Die Compliance-Ansicht: NIS2, ISO 27001, Cyber Essentials
Wie sich jeder Befund auf NIS2 (§ 30 Abs. 2 BSIG), ISO/IEC 27001:2022 Anhang A und Cyber Essentials bezieht, und was eine Außensicht sagen kann und was nicht.
Viele Teams überwachen ihre Domains, weil ein Regelwerk es von ihnen verlangt. Perimetry Cloud ordnet jeden Befund den Anforderungen dreier Regelwerke zu, damit Sie sehen, was eine Außensicht zu jeder davon sagt, und eine Prüfung vorbereiten können.
Die drei Regelwerke
- NIS2: die Risikomanagementmaßnahmen im Bereich der Cybersicherheit nach Artikel 21 Absatz 2 der NIS2-Richtlinie (EU) 2022/2555. In Deutschland setzt das NIS2UmsuCG sie in § 30 Abs. 2 BSIG um, mit denselben zehn Maßnahmen.
- Cyber Essentials: die fünf Kontrollen der Anforderungen an die IT-Infrastruktur des britischen Programms (v3.3).
- ISO 27001: die Controls aus Anhang A der ISO/IEC 27001:2022, zu denen ein externes Audit etwas sagen kann.
Ein Befund wird einer Anforderung nur zugeordnet, wenn der Zusammenhang direkt ist.
Unter jedem Befund, in jedem Tarif
Jeder Befund zeigt seine zugehörigen Anforderungen als kleine Etiketten (zum Beispiel eine NIS2-Maßnahme, eine Cyber-Essentials-Kontrolle, ein ISO-27001-Control). Fahren Sie mit der Maus über ein Etikett, um den vollständigen Namen der Anforderung zu lesen.
Die Compliance-Ansicht, ab dem Solo-Tarif
In einem Bericht öffnet Compliance-Ansicht die Ansicht dieses Audits, jeweils ein Regelwerk (NIS2, Cyber Essentials, ISO 27001). Für jede Anforderung zeigt sie:
- die Befunde dieses Audits, die sich auf sie beziehen, oder
- Von außen nichts gefunden, oder
- Von außen nicht bewertbar, wenn ein externes Audit nichts dazu sehen kann (Ihre Richtlinien, Ihr Personal, Ihre internen Systeme).
Eine Zeile oben zählt die Anforderungen mit Befunden und die von außen nicht bewertbaren. Akzeptierte Befunde bleiben in der Ansicht unberücksichtigt, und sie zeigt, wie viele es sind.
Der PDF-Bericht des Audits enthält dieselbe Zuordnung auf seiner Seite Zuordnung zu Regelwerken.
Was sie ist und was nicht
Es ist eine Zuordnung als Hinweis, die Ihnen bei der Vorbereitung hilft: Ein externes Audit sieht nur einen Teil dessen, was jede Anforderung verlangt. „Nichts gefunden“ bedeutet nie „konform“. Es ist keine Zertifizierung, keine Prüfung im Sinne des § 39 BSIG und keine Rechtsberatung.
Für einen Prüfer helfen drei weitere Funktionen:
- das Risikoregister, für die Befunde, die Sie akzeptiert haben, mit ihrer Begründung;
- Bescheinigungen, datierte PDFs dessen, was die Überwachung über einen Zeitraum gesehen hat, mit den Maßnahmen nach Artikel 21 Absatz 2 NIS2 (§ 30 Abs. 2 BSIG), zu denen eine Außensicht etwas sagen kann;
- die Lieferantenüberwachung, für die Anforderung an die Sicherheit der Lieferkette (Artikel 21 Absatz 2 Buchstabe d NIS2, in Deutschland § 30 Abs. 2 Nr. 4 BSIG).