Lösungen · ISB und CISO
Als Informationssicherheitsbeauftragter oder CISO halten Sie das ISMS am Laufen, beantworten Kundenfragebögen, bereiten Audits vor und berichten an die Leitung. Sightadel bündelt Anforderungen, Risiken, Nachweise und Maßnahmen an einer Stelle, auch wenn mehrere Frameworks gleichzeitig gelten.
Ausgangslage
In vielen Unternehmen besteht das ISMS aus einer Sammlung von Dateien. Eine Tabelle für die Erklärung zur Anwendbarkeit, eine für Risiken, eine für Lieferanten, dazu Ordner mit Richtlinien und ein Postfach voller Nachweise. Das funktioniert, solange eine Person alles im Kopf hat. Es wird mühsam, sobald ein zweites Framework dazukommt, ein Kollege ausfällt oder der Auditor fragt, wann ein Beleg zuletzt geprüft wurde.
Mit NIS2 ist die Lage noch einmal anspruchsvoller geworden. Viele Unternehmen müssen jetzt gleichzeitig ISO 27001 halten, die Pflichten aus dem BSI-Gesetz erfüllen und die technischen Maßnahmen nach DSGVO belegen. Die Themen überschneiden sich stark. Die Dokumentation sollte es deshalb auch tun: ein Nachweis zur Datensicherung, der für alle drei gilt, statt drei Kopien mit drei Ständen.
Dazu kommt die Rolle zwischen allen Stühlen. Sie brauchen Zuarbeit aus IT, Personal, Einkauf und Fachbereichen, aber keine dieser Abteilungen berichtet an Sie. Sightadel macht Zuständigkeiten und Fristen sichtbar, ohne dass Sie jeder Aufgabe per E-Mail hinterherlaufen müssen. Und es liefert der Geschäftsleitung einen Stand, den sie ohne Erklärung lesen kann.
Warum jetzt
Sie betreiben ein ISMS nach ISO 27001 und fallen jetzt zusätzlich unter das BSI-Gesetz. Meldekette, Registrierung und die Pflichten der Geschäftsleitung sind neu. Der Rest soll nicht doppelt dokumentiert werden.
Der Auditor will sehen, dass das System lebt: interne Audits, Managementbewertung, aktualisierte Risiken, abgeschlossene Korrekturmaßnahmen. Nachweise, die vor einem Jahr gültig waren, sind es heute vielleicht nicht mehr.
Der Vorgänger ist weg, die Dateien liegen verstreut. Bevor Sie verbessern können, müssen Sie verstehen, was es gibt, was gilt und was veraltet ist. Ein geordneter Import ist schneller als ein Neuanfang.
Jeder Großkunde schickt seinen eigenen Fragebogen zur Lieferkette. Die Fragen ähneln sich, die Formate nicht. Ein gepflegter Stand und ein Trust Center beantworten die üblichen Fragen einmal für alle.
NIS2 und ISO 27001 verlangen, dass Sie Dienstleister bewerten und Sicherheitsanforderungen vertraglich festhalten. Ohne zentrale Liste mit Gültigkeitsdaten fällt ein abgelaufenes Zertifikat erst auf, wenn jemand danach fragt.
Relevante Frameworks
In eigenen Worten zusammengefasst, keine Rechtsberatung. Maßgeblich ist der Originaltext in der geltenden Fassung.
Der Rahmen, auf dem die meisten ISMS aufbauen. Kapitel 4 bis 10 regeln das Managementsystem, Anhang A enthält 93 Controls in vier Themen. Das Zertifikat gilt drei Jahre, mit zwei jährlichen Überwachungsaudits und anschließender Rezertifizierung. Interne Audits und Managementbewertung sind die Stellen, an denen Systeme im Audit am häufigsten Schwächen zeigen.
Zum Framework →Für wichtige und besonders wichtige Einrichtungen nach dem BSI-Gesetz verbindlich. Die zehn Maßnahmenbereiche nach § 30 BSIG decken sich in weiten Teilen mit Anhang A. Neu sind vor allem die Registrierung beim BSI, die Meldekette mit 24 Stunden, 72 Stunden und einem Monat und die Pflichten der Geschäftsleitung nach § 38.
Zum Framework →Die technischen und organisatorischen Maßnahmen nach Art. 32 lassen sich mit denselben Nachweisen belegen wie viele Controls aus Anhang A. Ein Sicherheitsvorfall kann zugleich eine Datenpanne sein. Deshalb lohnt eine enge Abstimmung mit dem Datenschutz.
Zum Framework →Für Cloud-Anbieter, deren Kunden aus dem öffentlichen Sektor, dem Gesundheitswesen oder regulierten Branchen kommen. Der Kriterienkatalog des BSI baut auf ISO 27001 auf und ergänzt Cloud-Themen. Das Ergebnis ist ein Testat durch einen Wirtschaftsprüfer.
Zum Framework →Für Finanzunternehmen vorrangig vor NIS2. IKT-Risikomanagement, Vorfallbehandlung und Zugriffssteuerung bauen auf denselben Grundlagen wie das ISMS auf. Das Informationsregister über IKT-Dienstleister und die Resilienztests kommen hinzu.
Zum Framework →Empfohlene Reihenfolge
Bestehende Erklärung zur Anwendbarkeit, Risikolisten und Lieferantentabellen kommen per Excel- oder Word-Import in Sightadel. Richtlinien und Belege laden Sie ins Nachweis-Archiv und ordnen sie den Anforderungen zu. So sehen Sie schnell, was schon da ist.
Legen Sie ISO 27001, NIS2 und bei Bedarf DSGVO gleichzeitig an. Ein Nachweis wird einmal abgelegt und mit allen Anforderungen verknüpft, die er belegt. Was für ein Framework schon erledigt ist, zeigt sich im anderen als belegt.
Risiken werden mit einer festen Methode bewertet, mit Behandlung und Verantwortlichen versehen und mit Maßnahmen verknüpft. Gleiche Eingaben führen zu vergleichbaren Ergebnissen. Akzeptierte Restrisiken lassen Sie von der Leitung bestätigen.
Aus Lücken werden Aktionspläne mit Verantwortlichen und Fristen. Kollegen aus IT, Personal und Einkauf erhalten die Rolle Contributor und bearbeiten ihren Teil direkt. Externe Dienstleister und Berater laden Sie mit eigener Rolle ein.
Berechtigungsprüfungen, Schulungen, Lieferantenbewertungen, Notfalltests, internes Audit und Managementbewertung laufen als wiederkehrende Zyklen mit festen Terminen. Nachweise tragen ein Ablaufdatum, Sightadel erinnert vor dem Ablauf.
Ein ehrliches internes Audit einige Wochen vorher zeigt die letzten Lücken. Der externe Auditor erhält einen eigenen Zugang ohne Löschrecht und sieht Anforderungen, Antworten und Belege in ihrem Zusammenhang.
Ihr Alltag
Der Aufbau ist ein Projekt. Der Betrieb ist Routine, und genau dort geht ohne System am meisten Zeit verloren.
Ein Wiederherstellungstest von vor 14 Monaten, eine Schulungsliste aus dem Vorjahr. Jeder Nachweis in Sightadel hat ein Gültigkeitsdatum. Was bald abläuft, erscheint als Aufgabe, nicht als Befund im Audit.
Dieselbe Richtlinie in drei Versionen für drei Frameworks. In Sightadel liegt sie einmal, mit Version und Freigabe, verknüpft mit allen Anforderungen, die sie abdeckt.
Aufgaben per E-Mail verteilen und im Kalender nachhalten. Aktionspläne mit Verantwortlichen und Fristen ersetzen das. Überfällige Punkte sehen Sie und die Leitung, ohne zu fragen.
Für jede Sitzung eine neue Präsentation. Das Dashboard zeigt Fortschritt je Framework, offene Probleme und überfällige Maßnahmen. Die Leitung liest mit der Rolle Viewer mit, Sie ergänzen die Einordnung.
Wer hat das wann geändert, und wo liegt der Beleg? Das Aktivitätsprotokoll beantwortet die erste Frage, das Nachweis-Archiv die zweite. Der Auditor sieht beides mit seinem eigenen Zugang selbst.
So hilft Sightadel
Jede Anforderung ist als Frage mit Erklärung formuliert, Kontrolle für Kontrolle. Antwort, Begründung und Beleg liegen an derselben Stelle. Das hilft bei der Erklärung zur Anwendbarkeit ebenso wie bei der Zuarbeit von Kollegen, die die Norm nicht kennen.
Mehr erfahren →Belege mit Version, Status und Gültigkeitsdatum. Ein Nachweis lässt sich mit Anforderungen aus mehreren Frameworks verknüpfen, etwa ein Backup-Konzept mit ISO 27001, NIS2 und den technischen Maßnahmen der DSGVO zugleich.
Mehr erfahren →Lücken aus Assessments, internen Audits und externen Befunden werden zu Maßnahmen mit Verantwortlichem und Frist. Anlegen, Ändern und Abschließen landen im Aktivitätsprotokoll, mit Zeitpunkt und Person.
Mehr erfahren →Dienstleister mit Kritikalität, Fragebögen, Verträgen und Nachweisen in einer Liste. Abgelaufene Zertifikate und fehlende Antworten fallen auf. Das deckt die Lieferkettenpflicht nach NIS2 und die entsprechenden Controls aus Anhang A ab.
Mehr erfahren →Der Security Score zeigt die Angriffsfläche Ihrer Domains von außen als Note und Zahl, mit einer Liste konkreter Probleme und Anleitung zur Behebung. Befunde werden mit Status bearbeitet und fließen in Ihr Schwachstellenmanagement ein.
Mehr erfahren →Interne Vorgaben, Konzernrichtlinien oder Sicherheitsanhänge großer Kunden legen Sie als eigenes Framework an. Sie liegen neben ISO 27001 und NIS2 und nutzen dieselben Nachweise.
Mehr erfahren →Aufwand und Dauer
Die Spannen sind Erfahrungswerte, keine Zusage. Den größten Einfluss haben der Ausgangsstand, die Größe des Geltungsbereichs und die Zeit, die Ihnen neben dem Tagesgeschäft bleibt.
Was Sie lizenzieren · typisch Professional
Ein Unternehmen mit ISMS nach ISO 27001 und NIS2-Pflicht nimmt beide Frameworks in der Edition Professional. Sie umfasst zehn Nutzer, zehn Assets und 25 Lieferanten. Weil ISO 27001 dabei ist, gibt es auf NIS2 einen dauerhaften Nachlass. DSGVO lässt sich später ergänzen und nutzt dieselben Nachweise.
Lizenz je Framework, Mindestlaufzeit ein Jahr, monatlich oder jährlich zahlbar. Alle Preise, Rabatte und einen Rechner finden Sie auf der Preisseite. Kosten einer Zertifizierungs- oder Prüfstelle kommen getrennt hinzu.
Ja. Erklärung zur Anwendbarkeit, Risikolisten und Lieferantentabellen lassen sich aus Excel importieren, Richtlinien aus Word. Danach ordnen Sie Dokumente den Anforderungen zu. Sie fangen nicht von vorn an, sondern bringen Ordnung in das, was es gibt.
Jedes Framework hat seine eigenen Anforderungen und seinen eigenen Fortschritt. Nachweise und Maßnahmen werden aber nur einmal angelegt und mit allen passenden Anforderungen verknüpft. Eine Zahl für die Überschneidung nennen wir bewusst nicht, weil sie von Ihrem Geltungsbereich abhängt.
Über die Rolle Consultant extern. Ihr Berater arbeitet direkt in Ihrem Konto mit, und das Aktivitätsprotokoll vermerkt, dass ein Zugriff von außen kam. Fehlt Ihnen ein Berater, buchen Sie Beratung als Paket in der App dazu.
Der Auditor erhält eine eigene Rolle. Er sieht Anforderungen, Antworten, Nachweise und das Aktivitätsprotokoll, kommentiert und legt nach Ihrer Freigabe Einträge an oder bearbeitet sie. Löschen kann er nichts. Das spart Vorbereitungszeit und das Versenden von Dateien.
Eine unabhängige, akkreditierte Zertifizierungsstelle. Sie wählen sie aus unserem Partnernetzwerk in der App oder bringen Ihre eigene mit. Sightadel zertifiziert nicht, und für Audits fließt keine Provision, weder an uns noch an die Partner.
Ja. Das Auditprogramm wird als wiederkehrender Zyklus geplant, Feststellungen werden zu Maßnahmen mit Frist, und die Ergebnisse fließen in die Managementbewertung ein. Durchführen sollte das interne Audit jemand, der das geprüfte Thema nicht selbst aufgebaut hat.
Sie liefert Entwürfe aus Branchenvorlagen und hilft beim Formulieren. Vorausgefüllt wird bewusst nicht alles. Risikobewertung, Restrisiken und die Entscheidung, welche Controls gelten, treffen Sie selbst. Genau das prüft der Auditor.
Sightadel wird in Deutschland entwickelt und betrieben. Mit jedem Kunden schließen wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.
14 Tage, voller Zugriff, keine Zahlungsdaten. Was Sie anlegen, bleibt im bezahlten Plan erhalten.
