GRC: Artikel und Leitfäden.
Alle CloudSoul-Artikel zu diesem Thema, die neuesten zuerst.
So beantworten Sie einen Sicherheitsfragebogen Ihres Kunden: CAIQ, SIG, VSA und die drei Fragen dahinter
Beantworten Sie die drei Fragen hinter jeder Zeile einmal, aus einer nach Controls geordneten Bibliothek. Ein CAIQ mit rund 260 Fragen dauert dann 2 bis 4 Tage statt 2 bis 3 Wochen. Die Formate, warum Widersprüche Aufträge kosten, was ISO 27001 abdeckt und was Sie zurückfragen.
ISO 27001 vs. NIS2: wie sich beide aufeinander abbilden lassen und wie Sie beides nur einmal umsetzen
Ein ISO-27001-ISMS deckt rund 70 bis 80 % von Artikel 21 NIS2 ab: fünf der zehn Maßnahmen vollständig, fünf teilweise. Die Zuordnungstabelle, wo „teilweise“ wehtut, die fünf NIS2-Pflichten, die kein ISMS enthält, und wie Sie beides als ein Programm führen.
Internes Audit und Managementbewertung nach ISO 27001: was die Abschnitte 9.2 und 9.3 verlangen, wie häufig und was Auditoren prüfen
ISO 27001 verlangt interne Audits (9.2) und Managementbewertungen (9.3) in geplanten Abständen. Eine Frequenz ist nicht festgelegt, doch jeder Zertifizierungsbesuch prüft beides, in der Praxis also mindestens jährlich. Anforderungen, sieben Eingaben, typische Feststellungen.
ISO 27001 Anhang A: die 93 Controls in 4 Themen, gruppiert danach, wie Sie sie tatsächlich umsetzen
Anhang A der ISO 27001:2022 enthält 93 Controls in vier Themen: organisatorisch (37), personenbezogen (8), physisch (14) und technologisch (34), davon 11 neu. Die vollständige Liste, die Änderungen seit 2013 und eine Gruppierung nach der Arbeit, die jedes Control verlangt.
ISO-27001-Geltungsbereich und Erklärung zur Anwendbarkeit: So formulieren Sie beide
Der ISO-27001-Geltungsbereich ist die Grenze Ihres Managementsystems und steht auf dem Zertifikat. Die Erklärung zur Anwendbarkeit listet alle 93 Controls aus Anhang A und ist die Grundlage des Audits. So ziehen Sie die Grenze, begründen Ausschlüsse und halten beides aktuell.
NIS2 Artikel 28: Pflichten zu Domänennamen-Registrierungsdaten (WHOIS) für Register und Registrare
Artikel 28 NIS2: TLD-Namenregister, Registrare und Reseller müssen genaue, vollständige Registrierungsdaten führen und prüfen, nicht personenbezogene Daten veröffentlichen und Zugangsanträge binnen 72 Stunden beantworten. Anwendungsbereich, Datenfelder, DSGVO und Prüfliste.
NIS2 in Deutschland: was das NIS2UmsuCG und das neue BSIG verlangen, wer betroffen ist und welche Fristen beim BSI gelten
NIS2 gilt in Deutschland seit dem 6. Dezember 2025 über das NIS2UmsuCG und ein neues BSIG. Wer nach § 28 betroffen ist, die abgelaufene Registrierungsfrist (§ 33), Meldungen (§ 32), Maßnahmen (§ 30), Pflichten der Geschäftsleitung (§ 38) und Bußgelder (§ 65), NIS2 zugeordnet.
NIS2-Schulungspflicht: wer geschult werden muss, worin und wie oft
NIS2 verpflichtet die Mitglieder des Leitungsorgans zu Cybersicherheitsschulungen und macht Schulungen der Beschäftigten zur Mindestmaßnahme. Stunden, Zertifikat oder zugelassene Anbieter legt sie nicht fest. Rechtslage, Durchführungsregeln, Schulungsplan und Nachweisvorlage.
NIS2 in Belgien: was das Gesetz vom 26. April 2024 verlangt, wer darunter fällt und die Fristen des CCB
Das belgische NIS2-Gesetz vom 26. April 2024 gilt seit dem 18. Oktober 2024, nationale Behörde ist das CCB. Anwendungsbereich, Registrierung auf Safeonweb@work, Meldung von Sicherheitsvorfällen, Wege über CyberFundamentals und ISO 27001, Fristen 2026 und 2027 und Geldbußen.
NIS2-Zuständigkeit: Welcher Mitgliedstaat Sie beaufsichtigt und wie die Regel der Hauptniederlassung funktioniert
Nach NIS2 beaufsichtigt Sie der Mitgliedstaat Ihrer Niederlassung. Telekomanbieter unterstehen jedem Land, das sie bedienen, Cloud-Anbieter, MSP und andere digitale Anbieter dem Land ihrer Hauptniederlassung. Regeln, Hauptniederlassung, Nicht-EU-Anbieter, Amtshilfe, Konzerne.
NIS2 im Finanzsektor: Wann DORA stattdessen gilt und welche Rolle CER spielt
Im Finanzsektor nennt NIS2 nur Banken, Handelsplätze und zentrale Gegenparteien; selbst dort ersetzt DORA die NIS2-Regeln zu Risiko und Meldung. Versicherer, Wertpapierfirmen, Zahlungsinstitute und Fondsverwalter: nur DORA. Wer was befolgt, DORA-Fristen und die Rolle von CER.
DSGVO und NIS2: der Unterschied, die Überschneidungen und wie Sie einen Vorfall nach beiden Gesetzen behandeln
Die DSGVO schützt personenbezogene Daten, NIS2 die Systeme hinter wesentlichen und wichtigen Diensten. Ein Vorfall kann beides auslösen: NIS2-Frühwarnung binnen 24 Stunden, DSGVO-Meldung binnen 72 Stunden. Vergleichstabelle, Bußgelder, Praxisbeispiel und gemeinsames Playbook.
Wer setzt NIS2 durch? Zuständige Behörden, CSIRTs und die EU-Stellen dahinter
NIS2 wird von nationalen zuständigen Behörden durchgesetzt; Meldungen gehen an ein nationales CSIRT oder die Behörde. Was jede nationale und EU-Stelle tut, mit welchen ein Unternehmen zu tun hat, wie Sie Ihre finden und was der Vorschlag von 2026 für die ENISA ändern würde.
Bußgelder und Strafen nach NIS2: wie hoch, wofür und was Behörden sonst noch tun können
Bei Verstößen gegen Art. 21 oder 23 muss das nationale Recht NIS2-Geldbußen mit einem Höchstbetrag von mindestens 10 Mio. EUR oder 2 % des Weltumsatzes (wesentliche) und 7 Mio. EUR oder 1,4 % (wichtige Einrichtungen) vorsehen. Auslöser, Konzernumsatz, DSGVO, Befugnisse, Haftung.
Wesentliche und wichtige Einrichtungen nach NIS2: wie Sie eingestuft werden und was sich für Sie ändert
Große Einrichtungen aus Anhang I und einige benannte Kategorien sind wesentlich; andere erfasste Einrichtungen aus Anhang I und II sind wichtig. Für beide gelten dieselben Artikel 20, 21 und 23. Aufsicht, Durchsetzung und Bußgelder unterscheiden sich. Einstufung und Folgen.
Pflichten der Geschäftsleitung und des Vorstands nach NIS2: was Artikel 20 verlangt und wann Geschäftsleiter haftbar gemacht werden können
Nach Artikel 20 NIS2 billigt das Leitungsorgan die Maßnahmen nach Artikel 21, überwacht ihre Umsetzung und kann verantwortlich gemacht werden; seine Mitglieder müssen an Schulungen teilnehmen. Die Pflichten, Delegation, Haftung und eine Vorlage für den Vorstand.
NIS2 Artikel 21: Die 10 Risikomanagementmaßnahmen im Bereich der Cybersicherheit erklärt
Artikel 21 NIS2 verlangt geeignete und verhältnismäßige Maßnahmen gegen Cybersicherheitsrisiken auf Basis eines gefahrenübergreifenden Ansatzes und nennt zehn Mindestmaßnahmen. Was jede praktisch bedeutet, was verhältnismäßig heißt und welche Nachweise eine Behörde verlangt.
NIS2-Anwendungsbereich: Gilt NIS2 für Ihr Unternehmen? Die Prüfung in vier Schritten
NIS2 gilt für Einrichtungen einer Art aus Anhang I oder II, die mindestens mittlere Unternehmen und in der EU tätig sind, und für eine kurze Liste größenunabhängig erfasster Einrichtungen. Vier Prüfschritte, eine Entscheidungstabelle, Größenregeln, Ausnahmen und Registrierung.
NIS2-Compliance: welche Anforderungen die Richtlinie stellt, wer betroffen ist und wo Sie anfangen
NIS2 gilt ab mittlerer Größe in 18 Sektoren. Die Anforderungen: Registrierung, Billigung und Schulung der Leitung, zehn Mindestmaßnahmen zur Sicherheit, Meldung von Vorfällen binnen 24 Stunden. Wer betroffen ist, jede Pflicht, Bußgelder, nationale Gesetze und ein 90-Tage-Plan.