Sicherheitsdienst oder Cybersecurity-Firma: Was Sie brauchen

Wenn Sie nach einer „Security-Firma“ suchen, weiß die Suchmaschine nicht, ob Sie einen Einbruch oder Ransomware fürchten. Die beiden Branchen teilen sich ein Wort, nicht die Arbeit:

• Physische Sicherheit: Wachpersonal vor Ort, Streifen, Einlasskontrolle, Alarmanlagen, Kameras, Alarmempfangszentralen. Das Risiko: jemand betritt den Standort, nimmt etwas mit oder beschädigt es.
• Cybersecurity: Netzwerke, Server, E-Mail, Konten, Backups, Penetrationstests. Das Risiko: jemand verschafft sich Zugang zu Ihren Systemen oder Daten.

Eine gute erste Frage an jeden Anbieter: „Was genau tun Sie an meinem Standort, und mit welchen Leuten?“ Die Antwort zeigt sofort, zu welcher Branche er gehört.

Das Gesetz 2518/1997 definiert als privates Sicherheitsunternehmen jedes Unternehmen, das Dritten eine oder mehrere dieser Leistungen erbringt (Art. 1 §1):

• (α) Überwachung oder Bewachung beweglicher oder unbeweglicher Sachwerte und Anlagen;
• (β) Schutz natürlicher Personen;
• (γ) sicherer Transport von Geld, Wertsachen, Antiquitäten, Kunstwerken und Wertgegenständen in gepanzerten Fahrzeugen;
• (δ) Schutz von Veranstaltungen, Ausstellungen, Kongressen, Wettbewerben und Sportereignissen;
• (ε) Sicherheitskontrollen und Zutrittskontrolle an Flughäfen und Häfen, mit Genehmigung der zuständigen Behörde;
• (στ) Begleitung von Fahrzeugen mit sperrigen oder schweren Lasten; (ζ) Begleitung von Sportdelegationen;
• (η) Studien und Planung von Maßnahmen für die Tätigkeiten (α) bis (ζ);
• (θ) Installation, Wartung und Funktionsüberwachung von Sicherheits- und Alarmgeräten und -systemen, außer solchen in Kraftfahrzeugen;
• (ι) Betrieb von Zentralen zum Empfang, zur Prüfung und Weiterleitung von Alarmsignalen;
• (ια) Studien und Planung von Sicherheitssystemen für die Tätigkeiten (θ) und (ι).

Für all diese Tätigkeiten braucht das Unternehmen eine besondere Betriebsgenehmigung, die der Stabschef des Hauptquartiers der Griechischen Polizei erteilt (Art. 2 §1). Das Personal braucht eine Arbeitserlaubnis: Kategorie A für die Tätigkeiten (α) bis (η), Kategorie B für (θ), (ι) und (ια) (Art. 3 §2–3). Wie Sie eine Genehmigung prüfen, erklärt unser Leitfaden zur Prüfung der Lizenz eines Sicherheitsunternehmens; den weiteren Rahmen der Leitfaden zum Recht der privaten Sicherheit in Griechenland.

Der Schutz von Netzwerken, Software und Daten gehört nicht zu den Tätigkeiten des Art. 1 §1. Eine Genehmigung nach Gesetz 2518/1997 sagt also nichts über die Cybersecurity-Kompetenz eines Unternehmens aus — und umgekehrt.

Eine IP-Kamera, ein Videorekorder oder ein Türcontroller hat eine Netzwerkadresse, Software und Administratorpasswörter. Bleiben die Passwörter auf Werkseinstellung oder wird das Gerät nie aktualisiert, wird das System, das den Standort schützen soll, zur Tür in Ihr Netzwerk. Deshalb müssen sich bei diesen Systemen beide Branchen abstimmen:

• Die physische Seite: wo Kameras und Leser hinkommen, wer das Bild sieht, wer auf einen Alarm reagiert. Siehe unsere Leitfäden zur Wahl eines Videoüberwachungssystems und zur Zutrittskontrolle.
• Die Cyber-Seite: in welchem Netzwerk die Geräte hängen, wer Administratorkonten hat, wie der Fernzugriff funktioniert, wer Updates einspielt.
• Der gemeinsame Punkt: ein Dokument, das festhält, wer wofür verantwortlich ist, damit nichts dazwischen liegen bleibt. Wie Systeme zu einem Bild zusammenwachsen, erklärt der Leitfaden zur Integration von Sicherheitssystemen.

Die Norm, der Sie hier oft begegnen, ist ISO/IEC 27001, voller Titel „Information security, cybersecurity and privacy protection — Information security management systems — Requirements“. Sie betrifft ein Managementsystem für Informationssicherheit, nicht die Bewachung. Was ein Zertifikat bedeutet und wie Sie es prüfen, erklärt der Leitfaden zu ISO-Zertifizierungen.

• Nur physische Sicherheit: Warendiebstahl, Unbefugte im Gebäude, eine Baustelle bei Nacht, eine Veranstaltung mit Publikum. Sie brauchen Wachpersonal, Streifen oder Systeme von einem nach Gesetz 2518/1997 genehmigten Unternehmen.
• Nur Cybersecurity: E-Mail-Betrug, verschlüsselte Dateien, abgeflossene Kundendaten, eine Prüfung des Netzwerks. Sie brauchen IT- und Informationssicherheitsspezialisten.
• Beides: Kameras, Rekorder, Zutrittskontrolle oder Alarmanlagen mit Netzwerk- oder Internetanbindung, Datenräume, Serverräume. Lassen Sie hier beide Seiten schriftlich festhalten, wer was übernimmt.

OVIT ist ein Unternehmen für physische Sicherheit: Bewachung und Streifen, wobei die Guardly-Plattform ein gemeinsames Live-Bild von Streifen, Vorfällen und Berichten liefert. Wir sind keine Cybersecurity-Firma: Hängen Ihre Systeme im Netzwerk, braucht diese Seite einen eigenen Verantwortlichen.

• An den Sicherheitsdienst: Wie lautet die Nummer Ihrer Betriebsgenehmigung? Das Gesetz verlangt, dass sie auf den Unterlagen des Unternehmens steht (Art. 4 §1α). Welche Kategorie der Arbeitserlaubnis haben die Personen, die Sie schicken — A für Bewachung, B für Installation und Überwachung von Systemen?
• An die Cybersecurity-Firma: Welche Systeme prüfen Sie, mit welcher Methode, und welches schriftliche Ergebnis bekomme ich? Wenn Sie eine Zertifizierung anführen: Welchen Geltungsbereich hat sie?
• An den, der Kameras oder Zutrittskontrolle installiert: Wer verwaltet die Administratorkonten, wie werden Standardpasswörter geändert, wer spielt Updates ein, wie funktioniert der Fernzugriff, und wer schaltet ihn bei Vertragsende ab?

Eine Firma, die „alles macht“, ist weder ein Grund, sie zu wählen, noch sie abzulehnen. Lassen Sie sich zeigen, welchen Teil sie selbst erbringt, mit welcher Genehmigung und mit welchen Leuten.