Ein Nachweis, mehrere Frameworks.

Wer ISO 27001 aufgebaut hat und dann von NIS2 erfährt, fragt sich zu Recht, ob alles von vorn beginnt. Die Antwort ist fast immer: nein. Risikomanagement, Zugriffssteuerung, Lieferantensteuerung, Vorfallbehandlung, Schulung – diese Themen tauchen in fast jedem Regelwerk zur Informationssicherheit auf. Sie heißen nur jeweils etwas anders und werden unterschiedlich tief geprüft.

Gleiches Thema, anderer Blickwinkel

Eine ISO-Norm fragt, ob Ihr Managementsystem ein Thema geplant, umgesetzt, überprüft und verbessert hat. Ein Gesetz wie NIS2 oder DORA fragt, ob bestimmte Pflichten erfüllt sind und ob Fristen eingehalten werden. Die DSGVO schaut auf die Rechte der Menschen, deren Daten Sie verarbeiten. Ein Prüfbericht wie SOC 2 oder ein Testat nach C5 bewertet, ob Kontrollen wie beschrieben funktionieren. Das Thema bleibt dasselbe. Was sich ändert, ist die Frage, die der Prüfer stellt.

Was ● und ◐ bedeuten

Ein voller Punkt heißt: Das Framework behandelt das Thema ausdrücklich und mit eigenen Anforderungen. Ein halber Punkt heißt: Das Thema kommt vor, aber nur am Rand, für einen engeren Zweck oder ohne eigene Vorgaben. Ein Strich heißt nicht, dass das Thema unwichtig ist. Es ist nur kein eigener Gegenstand dieses Frameworks. Jede Einordnung ist bewusst grob. Wie viel Sie wirklich wiederverwenden können, hängt von Ihrem Geltungsbereich ab: welche Standorte, Prozesse und Systeme einbezogen sind und wie gut Ihre Nachweise heute schon sind.

Ein Nachweis, mehrere Frameworks

Der größte Aufwand liegt selten im Verstehen einer Norm, sondern im Pflegen der Nachweise. Eine Zugriffsrichtlinie, ein Protokoll zum Wiederherstellungstest, ein Lieferantenvertrag mit Sicherheitsklauseln – solche Belege tragen oft für mehrere Frameworks zugleich. Wer sie in getrennten Ordnern pro Projekt ablegt, pflegt sie mehrfach und verliert irgendwann den Überblick, welche Fassung gilt.

In Sightadel liegt jeder Nachweis einmal im Nachweis-Archiv und wird den passenden Prüfpunkten mehrerer Frameworks zugeordnet. Läuft ein Dokument ab oder ändert es sich, sehen Sie, welche Frameworks betroffen sind. Für das, was ein Framework zusätzlich verlangt, etwa die Meldefristen nach NIS2 oder die Datenschutz-Folgenabschätzung nach DSGVO, legen Sie gezielt ergänzende Belege an.

Wo die Matrix aufhört

Die Matrix ersetzt keine Gap-Analyse. Sie zeigt, wo Sie suchen sollten, nicht, was Ihnen fehlt. Für die Detailarbeit gehen Sie die Prüfpunkte eines Frameworks einzeln durch. Genau dafür sind die geführten Assessments in Sightadel gebaut.