Jederzeit auskunftsfähig statt Audit-Sprint

Hinterlegt sind der Standard ISO 27001 und der BSI Cloud-Kriterienkatalog C5. Der C5 stammt vom Bundesamt für Sicherheit in der Informationstechnik (BSI) und beschreibt Mindestanforderungen an die Informationssicherheit von Cloud-Diensten. Dazu kommen drei Frameworks von Docusnap: „BSIG – Anforderungen aus der NIS-2-Umsetzung“ für Deutschland, „NISG (Österreich) – Anforderungen aus der NIS-2-Umsetzung“ und das „DSGVO Compliance Framework“. Ziele und Controls bewerten und verknüpfen Sie direkt, ohne einen eigenen Katalog aufzubauen.

Ja, mit einem eigenen Compliance-Framework. Es leitet aus den Pflichten der Datenschutz-Grundverordnung konkrete, prüfbare Anforderungen ab, etwa zu Verarbeitungsgrundsätzen, Betroffenenrechten, Sicherheit und Vorfallmanagement sowie zur Datenschutz-Folgenabschätzung. Je Anforderung bewerten Sie den Umsetzungsstand, begründen nicht anwendbare Punkte und sehen offene Lücken auf einen Blick. Ein Zertifikat gibt es für die DSGVO nicht. Das Framework hilft Ihnen aber, Ihre Rechenschaftspflicht nach Art. 5 Abs. 2 nachvollziehbar zu belegen.

Der Vollständigkeitsüberblick zeigt den Status aller Controls und Nachweise. Sie sehen, welche Controls bewertet sind, wo Dokumente fehlen und welche Prüfungen anstehen.

Controls werden mit Maßnahmen, Dokumenten und Assets aus der CMDB verknüpft. So ist sichtbar, welche IT-Systeme von einem Control betroffen sind und ob die zugehörigen Nachweise vorliegen.

Nicht anwendbare Controls werden als Ausnahme mit einer Begründung dokumentiert. Diese Ausnahmen sind Teil des ISMS-Nachweises und werden bei Audits als bewusste Entscheidung sichtbar, nicht als Lücke.

Die KI-gestützte Auswertung hilft bei der Bewertung von Controls und bei der Analyse des ISMS-Stands. Sie stellen Fragen zu Ihren dokumentierten Controls und Nachweisen und erhalten Antworten auf Basis Ihrer tatsächlichen Daten.

Maßnahmen lassen sich als wiederkehrend anlegen. Jährliche Prüfungen oder regelmäßige Nachweispflichten erscheinen automatisch als Aufgabe mit Termin und zuständiger Person.

Ja. Neben dem Framework für das deutsche BSIG gibt es ein Framework auf Basis des österreichischen Netz- und Informationssystemsicherheitsgesetzes (NISG). Beide leiten ihre Anforderungen aus der jeweiligen NIS-2-Umsetzung ab und lassen sich getrennt bewerten. So halten Sie den Umsetzungsstand je Land nach.

Zum Teil. ISO 27001 und der BSI Cloud-Kriterienkatalog sind veröffentlichte Standards und Kataloge ihrer Herausgeber. Die Frameworks für NIS-2 und DSGVO haben wir auf Basis der aktuellen Gesetzestexte selbst erarbeitet. Die NIS-2-Frameworks stützen sich auf das deutsche BSIG und das österreichische NISG. Amtliche Fassungen sind alle drei nicht. Dafür müssen Sie sich nicht in die Rechtstexte einarbeiten und führen Status und Nachweise direkt je Anforderung.

Gesetzestexte in prüfbare Anforderungen zu übersetzen, ist ein eigenes Projekt. Das haben wir erledigt. Ihre Arbeit beginnt dort, wo es Ihr Unternehmen betrifft: bei der Bewertung des Umsetzungsstands.