Service
Compliance & Zertifizierung
Wir machen Sie fit fürs Audit und bleiben dabei, bis es abgenommen ist.
Compliance- und Zertifizierungsarbeit bedeutet, die Anforderungen eines Frameworks in Kontrollen zu übersetzen, die in Ihrem Unternehmen tatsächlich laufen, und dann zu belegen, dass sie laufen. Wir ordnen die Anforderungen Ihren Systemen zu, schließen die Lücken, stellen die Belege zusammen und bereiten Ihr Team auf das Assessment vor.
Zur Klarheit über die Rollen: Wir bereiten vor, testen und beraten. Das Zertifikat oder die Attestierung wird von einem unabhängigen Auditor oder einer Zertifizierungsstelle erteilt, nicht von tr3labs. Unsere Aufgabe ist es, dafür zu sorgen, dass bei deren Prüfung alles an seinem Platz ist.
Was wir abdecken
Scoping und Anwendbarkeit
Wir definieren die Systeme, Standorte und Daten im Geltungsbereich, damit das Assessment abdeckt, was zählt, und nichts, was nicht zählt.
Kontrolldesign und Umsetzung
Wir übersetzen jede Anforderung in eine Kontrolle, die innerhalb Ihres Unternehmens läuft und als Nebenprodukt Belege erzeugt.
Evidenzbetrieb
Wir richten ein, wie Belege erfasst, gespeichert und aktualisiert werden, damit das audit-fertige Paket aktuell bleibt, statt in jedem Zyklus neu aufgebaut zu werden.
Lückenbehebung
Wir priorisieren und schließen die durch Zuordnung und Readiness-Checks aufgedeckten Lücken, bevor das formale Assessment beginnt.
Auditor-Liaison
Wir sitzen während der Feldarbeit zwischen Ihrem Team und dem Auditor und bereiten Fragen und Belege so auf, dass Befunde zügig gelöst werden.
Multi-Framework-Abgleich
Wir verwenden gemeinsame Kontrollen über SOC 2, ISO 27001 und PCI DSS hinweg wieder, damit ein einziger Beleg mehrere Frameworks zugleich erfüllen kann.
Standards, nach denen wir arbeiten
Was enthalten ist
- Zuordnung der Framework-Anforderungen zu Ihren Systemen und Prozessen
- Policies, Kontrollen und Verfahren, zugeschnitten darauf, wie Sie tatsächlich arbeiten
- Evidenzsammlung und ein audit-fertiges Evidenzpaket
- Readiness-Checks, bevor das formale Assessment beginnt
- Begleitung durch das Audit selbst, einschließlich Auditor-Fragen und Befunden
- Ein Maßnahmenplan für alles, was das Assessment markiert
Was Sie mitnehmen
- Ein Kontrollprogramm, das das Framework erfüllt und zu Ihrem Unternehmen passt
- Ein Evidenzpaket, das der Auditor zügig durcharbeiten kann
- Ein begleiteter Weg durch das Assessment, statt allein hineinzugehen
So läuft es
Zuordnen
Wir nehmen das Framework, das Sie brauchen, und ordnen jede Anforderung Ihren aktuellen Systemen zu, sodass Sie genau sehen, was vorhanden ist und was fehlt.
Aufbauen
Wir schreiben die Policies, stellen die Kontrollen bereit und richten die Evidenzsammlung ein, damit die Anforderungen in der Praxis erfüllt sind, nicht nur auf dem Papier.
Bereit
Wir führen einen Readiness-Check gegen das Framework durch und beheben, was er aufdeckt, damit das formale Assessment keine Überraschungen bereithält.
Begleiten
Wir arbeiten gemeinsam mit Ihnen und dem Auditor durch das Assessment, bearbeiten Fragen und etwaige Befunde, bis es abgenommen ist.
Wie wir Sie vorbereiten
Der Unterschied liegt darin, ob Kontrollen dafür gebaut sind, zu laufen und sich selbst zu belegen, oder erst zusammengestellt werden, wenn der Auditor eintrifft.
| Ein readiness-geführtes Programm | Direkt ins Audit | |
|---|---|---|
| Kontrollen | Dafür ausgelegt, im Tagesbetrieb zu laufen und dabei Belege zu erzeugen | Dokumentiert, um zu bestehen, dann sich selbst überlassen, sobald das Zertifikat vorliegt |
| Belege | Fortlaufend in ein audit-fertiges Paket gesammelt | In den Wochen vor der Feldarbeit hektisch zusammengetragen |
| Überraschungen | Zuerst in einem Readiness-Check aufgedeckt und behoben | Als Befunde während des formalen Assessments entdeckt |
| Auditor-Zeit | Darauf verwendet, Kontrollen zu testen, die klar vorhanden sind | Darauf verwendet, fehlenden Belegen und Klärungen hinterherzujagen |
| Wiederholungszyklen | Gemeinsame Kontrollen werden ins nächste Framework und Jahr übernommen | Jedes Assessment beginnt nahezu bei null |
Was dies unterstützt
Dieser Service bereitet Sie vor und begleitet Sie hin zu den Frameworks und Attestierungen, die von einem unabhängigen Auditor oder einer Zertifizierungsstelle erteilt werden, nicht von tr3labs.
- SOC 2
- Wir bauen und belegen Kontrollen gegen die SOC 2 Trust Services Criteria, damit der Auditor sie während einer Type-I- oder Type-II-Prüfung testen kann.
- ISO 27001
- Wir ordnen Ihr Informationssicherheits-Managementsystem und die Annex-A-Kontrollen dem Standard zu und bereiten die Belege vor, die eine Zertifizierungsstelle prüft.
- PCI DSS
- Wir bereiten die Kontrollen und Belege über die PCI-DSS-Anforderungen hinweg vor, damit Ihr Assessment der Karteninhaberdaten-Umgebung reibungslos verläuft.
- GDPR
- Wir richten Datenschutzkontrollen und Nachweise an den GDPR-Pflichten aus, damit Sie während eines Assessments Rechenschaft nachweisen können.
- DPDP
- Wir bereiten die Kontrollen und die Dokumentation vor, die nötig sind, um zu zeigen, dass personenbezogene Daten im Einklang mit dem DPDP Act behandelt werden.
FAQ
- Erteilt tr3labs das Zertifikat?
- Nein. Das Zertifikat oder die Attestierung kommt von einem unabhängigen Auditor oder einer Zertifizierungsstelle. Wir bereiten Ihre Kontrollen und Belege vor und begleiten Sie durch deren Assessment, damit Sie vorbereitet hineingehen.
- Welche Frameworks decken Sie ab?
- Üblicherweise SOC 2, ISO 27001 und PCI DSS, dazu Datenschutzregime wie GDPR und DPDP sowie Branchen-Frameworks. Wenn Sie eine spezielle Anforderung haben, sagen wir Ihnen ehrlich, ob sie passt.
- Wie lange dauert die Vorbereitung?
- Das hängt von Ihrem Ausgangspunkt und dem Framework ab. Wir scopen das vorab nach einem Gap-Assessment, statt eine feste Zeitangabe zu nennen, für die wir nicht einstehen können.
Verwandte Services
Weiterführende Artikel
SOC 2 vs. ISO 27001: ein ehrlicher Vergleich als Entscheidungshilfe
Ein verständlicher Leitfaden zu den tatsächlichen Unterschieden zwischen SOC 2 und ISO 27001: was jeder Standard ist, wer welchen verlangt, wie die Prüfungen ablaufen, was Sie am Ende in der Hand halten und ob Sie beides machen sollten.
8 Min. Lesezeit
Was ist ISO 27001? Ein verständlicher Leitfaden zum Informationssicherheitsstandard
Eine klare, jargonfreie Einführung in ISO 27001 für Gründerinnen, Gründer und technische Teams: was ein ISMS ist, die Kapitel 4 bis 10, die Annex-A-Kontrollen der Ausgabe 2022, wie die zweistufige Zertifizierung funktioniert und wie Sie sich vorbereiten.
8 Min. Lesezeit
Was ist SOC-2-Compliance? Ein verständlicher Leitfaden
SOC 2 ohne Fachjargon erklärt: was es ist, die fünf Trust Services Criteria, Type I vs. Type II, wer es benötigt, wie der Prozess abläuft und wie Sie sich vorbereiten.
7 Min. Lesezeit