Kunden, Versicherer und Regulierer erwarten belastbare Antworten zur Sicherheit Ihres Unternehmens. Was fehlt, ist meist der Überblick, die Zeit und das Fachwissen, um sie zu geben. KaitoSec zeigt Ihnen, was für Ihr Geschäft wirklich wichtig ist, was als Nächstes zu tun ist und wie Sie Fortschritt belegen, ohne dafür eine eigene Compliance-Abteilung aufzubauen.
Nachweis einmal erfasst
Control · A.5.19
Lieferanten- und Dienstleisterprüfung
Zugeordnet, wo die Substanz übereinstimmt
Anforderungen aus demselben Datensatz beantwortet
Audit-Paket entsteht
Standards, nach denen Auditoren und Kunden fragen
Vorher und nachher
Was Ihr Geschäft trägt
01 Kritikalität
Die Wirkungsanalyse legt fest, wie lange jeder Prozess ausfallen darf, bevor es teuer wird. Der Wiederanlauf ist geübt und das Protokoll belegt es. Damit ist die Zeit zurück in den Normalbetrieb gemessen statt geschätzt.
Business ContinuityBetriebsfähigkeit
Übung bestandenStörungWiederhergestellt · 2 h 40 minRTO-Budget 4 h
Kritische Prozesse
02 Abhängigkeiten
Ein Verzeichnis für Anwendungen, Prozesse, Lieferanten und KI-Komponenten, bei der Aufnahme eingestuft und mit einem Namen dahinter. Jede Zeile zeigt, welche Teile des Geschäfts daran hängen.
Klassifizierung
Vertraulich 34 %Intern 28 %Öffentlich 24 %KI 14 %
Inventar · 1.284 Datensätze
Bei Aufnahme klassifiziert| Asset | Verantwortlich | Klassifizierung | Bediente Systeme |
|---|---|---|---|
| Payments APIInterner Dienst | Platform Engineering | Vertraulich | ISMS · BCMS · DSMS |
| KundenportalÖffentliche Webanwendung | Produkt | Öffentlich | ISMS · DSMS |
| Primäre DatenbankPostgreSQL-Cluster | Platform Engineering | Vertraulich | ISMS · BCMS · DSMS |
| StripeLieferant · Zahlungsdienstleister | Finanzen | AVV signiert | DSMS · ISMS |
| Support-CopilotKI-Komponente · Embeddings | Customer Operations | KI · hohes Risiko | AIMS · DSMS |
Jede Zeile speist Risikoregister, VVT und BIA, ohne neu erfasst zu werden.
03 Risiko
Ein Bewertungsmodell für alle Anforderungen. So bleibt vergleichbar, was zuerst behandelt gehört, statt je Standard getrennt beurteilt zu werden.
RisikomanagementRisikomatrix · 52 erfasst
Auswirkung ↑
Wahrscheinlichkeit →
Zelle hovern, um die Stufe zu lesen
Behandlungs-Pipeline
Der nächste Schritt
Wo anfangen? Was ist dringend? Wer muss handeln? Und was reicht tatsächlich aus? KaitoSec übersetzt Anforderungen in konkrete Aufgaben und begleitet das Team Schritt für Schritt bei der Umsetzung.
Offene Aufgaben · nach Wirkung sortiert
| Anforderung | Was daraus zu tun ist | Verantwortlich | Bis wann |
|---|---|---|---|
| LieferantensicherheitISO 27001 · A.5.19 | Prüfberichte für die sechs kritischen Dienstleister anfordern und am Vertrag ablegen. | Leitung Einkauf | Diese Woche |
| Meldeweg bei VorfällenNIS2 · Art. 21 | Meldekette benennen und klären, wer außerhalb der Geschäftszeit erreichbar ist. | IT-Leitung | Diesen Monat |
| Verzeichnis der VerarbeitungenDSGVO · Art. 30 | Die fünf neuen Verarbeitungen aus dem Kundenportal aufnehmen. | Datenschutzbeauftragte | Diesen Monat |
| Wiederanlauf übenISO 22301 | Den Wiederanlaufplan Zahlungen gegen sein Vier-Stunden-Ziel üben. | Platform Engineering | Dieses Quartal |
| Menschliche AufsichtEU AI Act · Art. 14 | Festlegen, wer die Ausgaben des Support-Copilot prüft und in welchem Takt. | Customer Operations | Dieses Quartal |
Die Reihenfolge folgt der Kritikalität aus dem Schritt davor, nicht der Nummerierung im Katalog.
Auskunft geben
Fragebögen, Kundenprüfungen und Audits fragen dieselben Fakten in unterschiedlicher Form. Keine davon sollte eine eigene Suchrunde durch Dokumente, Mailverläufe und Zuständigkeiten auslösen.
Was herauskommt
Die Antwort samt Nachweis, direkt aus dem Register. Ohne Mailrunde, wer welches Dokument hat.
Was herauskommt
Exponierung und erprobte Wiederanlaufzeiten in Geschäftssprache, damit die Akte kein Sicherheitsglossar braucht.
Was herauskommt
Auditpaket, Erklärung zur Anwendbarkeit und Verzeichnis nach Art. 30, aus demselben Datenbestand exportiert.
Überschneidungen
Wählen Sie den Standard, nach dem Ihr Kunde, Prüfer oder Versicherer fragt. Die Maßnahmen dahinter gibt es meist schon, weil sie bereits eine andere Anforderung erfüllen.
| Anforderung | Erfüllt durch | Dient auch |
|---|---|---|
| A.5.7 | BedrohungsanalyseMITRE ATT&CK, CAPEC, OWASP und BSI-Kataloge indexiert und Assets zugeordnet | NIS2 · DORA |
| A.5.19 | Lieferanten- und DienstleisterprüfungLieferantenregister mit AV-Verträgen, Kritikalität und Prüfnachweisen | NIS2 · DORA · 42001 |
| A.5.30 | IKT-Bereitschaft für ContinuityRTO-Ziele aus der BIA, erprobte Wiederanlaufpläne, Übungsprotokolle | ISO 22301 · DORA |
| A.8.16 | ÜberwachungstätigkeitenAlarmierung am Asset-Inventar verankert, Feststellungen an Verantwortliche geleitet | NIS2 · SOC 2 |
Abdeckung aus bestehenden Maßnahmen
der Anforderungen aus ISO 27001 sind durch Maßnahmen erfüllt, die Sie für die anderen Systeme bereits betreiben.
Vollständiges Mapping| Anforderung | Erfüllt durch | Dient auch |
|---|---|---|
| Art. 21(2)(a) | Risikoanalyse und SicherheitskonzepteEin Risikoregister über alle vier Systeme, Richtlinien gültig und signiert | ISO 27001 · DORA |
| Art. 21(2)(c) | Business Continuity und KrisenmanagementBIA, Wiederanlaufpläne und Übungsergebnisse im selben Modell | ISO 22301 |
| Art. 21(2)(d) | Sicherheit der LieferketteLieferantenrisiken bewertet, behandelt und planmäßig nachgeprüft | ISO 27001 · DORA |
| Art. 23 | Meldung von Vorfällen an die Behörde24-h-, 72-h- und Abschlussmeldungen aus dem Vorfalldatensatz erzeugt | DORA · DSGVO |
Abdeckung aus bestehenden Maßnahmen
der Anforderungen aus NIS2 sind durch Maßnahmen erfüllt, die Sie für die anderen Systeme bereits betreiben.
Vollständiges Mapping| Anforderung | Erfüllt durch | Dient auch |
|---|---|---|
| Art. 5 | IKT-RisikomanagementrahmenVon der Leitung freigegebener Rahmen, gespeist aus demselben Register wie das ISMS | ISO 27001 · NIS2 |
| Art. 9(4) | Schutz und PräventionMaßnahmenbibliothek einmal zugeordnet, je Asset und Prozess nachgewiesen | ISO 27001 |
| Art. 11 | Reaktion und WiederherstellungWiederanlaufpläne und RTO-Budgets aus der BIA übernommen | ISO 22301 · NIS2 |
| Art. 28 | IKT-DrittparteienregisterInformationsregister aus dem Lieferanteninventar erzeugt | ISO 27001 · DSGVO |
Abdeckung aus bestehenden Maßnahmen
der Anforderungen aus DORA sind durch Maßnahmen erfüllt, die Sie für die anderen Systeme bereits betreiben.
Vollständiges Mapping| Anforderung | Erfüllt durch | Dient auch |
|---|---|---|
| Art. 9 | RisikomanagementsystemKI-Risiken auf derselben Skala bewertet wie jedes andere Risiko | ISO 42001 |
| Art. 10 | Daten und DatengovernanceTrainings- und Inferenzdaten mit dem VVT verknüpft, das das DSMS bereits führt | DSGVO · ISO 42001 |
| Art. 12 | Aufzeichnungen und LoggingModellereignisse protokolliert, aufbewahrt und je System exportierbar | ISO 27001 |
| Art. 14 | Menschliche AufsichtNamentlich Verantwortliche und Prüfrhythmus je registrierter KI-Komponente | ISO 42001 |
Abdeckung aus bestehenden Maßnahmen
der Anforderungen aus EU AI Act sind durch Maßnahmen erfüllt, die Sie für die anderen Systeme bereits betreiben.
Vollständiges MappingDie vier Bereiche, die das abdeckt
Business Continuity
BIA, Wiederanlaufpläne, Übungen und RTO-Verfolgung gegen einen erprobten Plan.
ISO 22301 · DORA
Informationssicherheit
Controls, Risiken, Gefährdungskataloge und Monitoring in einem Register.
ISO 27001 · BSI · NIS2
Datenschutz
VVT, DSFA, Betroffenenanfragen und AV-Verträge, aktuell gehalten.
DSGVO / GDPR
KI-Governance
KI-Inventar, Modellrisiken, Logging und menschliche Aufsicht.
ISO 42001 · EU AI Act
Gemeinsame Datensätze: einmal geschrieben, von allen vier gelesen
1 Datensatz → 4 AnforderungenWarum KaitoSec
01
Beratung beschleunigt den Einstieg. Danach gehört das Wissen ins Haus. KaitoSec erklärt jede Anforderung verständlich, schlägt den nächsten Schritt vor und hält fest, warum Sie sich so entschieden haben. Ihr Team lernt beim Umsetzen.
Entscheidungen bleiben nachvollziehbar02
Diese Arbeit liegt meistens bei Menschen, die noch einen anderen Job haben. Deshalb führt das Werkzeug durch die Umsetzung, statt leere Felder zu zeigen, und sagt zu jeder Anforderung, was tatsächlich ausreicht.
Kein Vollzeit-Team nötig03
Läuft auf ISO-27001-zertifizierter Infrastruktur in Deutschland, unter EU-Recht. DSGVO-Anforderungen stecken im Datenmodell statt in einem Richtlinien-PDF, und der Support arbeitet auf Deutsch und Englisch.
Daten bleiben in der EUDas Ergebnis
Sie erkennen Ihre wichtigsten Risiken früher.
Sie wissen jederzeit, was zu tun ist.
Sie beantworten Kunden- und Prüferfragen schneller.
Sie erfüllen mehrere Anforderungen mit derselben Arbeit.
Sie benötigen keine große eigene Compliance-Abteilung.
Feedback aus dem Early Access
“Wir haben drei Tabellen und ein gemeinsames Laufwerk durch ein System ersetzt. ISO 27001 und NIS2 liegen endlich am selben Ort, und der Readiness-Überblick zeigt genau, was noch offen ist.”
Loslegen
Bringen Sie einen aktuellen Prozess mit. Gehen Sie mit einem klareren Weg. Wir prüfen an einem laufenden Arbeitsablauf, wie Ihre bestehenden Register, Frameworks und Verantwortlichen in KaitoSec passen, statt eine allgemeine Funktionstour zu zeigen.
