DORA
EU. Fünf Säulen: ICT-Risiko, Incident Reporting, Resilience Testing, Third-Party Risk, Information Sharing.
Cybersecurity & IT-Compliance
Wir übersetzen regulatorische Anforderungen in funktionierende IT-Systeme.
Regulatorisches Wissen, das auf Prozesse abbildet — und GRC plus ITSM, die miteinander sprechen — damit Cyber- und IT-Risiko auf live Betriebsdaten sitzen, nicht auf Folien.
Landscape
Zwei Expertise-Bereiche. Ein verbundenes Feld.
Regulation und die ISO/IEC-27000-Familie oben. Das ISMS in der Mitte, getrennt nach Verteidigungslinie: die 1st Line betreibt und trägt Risiko, die 2nd Line definiert und überwacht. ITSM/CMDB und GRC tragen je eine Linie — verbunden durch einen Live-Datenloop.
1ST LINE
Operate & own risk: IT-Betrieb, Control-Owner.
2ND LINE
Define & oversee: ISO/ISB, Risikokontrolle, Compliance.
3RD LINE
Independent assurance: Interne Revision.
Regulation & Standards
Was gilt — und der Standard, mit dem die meisten Institutionen antworten.
BaFin · MaRisk
DE. Drei Verteidigungslinien; unabhängige Risikokontrolle und Compliance.
FINMA Circ. 2023/1
CH. Operationelle Risiken und Resilienz, inkl. ICT- und Cyber-Risiko.
NIS2
EU. Cybersecurity-Risikomanagement und Meldepflichten für wesentliche und wichtige Einrichtungen.
ISO/IEC 27000
Die Normenfamilie hinter dem ISMS.
ISO/IEC 27001
ISMS-Anforderungen. Der zertifizierbare Kern.
ISO/IEC 27002
Leitfaden zu den 93 Annex-A-Controls.
ISO/IEC 27005
Informationssicherheits-Risikomanagement.
ISMS · ISO/IEC 27001
PLAN · DO · CHECK · ACT
1ST LINEOperate & own risk
Control operation
Annex-A-Controls im Alltag: Zugang, Change, Backup, Logging.
Incidents & changes
Erkennen, loggen, klassifizieren. Speist DORA-Incident-Reporting.
Asset & service ownership
Ein benannter Owner für jedes Asset und jeden Service in der CMDB.
2ND LINEDefine & oversee
Scope & policies
ISMS-Scope, Informationssicherheitspolitik, Rollen und Verantwortlichkeiten.
Risk assessment & SoA
Methode nach ISO/IEC 27005; Statement of Applicability.
Monitoring & reporting
Control-Tests, Risikoindikatoren, Reporting an das Management.
CHECK · ACT
Interne Revision (3rd Line) und Management Review schliessen den ISMS-Zyklus.
Supporting IT Systems
ITSM / CMDB
Setup, Konfiguration, Wartung — Incident, Change, Request, CMDB, Ownership, Lifecycle.
GRC
Setup und Anpassung — Risikoregister, Control Library, Assessments, Attestations, Evidence.
Live-Loop: Asset ↔ Change/Incident ↔ Control ↔ Risiko ↔ Evidence. Die 1st Line erfasst, die 2nd Line sieht es ohne nachzufragen.
Weiter
Bringen Sie den Audit-Befund oder die Tooling-Lücke.
Wenn GRC und ITSM schon da sind, aber nicht sprechen — oder die Regulation klar ist, der Stack aber nicht — dort starten wir meist.
Kontakt