Plattformüberblick
Verstehe das gemeinsame Datenmodell, Framework-Mappings, Domänen-Linsen und die Vererbung zwischen Geltungsbereichen.
KaitoSec verbindet die Arbeit an Informationssicherheit, Business Continuity und Datenschutz in einem gemeinsamen Datenmodell. Assets, Anforderungen, Risiken, Maßnahmen, Nachweise und Feststellungen bleiben miteinander verknüpft, auch wenn du sie aus unterschiedlichen fachlichen Perspektiven bearbeitest.
Arbeitsmodell der Plattform
| Ziel | Arbeitsbereich | Zentrales Ergebnis |
|---|---|---|
| Bestand und Schutzbedarf aufbauen | /assets, /asset-map, /scopes | Bewertete Assets im richtigen Geltungsbereich |
| Anforderungen und SoA steuern | /requirements, /catalog-matrix | Begründete Anwendbarkeit und Abdeckung |
| Risiken bewerten und behandeln | /risks, /threats | Priorisierte Risiken mit Behandlung und Restrisiko |
| Wirksamkeit überwachen | /monitoring | Kennzahlen, Prüfergebnisse und Feststellungen |
| Verbesserungen umsetzen | /improvements, /improvements/reviews | Verantwortete Maßnahmen mit Wirksamkeitsprüfung |
Für eine geführte Reihenfolge nutze die fünf PDCA-Abläufe.
Framework-übergreifendes Mapping
Die Katalogmatrix zeigt Beziehungen zwischen Anforderungen verschiedener Frameworks, zum Beispiel ISO 27001, BSI IT-Grundschutz und NIS2. Eine Maßnahme kann dadurch mehrere Anforderungen unterstützen: einmal wirksam umsetzen, mehrfach nachweisen.
Ein Mapping ist noch kein Erfüllungsnachweis. Prüfe für jede Zuordnung, ob Geltungsbereich, Prüftiefe und geforderte Nachweise wirklich übereinstimmen.
| Prüffrage | Gute Entscheidung |
|---|---|
| Beschreiben beide Anforderungen dasselbe Schutzziel? | Gemeinsame Maßnahme und gemeinsame Nachweise verwenden. |
| Unterscheiden sich Detailtiefe oder Scope? | Zusätzliche Umsetzung oder ergänzenden Nachweis planen. |
| Bleibt nach dem Mapping eine Lücke? | Verantwortliche Person und Maßnahme zuweisen. |
Öffne /catalog-matrix für die Zuordnungen oder lies die Funktionsbeschreibung der Katalogmatrix.
Domänen-Linsen
Die Domänen ISMS, BCMS und DPMS sind fachliche Perspektiven auf dieselben Objekte. Der Wechsel der Linse soll keine Kopien erzeugen, sondern relevante Attribute und Zusammenhänge hervorheben.
| Linse | Typische Sicht auf ein Asset |
|---|---|
| ISMS | Vertraulichkeit, Integrität, Verfügbarkeit, Anforderungen und Risiken |
| BCMS | Kritische Prozesse, Wiederanlaufziele wie RTO/RPO und Abhängigkeiten |
| DPMS | Personenbezug, Datenkategorien, Rechtsgrundlagen und DSFA-Bezug |
Pflege gemeinsame Angaben wie Name, Verantwortlichkeit und Abhängigkeiten einmal. Ergänze domänenspezifische Angaben nur dort, wo sie fachlich erforderlich sind. Mehr dazu findest du unter Bereichsfilter und Domänen-Linsen.
Scope-Vererbung
Geltungsbereiche können hierarchisch organisiert werden. Ein übergeordneter Scope stellt die gemeinsame Grundlage bereit; Kind-Scopes konkretisieren sie für einen Standort, eine Gesellschaft, einen Dienst oder einen anderen Teilbereich.
| Vom Eltern-Scope übernommen | Im Kind-Scope eigenständig |
|---|---|
| Gemeinsame Richtlinien und Anforderungen | Asset-Inventar und lokale Verantwortlichkeiten |
| Controls und Katalogauswahl | Lokale Risiken, Maßnahmen und Nachweise |
| Risikomethodik und zentrale Leitplanken | Zusätzliche Controls für den lokalen Kontext |
Ein Kind-Scope darf die gemeinsame Grundlage ergänzen, aber nicht stillschweigend abschwächen. Prüfe geerbte Einträge im lokalen Kontext und dokumentiere Abweichungen als bewusste Entscheidung. Grundlagen zum Zuschnitt findest du unter Geltungsbereiche.
Täglicher Arbeitsrhythmus
- Prüfe auf Dashboard und Verantwortlichen-Seite, welche Entscheidungen fällig sind.
- Bearbeite die Objekte des aktiven PDCA-Ablaufs.
- Pflege Verantwortlichkeit, Termin, Status und Begründung direkt am Objekt.
- Verknüpfe Anforderungen, Risiken, Maßnahmen und Nachweise statt parallele Listen zu führen.
- Überführe bestätigten Handlungsbedarf in eine Verbesserung und prüfe später ihre Wirksamkeit.
Qualitätsmaßstab
Das Arbeitsmodell ist tragfähig, wenn dieselbe fachliche Entscheidung über Scope-, Domänen- und Framework-Sichten hinweg nachvollziehbar bleibt und nicht mehrfach widersprüchlich gepflegt wird.