Kaum ein Unternehmen muss nur eine einzige Norm erfüllen. Häufig kommen ISO/IEC 27001, NIS-2 und eine Branchenvorgabe zusammen, jede mit eigenen Anforderungen und eigenen Nachweisen. Diese Übersicht zeigt nach Kategorien geordnet, welche Regulative, Normen und Frameworks CRISAM® abbildet, was sie jeweils von Ihnen verlangen und wo sie gelten.
KI steckt in Anwendungen, IT-Systemen und Cloud-Diensten, oft ohne dass jemand die vollständige Liste hat. Genau dort beginnt die Nachweispflicht.
Der AI Act stuft jedes KI-System nach Risiko ein, von verboten bis minimal. Betreiben Sie ein Hochrisiko-System, brauchen Sie Risikomanagement, ein Modellinventar und Transparenz. In Kraft seit 2024, die Pflichten greifen gestaffelt bis 2027.
DetailsPersonenbezogene Daten verarbeiten Sie in fast jedem Prozess. Nachweisen muss das am Ende eine einzelne Person.
Seit 2018 regelt die DSGVO, wie Sie personenbezogene Daten verarbeiten dürfen. Bei Verstößen drohen Bußgelder bis 4 Prozent des weltweiten Konzernumsatzes oder 20 Millionen Euro. Verantwortlich ist im Haus die oder der Datenschutzbeauftragte.
DetailsSie sollen belegen, dass Ihre Informationen geschützt sind. Gefragt wird danach von Kunden, Auditoren und Aufsichtsbehörden, jeweils in ihrer eigenen Sprache.
Die Norm, nach der Ihr ISMS zertifiziert wird. CRISAM® liefert den Content dazu fertig und aktualisiert ihn mindestens jährlich, Compliance-Berichte erstellen Sie mit wenigen Klicks.
DetailsBetreiben Sie Netze für Strom, Gas oder Wärme, reicht ISO/IEC 27001 allein nicht. ISO/IEC 27019 ergänzt die Norm um die besonderen Risiken von Leitstellen und Netzsteuerung.
KurzporträtDie neue, schlankere Version des BSI IT-Grundschutzes. Sie macht Grundschutz auch für mittelständische Unternehmen, Städte und Kommunen praktikabel. CALPANA ist Tool-Anbieter im BSI-GS++-Projekt.
DetailsAls KRITIS-Betreiber können Sie die Anforderungen über einen vom BSI anerkannten Branchenstandard erfüllen, etwa für Krankenhäuser oder Energieversorger. In CRISAM® lassen sich diese Standards schnell und kostengünstig aufnehmen.
DetailsDas Framework des US-amerikanischen National Institute of Standards and Technology. Wer in den USA tätig ist oder an global aufgestellte Konzerne liefert, wird danach gefragt.
KurzporträtSobald Sie Kreditkartendaten verarbeiten, speichern oder übertragen, ist PCI DSS Pflicht.
KurzporträtFür Netze, Industrieanlagen und Produkte mit digitalen Elementen gelten jeweils eigene Sicherheitsanforderungen. Die Verantwortung reicht bis in die Geschäftsleitung.
Die EU-Richtlinie für Cybersicherheit weitet den Kreis betroffener Unternehmen massiv aus, in Deutschland von rund 2.000 auf über 30.000. Die Geschäftsleitung haftet persönlich.
DetailsStellen Sie Produkte mit digitalen Elementen her oder importieren Sie sie, gelten verbindliche Cybersicherheitsanforderungen über den gesamten Lebenszyklus. Die Haftung für sichere Software liegt bei Ihnen.
KurzporträtDer Sicherheitsstandard für industrielle Automatisierung und Betriebstechnik. Er schützt Fabriken, Anlagen und kritische Infrastrukturen vor Cyberangriffen.
KurzporträtDie Frage ist nicht, ob etwas ausfällt, sondern wie schnell Sie wieder liefern und womit Sie das im Vorfeld belegen.
Der internationale Standard für Business Continuity Management. Er stellt sicher, dass Ihr Unternehmen auch bei Krisen, Ausfällen oder Katastrophen handlungsfähig bleibt.
DetailsGilt für den Finanzsektor. Banken, Versicherungen und deren IT-Dienstleister müssen ihre digitale Widerstandsfähigkeit gegen Cyberangriffe und IT-Ausfälle nachweisen, inklusive striktem Management ihrer Drittanbieter.
DetailsDas physische Gegenstück zu NIS-2. Die Richtlinie schützt kritische Infrastrukturen vor Sabotage, Naturkatastrophen und Terror und betrifft Energie, Wasser, Verkehr, Gesundheit und Banken.
KurzporträtBetreiben Sie ein eigenes Rechenzentrum, regelt EN 50600 Planung, Bau, Betrieb, Verfügbarkeit und Energieeffizienz.
KurzporträtIn der Automobilindustrie sind die Nachweise die Eintrittskarte. Ohne sie gibt es weder Datenaustausch noch Zulassung.
Cybersecurity über die gesamte Lieferkette in der Fahrzeugentwicklung. Das Ziel ist sichere Software ab Werk.
DetailsOhne diese Nachweise bekommt ein neues Fahrzeug keine Typgenehmigung. R155 verlangt ein Cybersecurity-Management-System (CSMS), R156 ein Software-Update-Management (SUMS).
DetailsDer Informationssicherheitsstandard der Automobilindustrie, getragen vom VDA. Ohne TISAX-Label tauschen Sie keine Daten mit den Herstellern aus.
DetailsDer globale Qualitätsstandard der Automobilindustrie. Für Tier-1- und Tier-2-Zulieferer praktisch Pflicht.
DetailsProzessqualität und Patientensicherheit werden geprüft, nicht behauptet. Beides braucht dieselbe Beweiskette wie Ihre Sicherheitsthemen.
Der weltweit verbreitetste Qualitätsmanagement-Standard, universell einsetzbar vom Handwerksbetrieb bis zum Konzern.
KurzporträtFür Krankenhäuser, Kliniken und Medizingerätehersteller. Die Norm regelt das Risikomanagement für IT-Netzwerke, in denen Medizinprodukte betrieben werden.
KurzporträtIhre IT soll auf die Unternehmensziele einzahlen und dabei messbar bleiben. Diese Frameworks geben dafür die Struktur vor.
Framework für IT-Governance und IT-Steuerung. Es hilft, die IT strategisch auf Unternehmensziele auszurichten und die Risiken dabei zu managen.
KurzporträtBest-Practice-Framework für IT-Service-Management. Es macht IT-Prozesse messbar, effizient und kundenorientiert.
KurzporträtIhr Risikomanagement wird geprüft. Diese Standards legen fest, woran und mit welcher Nachweistiefe.
Nach diesem Standard prüft Ihr Abschlussprüfer das Risikofrüherkennungssystem nach Paragraf 91 Absatz 2 AktG. Er fordert quantitative Risikoaggregation, ein Treiber für Monte-Carlo-Simulationen. Geprüfte Unternehmen richten ihr Risikomanagement faktisch danach aus.
DetailsSeit 2025 verbindlich. Die Standards des Institute of Internal Auditors lösen die bisherigen IPPF-Standards ab und erhöhen die Anforderungen an die Qualitätssicherung Ihrer Revision.
DetailsSteht für die aufsichtsrechtlichen Anforderungen an Banken, Versicherungen und Kapitalverwalter, konkret meist BAIT, VAIT, KAIT, ZAIT und MaRisk.
DetailsIhre Verantwortung endet nicht am Werkstor. Berichtet wird über Risiken, die bei Ihren Lieferanten entstehen.
Seit 2023 müssen große Unternehmen Menschenrechts- und Umweltrisiken in der gesamten Lieferkette managen. Triggerpunkt für das Supply-Chain-Security-Modul von CRISAM®.
DetailsRegelt die Nachhaltigkeitsberichterstattung in der EU. In CRISAM® über das ESG-Modul abgebildet.
DetailsKeine Compliance-Anforderungen, sondern die Methodik dahinter: die Normen und Modelle, an denen die Bewertungs- und Aggregationsverfahren von CRISAM® ausgerichtet sind.
Die internationale Norm für Risikomanagement. Die Wizards sowie die Bewertungs- und Aggregationsmethoden von CRISAM® sind daran ausgerichtet.
KurzporträtDie Norm für Risikobewertungstechniken. CRISAM® bietet mehr als 15 daran ausgerichtete qualitative und quantitative Bewertungs- und Aggregationsmethoden.
KurzporträtWissenschaftliche Methode zur quantitativen Analyse von Risiken über Fehlerbäume. CRISAM® nutzt sie als mathematische Basis der Risikoberechnung.
KurzporträtWeiterentwicklung der COSO-Richtlinien des Committee of Sponsoring Organizations of the Treadway Commission für interne Kontrollsysteme und Risikomanagement.
KurzporträtStandard-Framework für Governance und Risikomanagement. Es strukturiert Verantwortlichkeiten in drei Linien: operatives Management, Risikomanagement und Compliance, Interne Revision.
KurzporträtDiese Einträge haben keine eigene Seite. Was sie verlangen, für wen sie gelten und wo sie CRISAM® berühren, steht hier. Wo keine Produktaussage vorliegt, ist das so vermerkt.
Die zweite Ausgabe aus dem Oktober 2024 trägt den Titel Information security, cybersecurity and privacy protection, Information security controls for the energy utility industry. Sie hat die Ausgabe von 2017 abgelöst, die am 18. Oktober 2024 zurückgezogen wurde.
Die Norm überträgt die Maßnahmen der ISO/IEC 27002:2022 auf die Energiewirtschaft: Erzeugung, Übertragung, Speicherung und Verteilung von Strom, Gas, Öl und Wärme. Erfasst sind Prozessleit- und Automatisierungstechnik, digitale Steuergeräte, die Infrastruktur intelligenter Zähler und Bestandteile intelligenter Netze. Für den Prozessleitbereich kerntechnischer Anlagen gilt sie ausdrücklich nicht, dafür ist IEC 63096 zuständig.
Wer ein Managementsystem nach ISO/IEC 27001 betreibt, bringt die Struktur bereits mit. CRISAM® liefert dazu fertigen Content, der für ISO/IEC 27001 mindestens jährlich aktualisiert wird. Eine eigene Aussage zu ISO/IEC 27019 liegt nicht vor.
Version 2.0 wurde am 26. Februar 2024 veröffentlicht. Das Framework ist um sechs Funktionen organisiert: Identify, Protect, Detect, Respond und Recover, dazu die in Version 2.0 neu hinzugekommene Funktion Govern. Die Governance-Funktion ist die auffälligste Änderung gegenüber Version 1.1.
Nach Angaben des Instituts richtet sich Version 2.0 an alle Zielgruppen, Branchen und Organisationstypen, von den kleinsten Schulen und gemeinnützigen Organisationen bis zu den größten Behörden und Konzernen. Damit geht sie über den ursprünglichen Fokus auf kritische Infrastrukturen hinaus. Eine gesetzliche Pflicht zur Anwendung ist damit nicht verbunden. Gefragt wird danach trotzdem, vor allem von Kunden in den Vereinigten Staaten und von global aufgestellten Konzernen.
Zum NIST-Framework liegt keine eigene Produktaussage vor.
Der Payment Card Industry Data Security Standard gilt nach Angaben des Councils für alle Beteiligten der Zahlungskartenverarbeitung: Händler, Prozessoren, Acquirer, Emittenten und Dienstleister. Wer Kreditkartendaten verarbeitet, speichert oder überträgt, kommt daran nicht vorbei.
Aktuell sind die Versionen 4.0 und 4.0.1, wobei 4.0.1 im Juni 2024 als begrenzte Überarbeitung erschienen ist. Version 3.2.1 wurde am 31. März 2024 außer Kraft gesetzt. Von 64 neuen Anforderungen der Version 4 waren 51 mit einem späteren Wirksamkeitsdatum versehen, sie sind seit dem 31. März 2025 verbindlich. Der Council hatte den Unternehmen dafür nach eigenen Angaben zwei Jahre Zeit gegeben.
Zu PCI DSS liegt keine eigene Produktaussage vor.
Die Verordnung über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen vom 23. Oktober 2024 trifft jeden, der Hardware oder Software auf den europäischen Markt bringt. Sie ist am 10. Dezember 2024 in Kraft getreten. Die Meldepflichten gelten seit dem 11. September 2026, die Hauptpflichten ab dem 11. Dezember 2027.
Verlangt wird unter anderem: Produkte ohne bekannte ausnutzbare Schwachstellen in Verkehr bringen, Sicherheitsaktualisierungen über einen festgelegten Unterstützungszeitraum kostenlos bereitstellen, mindestens fünf Jahre, sofern die Lebensdauer nicht kürzer ist, eine zentrale Anlaufstelle für Schwachstellenmeldungen einrichten, aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle an die zuständigen Computer-Notfallteams und an die Agentur der Europäischen Union für Cybersicherheit melden sowie die technische Dokumentation führen. Ausgenommen sind unter anderem Medizinprodukte, Luftfahrterzeugnisse und Fahrzeuge.
Die Modulseite Supply Chain Security Monitoring nennt den Cyber Resilience Act unter den Regularien, deren wesentliche Anforderungen das Modul erfüllt.
Die Normenreihe für die Sicherheit industrieller Automatisierungs- und Steuerungssysteme. Nach Angaben der Internationalen Elektrotechnischen Kommission gilt sie für solche Systeme in einer wachsenden Zahl von Branchen, darunter Energie- und Stromversorgung sowie Transport.
Die Reihe ist in vier Teile gegliedert: Teil 1 behandelt allgemeine Themen, also Begriffe, Konzepte und Modelle. Teil 2 beschreibt Methoden und Prozesse, etwa Sicherheitsprogramme, Patch-Management und Anforderungen an Dienstleister. Teil 3 enthält Anforderungen auf Systemebene, Teil 4 Anforderungen an die Produkte selbst, von der sicheren Produktentwicklung bis zu technischen Eigenschaften. Damit adressiert sie drei Gruppen gleichzeitig: Betreiber, Integratoren und Hersteller. Das Konzept der Security Level ordnet zu, wie viel Schutz ein Bereich braucht.
Zu IEC 62443 liegt keine eigene Produktaussage vor. Was sich abbilden lässt, ist die Struktur dahinter: Anforderungen als Katalog, verknüpft mit Objekten, Risiken und Maßnahmen.
Die Richtlinie über die Resilienz kritischer Einrichtungen vom 14. Dezember 2022 ist das physische Gegenstück zu NIS2. Sie ist am 27. Dezember 2022 in Kraft getreten, die Umsetzungsfrist lief bis zum 17. Januar 2026, die Mitgliedstaaten sollten ihre kritischen Einrichtungen bis zum 17. Juli 2026 ermitteln.
Erfasst sind Einrichtungen in den Bereichen Energie, Verkehr, Bankwesen, Trinkwasser, Abwasser, Lebensmittel, Gesundheit, Weltraum, Finanzmarktinfrastruktur, digitale Infrastruktur und Teile der öffentlichen Verwaltung. Verlangt werden eine Risikobewertung alle vier Jahre, angemessene und verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen zu Prävention, Schutz, Reaktion und Wiederherstellung, ein Resilienzplan, die Meldung erheblicher Vorfälle binnen 24 Stunden sowie Verbindungspersonen zur zuständigen Behörde.
Risikobewertung, Maßnahmen mit Verantwortung und Frist sowie die Nachweise dazu laufen in CRISAM® über dieselben Workflows wie im Risikomanagement. Die Resilienzseite ist über das Business Continuity Management abgedeckt.
Die europäische Normenreihe für Rechenzentren. EN 50600-1 legt die allgemeinen Konzepte fest und verbindet die Anforderungen an die Infrastruktur mit Verfügbarkeitszielen. Die Teile der Reihe EN 50600-2 behandeln Gebäudekonstruktion, Stromversorgung und -verteilung, Umweltschutz, Telekommunikationsverkabelung und physische Sicherheit. EN 50600-3-1 befasst sich mit Management und betrieblichen Informationen, die Reihe EN 50600-4 mit Leistungskennzahlen zur Energieeffizienz.
Die Reihe definiert Verfügbarkeits- und Schutzklassen für Stromverteilung, Umweltschutz und Telekommunikationsverkabelung, mit vier Verfügbarkeitsstufen. Nach Angaben von CEN-CENELEC hat das zuständige internationale Gremium die ersten Ausgaben von EN 50600-1, der Reihe EN 50600-2 und EN 50600-3-1 als Teile der Reihe ISO/IEC TS 22237 veröffentlicht.
Zu EN 50600 liegt keine eigene Produktaussage vor.
Der Qualitätsmanagementstandard, der weltweit am weitesten verbreitet ist. Die sechste Ausgabe wurde am 16. September 2026 veröffentlicht und ersetzt ISO 9001:2015 samt der Änderung von 2024. Die Norm deckt sieben Themen ab: Kontext der Organisation, Führung, Planung, Unterstützung, Betrieb, Leistungsbewertung und Verbesserung.
Nach Angaben der Internationalen Organisation für Normung bringt die neue Ausgabe gezielte Aktualisierungen für Klarheit, Anwendbarkeit und Relevanz, mehr Gewicht auf Führung, Qualitätskultur und ethisches Verhalten, mehr Klarheit bei der Betrachtung von Risiken und Chancen sowie einen neuen Abschnitt, der die Absicht hinter den Anforderungen erläutert. Sie übernimmt die harmonisierte Struktur für Managementsystemnormen.
Für die Automobilindustrie ist das die Grundlage, auf der IATF 16949 aufsetzt. Mehr dazu auf der Seite zu IATF 16949.
IEC 80001-1 in der zweiten Ausgabe vom September 2021 regelt die Anwendung des Risikomanagements für IT-Netzwerke, in die Medizinprodukte eingebunden sind. Der Titel des Teils 1 nennt drei Schlüsseleigenschaften, an denen sich alles ausrichtet: Safety, Effectiveness und Security, also Sicherheit im Sinne der Patientensicherheit, Wirksamkeit und Cybersicherheit.
Die Norm legt allgemeine Anforderungen für das Risikomanagement fest, und zwar vor, während und nach der Verbindung von Gesundheits-IT-Systemen. Adressiert sind die Organisationen, die vernetzte Medizinprodukte oder vernetzte Gesundheitssoftware einsetzen, also vor allem Krankenhäuser und Kliniken, daneben die Hersteller. Seit Februar 2026 befindet sich die Norm in der Überprüfung.
Zu IEC 80001 liegt keine eigene Produktaussage vor. Die Struktur dahinter, also Risiken bewerten, Maßnahmen führen und Nachweise historisieren, ist Kernfunktion der Plattform.
Control Objectives for Information Technologies, herausgegeben von der ISACA, aktuell in der Fassung COBIT 2019. Das Rahmenwerk richtet sich an Organisationen, die ihre IT über alle Verantwortungsbereiche von Geschäft und IT hinweg steuern wollen, und unterscheidet dabei zwischen Governance und Management.
Kern sind 40 Governance- und Management-Ziele. Dazu kommen Design-Faktoren, mit denen sich das Rahmenwerk auf die eigene Organisation zuschneiden lässt, statt es vollständig zu übernehmen. Die ISACA betont die Anschlussfähigkeit an andere Rahmenwerke und Normen.
Zu COBIT liegt keine eigene Produktaussage vor.
Das Rahmenwerk für IT-Service-Management. ITIL 4 stellt das Service Value System in den Mittelpunkt, also den Rahmen, der beim Erstellen, Liefern und Steuern von Services hilft. Dazu kommen vier Dimensionen: Organisationen und Menschen, Information und Technologie, Partner und Lieferanten sowie Wertströme und Prozesse.
Sieben Leitprinzipien geben die Haltung vor, die Service Value Chain beschreibt, wie aus Aktivitäten und Ressourcen Wert entsteht, und die Practices liefern Arbeitsweisen, die sich an der Geschäftsstrategie ausrichten lassen. Die Foundation-Zertifizierung wird über PeopleCert angeboten.
Zu ITIL liegt keine eigene Produktaussage vor.
Die internationale Leitlinie für Risikomanagement, zweite Ausgabe vom Februar 2018, mit dem Titel Risk management, Guidelines. Sie richtet sich an die Organisation selbst und beschreibt Grundsätze, Rahmen und Prozess des Risikomanagements.
Ein Punkt wird oft überlesen: Die Norm lässt sich nach Angaben der Internationalen Organisation für Normung ausdrücklich nicht für Zertifizierungszwecke verwenden. Wer ein Zertifikat oder ein Prüfungsurteil braucht, findet es woanders, etwa über eine Prüfung des Risikofrüherkennungssystems nach IDW PS 340.
Mit dem CRISAM® Modul für integriertes Risikomanagement werden ISO 31000, IDW PS 340 und 981 sowie die ONR 49001 abgedeckt. Die Assistenten sowie die Bewertungs- und Aggregationsmethoden der Plattform sind an der Leitlinie ausgerichtet.
Die Norm für Verfahren zur Risikobeurteilung, zweite Ausgabe vom Juni 2019, mit dem Titel Risk management, Risk assessment techniques. Sie gibt Orientierung bei der Auswahl und Anwendung von Techniken zur Risikobeurteilung in sehr unterschiedlichen Situationen und unterstützt damit Entscheidungen unter Unsicherheit.
Anders als die Vorgängerausgabe wiederholt sie die Konzepte der ISO 31000 nicht mehr, sondern konzentriert sich auf die Anwendung. Die zweite Ausgabe hat Zahl und Anwendungsbereich der beschriebenen Techniken deutlich erweitert. Seit April 2024 befindet sich die Norm in der systematischen Überprüfung.
CRISAM® bietet mehr als 15 daran ausgerichtete qualitative und quantitative Bewertungs- und Aggregationsmethoden.
Die Fehlerbaumanalyse ist eine Methode, um Risiken quantitativ zu analysieren: Ausgehend von einem unerwünschten Ereignis wird rückwärts aufgeschlüsselt, welche Kombinationen von Ursachen dazu führen können. DIN 25424 hat sie in zwei Teilen beschrieben, Teil 1 Methode und Bildzeichen mit der Ausgabe September 1981, Teil 2 Handrechenverfahren zur Auswertung eines Fehlerbaumes mit der Ausgabe April 1990.
Beide Teile sind nach Angaben von DIN Media zurückgezogen. Die Methode selbst ist davon unberührt und weiterhin in Gebrauch, die Norm ist es nicht mehr. Wer sie als Referenz nennt, sollte das wissen.
CRISAM® nutzt die Fehlerbaumanalyse als mathematische Grundlage der Risikoberechnung.
Hinter COSO stehen mehrere Berufsverbände, darunter das Institute of Internal Auditors, AICPA-CIMA und die American Accounting Association. Bekannt ist die Organisation für zwei Rahmenwerke: eines für interne Kontrollsysteme und eines für das unternehmensweite Risikomanagement.
Das Rahmenwerk für das unternehmensweite Risikomanagement liegt in der Fassung von 2017 vor und baut auf der ursprünglichen Fassung von 2004 auf. Es verbindet Risikomanagement mit Strategie und Leistung, statt es als eigene Disziplin daneben zu stellen. In der Praxis wird es häufig zusammen mit dem Drei-Linien-Modell genannt, wenn es um die Verteilung von Verantwortung geht.
Zu COSO liegt keine eigene Produktaussage vor.
Das Drei-Linien-Modell des Institute of Internal Auditors in der Fassung vom Juli 2020 ordnet Verantwortung. Das Aufsichtsorgan übernimmt gegenüber den Anspruchsgruppen die Verantwortung für die Überwachung der Organisation. Das Management führt und steuert, einschließlich der Steuerung von Risiken. Die interne Revision liefert unabhängige und objektive Prüfung und Beratung zur Angemessenheit und Wirksamkeit von Governance und Risikomanagement.
Entscheidend ist die Unabhängigkeit der Revision von den Aufgaben des Managements. Sie ist nach Angaben des Instituts die Grundlage für Objektivität, Autorität und Glaubwürdigkeit. Genau an dieser Stelle entzünden sich in der Praxis die Zuständigkeitsfragen zwischen Revision, internem Kontrollsystem und Risikomanagement.
Mehr dazu auf der Seite zu den Global Internal Audit Standards.
Werden zwei Normen in zwei getrennten Projekten mit zwei Nachweisketten umgesetzt, entsteht doppelte Arbeit. In CRISAM® sind die Kontrollzielfragen auf die einzelnen Normen gemappt. Sie beantworten eine Frage einmal am Objekt, und CRISAM® leitet daraus den Erfüllungsgrad je Regelwerk ab.
| Kontrollziel | Zugeordnete Normen | Status |
|---|---|---|
| Zugriffsverwaltung | ISO/IEC 27001, BSI, NIS-2 | erfüllt |
| Protokollierung | ISO/IEC 27001, DORA | erfüllt |
| Lieferantensteuerung | NIS-2, DORA, TISAX | teilweise |
| Notfallvorsorge | ISO 22301, BSI, NIS-2 | teilweise |
| Kryptografie | ISO/IEC 27001, TISAX | offen |
CRISAM® deckt 28 Regulative, Normen und Frameworks ab: EU AI Act, DSGVO, ISO/IEC 27001, ISO/IEC 27019, BSI GS++, B3S, NIST CSF, PCI DSS, NIS-2, EU CRA, IEC 62443, ISO 22301, DORA, EU CER, EN 50600, ISO/SAE 21434, WP.29 mit UN R155 und UN R156, VDA/TISAX, IATF 16949, ISO 9001, IEC 80001, COBIT, ITIL 4, IDW PS 340 n.F., die Global Internal Audit Standards, die Anforderungen der BaFin, das LkSG und die CSRD.
Sieben gelten EU-weit: EU AI Act, DSGVO, NIS-2, EU CRA, DORA, EU CER und CSRD. Fünf gelten in Deutschland: BSI GS++, B3S, IDW PS 340 n.F., die Anforderungen der BaFin und das LkSG. EN 50600 ist eine europäische Norm, NIST CSF stammt aus den USA, und die UN-Regelungen WP.29 mit R155 und R156 werden von der UNECE herausgegeben und sind Voraussetzung für die EU-Typgenehmigung. Die übrigen 13 sind international anwendbar, darunter ISO/IEC 27001, ISO 22301, ISO 9001, COBIT und ITIL 4. Der Geltungsbereich ist bei jedem Eintrag angegeben.
Ja. In CRISAM® sind die Kontrollzielfragen der Plattform auf die einzelnen Normen gemappt, etwa ISO/IEC 27001 und den BSI IT-Grundschutz. Eine Bewertung am Objekt gilt damit für mehrere Regelwerke, und der Erfüllungsgrad wird je Norm ausgewiesen.
Die Inhalte werden laufend gepflegt ausgeliefert. Für ISO/IEC 27001 stellt CRISAM® mindestens jährlich aktualisierte Inhalte bereit. Branchenspezifische Sicherheitsstandards nach B3S lassen sich schnell und kostengünstig aufnehmen.
CRISAM® folgt einem Out-of-the-box-Ansatz: Die Standardsoftware ist sofort einsatzfähig und bringt fertige, laufend gepflegte Inhalte mit. Sie muss nicht erst über Wochen oder Monate angepasst werden. Anpassungen am Datenmodell, an Formularen und an Designern erfolgen per Low-Code-Konfiguration, ohne Individualentwicklung.
Die Methodik ist an ISO 31000 ausgerichtet. Nach IEC 31010 bietet CRISAM® mehr als 20 qualitative und quantitative Bewertungs- und Aggregationsmethoden. Für die quantitative Analyse nutzt die Plattform die Fehlerbaumanalyse sowie die Monte-Carlo-Simulation, mit der sich Einzelrisiken zu einer Gesamtsicht aggregieren lassen.
Siebzehn Einträge haben eine eigene Seite: EU AI Act, DSGVO, ISO/IEC 27001, BSI GS++, B3S, NIS-2, ISO 22301, DORA, ISO/SAE 21434, WP.29 mit UN R155 und UN R156, VDA/TISAX, IATF 16949, IDW PS 340 n.F., die Global Internal Audit Standards, die Anforderungen der BaFin, das LkSG und die CSRD. Die übrigen sechzehn stehen als Kurzporträt auf dieser Seite, jeweils mit eigenem Sprungziel.
Sagen Sie uns, welche Normen und Regulative Sie erfüllen müssen. Wir zeigen Ihnen an Ihrem Fall, wie sich die Anforderungen in CRISAM® auf einen gemeinsamen Satz an Kontrollzielen abbilden lassen.
Bleiben wir in Kontakt
Telefon
Newsletter
Sie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Instagram. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von X. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen
