Blog
Was Aufsichtsbehörden prüfen und was Audits verlangen.
Die Beiträge kommen aus der täglichen Arbeit an ISMS, BCMS, DSMS und AIMS, von der Betroffenheitsprüfung über den Maßnahmennachweis bis zum Audittermin.
46 Beiträge
- 29. Oktober 2026
ISO-27001-Audit vorbereiten: Was prüft der Auditor?
Was der Auditor in Stufe 1 und Stufe 2 prüft, welche Nachweise vorab bereitliegen sollten und wie Sie mit Haupt- und Nebenabweichungen umgehen, belegt aus ISO/IEC 17021-1 und den Vorgaben der Akkreditierung.
20 Min. LesezeitLesen - 27. Oktober 2026
BSI 300-1 vs. 200-1: Was Grundschutz++ verändert
Der BSI-Standard 300-1 bündelt die Grundschutz++-Methodik in fünf Prozessschritten. Was sich gegenüber 200-1, 200-2 und 200-3 ändert und warum OSCAL dabei entscheidend ist.
10 Min. LesezeitLesen - 22. Oktober 2026
PHP2Shell: Wer betroffen ist und was jetzt zu tun ist
Zwei kritische PHP-Lücken erlauben Codeausführung ohne Anmeldung. Was laut BSI belegt ist, welche Versionen schützen und was Organisationen jetzt prüfen.
18 Min. LesezeitLesen - 15. Oktober 2026
ISO 27001 A.5.19 bis A.5.23: was der Auditor bei Lieferanten prüft
Die Lieferanten- und Cloud-Controls der ISO 27001:2022 verständlich eingeordnet. Mit einer eigenen Nachweismatrix und einem Ablauf für die interne Auditvorbereitung.
5 Min. LesezeitLesen - 14. Oktober 2026
Anforderungskatalog ISMS-Software: Was gehört hinein?
Wie Sie einen Anforderungskatalog für ISMS- und GRC-Software schreiben, der produktneutral, prüfbar und vergabefest ist: Gliederung, Muss- und Bewertungskriterien, ISO 27001 und IT-Grundschutz, Betrieb, Anbietersicherheit, EVB-IT und typische Fehler.
21 Min. LesezeitLesen - 12. Oktober 2026
Lieferantenfragebogen: 30 Fragen statt 300
Ein deutscher Lieferantenfragebogen mit 30 konkreten Fragen und klaren Nachweiserwartungen. Für risikobasierte Erstprüfungen statt unbewerteter Selbstauskünfte.
5 Min. LesezeitLesen - 9. Oktober 2026
Elias Nassall: Das kann besser gehen
Fünf Jahre Big-Four-Beratung, ein Satz im Kopf: Das kann besser gehen. Elias Nassall erzählt, warum er bei KaitoSec die Lösung baut, die er auf jedem Projekt haben wollte, und was Resilienz für ihn bedeutet.
5 Min. LesezeitLesen - 9. Oktober 2026
Chris Müller: Falsch abgebogen in die Cybersecurity
Vom geplanten Sozialpädagogen über Big-Four-Beratung zum CEO von KaitoSec: Chris Müller erzählt, warum er Informationssicherheit leichter machen will und was Resilienz für ihn bedeutet.
10 Min. LesezeitLesen - 8. Oktober 2026
Drittparteien-Risikomanagement vom Onboarding bis zum Exit
Ein praktikabler TPRM-Prozess mit sieben Stationen: von der Leistungsbeschreibung über Freigabe und Überwachung bis zu Datenrückgabe und Zugangsabbau.
5 Min. LesezeitLesen - 7. Oktober 2026
Cyberangriff auf die Stadt Wien: 26.000 Dokumente abgeflossen, entdeckt über ein Verkaufsangebot
Aus einer internen Plattform der Stadt Wien flossen 26.000 Dokumente ab, entdeckt über ein Verkaufsangebot. Was belegt ist und was andere jetzt prüfen können.
14 Min. LesezeitLesen - 5. Oktober 2026
Lieferantenrisikomanagement nach NIS2: welche Dienstleister geprüft werden müssen
Welche Lieferanten sicherheitsrelevant sind, entscheidet ihre Leistung. Ein risikobasierter Prüfpfad für direkte Dienstleister, Fernwartung und Abhängigkeiten.
5 Min. LesezeitLesen - 1. Oktober 2026
Risk Owner benennen: wer haftet, wer entscheidet, wer dokumentiert
Risk Ownership braucht ein klares Mandat. So trennen Sie fachliche Entscheidungen, Maßnahmenumsetzung und Dokumentation und ordnen die Haftungsfrage ein.
5 Min. LesezeitLesen - 1. Oktober 2026
ISMS-Maßnahmen nachverfolgen: Status, Nachweise, Rollen
Eine umgesetzte Maßnahme ist noch keine wirksame. Dieser Leitfaden führt Statusmodell, Nachweis-Alterung, Rollen und Fristen aus BSI-Standards, ISO 27001 und BSIG in einem Arbeitsmodell zusammen.
19 Min. LesezeitLesen - 28. September 2026
KRI statt KPI: acht Frühindikatoren, die ohne SOC funktionieren
Acht Risikofrühindikatoren aus vorhandenen Betriebsdaten: mit Berechnung, Zuständigkeit, Reaktion und einer Vorlage für den ersten Monatsbericht.
5 Min. LesezeitLesen - 27. September 2026
Risikobewertung nach ISO 27005: Methode, Kriterien, Nachweis
ISO/IEC 27005 schreibt keine Skala vor, verlangt aber vier Phasen bis zur Behandlungsentscheidung. Dieser Leitfaden führt Kriterien, die BSI-Standard-200-3-Beispielmatrix und die Nachweis-Dokumentation für den Audit zusammen.
17 Min. LesezeitLesen - 24. September 2026
Kontrollbibliothek aufbauen: ein Control, mehrere Normen
Eine gemeinsame Kontrollbibliothek reduziert doppelte Pflege. So trennen Sie Anforderungen, betriebliche Kontrollen und Nachweise und prüfen die tatsächliche Abdeckung.
5 Min. LesezeitLesen - 21. September 2026
Risikoregister für den Mittelstand: zwölf Felder für klare Entscheidungen
Eine Arbeitsvorlage mit zwölf Feldern verbindet Risiken, Maßnahmen und Entscheidungen. Mit Beispiel, Bewertungsregeln und einem Ablauf für den monatlichen Review.
5 Min. LesezeitLesen - 18. September 2026
ISMS ohne Security-Team einführen: Rollen, Aufwand, Tools
BSI IT-Grundschutz verlangt mindestens eine benannte Person, nicht ein Team. Dieser Leitfaden führt Rollen, Pflichten und Fundstellen aus ISO 27001, BSI-Standards und BSIG in einer Matrix zusammen.
18 Min. LesezeitLesen - 17. September 2026
Geschäftsleiterhaftung nach § 38 BSIG: Was neben dem Bußgeld droht
§ 38 BSIG verpflichtet die Geschäftsleitung zur Umsetzung, Überwachung und Schulung. So unterscheiden Sie persönliche Haftung, Bußgeld und Aufsichtsmaßnahmen.
6 Min. LesezeitLesen - 14. September 2026
NIS2-Fristen: Was bis wann nachweisbar vorliegen muss
NIS2 hat mehrere Fristauslöser: Betroffenheit, Kenntnis eines erheblichen Vorfalls, Datenänderungen und besondere Nachweisregeln für kritische Anlagen.
6 Min. LesezeitLesen - 10. September 2026
Was kostet eine ISMS-Software? Preismodelle im Vergleich
Der Lizenzpreis ist nur einer von sechs Kostenblöcken. Dieser Artikel ordnet den DACH-Markt in drei Preisstufen ein und zeigt, was bei Einführung, internem Aufwand, Schulung und Betrieb dazukommt.
20 Min. LesezeitLesen - 10. September 2026
§ 28 BSIG Absatz für Absatz: Betroffenheit und Folgepflichten
§ 28 BSIG bestimmt die Einstufung und wichtige Ausnahmen. So prüfen Sie alle acht Absätze und leiten die tatsächlich geltenden NIS2-Pflichten ab.
6 Min. LesezeitLesen - 7. September 2026
NIS2-Gap-Assessment: Ablauf und Vorlage für zehn Arbeitstage
In zehn Arbeitstagen zu einer belegbaren NIS2-Lückenanalyse: mit Prüfplan, Bewertungsmaßstab, Nachweisvorlage und Entscheidungen für die Geschäftsleitung.
5 Min. LesezeitLesen - 5. September 2026
GSTOOL-Nachfolge 2026: Grundschutz-Software auswählen und den Wechsel vorbereiten
Welche Anforderungen eine GSTOOL-Nachfolge erfüllen sollte: mit Bewertungsmatrix, Testfällen und einem Plan für die Übernahme Ihrer Sicherheitskonzepte.
5 Min. LesezeitLesen - 5. September 2026
Krisenstab alarmieren: Rollen, Kanäle und Eskalationszeiten
Von der ersten Meldung bis zum entscheidungsfähigen Krisenstab: So definieren Sie Alarmierung, Vertretungen, Rückmeldungen und einen überprüfbaren Ablauf.
5 Min. LesezeitLesen - 5. September 2026
Wiederanlaufplan: was der Auditor sehen will, was der Betrieb braucht
Ein Wiederanlaufplan muss Entscheidungen belegbar und Schritte ausführbar machen. Mit Planstruktur, Abnahmekriterien und einem Beispiel für den Wiederanlauf.
5 Min. LesezeitLesen - 5. September 2026
IT-Grundschutz-Software ablösen: Migrationspfad, Aufwand und Fallstricke
Ein belastbarer Wechselplan für Grundschutz-Bestände: Datenmodell prüfen, Aufwand am Pilot messen, Nachweise erhalten und den Übergang abnehmen.
5 Min. LesezeitLesen - 5. September 2026
Schutzbedarfsfeststellung ohne Tabellenchaos: Vorgehen für 200 Zielobjekte
Schutzbedarf nachvollziehbar bewerten: Kategorien definieren, Zielobjekte gruppieren, Abhängigkeiten prüfen und Entscheidungen mit dem Fachbereich freigeben.
5 Min. LesezeitLesen - 5. September 2026
Wie lange darf es stillstehen? RTO, RPO und MTPD mit dem Fachbereich festlegen
So legen Fachbereich und IT tragfähige Wiederanlaufziele für RTO, RPO und MTPD fest und erkennen die Lücke zwischen Bedarf und Fähigkeit.
5 Min. LesezeitLesen - 5. September 2026
Ein Control-Set, zwei Audits: IT-Grundschutz und ISO 27001 nachvollziehbar mappen
Gemeinsame Maßnahmen und Nachweise für Grundschutz und ISO 27001 nutzen: mit Mapping-Vorlage, Versionsregeln und einer Prüfung der tatsächlichen Abdeckung.
5 Min. LesezeitLesen - 5. September 2026
Business Impact Analyse in fünf Workshops strukturieren
Ein begrenzter Einstieg in die BIA: fünf Workshops mit klaren Ergebnissen, vorbereiteten Daten und einem nachvollziehbaren Beschluss über die Prioritäten.
5 Min. LesezeitLesen - 5. September 2026
Erpressungsforderung: Wer entscheidet, welche Kriterien?
Wer über eine Erpressungsforderung nach einem Cyberangriff entscheidet, nach welchen Kriterien, und warum die Zahlung selbst gegen Sanktionsrecht verstoßen kann: Geschäftsführerhaftung, Krisenstab-Rollen und die Art.-34-DSGVO-Frist im Überblick.
17 Min. LesezeitLesen - 29. August 2026
Was kostet eine ISO-27001-Zertifizierung im Mittelstand?
Die Auditortage sind akkreditierungsgebunden und nicht verhandelbar, der Tagessatz schon. Marktkorridore fuer Audit, Beratung und internen Aufwand im Ueberblick.
16 Min. LesezeitLesen - 24. August 2026
Cyberangriff auf ein kleines Kraftwerk in Großbritannien: vier Tage Stillstand unterhalb der Meldeschwelle
Eine kleine Stromerzeugungsanlage in Großbritannien stand im Juli 2026 nach einem Cyberangriff vier Tage still, öffentlich wurde es erst vier Wochen später. Was belegt ist, was rekonstruiert ist und welche Meldepflichten in Deutschland seit Dezember 2025 gälten.
13 Min. LesezeitLesen - 21. August 2026
KRITIS-Dachgesetz und NIS2: Was gilt für wen?
KRITIS-Dachgesetz und NIS2 gelten parallel: physische Resilienz beim BBK, Cybersicherheit beim BSI. Schwellenwerte, Fristen und Bußgelder im Überblick.
13 Min. LesezeitLesen - 19. August 2026
Cyberangriff auf das Landesnetz Berlin: sieben Tage unbemerkt, fünf Tage Datenabfluss
Angreifer waren sieben Tage unbemerkt im Berliner Landesnetz. Was belegt ist, wer den Schaden nach dem Wiederanlauf trägt und was andere daraus prüfen können.
20 Min. LesezeitLesen - 13. August 2026
Grundschutz++ ab 2027: Zertifizierbar, aber wie ausgereift?
Grundschutz++ ist ab 1. Januar 2027 zertifizierbar. Die Methodik bricht mit dem alten BSI-Grundschutz, doch die Risikobewertung bleibt offen.
13 Min. LesezeitLesen - 5. August 2026
Resilience Made Easy: Der Weg vom GRC-Aktenschrank zum Agentic Workspace
Warum wir KaitoSec nicht als GRC-Ablage bauen, sondern als Agentic Workspace für kontinuierliche Resilienz. Und was das für die tägliche ISB-Arbeit bedeutet.
9 Min. LesezeitLesen - 11. Mai 2026
Brauche ich ein ISMS für NIS2? Pflicht oder Option
NIS2 schreibt kein ISMS und keine ISO 27001 zwingend vor. Was das BSI wirklich fordert, welche Strukturen §30 BSIG verlangt und welche Optionen KMU haben.
13 Min. LesezeitLesen - 27. April 2026
NIS2-Meldepflichten: Wann, was und an wen melden?
Dreistufiges NIS2-Meldeverfahren: Frühwarnung (24h), Erstmeldung (72h), Abschlussbericht (1 Monat). Wer meldet was an wen, und welche Bußgelder drohen bei Verstoß?
14 Min. LesezeitLesen - 8. April 2026
Reicht ISO 27001 für NIS2-Compliance aus?
Nein, sagt das BSI. ISO 27001 ist ein solides Fundament, aber Scope-Freiheit, Risikoakzeptanz und §32/§38-Pflichten bleiben offen. So schließen Sie die Lücken.
12 Min. LesezeitLesen - 25. März 2026
Bin ich von NIS2 betroffen? So prüfen Sie es
Ob Ihr Unternehmen unter NIS2 fällt, hängt von Sektorzugehörigkeit und Unternehmensgröße ab. 18 Sektoren, Größenschwellen und Sonderfälle: Schritt für Schritt erklärt.
14 Min. LesezeitLesen - 21. März 2026
NIS2-Berater oder selbst umsetzen? Ein Kostenvergleich
Ein NIS2-Beratungsprojekt kostet KMU 50.000–150.000 EUR. Welche Teile der Umsetzung Sie selbst übernehmen können, wo sich ein Berater lohnt und wie der Hybridansatz funktioniert, mit konkreten Zahlen.
11 Min. LesezeitLesen - 19. März 2026
NIS2 in Deutschland: Was müssen Unternehmen 2026 wissen?
Das NIS2UmsuCG ist seit Dezember 2025 in Kraft. Rund 29.500 Unternehmen in Deutschland müssen jetzt Registrierungs-, Melde- und Risikomanagementpflichten erfüllen. Pflichten, Fristen, Bußgelder und Umsetzung, der komplette Überblick.
11 Min. LesezeitLesen - 17. März 2026
NIS2 und ISMS: Was Ihr bestehendes System nicht abdeckt
ISMS-Tools verwalten Kontrollen und Audits, aber sie liefern keinen NIS2-Umsetzungspfad. Warum ISMS-Anbieter Beratung dazuverkaufen, wo der rote Faden fehlt und wie KaitoSec die Lücke schließt.
9 Min. LesezeitLesen - 16. März 2026
NIS2-Bußgelder: Welche Strafen drohen bei Verstößen?
NIS2-Verstöße können Unternehmen bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes kosten. Welche Bußgelder bei welchen Verstößen drohen, wie die Geschäftsführerhaftung greift und was zwei Praxisszenarien zeigen.
12 Min. LesezeitLesen
Weiterlesen
Sprechen Sie mit uns über Ihren Fall.
Dreißig Minuten, in denen wir Ihre Fragen zu Aufsicht, Nachweisen und Audit direkt in KaitoSec zeigen.