Cyber Due Diligence und Security-Aufbau nach Übernahme oder Carve-out

Eine Cyber Due Diligence ist die Prüfung der Informationssicherheit eines Zielunternehmens vor einer Übernahme oder Beteiligung, als eigener Prüfungsbereich neben Financial, Legal und Tax Due Diligence. Sie zeigt, welche Sicherheitsrisiken Kaufpreis und Integration berühren. Wir bewerten das Target nach ISO 27001, BSI IT-Grundschutz oder Ihrem eigenen Framework und ordnen jedes Finding ein: Deal-Blocker, Sofortmaßnahme nach dem Closing oder mittelfristiger Bedarf. Das Ergebnis ist ein Bericht für Ihr Investment Committee.

Cybersecurity-Risiken werden in einer klassischen IT-Due-Diligence oft nur oberflächlich erfasst. Eine dedizierte Cyber Due Diligence bewertet systematisch die Sicherheitslage des Targets, deckt Compliance-Lücken auf und identifiziert Risiken, die den Transaktionswert beeinflussen. Das Ergebnis ist eine fundierte, unabhängige Meinung, die direkt in Ihre Kaufentscheidung einfließt.

Je nach Zielunternehmen und Branche werden Assessments nach ISO 27001/27002, BSI IT-Grundschutz, DIN SPEC 27076 oder NIST CSF durchgeführt. Ebenso können wir nach Ihrem eigenen Investment-Framework prüfen. Die Methodik wird im Scoping gemeinsam festgelegt.

Der Bericht enthält eine Gesamtbewertung der Cyber-Risikosituation, alle identifizierten Findings mit M&A-spezifischer Priorisierung (Deal-Blocker, Sofortmaßnahmen nach Closing, mittelfristiger Bedarf), eine Einschätzung des Investitionsbedarfs und konkrete Handlungsempfehlungen. Visuell aufbereitet mit Ampelsystemen und Spidergrafiken.

Fehlende oder veraltete Sicherheitsrichtlinien, unzureichende Zugriffskontrollen, Abhängigkeiten von einzelnen IT-Dienstleistern, fehlende Notfallpläne, Lizenzrisiken bei Gesellschafterwechsel, Compliance-Defizite gegenüber NIS-2 oder DSGVO und ungetestete Backups. Die Erfahrung des Auditors ist entscheidend, um diese Risiken im M&A-Kontext richtig einzuordnen.

Ja. Für Investoren und Unternehmensgruppen mit hoher Transaktionsfrequenz bieten wir einen standardisierten Prozess, der reproduzierbare Ergebnisse über das gesamte Portfolio liefert. So sind die Bewertungen verschiedener Targets direkt miteinander vergleichbar.

Die Umsetzung der priorisierten Maßnahmen übernimmt unser vCISO im befristeten Modus oder ein Interim CISO. Er stabilisiert die Informationssicherheit des übernommenen Unternehmens und steuert den Informationssicherheitsanteil der Post-Merger-Integration, bis die Funktion intern besetzt oder an Ihre Konzernfunktion übergeben ist.

Solange dort niemand benannt ist, liegt die Lücke in Ihrem Geltungsbereich. Wir besetzen die CISO-Funktion im übernommenen Unternehmen als vCISO im befristeten Modus oder als Interim CISO und bringen es auf Ihre Anforderungen. Das Mandat ist befristet und endet mit einem vorher vereinbarten Endzustand: Die Funktion ist intern besetzt oder an Ihre Konzernfunktion übergeben.

Ein eigenes ISMS mit eigenen Richtlinien, eigenem Vorfallsprozess und eigenen Nachweisen. Am Ablaufdatum des Transitional Service Agreement endet die Versorgung durch die Mutter, und dieses Datum steht im Vertrag. Wir besetzen die CISO-Funktion und leiten das ISMS aus den vorhandenen Unterlagen ab, etwa Verträgen, Netzplänen und Prozessbeschreibungen der Mutter, damit es zum Stichtag steht und nachweisbar ist.