GRC-Software für Informationssicherheit:
106 Anbieter mit KI-Einordnung.

Welche Aufgaben übernimmt ISMS-Software?

ISMS-Software bildet das Informationssicherheitsmanagementsystem (ISMS) ab: Sie führt Assets, Risiken, Kontrollen und Nachweise nach Rahmenwerken wie ISO/IEC 27001, NIS2, DORA oder BSI IT-Grundschutz. Cyber-Compliance-Plattformen holen Nachweise auch aus angebundenen Systemen, ordnen eine Kontrolle mehreren Regelwerken zugleich zu und bereiten Antworten auf Sicherheitsfragebögen von Kunden vor. Nach den Plattformen ist Informationssicherheit die zweitgrößte Kategorie des Registers. Sie zählt 14 Anbieter mit Sitz in Frankreich, mehr als jede andere Kategorie, und mehrere davon unterstützen Risikoanalysen nach der französischen Methode EBIOS Risk Manager.

• Ohne konkreten KI-Beleg im geprüften Quellenumfang: 16 Einträge
• Nur angekündigte oder in Entwicklung befindliche Funktionen: 1 Eintrag
• Belegte KI-Anwendungsfälle nach Thema, ein Eintrag kann mehrfach zählen: Sammlung und Prüfung von Kontrollnachweisen (36) · Entwurf von Richtlinien (27) · Lückenanalysen (25) · Beantwortung von Sicherheitsfragebögen (24) · Bewertung von Informationssicherheitsrisiken (24)
• Belegter Sitz in Europa: 65 von 106 Anbietern, Sitz nicht separat geprüft: 25
• Vollständige Einträge auf 3 alphabetischen Teilseiten

Prüffragen für die Vorführung, abgeleitet aus den fünf Kriterien des Vergleichs:

• Werden Kontrollnachweise, Assets und Risiken in einem Datenbestand geführt oder für jedes Audit neu zusammengetragen?
• Bleibt bei KI-erstellten Antworten auf Sicherheitsfragebögen erkennbar, welcher Nachweis zugrunde liegt und wer sie freigegeben hat?
• Welche Anbindungen an vorhandene Sicherheitswerkzeuge sind im Umfang enthalten, und wer pflegt sie?

Gelten die BAIT noch?

Nur noch für Institute, die kein IKT-Risikomanagement nach DORA betreiben müssen, ohne das bereits aufgehobene Kapitel 11, und nur bis zum 31. Dezember 2026. Wer ein IKT-Risikomanagement nach Art. 5 bis 15 oder Art. 16 DORA betreiben muss, ist seit dem 17. Januar 2025 aus dem Anwenderkreis der BAIT ausgenommen. Weil ab dem 1. Januar 2027 weitere Institute DORA anwenden müssen, hebt die BaFin die BAIT mit Ablauf des 31. Dezember 2026 vollständig auf.

Reicht eine ISO-27001-Zertifizierung für DORA aus?

Allein nicht. Weder DORA noch die Delegierte Verordnung (EU) 2024/1774 nennen ISO 27001, und keine der beiden sieht eine Zertifizierung als Nachweis für das IKT-Risikomanagement eines Finanzunternehmens vor; Zertifizierungen Dritter berücksichtigt DORA etwa bei der Überwachung kritischer IKT-Drittdienstleister (Art. 40 Abs. 4). Die Delegierte Verordnung verlangt, dass IKT-Sicherheitsrichtlinien führende Praktiken und gegebenenfalls Normen berücksichtigen (Art. 2 Abs. 2 Buchst. h). Daneben legt sie eigene Inhalte fest, etwa das Datum der förmlichen Genehmigung durch das Leitungsorgan, Indikatoren zur Überwachung der Umsetzung samt erfasster Ausnahmen und die Regelungen für die Aufgabentrennung nach dem Modell der drei Verteidigungslinien oder gegebenenfalls einem anderen internen Modell für Risikomanagement und Kontrolle (Buchst. b, c und g).

Wo dokumentiert eine Bank akzeptierte IKT-Restrisiken?

In einem Inventar der eingegangenen, also bewusst akzeptierten IKT-Restrisiken, das auch begründet, weshalb sie eingegangen wurden (Art. 3 Buchst. d Ziff. iii der Delegierten Verordnung (EU) 2024/1774). Diese Restrisiken werden mindestens einmal im Jahr überprüft. Dabei geht es um Änderungen der Restrisiken, verfügbare Abhilfemaßnahmen und die Frage, ob die Gründe für das Eingehen noch gelten (Ziff. iv). Wer Restrisiken oberhalb der Risikotoleranzschwelle eingehen darf, legt das Institut ebenfalls fest (Ziff. ii).

Welche Anbieter von GRC-Software für Informationssicherheit haben ihren Sitz in Deutschland, Österreich oder der Schweiz?

Von den 106 Anbietern haben 20 einen belegten Sitz in Deutschland, Österreich oder der Schweiz: in Deutschland Compliance Compass, ditis (Voith), fuentis, HiScout GRC Suite, i-doit GRC Suite+, infodas (Airbus), isidaten, Kertos, neonotu, Secani, Secfix, SECJUR, SecTepe, Teddy Technologies, TTS Trusted Technologies and Solutions, verinice und xmera Solutions; in Österreich condignum, Intervalid und Telcon. Bei 25 weiteren Anbietern ist der Sitz nicht separat geprüft; sie fehlen in dieser Aufzählung. Gemeint ist der Sitz der im Eintrag bezeichneten Anbietereinheit, belegt durch die Standortquelle des Eintrags (Impressum, Rechtstexte, offizielle Kontakt- und Unternehmensseiten, vereinzelt amtliche Register); über Eigentümer, Hosting und Datenhaltung sagt er nichts.

Regulatorischer Rahmen.

• Art. 5 bis 16 DORA (Verordnung (EU) 2022/2554): IKT-Risikomanagementrahmen, darunter eine Informationssicherheitsleitlinie (Art. 9 Abs. 4 Buchst. a) und die mindestens jährlich überprüfte Klassifizierung der IKT-gestützten Unternehmensfunktionen sowie der Informations- und IKT-Assets (Art. 8 Abs. 1) (Fundstelle: EUR-Lex)
• Delegierte Verordnung (EU) 2024/1774, Art. 2 bis 5: Mindestinhalte der IKT-Sicherheitsrichtlinien, Inventar eingegangener IKT-Restrisiken und Verwaltung der IKT-Assets (Fundstelle: EUR-Lex)
• BaFin-Meldung zur Aufhebung der BAIT (Januar 2025): DORA-Institute seit dem 17. Januar 2025 aus den BAIT ausgenommen, vollständige Aufhebung mit Ablauf des 31. Dezember 2026 (Fundstelle: BaFin)
• § 28 Abs. 6 Nr. 1 BSIG (NIS2-Umsetzung): nimmt DORA-Finanzunternehmen und Unternehmen, für die DORA nach § 1a Abs. 2 und 2a KWG gilt, unter anderem von den BSIG-Pflichten zu Risikomanagementmaßnahmen (§ 30) und Meldungen (§ 32) aus (Fundstelle: gesetze-im-internet.de)

Zum Weiterlesen auf t-nex.de: ISO 27001 und IT-Grundschutz im Vergleich, NIS2 vs. DORA, T-NEX für Informationssicherheit sowie DORA für Finanzunternehmen.