Tag Archives: ISMS

Medien

ISW Grundschutz++ Cockpit: Neues Werkzeug macht den BSI IT-Grundschutz aus OSCAL lesbar und steuerbar

BSI Grundschutz++ endlich steuerbar: Das ISW Cockpit führt je Zielobjekt von Strukturanalyse, Schutzbedarf und Modellierung bis zum Check und prüffähigen Bericht. Lokal, ohne Cloud-Zwang.

BildIT-Service Walter stellt eine Windows-Anwendung vor, die den modernisierten BSI IT-Grundschutz („Grundschutz++„) von der Strukturanalyse bis zum prüffähigen Bericht führt – lokal, ohne Cloud-Zwang und in deutscher Sprache.

Euskirchen, 23. Juli 2026 – Der modernisierte IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik (BSI) erscheint im maschinenlesbaren OSCAL-Format. Das ist ein Fortschritt für Automatisierung und Werkzeuge – für den Menschen, der den Grundschutz umsetzen soll, ist eine OSCAL-Datei mit hunderten verschachtelten Anforderungen, internen Kennungen und Parameter-Platzhaltern jedoch kaum zu gebrauchen. Genau hier setzt das neue ISW Grundschutz++ Cockpit von IT-Service Walter an: Es öffnet die OSCAL-Kataloge des BSI, zeigt jede Anforderung im Klartext und macht aus dem reinen Katalog ein steuerbares Informationssicherheits-Managementsystem (ISMS).

„Ein gelebtes ISMS besteht nicht aus Lesen, sondern aus Planen, Zuständigkeiten verteilen, Fristen einhalten, Nachweise sammeln und der Leitung berichten“, sagt Jörn Walter, Inhaber von IT-Service Walter. „Bisher behalf man sich mit Katalog-PDF, Excel-Tracker und Berichtsvorlage – drei getrennten Werkzeugen mit dreifacher Pflege. Das Cockpit vereint das in einer Oberfläche.“

Das komplette BSI-Vorgehen je Zielobjekt

Kernstück ist das klassische BSI-Vorgehensmodell mit einzelnen Zielobjekten. In fünf Schritten führt das Cockpit von der Struktur bis zum Bericht: In der Strukturanalyse werden die Zielobjekte des Informationsverbunds erfasst – etwa Anwendungen, IT-Systeme, Räume oder Organisationseinheiten. Je Zielobjekt wird der Schutzbedarf für Vertraulichkeit, Integrität und Verfügbarkeit festgestellt; den höchsten Schutzbedarf ermittelt das Programm automatisch nach dem Maximumprinzip. In der Modellierung ordnet der Anwender jedem Zielobjekt die passenden Grundschutz-Bausteine zu. Anschließend wird der IT-Grundschutz-Check je Zielobjekt durchgeführt – mit eigenem Umsetzungsgrad. Zum Abschluss lassen sich Statusbericht, Erklärung zur Anwendbarkeit (SoA) und Maßnahmenplan für jedes einzelne Zielobjekt oder für die gesamte Institution erzeugen.

Auswertung, Nachweise und Berichte auf Knopfdruck

Pro Anforderung erfasst das Cockpit Umsetzungsstatus, Priorität, Bearbeiter, Fälligkeit, geschätzten Aufwand, Bemerkungen, Nachweise und echte Dateianhänge. Daraus verdichtet es Führungskennzahlen: Umsetzungsgrad in Prozent, Aufwand in Stunden und Personentagen, Statusverteilung und Fälligkeiten – gesamt oder je Zielobjekt. Ein Maßnahmenplan bündelt die offenen Anforderungen zur priorisierten Arbeitsliste, überfällige Fristen werden rot markiert. Für die Revision sorgen Nachweisfelder, Dateianhänge, ein lückenloses Änderungsprotokoll und die Erklärung zur Anwendbarkeit. Management-Statusbericht, Maßnahmenplan, SoA, Katalog-Report und Einzelnachweise entstehen per Klick als PDF, HTML oder CSV/Excel – auf Wunsch direkt per E-Mail versendet und im Branding des jeweiligen Kunden, mit Firmenname und Logo im Kopf aller Ausgaben.

Update-fest und ohne Cloud-Zwang

Erfasste Bewertungen überstehen BSI-Katalog-Updates: Beim Laden eines neuen Katalogstands werden sie automatisch übernommen, ein strukturierter Änderungsbericht zeigt, was hinzugekommen, entfallen oder geändert ist. Eine Referenzprüfung gleicht den geladenen Katalog gegen die offizielle BSI-Edition 2023 ab. Alle Daten bleiben lokal: Das Cockpit läuft als eigenständige Windows-Anwendung wahlweise auf einem Einzelplatz oder gemeinsam über einen Netzwerkordner, in dem mehrere Bearbeiter am selben Katalog arbeiten. SMTP-Passwörter werden AES-256-verschlüsselt gespeichert, Online-Zugriffe beschränken sich auf die optionale BSI-Update-Prüfung. Unterstützt wird OSCAL 1.1.3 (BSI Grundschutz++ und Edition 2023 mit 111 Bausteinen); der Grundschutz++-Katalog wird mitgeliefert.

Verfügbarkeit

Das ISW Grundschutz++ Cockpit ist ab sofort als lizenzpflichtige Windows-Anwendung erhältlich, inklusive mitgeliefertem BSI-Grundschutz++-Katalog und Handbuch. Details, Lizenzierung und Bestellung unter

https://www.isw-adtools.de/isw-grundschutz-cockpit/.

Verantwortlicher für diese Pressemitteilung:

IT-Service Walter
Herr Jörn Walter
Mittelstraße 65
53879 Euskirchen
Deutschland

fon ..: 015256500550
web ..: https://grundschutz-cockpit.de/
email : info@it-service-walter.de

IT-Service Walter mit Sitz in Euskirchen ist ein IT-Dienstleister von Jörn Walter mit Schwerpunkt auf Windows-Infrastruktur, IT-Sicherheit und Informationssicherheits-Management. Unter der Marke ISW ADTools entwickelt das Unternehmen Werkzeuge für Administratoren und Informationssicherheitsbeauftragte. Weitere Informationen unter www.isw-adtools.de und www.it-service-walter.com.

Pressekontakt:

IT-Service Walter
Herr Jörn Walter
Mittelstraße 65
53879 Euskirchen

fon ..: 02251 1297899
email : info@it-service-walter.com

Uncategorized

Nur noch ein Monat bleibt zur NIS-2-Registrierung – Tausende Unternehmen noch nicht compliant

Am 6. März endet die NIS-2-Registrierungs-Frist für 30.000 Unternehmen. Experten warnen vor Compliance-Lücken im Mittelstand. Geschäftsleitungen haften persönlich.

Bild5. Februar 2026 – Am 6. März 2026 endet die gesetzliche Dreimonatsfrist zur Registrierung beim Bundesamt für Sicherheit in der Informationstechnik (BSI) für Unternehmen, die unter das NIS-2-Umsetzungsgesetz fallen. Besonders wichtige und wichtige Einrichtungen sind verpflichtet, sich spätestens drei Monate nach erstmaliger Einstufung beim BSI zu registrieren (§ 33 Abs. 1 BSIG). Erst ein Bruchteil der betroffenen Unternehmen haben ihre Pflichten erfüllt. Experten warnen vor einem bösen Erwachen.

NIS-2: Was steckt dahinter?
Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz ist am 6. Dezember 2025 in Kraft getreten und setzt die europäische NIS-2-Richtlinie in deutsches Recht um. Ziel ist ein einheitlich hohes Niveau an Cybersicherheit in der gesamten EU. Das Gesetz verpflichtet Unternehmen in kritischen und wichtigen Sektoren zu umfassenden IT-Sicherheitsmaßnahmen, strengen Meldepflichten bei Cyberangriffen und macht Cybersecurity zur Chefsache mit persönlicher Geschäftsleitungshaftung.

Etwa 30.000 Unternehmen betroffen: Der Mittelstand im Visier
Während bisher nur KRITIS-Betreiber reguliert waren, erfasst NIS-2 nun rund 30.000 Einrichtungen. Die Erweiterung trifft vor allem den Mittelstand hart. Betroffen sind erstmals auch:
o IT-Dienstleister: Cloud-Anbieter, Rechenzentrumsbetreiber, Managed Service Provider
o Maschinenbau: Hersteller von Maschinen und Anlagen
o Automobilzulieferer: Hersteller von Fahrzeugen und Fahrzeugteilen
o Lebensmittelproduktion: Industrielle Produzenten und Großhändler
o Chemieunternehmen: Hersteller und Importeure chemischer Stoffe
o Elektrotechnik: Hersteller elektrischer Ausrüstungen
o Logistik: Post- und Kurierdienste
o Digital Economy: Online-Marktplätze, Suchmaschinen, soziale Netzwerke
„Viele Geschäftsführer im Mittelstand wissen noch gar nicht, dass sie betroffen sind“, warnt Tobias Stephan, Rechtsanwalt und Experte für Cybersecurity-Recht bei der auf Digitalrecht spezialisierten Kanzlei MAINLY. „Die Betroffenheitsprüfung ist komplex, besonders für Unternehmen mit gemischten Geschäftstätigkeiten oder Konzernstrukturen. Wer jetzt nicht handelt, riskiert nicht nur Bußgelder, sondern auch die persönliche Haftung der Geschäftsleitung.“
Denn neben der teilweise komplexen Bestimmung der Handlungsfelder sind auch die Untergrenzen bei Mitarbeiteranzahl und Finanzkennzahlen nicht immer gleich. Teilweise – etwa bei Top Level Domain Registries – gelten gar keine solchen Mindestgrößen. In Konzernen oder bei Joint-Ventures werden die Unternehmenskennzahlen wiederum häufig addiert.

Drastische Konsequenzen bei Nicht-Compliance
Bei Verstößen drohen Bußgelder. Hinzu kommt: Die Geschäftsleitung haftet persönlich für Pflichtverletzungen nach den Regeln des Gesellschaftsrechts (§ 38 Abs. 2 BSIG i.V.m. §§ 43 GmbHG, 93 AktG).
Bei hartnäckiger Nichtbefolgung von BSI-Anordnungen kann die zuständige Fachaufsicht als letztes Mittel die Betriebsgenehmigung aussetzen oder der Geschäftsleitung die Tätigkeit vorübergehend untersagen (§ 61 Abs. 9 BSIG).

Was jetzt zu tun ist
1. Betroffenheit prüfen: Das BSI stellt ein Online-Tool zur Betroffenheitsprüfung bereit, das einen ersten Anhaltspunkt geben kann. „Auch wenn Sie nicht betroffen sind, sollten Sie die Prüfung dokumentieren“, rät Herr Stephan. „Das BSI kann später Nachweise verlangen.“
2. Mein Unternehmenskonto (MUK) einrichten: Die Registrierung erfolgt zweistufig. Ohne MUK-Konto ist keine BSI-Registrierung möglich.
3. BSI-Registrierung bis 6. März 2026 abschließen: Die Registrierung muss über das BSI-Portal erfolgen, das seit dem Januar 2026 verfügbar ist. Erforderlich sind detaillierte Unternehmensangaben, Sektor-Zuordnung und Benennung einer Kontaktstelle.
4. Sofort-Maßnahmen starten: Multi-Faktor-Authentifizierung einführen, Meldeprozesse für Sicherheitsvorfälle definieren, erste Risikoanalyse durchführen und die Geschäftsleitung formal einbinden.

Branchenverbände schlagen Alarm
Mehrere Wirtschaftsverbände haben bereits auf die Umsetzungsprobleme hingewiesen. Viele der NIS-2-Anforderungen decken sich mit verbreiteten Zertifikaten, wie etwa ISO 27001, doch die spezifischen gesetzlichen Pflichten wie Registrierung, Meldeprozesse und Geschäftsleitungsverantwortung gehen darüber hinaus.

Unterstützung für betroffene Unternehmen
Die Kanzlei MAINLY, spezialisiert auf Digitalrecht, KI, DSGVO und Cybersecurity, bietet betroffenen Unternehmen Unterstützung bei der Betroffenheitsprüfung, der BSI-Registrierung und dem Aufbau compliance-konformer ISMS-Strukturen an. „Wir sehen täglich Unternehmen, die zwischen Panik und Verdrängung schwanken“, berichtet Herr Stephan. „Dabei ist NIS-2 mit strukturiertem Vorgehen in wenigen Wochen umsetzbar – wenn man jetzt startet.“
Weitere Informationen zu den Services von MAINLY finden Sie unter: https://www.mainly-law.com/.

Über NIS-2
Die NIS-2-Richtlinie (EU) 2022/2555 ist das aktualisierte EU-Rahmenwerk für Cybersicherheit. Sie ersetzt die NIS-1-Richtlinie von 2016 und erweitert den Anwendungsbereich erheblich. Das deutsche NIS-2-Umsetzungsgesetz novelliert unter anderem das BSI-Gesetz und schafft die Kategorien „besonders wichtige Einrichtungen“ und „wichtige Einrichtungen“ mit gestaffelten Anforderungen.

Verantwortlicher für diese Pressemitteilung:

MAINLY Rechtsanwalts-GmbH
Tobias Stephan
Heilbronner Str. 150
70191 Stuttgart
Deutschland

fon ..: 071125248591
web ..: https://www.mainly-law.com/
email : t.stephan@mainly-law.com

MAINLY Rechtsanwaltsgesellschaft mbH ist eine auf Digitalrecht spezialisierte Kanzlei mit Fokus auf DSGVO/Datenschutz, IT-Vertragsrecht, AI Act und Cybersecurity-Recht. Die Kanzlei berät mittelständische Unternehmen und Startups bei der rechtssicheren Digitalisierung und regulatorischen Compliance. Zu den Schwerpunkten gehören NIS-2-Umsetzung, IT-Sicherheitsrecht, Cloud-Verträge, SaaS-Agreements und die rechtliche Begleitung von KI-Projekten. Weitere Informationen: www.mainly-law.com

Sie können diese Pressemitteilung mit Quelllink auf unsere Homepage auf Ihrer Webseite kostenlos verwenden.

Pressekontakt:

MAINLY Rechtsanwalts-GmbH
Tobias Stephan
Heilbronner Str. 150
70191 Stuttgart

fon ..: 071125248591
web ..: https://www.mainly-law.com/
email : t.stephan@mainly-law.com

Uncategorized

ISO 27001 Annex A 6.1. Personenscreening als messbarer Sicherheitsfaktor

Der Faktor Mensch spielt in ISO/IEC 27001 eine zentrale Rolle. Annex A 6.1 fordert klare Prüfprozesse vor der Einstellung, um Sicherheitsrisiken frühzeitig zu erkennen und zu minimieren.

BildDer internationale Standard ISO/IEC 27001 definiert klare Anforderungen an den Umgang mit Informationssicherheitsrisiken. Ein oft unterschätzter Bereich ist dabei der Faktor Mensch.

Mit Annex A 6.1 fordert die Norm ausdrücklich, dass Mitarbeitende vor der Einstellung angemessen überprüft werden. Ziel ist es, Risiken durch unzuverlässige oder ungeeignete Personen frühzeitig zu erkennen und zu minimieren.

In der Praxis konzentrieren sich viele Organisationen weiterhin primär auf technische Maßnahmen. Firewalls, Zugriffskonzepte und Monitoring sind detailliert dokumentiert. Die personelle Ebene bleibt dagegen häufig auf Lebenslauf, Interview und Referenzen beschränkt.
Aus Sicht der ISO 27001 ist das unzureichend.

Annex A 6.1 verlangt keinen Vertrauensvorschuss, sondern einen nachvollziehbaren Kontrollmechanismus. Entscheidend ist nicht nur, dass Prüfungen durchgeführt werden, sondern dass diese strukturiert, konsistent und auditfähig dokumentiert sind.

Cypsec unterstützen Unternehmen bei der operativen Umsetzung dieser Anforderung. Die Dienstleistungen umfassen unter anderem Pre-Employment Background Checks, Identitätsprüfungen, die Verifikation von beruflichem Werdegang und Qualifikationen sowie Integritäts- und Compliance-Prüfungen gegen relevante Sanktions-, PEP- und Watchlisten – stets im rechtlich zulässigen Rahmen.

Die Ergebnisse werden in klar strukturierten Reports festgehalten und können direkt als Nachweis im ISO-27001-Audit verwendet werden. Damit wird Annex A 6.1 nicht interpretiert, sondern konkret erfüllt.

Für Organisationen bedeutet dies einen wesentlichen Schritt hin zu einem ganzheitlichen Informationssicherheitsmanagement. Der Faktor Mensch wird nicht mehr als implizites Risiko betrachtet, sondern als kontrollierbare Größe innerhalb des ISMS.

Verantwortlicher für diese Pressemitteilung:

Validato AG
Herr Reto Marti
Claridenstraße 34
8002 Zürich
Schweiz

fon ..: +41 44 515 77 77
web ..: https://validato.com/de-de/home
email : reto.marti@validato.com

Validato ist ein führender Anbieter für digitale Background Checks und Human Risk Management mit Sitz in Zürich. Die Plattform hilft Unternehmen dabei, Bewerberinnen sowie bestehende Mitarbeitende effizient und strukturiert auf Integrität, Interessenskonflikte und potenzielle Risiken zu prüfen – datenschutzkonform, modular und skalierbar.

Speziell auf die Anforderungen im DACH-Raum ausgerichtet, verzichtet Validato auf Set-up-Gebühren, Jahresgebühren sowie Mindestanzahlen an Screenings und lässt sich flexibel in bestehende HR- oder Recruiting-Prozesse integrieren.

Pressekontakt:

Validato AG
Herr Reto Marti
Claridenstraße 34
8002 Zürich

fon ..: +41 44 515 77 77
email : reto.marti@validato.com