Wenn NIS-2, Kundenvorgaben oder Auditdruck zusammenwirken, schafft eine strukturierte Bestandsaufnahme Klarheit über Prioritäten, Aufwand und den sinnvollen Einstieg.
Regulatorischer Stand
Ein belastbarer Einstieg unterscheidet zwischen bereits geltenden Pflichten, Übergangsfristen, betroffenen Rollen und rein vertraglichen Anforderungen.
EU AI Act
Verbote und KI-Kompetenz gelten seit 2. Februar 2025, Governance- und GPAI-Pflichten seit 2. August 2025 und Transparenzpflichten seit 2. August 2026. Für Hochrisiko-Systeme gelten nach dem aktuellen EU-Zeitplan Übergänge bis 2. Dezember 2027 (Anhang III) beziehungsweise 2. August 2028 (Anhang I).
DORA
DORA gilt für die erfassten Finanzunternehmen. IKT-Drittdienstleister sind häufig über Verträge und die Drittparteiensteuerung einbezogen; die besondere direkte EU-Aufsicht betrifft kritisch benannte IKT-Drittdienstleister.
Managementsysteme
Für den aktuellen fachlichen Bezug werden ISO/IEC 27001:2022 und ISO/IEC 27701:2025 herangezogen. Ausgewiesene Lehrgangs- oder Zertifikatsbezeichnungen können davon abweichende historische Ausgabestände nennen.
Typische Situationen, in denen eine saubere Einordnung schneller hilft als ein weiterer Maßnahmenkatalog.
NIS-2, EU AI Act oder Kundenvorgaben treffen auf bestehende Prozesse und Nachweise.
Maßnahmen sind umgesetzt, Nachweise aber noch nicht einheitlich oder prüfungsnah strukturiert.
ISMS, Datenschutz, BCM und KI laufen nebeneinander statt in einer gemeinsamen Steuerungslogik.
Ein strukturierter Soll-Ist-Abgleich zeigt, was zuerst zählt, wo Lücken bestehen und in welcher Reihenfolge Maßnahmen sinnvoll sind.
Tempo und Gesamtaufwand hängen von Scope, Reifegrad und verfügbaren Ressourcen ab.
Die Beispiele stammen aus realen, anonymisierten Mandaten. Sie zeigen, wie neue Pflichten, Auditdruck oder externe Anforderungen in bestehende Strukturen integriert werden.
Ausgewählt
NIS-2 muss in bestehende Governance integriert werden
Ausgangslage
Ein Unternehmen mit gewachsenen ISMS-, Risiko- und Lieferantenprozessen muss NIS-2 einordnen, ohne ein separates Parallelprogramm aufzubauen.
Vorgehen
Ich arbeite heraus, wo zusätzliche Anforderungen aus NIS-2 relevant werden und wie diese in bestehende Governance, Vorfallprozesse und Lieferantensteuerung überführt werden.
Ergebnis
NIS-2 wird anschlussfähig in bestehende Steuerung integriert.
Ausgangslage
Vor Audit, Ausschreibung oder Kundenprüfung werden belastbare Nachweise zu Sicherheits- und Governance-Themen verlangt.
Vorgehen
Ich strukturiere die relevanten Anforderungen, gleiche sie mit vorhandenen Dokumenten und Nachweisen ab und bereite daraus einen priorisierten Nachweisaufbau auf.
Ergebnis
Es entsteht eine belastbare Struktur für Kundenanforderungen, Audits und Folgeprüfungen.
Ausgangslage
Externe Sicherheits-, Dokumentations- und Nachweisanforderungen sind intern noch nicht sauber in Zuständigkeiten, Prozesse und Nachweise übersetzt.
Vorgehen
Ich strukturiere externe Anforderungen entlang der bestehenden Governance und überführe sie in eine belastbare Struktur für Umsetzung und Auskunftsfähigkeit.
Ergebnis
Externe Anforderungen werden nachvollziehbar in die interne Steuerung eingebunden.
Ausgangslage
Ein KI-System soll eingesetzt werden, aber Einordnung, Risikokontext, Rollen sowie Dokumentations- und Transparenzpflichten sind noch nicht sauber geklärt.
Vorgehen
Ich arbeite System und Einsatzzweck, Rollen wie Anbieter oder Betreiber, Risikokontext und anwendbare Pflichten strukturiert heraus und überführe die Ergebnisse in eine belastbare Governance-, Kontroll- und Nachweisstruktur.
Ergebnis
Das Projekt erhält einen realistischen Einstiegspfad mit klarer Risiko-, Rollen- und Nachweisstruktur.
Prüfungslogik
Rahmenwerke sind Leitplanke und Steuerungsbasis, kein Selbstzweck. Entscheidend ist, ob Anforderungen, Entscheidungen und Nachweise in einer gemeinsamen Logik zusammenlaufen statt in isolierten Maßnahmenlisten.
Die Themen zeigen, in welchen Standards und Vorgaben dieselbe Einordnungs- und Nachweislogik typischerweise angewendet wird.
Diese Standards nutze ich als tragfähige Struktur für Rollen, Maßnahmen, Reviews und Nachweise.
Aktuelle Anforderungsnorm für eine belastbare ISMS-Struktur, Governance und Nachweise.
Deutscher Standard für Informationssicherheit und klare Strukturierung.
Anforderungen an ein Privacy Information Management System, eigenständig nutzbar oder in bestehende Managementsysteme integrierbar.
Verknüpfung von BCM mit Risiko-, Notfall- und Auditlogik.
Assessment- und Nachweislogik für die Automobilindustrie.
Regulatorik ordne ich über dieselbe Bestandsaufnahme-, Priorisierungs- und Nachweislogik in das bestehende System ein.
Einordnung von Betroffenheit, Governance und Maßnahmen.
Unmittelbare Pflichten für erfasste Finanzunternehmen; Vertrags- und Lieferkettenbezug für IKT-Drittdienstleister sowie besondere Aufsicht für kritisch benannte Anbieter.
Integration von Datenschutzpflichten in bestehende Governance.
Einordnung von System, Einsatzzweck, Rollen, Risikoklasse, Transparenz- und Nachweispflichten.
Produkt- und rollenbezogene Anforderungen für Produkte mit digitalen Elementen auf dem EU-Markt.
Produktbezogene Vertiefung:BSI TR-03183 praxisnah für den CRA einordnen
Im Erstgespräch klären wir, welche Anforderungen zuerst zählen und womit Sie sinnvoll starten.