| Vollständiges IT-Inventar Organisation | teilweise | Server, Maschinen und Netzgeräte sind in der MetaBDE-Gerätedoku und einer Excel-Liste (2023) erfasst; Drucker, Kameras, Smartphones, Cloud-Dienste und 19 aktive Netzgeräte fehlen, niemand pflegt die Listen laufend. Der Netzscan fand mehr Systeme als jede Liste. | hoch | 1 | Geschäftsführung (DI Karl Muster) |
| Keine ungemanagte Schatten-IT Organisation | nicht erfüllt | Schatten-IT bestätigt: HubSpot und Dropbox im Vertrieb (Zeichnungen an Kunden), eigener WLAN-Router in der Produktion. | hoch | 3 | Geschäftsführung (DI Karl Muster) |
| Veraltete Systeme außer Betrieb Organisation | teilweise | AD-Bereinigung Stufe 1 am 09.12.2025: 42 veraltete Computer (17 EOL) und 21 Konten archiviert, Rollback bis März möglich. Lifecycle-Übersicht im Portal-Inventar. Offen: ESXi-Upgrade (Jänner), Windows-10-Migration (Budget 2026 freigegeben), Produktions-PCs. | hoch | 1 | IT-Leitung (Daniel Steiner) |
| Externe Zugänge dokumentiert und kontrolliert Organisation | nicht erfüllt | TechPartner Süd mit Domänen- und Firewall-Admin, Maschinenhersteller per dauerhaftem TeamViewer und VPN-Konto 'wartung-laser' ohne MFA; keine vertragliche Regelung außer Wartungsvertrag 2019, keine Protokollierung. | hoch | 1 | Geschäftsführung (DI Karl Muster) |
| Mitarbeitende regelmäßig sensibilisiert Organisation | teilweise | Awareness-Schulung am 13./15.01.2026 für 135 von 150 Mitarbeitenden (15 Nachschulungen bis Februar). Offen: Phishing-Simulation (April). | hoch | 1 | Geschäftsführung (DI Karl Muster) |
| IT-Sicherheitsrichtlinie vorhanden Organisation | nicht erfüllt | Keine IT-Sicherheitsrichtlinie; Benutzerordnung von 2016 im Intranet. | hoch | 2 | Geschäftsführung (DI Karl Muster) |
| Aktuelle Netzwerkdokumentation Organisation | nicht erfüllt | Netzplan von 2021 ohne VLANs und ohne Werk Nord; die tatsächliche Segmentierung ist nur aus der Switch-Konfiguration ersichtlich. | mittel | 2 | IT-Leitung (Daniel Steiner) |
| Cloud-Ressourcen inventarisiert Organisation | nicht erfüllt | Acht Cloud-/SaaS-Dienste im Einsatz, keine Liste; Zugänge verteilt auf Devolutions und Fachabteilungen. | mittel | 3 | IT-Leitung (Daniel Steiner) |
| Änderungen nachvollziehbar dokumentiert Organisation | nicht erfüllt | Änderungen nach Zuruf, teils in TechPartner-Tickets, intern nicht dokumentiert; keine Freigabe. | mittel | 2 | IT-Leitung (Daniel Steiner) |
| Sensible Daten identifiziert Organisation | nicht erfüllt | Konstruktions-, Personal- und Kundendaten bekannt, aber nicht klassifiziert; Zeichnungen zusätzlich in Dropbox, Personaldaten in einer Abteilungsfreigabe mit breiten Rechten. | mittel | 3 | Geschäftsführung (DI Karl Muster) |
| Regelung für Homeoffice und mobiles Arbeiten Organisation | nicht erfüllt | Homeoffice per VPN und Terminalserver, teils von privaten PCs; keine schriftliche Regelung. | mittel | 1 | Geschäftsführung (DI Karl Muster) |
| Serverraum physisch geschützt Organisation | erfüllt | Serverraum: elektronischer Zutritt mit Liste, Rauchmelder mit Aufschaltung, Wasserleitung umgelegt, USV 45 Minuten mit Alarm, Temperaturalarm; Backup-Server in Werk Nord im abschließbaren Schrank. | | 1 | Produktionsleitung (Franz Leitner) |
| Verantwortliche je System benannt Organisation | erfüllt | Verantwortlichkeiten je System (fachlich/technisch/Vertretung) festgelegt und von der GF freigegeben. | | 3 | Geschäftsführung (DI Karl Muster) |
| Systeme nach Kritikalität klassifiziert Organisation | erfüllt | Kritikalität im Workshop am 09.01.2026 festgelegt: Ausfallzeiten, Datenverlust-Toleranz und Wiederanlaufreihenfolge je System. | | 3 | Geschäftsführung (DI Karl Muster) |
| Verantwortung für Informationssicherheit benannt Organisation | erfüllt | Rolle Informationssicherheit schriftlich bei der IT-Leitung mit 10 % Zeitbudget, Vertretung Techniker, Quartalsbericht an die GF (Beschluss 10.11.2025). | | 1 | Geschäftsführung (DI Karl Muster) |
| Vertraulichkeit geregelt Organisation | erfüllt | Alle Mitarbeitenden sind über die Verschwiegenheitsklausel im Dienstvertrag zur Vertraulichkeit verpflichtet (Muster geprüft); mit externen Partnern regelt das der Wartungsvertrag nur allgemein (siehe GOV-09). | | 1 | Geschäftsführung (DI Karl Muster) |