Resilience Made Easy: Der Weg vom GRC-Aktenschrank zum Agentic Workspace

Resilience Made Easy. Das ist die Vision, die wir versprechen. Zwei Uhren ticken gegen jedes Unternehmen gleichzeitig, und beide beschleunigen sich. NIS2 gilt in Deutschland seit Dezember 2025 ohne Übergangsfrist, BSI Grundschutz++ ist ab Januar 2027 zertifizierbar, und parallel dazu schrumpfte die Zeit von einer Schwachstellen-Veröffentlichung bis zum ersten Exploit von 771 Tagen (2018) über 84 Tage (2020) und 6 Tage (2022) auf Stunden (2024) und mittlerweile Minuten (2025). Jahresaudits und quartalsweise Excel-Updates halten mit keinem der beiden Rhythmen mehr Schritt. Wir lösen das anders: skalierbar, agentic, mit einem Workspace, der mitarbeitet statt nur zu dokumentieren. Das ist Resilience Made Easy.

Warum GRC an seine Grenze kommt?

GRC-Tools sind für einen bestimmten Zweck gebaut: den Ist-Zustand von Richtlinien, Risiken und Maßnahmen abzubilden und daraus Handlungsbedarf abzuleiten. Sie dokumentieren die tägliche Arbeit eines ISB im Nachhinein, statt Teil von ihr zu werden.

Das zeigt sich schon am Alter der Systeme. Die meisten heute genutzten Tools stammen aus den Jahren 2008 bis 2016, ihre Datenmodelle wurden seither nur oberflächlich modernisiert, nicht neu gedacht. Entsprechend schwach ist ihre Verankerung in der Security-Kultur eines Unternehmens. In der Praxis werden diese Tools oft nur von zwei bis drei Personen bedient, während der Rest der Organisation sie bestenfalls aus der Audit-Vorbereitung kennt.

Was fehlt, sind Verknüpfungen, die Resilienz tatsächlich abbilden. Schnittstellen zu Cloud-Umgebungen, IAM, Ticket- und HR-Systemen, aus denen sich der reale Stand von Zugriffen, Verantwortlichkeiten und offenen Vorgängen ablesen ließe. Ohne diese Anbindung bleibt das GRC-Tool ein Nebenprodukt. Die eigentliche Arbeit findet anderswo statt, in Excel-Tabellen, in E-Mail-Verläufen, in Tickets, die parallel zum Tool geführt werden. Was fehlt, ist ein ganzheitlicher Ansatz, der diese Anbindung von Grund auf mitdenkt, statt sie als nachträgliches Add-on zu behandeln.

Compliance-Pflege darf keine Spirale aus immer mehr Aufwand sein, sie muss sich nahtlos in den Arbeitsalltag einfügen, statt ihn zusätzlich zu belasten. An diesem Punkt trennen sich GRC und Resilienz.

GRC läuft in der Praxis auf einen Nachweisaufbau hinaus. Sie sammeln Belege für ein Audit, dokumentieren Umsetzungen und haken Controls als erledigt ab. Der Zustand danach ist ein Aktenordner, kein Verhalten. Resilienz meint etwas anderes! kontinuierliche Handlungsfähigkeit, die nicht nur dokumentiert, sondern gelebt und in die tägliche Arbeit integriert wird.

Dieser Unterschied wirkt nicht nur auf die Informationssicherheit. Er reicht bis in die Kontinuität hinein. Wer im Ernstfall handlungsfähig bleiben will, braucht ein BCMS, das denselben Anspruch trägt wie das ISMS - einen Zustand, der auch unter Druck hält.

Das setzt voraus, dass Silos aufbrechen. Ein getrenntes ISB-Silo neben einem getrennten BCB-Silo erzeugt zwei Wahrheiten über dieselbe Organisation, und aus zwei Wahrheiten wird schnell Dokumenten-Drift. Das bedeutet, Register laufen auseinander, Änderungen an einem Ort bleiben am anderen unbemerkt. Die Alternative ist eine gemeinsame Datenbasis, auf der ISMS, BCMS und zusätzlich noch DSMS und KIMS aufsetzen. Sie teilen sich einmalig die zugrundeliegende Realität statt sie viermal getrennt zu pflegen, und genau das verhindert den Drift zwischen den Domänen.

Konkret heißt das: Jede Maßnahme trägt Verantwortliche, Fälligkeit und einen prüfbaren Nachweis. CISO, ISB, Datenschutz und Geschäftsführung sehen denselben Stand, jede und jeder in der für die eigene Rolle passenden Tiefe. Wo Risiken, Maßnahmen, Assets und Notfallpläne bislang redundant in getrennten Domänen lagen, sind die Datensätze jetzt verknüpft. Eine Änderung zeigt sofort, welche Risiken, Maßnahmen und Notfallpläne betroffen sind und wer als Nächstes handeln muss. Diese Haltung braucht ein Werkzeug, das von Grund auf für verknüpfte Daten gebaut ist.

Diese strukturelle Lücke trifft auf ein zweites, größeres Problem: die schiere Zahl der verschiedenen Rahmenwerke.

Multikomplexe Regulatorik, wie Cross-Mapping sie auflöst

Wer heute für Informationssicherheit verantwortlich ist, jongliert mit einem ganzen Stapel an Rahmenwerken. Deutsche Standards wie der IT-Grundschutz treffen auf europäische Vorgaben wie NIS2 und auf internationale Standards wie ISO 27001, die gerade für den Mittelstand zum Referenzpunkt geworden sind. International vernetzte Unternehmen kommen damit nicht mehr um eine Multi-Regulatorik-Abdeckung herum, denn Kundschaft, Lieferketten und Tochtergesellschaften sitzen selten in nur einer Rechtsordnung.

Dieselbe Maßnahme wird in getrennte Dateien für ISO 27001, NIS2, DORA und BSI kopiert. Einmal für jeden Standard, jedes Mal von Hand, jedes Mal mit dem Risiko, dass eine Version veraltet, während die andere aktualisiert wird. Verschärft wird das Problem dadurch, dass die Zahl der relevanten Regelwerke wächst, und mit ihr die Zahl der Dateien, die parallel gepflegt werden müssen.

Das eigentliche Problem ist die Redundanz zwischen den Rahmenwerken. Die meisten branchenübergreifenden Standards verlangen im Kern das selbe System:

• Plan
• Do
• Check
• Act

Ohne Cross-Mapping bedeutet das doppelte oder dreifache Arbeit für dieselbe Anforderung. Mit Cross-Mapping wird aus dem Chaos ein klarer Überblick.

Der Budgetdruck dahinter ist real und beziffert. Die Bundesregierung schätzt die jährlichen Compliance-Kosten allein durch NIS2 auf rund 2,3 Milliarden Euro. Getragen wird diese Last überproportional vom Mittelstand, dessen Ressourcen für Regulatorik ohnehin knapp bemessen sind. DORA verschärft die Lage weiter und verlangt kontinuierliche Evidenz statt Jahresaudits. Dieselbe Grundspannung zwischen Pflicht und Kapazität wiederholt sich mit jedem neuen Rahmenwerk, und klassisches Abhaken löst sie kaum noch auf. Ein Teil dieses Budgets fließt an teure externe Berater, die genau diese Redundanz Projekt für Projekt manuell auflösen, statt sie strukturell zu beheben.

Genau hier setzt Cross-Mapping an. KaitoSec pflegt einen Baseline-Standard vollständig, alle weiteren Standards werden nur noch über ihre Lücken zur Baseline abgebildet. Grundlage dafür ist Cross-Mapping. Eine Maßnahme deckt gleichzeitig mehrere Anforderungen unterschiedlicher Standards ab, statt für jeden Rahmen einzeln gepflegt zu werden.

Konkret heißt das: 93 Annex-A-Maßnahmen aus ISO 27001:2022 sind vorgeladen. Dieselben Maßnahmen speisen zusätzlich BCMS, DSMS und AIMS. Vier Managementsysteme aus einer einzigen Pflege. Die Anwendbarkeitserklärung (SoA) wird daraus generiert, statt manuell aus Excel-Listen zusammengetragen zu werden.

Das Prinzip zieht sich bis auf die Nachweisebene durch. Belege aus XML-, Excel-, PDF- und API-Daten lassen sich mit Abläufen für NIS2, Grundschutz++, ISO und DSGVO verbinden. Die Quelle wird einmal gepflegt und dort genutzt, wo sie gilt. Ein Firewall-Log oder ein Schulungsnachweis muss nicht viermal hochgeladen werden, nur weil vier Standards danach fragen.

Wer sich einen Überblick über die abgedeckten Rahmenwerke verschaffen will, findet ihn in der Framework-Übersicht: ISO 27001, BSI Grundschutz++, NIS2, DORA und DSGVO sind gemappt und dedupliziert. Das Ergebnis dieser Architektur ist ein direkter Hebel. Mehrere Standards werden schneller umgesetzt, weil keine Maßnahme zweimal gepflegt werden muss. Diese verknüpfte Datenbasis ist zugleich die Grundlage für die Werkbank, auf der tatsächlich gearbeitet wird.

Was Agentic Workspace konkret heißt

KaitoSec ist die Werkbank, der Ort, an dem und mit dem gearbeitet wird. Risikoregister, Maßnahmenplan und Freigaben liegen an einem Platz, statt verstreut über Ordner und Postfächer. Agentic bedeutet, dass diese Werkbank aktiv mitarbeitet. Sie automatisiert Teilschritte, schlägt vor und entwirft, mit spürbarer Zeitersparnis gegenüber manueller Pflege.

Die Vision dahinter ist ein Orchestrator-Hub. Daten aus unterschiedlichen Quellen fließen zusammen, bleiben steuerbar, und das Team ist eingebunden statt außen vor. Das ist die klare Abgrenzung zu Excel-Tabellen und alten GRC-Legacy-Tools, die Daten in Silos verwalten und Automatisierung höchstens als Add-on kennen.

Dahinter steht eine Haltung, keine Feature-Liste. Modell-Unabhängigkeit. Ob Anthropic, OpenAI oder ein lokales Modell hinter der eigenen Firewall läuft, ist frei wählbar. Kein erzwungener KI-Upsell, kein Vendor-Lock. Möglich wird das nur, weil unter der Oberfläche alle Standards auf eine gemeinsame Struktur zurückgreifen.

Use Cases

KaitoSec bildet Maßnahmen, Risiken und Nachweise in einem gemeinsamen Modell ab. Offene Arbeit und akzeptierte Risiken zeigen sich jederzeit aus dem laufenden Stand, statt für jeden Termin neu rekonstruiert zu werden.

Aus dem Early-Access-Programm bestätigt ein Informationssicherheitsbeauftragter genau diesen Effekt:

„Wir haben drei Tabellen und ein gemeinsames Laufwerk durch ein System ersetzt. ISO 27001 und NIS2 liegen endlich am selben Ort, und der Readiness-Überblick zeigt genau, was noch offen ist."

Ein Compliance-Manager, ebenfalls aus dem Early-Access-Programm, hebt einen anderen Punkt hervor: die Geschwindigkeit der Einführung.

„Die Einrichtung war schneller als bei jedem GRC-Tool, das wir getestet haben. Innerhalb einer Woche hatten wir ein echtes Risikoregister und einen Reporting-Flow, den unser Management tatsächlich liest."

Diese Aussagen stehen nicht isoliert. Der Knowledge Hub von KaitoSec umfasst nach aktuellem Produktstand 40 Artikel, 30 Vorlagen, 100 beantwortete Fragen und 35 Guide-Kapitel über fünf Themengebiete: Datenschutz, BCMS, TPRM, ISO 27001 und BSI Grundschutz. Diese Tiefe entsteht aus derselben fachlichen Arbeit, die auch das Cross-Mapping trägt.

Ein Teil dieser Haltung richtet sich gezielt an den öffentlichen Sektor. Die Community Edition ist eine kostenlose, selbst gehostete Variante für Behörden und öffentliche Stellen in DACH. Sie ist ein Angebot an eine Zielgruppe, die häufig ohne Budget für kommerzielle GRC-Software auskommen muss, aber denselben Anspruch an Nachvollziehbarkeit hat wie jedes andere Unternehmen.

Ein Angebot, kein Versprechen

KaitoSec ist früh. Wer heute einsteigt, bekommt kein Produkt mit 10 Jahren Marktpräsenz und einer lückenlosen Feature-Liste, sondern eine Haltung. Wir bauen offen, gemeinsam mit den Menschen, die die Plattform tatsächlich nutzen. Das ist der Stand der Technik.

GRC soll ein Werkzeug sein, mit dem man arbeitet, nicht ein Aktenschrank, den man pflegt. Ich glaube an diesen Weg vom Aktenschrank zum Agentic Workspace und ich baue ihn gemeinsam mit den Menschen, die morgen damit arbeiten sollen. Teilen Sie diese Vision?