Sicherheit, Dokumentation und Nachweisbarkeit.
Security & Compliance by Design heißt: Informationssicherheit und die Unterlagen für spätere Prüfungen entstehen mit der Architektur, nicht danach.
Wenn Sicherheit und Nachweise zu spät kommen
Sicherheit nachträglich einzubauen ist aufwendig, und Unterlagen im Nachhinein zu rekonstruieren noch mehr. Typische Anzeichen:
Sicherheit als Anhang
Schutzmaßnahmen werden am Ende ergänzt, wenn die Architektur schon steht und jede Änderung teuer ist.
Unterlagen fehlen bei der Prüfung
Wenn ein Audit ansteht, müssen Architektur, Risiken und Betrieb erst mühsam rekonstruiert werden.
Zertifizierung wirkt überwältigend
Der Weg zu ISO/IEC 27001 erscheint lang und unübersichtlich, solange nicht klar ist, was zuerst zu tun ist.
Nachweise sind verstreut
Entscheidungen und Maßnahmen liegen in Köpfen, Tickets und Dateien, aber nicht an einer nachvollziehbaren Stelle.
Von der Anforderung zum Nachweis
Sicherheit und Nachweisbarkeit bleiben Teil derselben Entwicklung. Jeder Schritt folgt aus dem vorherigen und wird so festgehalten, dass er später belegbar ist.
- AnforderungWelche Standards und Vorgaben für das Vorhaben gelten, hängt vom Anwendungsfall ab.
- Risiko und MaßnahmeRisiken werden projektspezifisch bewertet, und daraus folgen konkrete Schutzmaßnahmen.
- UmsetzungDie Maßnahmen sind Teil der Architektur und keine nachträgliche Schicht.
- NachweisJede Entscheidung ist so dokumentiert, dass eine spätere Prüfung darauf aufbauen kann.
Standards, an denen wir uns orientieren
Relevante Standards und Regelwerke werden anforderungsbezogen berücksichtigt. Welche davon für Ihr Vorhaben gelten, hängt vom Anwendungsfall ab.
- Informationssicherheit
ISO/IEC 27001
Architektur, Risiken, Sicherheitsmaßnahmen, Dokumentation und Vorbereitung zur Integration in ein ISMS. Die Lösung wird nach relevanten Anforderungen entwickelt und zertifizierungsvorbereitet übergeben. Eine Zertifizierung der Kundenorganisation spricht eine unabhängige Stelle aus.
- KI-Management
ISO/IEC 42001
Governance und dokumentiertes Risikomanagement für KI-Systeme, orientiert an den Anforderungen eines AI Management Systems. Genutzt wird der Maßstab, wo er zum Anwendungsfall passt. Eine vorliegende Zertifizierung wird nur benannt, wenn sie im genannten Geltungsbereich tatsächlich besteht.
- Datenschutz und KI-Regulierung
DSGVO und EU AI Act
Datenschutz durch Technikgestaltung, Nachvollziehbarkeit, Risikoklassifizierung und die Compliance-Anforderungen, die der konkrete Anwendungsfall auslöst. Begriffe wie auditfähig und nach relevanten Standards entwickelt bleiben an den tatsächlichen Umfang gebunden.
Im Paket enthalten. Auf Wunsch erweitert.
Jede Lösung mit ISMS-relevanter Projektdokumentation. Auf Wunsch mit vollständiger Begleitung bei der Vorbereitung Ihrer ISO/IEC-27001-Zertifizierung.
- 01Architektur- und Datenflussdokumentation
- 02Projektspezifische Risikoanalyse
- 03Sicherheits- und Berechtigungskonzepte
- 04Technische und organisatorische Schutzmaßnahmen
- 05Betriebs-, Backup- und Wiederherstellungskonzept
- 06Technische Dokumentation und Übergabe
- 01ISMS-Scope und Abgleich mit organisatorischen Anforderungen
- 02Umfassendere Risikobehandlung und Maßnahmenplanung
- 03Mapping auf ISO/IEC 27001 und Statement of Applicability
- 04Richtlinien, Verantwortlichkeiten und ISMS-Prozesse
- 05Auditvorbereitung und Unterstützung bei Nachweisen
- 06Unterstützung bei der Bearbeitung von Auditfeststellungen
Wer was leistet
Projektdokumentation, Begleitung und Zertifizierung werden oft vermischt. Deshalb zur Klarheit, wer welchen Teil verantwortet.
| 01Projektdokumentation | 02Erweiterte Begleitung | 03Zertifizierung | |
|---|---|---|---|
| Was es ist | Dokumentation, die mit der Lösung entsteht und im Projektpaket enthalten ist. | Begleitung bei der Vorbereitung Ihrer ISO/IEC-27001-Zertifizierung, auf Wunsch. | Unabhängige Prüfung Ihrer Organisation und Ausstellung des Zertifikats. |
| Wer verantwortet | Wir, für den vereinbarten Projektumfang. | Gemeinsam: Ihre Organisation verantwortet das ISMS, wir unterstützen. | Eine unabhängige Zertifizierungsstelle. |
| Ergebnis | Nachvollziehbare, prüfbare Unterlagen zur Lösung. | Eine gut vorbereitete Organisation und belastbare Nachweise. | Ein Zertifikat, wenn die Prüfung bestanden wird. Eine Garantie können wir nicht geben. |
Was die Projektdokumentation leistet, und was nicht.
Die Projektdokumentation macht eine Lösung nachvollziehbar und anschlussfähig an ein Managementsystem. Sie ersetzt kein eingeführtes ISMS der gesamten Organisation und garantiert keine Zertifizierung.
In vier Schritten zur prüfbereiten Lösung
Wir beginnen mit dem Geltungsbereich und enden mit Unterlagen, auf denen Ihre Prüfung aufbauen kann.
- 01
Anforderungen klären
Geltungsbereich, Standards und Vorgaben festlegen
Ergebnis Abgestimmter Umfang - 02
Risiken bewerten
Schutzbedarf und Maßnahmen projektspezifisch planen
Ergebnis Risikoanalyse und Maßnahmenplan - 03
Umsetzen und dokumentieren
Maßnahmen in der Lösung verankern und beschreiben
Ergebnis Dokumentierte Architektur und Konzepte - 04
Prüfung vorbereiten
Nachweise bündeln und auf Wunsch bei Audits unterstützen
Ergebnis Prüfbereite Unterlagen
Häufige Fragen
Sind wir mit Ihrer Dokumentation zertifiziert?
Nein. Die Projektdokumentation macht eine Lösung nachvollziehbar und anschlussfähig an ein Managementsystem. Sie ersetzt kein eingeführtes ISMS der gesamten Organisation und garantiert keine Zertifizierung. Zertifiziert wird durch eine unabhängige Stelle.
Brauchen wir ein ISMS?
Für eine ISO/IEC-27001-Zertifizierung ja, und zwar für die Organisation. Die Projektdokumentation einer Lösung ist ein Baustein, den Sie in dieses Managementsystem einbinden können.
Was ist der Unterschied zwischen ISO/IEC 27001 und 42001?
ISO/IEC 27001 beschreibt Anforderungen an ein Informationssicherheits-Managementsystem. ISO/IEC 42001 richtet sich an das Management von KI-Systemen. Welcher Maßstab passt, hängt vom Anwendungsfall ab.
Wie weit begleiten Sie bei Audits?
Auf Wunsch bis zur Auditvorbereitung, zur Unterstützung bei Nachweisen und zur Bearbeitung von Auditfeststellungen. Den Umfang vereinbaren wir vorab.
Wie hängt das mit DSGVO und EU AI Act zusammen?
Datenschutz durch Technikgestaltung und die Anforderungen des EU AI Act werden entsprechend dem konkreten Anwendungsfall berücksichtigt. Welche Pflichten gelten, klären wir gemeinsam anhand Ihres Vorhabens.
Von Anfang an nachweisbar
Schildern Sie Ihr Vorhaben und Ihre Anforderungen an Audit oder Zertifizierung. Wir sagen ehrlich, was sich abdecken lässt.