Plattform
Module
Nach Branche
By sector
Normen, die wir unterstützen
Blog
Neuigkeiten
Unternehmen
Veranstaltungen
Normen · Cybersicherheit
ISO/IEC 27001 und ihre Familie, die Rahmenwerke von NIST und CIS, IEC 62443, SOC 2 und TISAX, und die EU-Gesetze, die Sie unmittelbar binden: NIS2, DORA, der Cyber Resilience Act und die DSGVO. In klaren Worten erklärt, in einem Katalog, mit jedem Eintrag verlinkt auf seine Quelle.
Überblick
Eine Sicherheitsanforderung kommt als Norm, als Rahmenwerk oder als Gesetz. Zu wissen, welche davon Sie vor sich haben, sagt Ihnen, wer sie prüft und welche Nachweise verlangt werden.
ISO/IEC 27001 ist das Managementsystem, nach dem ein Kunde fragt. Eine akkreditierte Stelle auditiert es und stellt das Zertifikat aus; 27002, 27005, 27017, 27018 und 27701 werden ergänzend dazu gelesen.
NIST CSF 2.0 und SP 800-53, SP 800-171 für die US-Verteidigungslieferkette, die CIS Controls, IEC 62443 für industrielle Systeme. SOC 2 und TISAX sind die Berichte und Kennzeichen, die auf demselben Gedanken aufbauen.
NIS2 und CER nach Sektor, DORA für den Finanzsektor, der Cyber Resilience Act für Produkte, die DSGVO für personenbezogene Daten. Eine Aufsichtsbehörde setzt sie durch, ob ein Vertrag sie erwähnt oder nicht.
Die Maßnahmen, die die Gesetze auflisten, sind die Maßnahmen, die ein 27001-System betreibt. Bauen Sie das System einmal, bewahren Sie seine Nachweise, und beantworten Sie Auditor, Kunde und Aufsicht aus denselben Aufzeichnungen.
Durchsuchen Sie den Katalog nach Namen, blättern Sie nach Familie, oder beantworten Sie fünf Fragen zu Ihrer Lage. Jeder Eintrag verweist auf seine Quelle und kann in ComplyTrain angefragt werden.
Eine Sicherheitsanforderung erreicht ein Unternehmen in drei Formen. Der Fragebogen oder der Vertrag eines Kunden verlangt eine Norm, meist ISO/IEC 27001. Ein Rahmenwerk wie das von NIST gibt einem Programm seine Struktur und einen Maßnahmenkatalog, an dem es gemessen wird. Und ein Gesetz bindet Sie nicht, weil ein Vertrag es sagt, sondern wegen dem, was Sie sind und was Sie verkaufen: NIS2, DORA, der Cyber Resilience Act, die DSGVO. Diese Seite erklärt die drei, wie sie zusammenpassen und woher die Dokumente stammen. Der Explorer weiter unten findet dann die, die zu Ihrer Lage passen.
ISO/IEC 27001 ist die internationale Norm für ein Informationssicherheits-Managementsystem und die, nach der ein Kunde zuerst fragt. Sie ist zertifizierbar, sie ist in jeder Branche dieselbe, und ihr Haupttext nennt keine technischen Maßnahmen: Sie verlangt, ein Managementsystem zu betreiben, das weiß, welche Informationen Sie halten, die Risiken dafür beurteilt, Maßnahmen auswählt und Nachweise führt, dass sie wirken. Anhang A der Ausgabe von 2022 enthält 93 Maßnahmen in vier Themen: organisatorisch, personenbezogen, physisch und technologisch. ISO/IEC 27002 erläutert jede Maßnahme und ihre Umsetzung, und ISO/IEC 27005 beschreibt die Risikobeurteilung, die die Norm verlangt, aber nicht ausführt. Siehe ISO/IEC 27001, ISO/IEC 27002 und ISO/IEC 27005.
Um diesen Kern herum liegen die Erweiterungen, nach denen ein bestimmter Kunde fragt. ISO/IEC 27017 ergänzt Maßnahmen für Cloud-Dienste, und ISO/IEC 27018 schützt personenbezogene Daten in einer öffentlichen Cloud; beide werden von einem Cloud-Anbieter verlangt. ISO/IEC 27701 erweitert das Managementsystem auf den Datenschutz, die Form, in der ein DSGVO-Programm betrieben werden kann. ISO/IEC 27035 behandelt das Vorfallmanagement und ISO 22301 die Betriebskontinuität. Keine von ihnen steht für sich: Jede wird ergänzend zu einem 27001-System gelesen. Siehe ISO/IEC 27017 und ISO/IEC 27018.
Ein Rahmenwerk ist kein Zertifikat. Es ist eine Struktur, um ein Programm zu ordnen, und ein Katalog, an dem es gemessen wird, und es ist das, womit ein Auditor, ein Versicherer oder ein US-Kunde Sie misst. Das NIST Cybersecurity Framework 2.0 von 2024 hat sechs Funktionen: Govern, Identify, Protect, Detect, Respond und Recover, und verweist auf die Kataloge darunter. NIST SP 800-53 ist der Maßnahmenkatalog, an dem US-Bundessysteme gemessen werden, und der, auf den die meisten anderen Kataloge verweisen. NIST SP 800-171 ist die Teilmenge, die ein Lieferant des US-Verteidigungsministeriums erfüllt, um kontrollierte, nicht eingestufte Informationen zu verarbeiten, und die Grundlage des Zertifizierungsprogramms CMMC. Die CIS Controls sind achtzehn priorisierte Maßnahmengruppen in drei Umsetzungsstufen nach Unternehmensgröße und der übliche erste Schritt, wenn noch nichts Formelles besteht.
Zwei Rahmenwerke sind branchenspezifisch. IEC 62443 ist die Sicherheitsreihe für industrielle Automatisierungs- und Steuerungssysteme: Zonen und Conduits für die Anlage, ein sicherer Entwicklungslebenszyklus für das Produkt (Teil 4-1) und technische Anforderungen an Komponenten (Teil 4-2). TISAX ist der Austausch von Informationssicherheitsbewertungen der Automobilindustrie gegen den VDA-ISA-Katalog und das, was von einem Zulieferer eines deutschen Automobilherstellers verlangt wird. Und zwei sind Bescheinigungen statt Normen: Ein SOC-2-Bericht ist das Urteil eines Prüfers über die Maßnahmen eines Dienstleisters gegen die Trust Services Criteria der AICPA, das Dokument, das ein US-Kunde von einem SaaS-Anbieter verlangt; die Zertifizierungsschemata des EU Cybersecurity Act sind das europäische Gegenstück und werden noch eingeführt.
Eine Norm bindet Sie, weil ein Vertrag es sagt. Ein Gesetz bindet Sie wegen dem, was Sie sind. Fünf EU-Rechtsakte tragen heute unmittelbare Sicherheitspflichten, und jeder hat seinen eigenen Anwendungsbereich.
NIS2, die Richtlinie (EU) 2022/2555, gilt für wesentliche und wichtige Einrichtungen in achtzehn Sektoren, von Energie und Verkehr bis zur Herstellung kritischer Produkte und zur öffentlichen Verwaltung. Sie wird in nationales Recht umgesetzt, die genauen Pflichten stammen also aus dem Gesetz Ihres eigenen Landes, doch die Form ist überall dieselbe: Verantwortung der Leitung, Risikomanagementmaßnahmen nach einer festen Liste, Sicherheit der Lieferkette und eine Frühwarnung bei einem erheblichen Vorfall binnen 24 Stunden. Die CER-Richtlinie, 2022/2557, ist ihr Gegenstück für die physische Resilienz kritischer Einrichtungen.
DORA, die Verordnung (EU) 2022/2554, gilt seit Januar 2025 für Finanzunternehmen und für ihre kritischen IKT-Drittdienstleister. Sie verlangt IKT-Risikomanagement, Vorfallmeldungen, Resilienztests einschließlich bedrohungsgeleiteter Penetrationstests für die größten, und ein Register jedes IKT-Vertrags. Sie gilt unmittelbar, ohne nationale Umsetzung.
Der Cyber Resilience Act, die Verordnung (EU) 2024/2847, betrifft Produkte statt Organisationen: Hardware und Software mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden, müssen sicher konstruiert sein, Schwachstellen über ihren Unterstützungszeitraum behandeln und dafür die CE-Kennzeichnung tragen. Die Meldung aktiv ausgenutzter Schwachstellen beginnt im September 2026, die vollständigen Pflichten gelten ab Dezember 2027. ETSI EN 303 645 ist die Grundlage, auf die der Verbraucher-IoT-Teil zurückgreift.
Die DSGVO, die Verordnung (EU) 2016/679, ist die älteste der fünf und die, die alle bereits erfüllen: Sicherheit der Verarbeitung angemessen zum Risiko und Meldung einer Verletzung an die Aufsichtsbehörde binnen 72 Stunden. Zwei jüngere Rechtsakte berühren die Ränder: eIDAS 2, die Verordnung (EU) 2024/1183, für Vertrauensdienste und die europäische Brieftasche für die digitale Identität, und die KI-Verordnung, (EU) 2024/1689, deren Hochrisikosysteme ein eigenes Risikomanagementsystem und ein eigenes Qualitätsmanagementsystem brauchen.
Ein ISO/IEC-27001-Zertifikat erfüllt für sich genommen weder NIS2 noch DORA; die Gesetze haben ihren eigenen Anwendungsbereich, ihre eigenen Meldefristen und ihre eigenen Aufsichtsbehörden. Aber die Maßnahmen, die sie auflisten, Risikoanalyse, Vorfallbehandlung, Betriebskontinuität, Sicherheit der Lieferkette, Zugangssteuerung, Verschlüsselung, sind die Maßnahmen, die ein 27001-System betreibt, und die nationalen Behörden und die ENISA verweisen in ihren Leitlinien auf ISO/IEC 27001 und das NIST-Rahmenwerk. Ein zertifiziertes Managementsystem ist der übliche Weg, einer Aufsicht zu zeigen, dass die Maßnahmen bestehen und betrieben werden, und ein Risikoregister und ein Vorfallprotokoll sind die Nachweise, die sowohl ein Zertifizierungsauditor als auch eine Aufsichtsbehörde lesen.
ISO/IEC-Normen kaufen Sie bei der ISO, bei der IEC oder bei Ihrem nationalen Normungsinstitut. Jede NIST-Veröffentlichung ist beim Computer Security Resource Center des NIST kostenfrei, und die CIS Controls sind nach Registrierung kostenfrei. Die EU-Rechtsakte sind auf EUR-Lex kostenfrei, und jeder Verordnungseintrag im Explorer verweist dorthin auf den konsolidierten Text; die nationalen Umsetzungen von NIS2 und CER stammen von Ihrem eigenen Gesetzgeber. IEC 62443 kaufen Sie bei der IEC oder der ISA, die Kriterien von SOC 2 stammen von der AICPA und TISAX von der ENX Association.
Nicht diese Seite und nicht wir. Ein Vertrag oder ein Fragebogen nennt die Norm; ein Gesetz nennt seinen eigenen Anwendungsbereich, und ob Sie darunter fallen, ist eine Frage nach Ihrer Branche, Ihrer Größe und dem, was Sie verkaufen, die Ihre Rechtsberatung beantwortet. Was der Explorer leisten kann, ist, Ihnen die ganze Landkarte zu zeigen: Durchsuchen Sie sie nach Nummer oder Name, blättern Sie nach Familie, oder beantworten Sie fünf Fragen zu Ihrer Lage und sehen Sie, nach welchen Bereichen Unternehmen wie Sie üblicherweise gefragt werden. Jeder Eintrag verweist auf seine Quelle, auf seine ComplyTrain-Seite, wo es eine gibt, und andernfalls auf eine Anfrage. ComplyTrain hält eine Norm als Anforderungsbaum mit den Nachweisen zu jeder Anforderung. Das Zertifikat müssen Sie selbst erlangen.
Standards-Explorer
Durchsuchen Sie die Familie ISO/IEC 27000, die Rahmenwerke von NIST und CIS, IEC 62443, SOC 2 und TISAX sowie die EU-Rechtsakte gemeinsam, blättern Sie nach Familie, oder beantworten Sie fünf Fragen zu Ihrer Lage.
Dazu passt nichts. Versuchen Sie eine Nummer, ein Kürzel, oder stöbern Sie nach Familie.
Welche Normen für Sie gelten, legen Ihre Verträge fest; welche Gesetze gelten, ist eine Frage nach Ihrer Branche, Ihrer Größe und dem, was Sie verkaufen, die Ihre Rechtsberatung beantwortet. Verstehen Sie dies als Landkarte, nicht als Urteil.
Fünf Fragen, wählen Sie alles Zutreffende. Nichts wird gespeichert.
Die Bereiche, nach denen Unternehmen wie Sie üblicherweise gefragt werden, und die Normen und Gesetze in jedem. Gleichen Sie sie mit Ihren Verträgen und Ihrer Rechtsberatung ab.
Welche Normen für Sie gelten, legen Ihre Verträge fest; welche Gesetze gelten, ist eine Frage nach Ihrer Branche, Ihrer Größe und dem, was Sie verkaufen, die Ihre Rechtsberatung beantwortet. Verstehen Sie dies als Landkarte, nicht als Urteil.
Jede Seite legt dar, was die Norm von Ihnen verlangt und wie ein ComplyTrain-Arbeitsbereich um sie herum aufgebaut ist. Der Katalog oben enthält weit mehr als diese, und jeder Eintrag darin kann angefragt werden. Eine Norm in einen Arbeitsbereich aufzunehmen dauert in der Regel Tage, kein Projekt.
ISO 27001
ISO 27001 ist die Norm für ein Informationssicherheits-Managementsystem (ISMS). ComplyTrain liefert Ihnen den Rahmen, um Ihr ISMS aufzubauen, zu betreiben und nachzuweisen. Das Zertifikat erwerben Sie selbst.
ISO 27002
ISO 27002 liefert die Umsetzungsleitlinien für die Informationssicherheitsmaßnahmen aus Anhang A der ISO 27001. ComplyTrain führt jede Maßnahme als Anforderung, zusammen mit dem Nachweis, der ihre Wirksamkeit belegt. Genau diesen Nachweis zieht ein Auditor stichprobenartig heran.
ISO 27005
ISO 27005 gibt Orientierung für das Management von Informationssicherheitsrisiken. Sie beschreibt die Bewertung und Behandlung der Risiken, die ISO 27001 fordert, aber selbst nicht ausführt. ComplyTrain führt dieses Register laufend fort, statt es einmal im Jahr als Dokument zu erstellen.
ISO 27017
ISO 27017 erweitert die Maßnahmen der ISO 27002 auf Cloud-Dienste und ergänzt sie um Maßnahmen, die speziell für die Cloud gelten. ComplyTrain führt jede dieser Anforderungen, auch die, die nicht bei Ihnen liegen, sondern bei Ihrem Anbieter.
ISO 27018
ISO 27018 erweitert ISO 27001 um den Schutz personenbezogener Daten in Public Clouds. Mit ComplyTrain steuern Sie die zugehörigen Maßnahmen und weisen sie nach.
Eine Norm kommt meist als Vertragsbedingung oder als Schreiben einer Behörde, nicht als Projekt, das jemand geplant hat, und oft in einem Unternehmen ohne Qualitätsmanager. Software ist die halbe Antwort. Die Beraterinnen und Berater von Skylen sind die andere Hälfte, und weil sie vom ersten Tag an auf ComplyTrain aufbauen, behalten Sie ein lebendes System, das Ihrem Team gehört, statt eines Ordners und eines abgereisten Beraters.
Eine klauselweise Bestandsaufnahme, wo Sie gegenüber der Norm stehen, die Ihr Vertrag oder Ihre Behörde nennt, übersetzt in einen priorisierten Plan, den Sie mit uns oder allein umsetzen können.
Was eine Analyse umfasstUnsere Beraterinnen und Berater bauen das System gemeinsam mit Ihrem Team auf - Verfahren, Dokumentenlenkung, die Aufzeichnungen, die Sie führen müssen, und den Rhythmus der Bewertung - und bereiten Sie auf das Audit oder die Inspektion vor.
Wie eine Zusammenarbeit abläuftWir betreiben und pflegen das System für Sie, damit ein kleines Team eine Norm erreichen und halten kann, ohne einen Qualitätsmanager einzustellen.
Was Full Service bedeutetNein, und nichts tut das für sich genommen. NIS2 wird in nationales Recht umgesetzt, mit eigenem Anwendungsbereich, eigener Maßnahmenliste und eigenen Meldefristen, und eine Aufsichtsbehörde prüft Sie an diesem Gesetz, nicht an einem Zertifikat. Ein 27001-System betreibt allerdings die Maßnahmen, die das Gesetz auflistet, weshalb das Zertifikat und die Aufzeichnungen des Systems der übliche Weg sind, einer Aufsicht zu zeigen, dass es sie gibt. Lesen Sie Ihr nationales Gesetz für die Pflichten und die Fristen.
ISO/IEC 27001 ist eine Zertifizierung: Eine akkreditierte Stelle auditiert Sie und stellt ein Zertifikat aus. ISO/IEC 27017, 27018 und 27701 werden als Erweiterungen davon auditiert. SOC 2 ist ein Bescheinigungsbericht, ein Urteil, das ein Prüfer schreibt, kein Zertifikat. TISAX ist eine Bewertung mit einem Kennzeichen, das über die ENX-Plattform geteilt wird. Das NIST-Rahmenwerk, SP 800-53 und die CIS Controls sind Rahmenwerke, an denen Sie sich messen lassen, mit CMMC als dem auf SP 800-171 aufbauenden Zertifizierungsprogramm. Für IEC 62443 gibt es Produkt- und Prozesszertifizierungsschemata von Dritten. Ein Gesetz ist nichts davon: Sie erfüllen es, und eine Aufsichtsbehörde setzt es durch.
ISO/IEC 27001 ist die Anforderungsnorm, die, nach der Sie zertifiziert werden: Sie sagt, was ein Managementsystem leisten muss, und listet die Maßnahmen in Anhang A. ISO/IEC 27002 ist der Leitfaden: Sie nimmt jede dieser Maßnahmen und erklärt, was sie bedeutet und wie sie umzusetzen ist. Nach 27002 können Sie nicht zertifiziert werden. Siehe ISO/IEC 27001 und ISO/IEC 27002.
Fragen Sie den Kunden, denn dessen Beschaffung entscheidet. Ein US-Großkunde verlangt von einem SaaS-Anbieter in der Regel einen SOC-2-Typ-II-Bericht; ein europäischer oder öffentlicher Kunde verlangt in der Regel ISO/IEC 27001. Die beiden überschneiden sich stark, und viele Unternehmen halten beide, betreiben einen Satz Maßnahmen und lassen ihn zweimal prüfen. Von einem Lieferanten des US-Verteidigungsministeriums wird NIST SP 800-171 und zunehmend CMMC verlangt.
Wenn Sie ein Produkt mit digitalen Elementen auf dem EU-Markt bereitstellen, Hardware oder Software, gilt er, sofern das Produkt nicht unter einen Sektorrechtsakt fällt, der seine Sicherheit bereits regelt, etwa Medizinprodukte oder Fahrzeuge. Quelloffene Software, die außerhalb einer geschäftlichen Tätigkeit angeboten wird, fällt nicht darunter. Was der Rechtsakt verlangt, hängt von der Produktklasse ab; die Meldepflichten beginnen im September 2026 und der Rest im Dezember 2027. Ob Ihr Produkt in den Anwendungsbereich fällt, ist eine Rechtsfrage für Ihre Rechtsberatung.
Nein. Eine Zertifizierung wird von einer akkreditierten Zertifizierungsstelle erteilt, eine Zulassung von Ihrer Behörde, und die staatliche Qualitätssicherung übt die Beschaffungsbehörde aus. ComplyTrain ist das System, in dem Sie Ihre Compliance aufbauen, betreiben und nachweisen, und die Beraterinnen und Berater von Skylen können Sie durch die Arbeit führen. Das Zertifikat müssen Sie selbst erlangen.
Ja, und genau dafür ist die Schaltfläche „Zugang anfragen“ bei jedem Eintrag da. Nennen Sie uns die Norm und woher die Anforderung kommt, und wir melden uns dazu, was es bedeutet, sie in Ihrem Arbeitsbereich zu halten, in der Regel innerhalb eines Werktags. Eine Norm in einen Arbeitsbereich aufzunehmen dauert in der Regel Tage, kein Projekt. ComplyTrain hält eine Norm als Anforderungsbaum mit Ihren Nachweisen zu jeder Anforderung, und dieser Baum ist das, was wir bauen.