IT-Leiter und CISOs stehen vor beispiellosen regulatorischen Anforderungen: Geldbußen bis zu 10 Mio. € bei NIS2, persönliche Haftung für Leitungsorgane, strenge DORA-Vorgaben im Finanzsektor und ISO 27001 Pflichten in Enterprise-Ausschreibungen. Anstelle theoretischer Rechtsgutachten bietet dieses Kompendium greifbare Fakten: Rosetta Stone der Normen, 7-Schritte-Fahrplan, prüffähige Nachweispakete, 1-Seiten-SOPs und interaktiver Bereitschaftsrechner.
Interaktiver Audit-Bereitschaftstest
Wählen Sie Ihre implementierten Kontrollen aus, um den Konformitätsgrad (Compliance Posture) zu berechnen:
Wählen Sie die Kontrollen oben aus, um Ihre Gap-Analyse und fehlende Audit-Nachweise anzuzeigen.
1. Der Executive Rosetta Stone: Normen & Vorgaben im Vergleich
Der teuerste Fehler von Führungskräften ist die isolierte Betrachtung jeder neuen Verordnung. In der Praxis teilen NIS2, ISO 27001, DORA und CIS Controls über 80% identischer technischer Maßnahmen.
| Standard / Gesetz | Rechtscharakter | Geltungsbereich | Risiko & Sanktionen | Hauptfokus des Prüfers | SpecInfo Tool |
|---|---|---|---|---|---|
| NIS2 Richtlinie | EU-Recht (Nationales Gesetz) | Wesentliche & wichtige Einrichtungen (18 Sektoren: Energie, IT, Gesundheit, Produktion usw.) | Bis zu 10 Mio. € oder 2% des weltweiten Umsatzes; persönliche Vorstandshaftung | 24h Frühwarnung bei Vorfällen; Risikomanagement in der Lieferkette | NetSentinel (Portscan & Exposure) |
| ISO/IEC 27001:2022 | Internationale Zertifizierung (ISMS) | Freiwillig, jedoch de facto Pflicht für B2B-Lieferanten und Ausschreibungen | Ausschluss aus Ausschreibungen, Vertragsstrafen, Kundenverlust | 93 Kontrollen in Anhang A; formale Risikoanalyse und externe Audits | SOP Runbooks & Risikomatrix |
| DORA | EU-Finanzverordnung (Unmittelbar) | Finanzsektor (Banken, FinTechs, Versicherungen) und kritische IT-Drittanbieter | Aufsichtsrechtliche Sanktionen; Betriebsverbote auf EU-Finanzmärkten | Bedrohungsorientierte Penetrationstests (TLPT); IKT-Konzentrationsrisiken | NetSentinel (Resilienz-Tests) |
| CIS Controls v8 | Technischer Praxis-Benchmark | Empfohlen für alle IT-Abteilungen als operatives Fundament für ISO und NIS2 | Schutz vor über 85% automatisierter Ransomware-Angriffe | Praktische Umsetzung: MFA, Segmentierung, Hardware-Inventar, Logging | CLI Runbooks (Windows/Linux/Cisco) |
| NIST SP 800-88 R1 | Datenlöschungs- & ITAD-Standard | Jede Organisation, die vertrauliche oder personenbezogene Daten verarbeitet (DSGVO Art. 32) | DSGVO-Strafen bis zu 20 Mio. € bei Datenlecks aus Altgeräten | Kryptografische Löschzertifikate (Clear / Purge / Destroy) mit Seriennummern | SpecInfo Core (Lokale ITAD-Engine) |
NIST SP 800-88 R1 & DSGVO Audit-Nachweise ohne Abonnements
Verlangt der Auditor Nachweise über die zertifizierte Datenlöschung vor der Rückgabe von Leasing-Laptops? Nutzen Sie SpecInfo Core direkt im Browser. Es generiert auditfähige kryptografische Löschzertifikate mit Seriennummern und Prüfbericht.
SpecInfo Core starten2. Der 7-Schritte-Umsetzungsfahrplan für IT-Leiter & CISOs
Klassische Compliance-Projekte dauern oft 12 Monate und erzeugen Aktenordner, die niemand liest. Dieser Fahrplan macht Ihre Organisation innerhalb von 90 Tagen prüfbereit:
Schritt 1: Asset-Erfassung & CMDB-Bereinigung
Der oberste Prüfer-Grundsatz lautet: „Was man nicht kennt, kann man nicht schützen“. Erstellen Sie ein lückenloses Verzeichnis physischer Endgeräte, Server, Cloud-Instanzen und SaaS-Tools zur Beseitigung von Schatten-IT.
Schritt 2: 7-Tage-Schnell-Gap-Analyse
Verschwenden Sie keine Monate mit Fragebögen. Bewerten Sie die Kontrollen aus ISO 27001 Anhang A in 2-stündigen Workshops mit Technik-, Helpdesk- und HR-Leitung binär: Erfüllt / In Arbeit / Offen.
Schritt 3: Sofortige Härtung der Kernbereiche
Schließen Sie die häufigsten Einfallstore: 100% MFA für Fernzugriff, Deaktivierung von NTLMv1 und SMBv1, Air-Gap-Backups und Durchsetzung von BitLocker auf allen Mobilgeräten.
Schritt 4: 1-Seiten-Verfahrensanweisungen (SOPs)
Ersetzen Sie 50-seitige Handbücher durch präzise 1-Seiten-Abläufe für Vorfallsmeldung, Offboarding und Hardware-Ausmusterung nach NIST 800-88.
3. Prüfpakete für Auditoren: Echte Nachweise vs. Schein-Compliance
Auditors fordern greifbare technische Belege. Vermeiden Sie typische Schein-Nachweise:
4. Sofort einsatzbereite 1-Seiten-SOPs
Nutzen Sie diese geprüften Vorlagen für Ihre internen Verfahrensanweisungen:
VERFAHRENSANWEISUNG: SICHERHEITSVORFALLSMELDUNG (NIS2) 1. ERKENNUNG: - Sofortige Einstufung: Betrifft der Vorfall kritische Dienste oder Kundendaten? - Wenn JA -> Eskalation an CISO / Krisenstab innerhalb von 60 Minuten. 2. 24-STUNDEN-FRÜHWARNUNG: - Meldung an das zuständige CSIRT / BSI spätestens nach 24 Stunden ab Kenntnis. - Inhalt: Verdacht auf böswillige Einwirkung und erste Indikatoren (IoCs). 3. 72-STUNDEN-BEWERTUNG: - Detaillierter Bericht: Schweregrad, Auswirkungen und Gegenmaßnahmen.