Welche Vorgaben gelten für Ihre Organisation, und was decken vorhandene Maßnahmen bereits ab? Ich unterstütze bei dokumentierter Einordnung, Soll-Ist-Abgleich und Umsetzung – mit Blick auf Aufgaben, Risiken und Ressourcen.
Regulatorischer Stand
Ein belastbarer Einstieg unterscheidet zwischen bereits geltenden Pflichten, Übergangsfristen, betroffenen Rollen und rein vertraglichen Anforderungen.
EU AI Act
Verbote und KI-Kompetenz gelten seit 2. Februar 2025, Governance- und GPAI-Pflichten seit 2. August 2025 und Transparenzpflichten seit 2. August 2026. Für Hochrisiko-Systeme gelten nach dem aktuellen EU-Zeitplan Übergänge bis 2. Dezember 2027 (Anhang III) beziehungsweise 2. August 2028 (Anhang I).
DORA
DORA gilt für die erfassten Finanzunternehmen. IKT-Drittdienstleister sind häufig über Verträge und die Drittparteiensteuerung einbezogen; die besondere direkte EU-Aufsicht betrifft kritisch benannte IKT-Drittdienstleister.
Managementsysteme
Für den aktuellen fachlichen Bezug werden ISO/IEC 27001:2022 einschließlich Amendment 1:2024 und ISO/IEC 27701:2025 herangezogen. Ausgewiesene Lehrgangs- oder Zertifikatsbezeichnungen können davon abweichende historische Ausgabestände nennen.
Gemeinsame Maßnahmen können mehrere Anforderungen erfüllen. Anwendungsbereich, Verantwortlichkeiten und Nachweise bleiben je Regelwerk nachvollziehbar zugeordnet. Im Soll-Ist-Abgleich werden Lücken bewertet und nach Risiko, Wirkung und Aufwand priorisiert.
Ein strukturierter Soll-Ist-Abgleich zeigt, was zuerst zählt, wo Lücken bestehen und in welcher Reihenfolge Maßnahmen sinnvoll sind.
Tempo und Gesamtaufwand hängen von Scope, Reifegrad und verfügbaren Ressourcen ab.
Die Beispiele stammen aus realen, anonymisierten Mandaten. Sie zeigen, wie neue Pflichten, Auditdruck oder externe Anforderungen in bestehende Strukturen integriert werden.
Ausgewählt
NIS-2 mit vorhandenen Strukturen umsetzen
Ausgangslage
Ein Unternehmen mit gewachsenen ISMS-, Risiko- und Lieferantenprozessen muss NIS-2 einordnen, ohne ein separates Parallelprogramm aufzubauen.
Vorgehen
Ich dokumentiere die Einordnung, gleiche zusätzliche Pflichten mit dem vorhandenen ISMS ab und begleite gezielte Ergänzungen bei Maßnahmen, Meldewegen und Lieferantenmanagement.
Ergebnis
Eine Zuordnung der BSIG-Pflichten zu bestehenden Prozessen, offenen Maßnahmen und verantwortlichen Personen.
Ausgangslage
Vor Audit, Ausschreibung oder Kundenprüfung werden belastbare Nachweise zu Sicherheits- und Governance-Themen verlangt.
Vorgehen
Ich gleiche die konkreten Anforderungen mit Ihrer tatsächlichen Leistung, vorhandenen Unterlagen und Nachweisen ab. Wir klären, welche Antworten belegbar sind und wo noch Aufgaben oder Entscheidungen offen sind.
Ergebnis
Eine Anforderungs- und Nachweismatrix mit Dokumentenverweisen, offenen Punkten und abgestimmten Zuständigkeiten.
Ausgangslage
Kritische Dienstleistungen sind ausgelagert oder regulierte Kunden verlangen Sicherheitsnachweise. Risiken, Verträge und Prüfungen müssen zur jeweiligen Geschäftsbeziehung passen.
Vorgehen
Ich bewerte mit Ihnen Kritikalität und Abhängigkeiten, ordne vertragliche Anforderungen zu und plane angemessene Kontrollen. Bei Bedarf gehören Lieferantenaudits oder die Vorbereitung auf Kundenaudits dazu.
Ergebnis
Eine priorisierte Übersicht von Drittparteienrisiken, Anforderungen, Nachweisen und Maßnahmen mit Verantwortlichen.
Ausgangslage
Ein KI-System soll eingesetzt werden, aber Einordnung, Risikokontext, Rollen sowie Dokumentations- und Transparenzpflichten sind noch nicht sauber geklärt.
Vorgehen
Ich prüfe mit Ihnen Anwendung, Einsatzzweck, Anbieter- oder Betreiberrolle und relevante Pflichten. Wir planen geeignete Prüfungen und Freigaben und nutzen vorhandene Beschaffungs-, Datenschutz- und Sicherheitsprozesse.
Ergebnis
Ein dokumentierter KI-Inventareintrag mit Rollenprüfung, offenen Fragen und Kriterien für die Projektfreigabe.
Die Themen zeigen, in welchen Standards und Vorgaben dieselbe Einordnungs- und Nachweislogik typischerweise angewendet wird.
Diese Standards nutze ich als tragfähige Struktur für Rollen, Maßnahmen, Reviews und Nachweise.
Aktuelle Anforderungsnorm für eine belastbare ISMS-Struktur, Governance und Nachweise.
Methodik und Bausteine für ein ISMS: Schutzbedarf ermitteln, Anforderungen zuordnen und die Umsetzung nachvollziehbar prüfen.
Anforderungen an ein Privacy Information Management System, eigenständig nutzbar oder in bestehende Managementsysteme integrierbar.
Verknüpfung von BCM mit Risiko-, Notfall- und Auditlogik.
Assessment- und Nachweislogik für die Automobilindustrie.
Regulatorik ordne ich über dieselbe Bestandsaufnahme-, Priorisierungs- und Nachweislogik in das bestehende System ein.
Einordnung von Betroffenheit, Governance und Maßnahmen.
Unmittelbare Pflichten für erfasste Finanzunternehmen; Vertrags- und Lieferkettenbezug für IKT-Drittdienstleister sowie besondere Aufsicht für kritisch benannte Anbieter.
Integration von Datenschutzpflichten in bestehende Governance.
Einordnung von System, Einsatzzweck, Rollen, Risikoklasse, Transparenz- und Nachweispflichten.
Produkt- und rollenbezogene Anforderungen für Produkte mit digitalen Elementen auf dem EU-Markt.
Produktbezogene Vertiefung: BSI TR-03183 praxisnah für den CRA einordnen
Im Erstgespräch klären wir, welche Anforderungen zuerst zählen und womit Sie sinnvoll starten.