogenannten Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO abgeschlossen. Wir schließen zusätzlich mit unseren Endkunden neben dem Lizenzvertrag eine Vertraulichkeitsvereinbarung (NDA) und eine EU-Standardvertragsklausel (SCC v21) auf Basis Art. 28 DSGVO ab.