Service
Eigene & Branchen-Frameworks
Für die Standards, die die üblichen Vorlagen nicht abdecken.
Nicht jede Pflicht lässt sich auf einen bekannten Standard abbilden. Sie können einer Branchenregulierung, einer regionalen Anforderung, dem massgeschneiderten Security-Anhang eines Kunden oder einem internen Standard gegenüberstehen, den Ihr Unternehmen gesetzt hat. Dafür gibt es selten eine fertige Vorlage.
Wir arbeiten die Anforderungen durch, ordnen sie Kontrollen zu, die zu Ihrem Unternehmen passen, und bauen bei Bedarf ein eigenes Framework von Grund auf, damit Sie die Pflicht erfüllen und zeigen können, wie Sie sie erfüllen.
Was wir abdecken
Auslegung der Anforderung
Wir lesen die Regulierung, den Vertragsanhang oder den internen Standard vollständig und übersetzen seine Pflichten in klare, testbare Aussagen.
Kontrolldesign
Wir gestalten Kontrollen, die jede Pflicht erfüllen und zu der Art passen, wie Ihr Unternehmen tatsächlich arbeitet.
Mapping zur Kontrollwiederverwendung
Wir gleichen Pflichten mit Kontrollen ab, die Sie bereits betreiben, damit Sie nur das aufbauen, was wirklich neu ist.
Verfassen von Policies und Verfahren
Wir schreiben die Policies und Verfahren, die jede Pflicht verlangt, in einer Sprache, die an den spezifischen Standard gebunden ist.
Evidenzdefinition
Wir legen fest, welche Evidenz jede Kontrolle erzeugen muss und wer sie verantworten soll.
Anleitung zum Nachweis
Wir bereiten vor, wie Ihr Team dem Regulierer, Kunden oder der Stelle zeigt, dass jede Pflicht erfüllt ist.
Strukturen, auf die wir zurückgreifen
Was enthalten ist
- Analyse branchenbezogener, regionaler oder vertraglicher Anforderungen
- Ein massgeschneidertes Kontrollframework, zugeordnet zu Ihrem Unternehmen
- Wiederverwendung bestehender Kontrollen, wo sie eine Anforderung bereits erfüllen
- Policies und Verfahren, geschrieben für den spezifischen Standard
- Evidenzanforderungen je Pflicht definiert
- Anleitung, Compliance gegenüber der relevanten Partei nachzuweisen
Was Sie mitnehmen
- Ein Kontrollframework, das zu einer Pflicht ohne Standardvorlage passt
- Bestehende Kontrollen wiederverwendet statt dupliziert
- Ein klarer Weg, Compliance gegenüber jedem Nachfragenden nachzuweisen
So läuft es
Auslegen
Wir arbeiten die Anforderung durch, ob Regulierung, Vertragsanhang oder interner Standard, und übersetzen sie in konkrete Kontrollen.
Zuordnen
Wir prüfen, was Ihre bestehenden Kontrollen bereits erfüllen, damit Sie auf Vorhandenem aufbauen, statt es zu duplizieren.
Aufbauen
Wir erstellen die Kontrollen, Policies und Evidenzanforderungen, die der Standard braucht, zugeschnitten darauf, wie Sie arbeiten.
Nachweisen
Wir legen dar, wie Sie Compliance gegenüber dem Regulierer, Kunden oder der Stelle zeigen, die danach fragt.
Wie wir vorgehen
Es gibt mehr als einen Weg, eine Pflicht zu erfüllen, für die es keine fertige Vorlage gibt.
| Ein massgeschneidertes Framework, abgebildet auf Ihre Kontrollen | Eine generische Vorlage, zurechtgebogen | |
|---|---|---|
| Ausgangspunkt | Der tatsächliche Wortlaut Ihrer Pflicht | Ein Standard, den jemand anderes für einen anderen Zweck geschrieben hat |
| Bestehende Kontrollen | Wiederverwendet, wo sie eine Anforderung bereits erfüllen | Dupliziert oder ignoriert |
| Passung zum Unternehmen | Kontrollen, geformt nach Ihrer Arbeitsweise | Prozesse, verbogen, um zur Vorlage zu passen |
| Evidenz | Je Pflicht definiert | Aus den Standardannahmen der Vorlage übernommen |
| Nachweis | Eine klare Linie von Kontrolle zu Pflicht | Eine Lücke, die der Regulierer oder Kunde überbrücken muss |
Was dies unterstützt
Ein eigenes Framework wird für seine eigene Pflicht gebaut, und wir bilden es auf die anerkannten Standards ab, die Sie vielleicht bereits halten oder anstreben, damit die Arbeit wiederverwendet statt wiederholt wird.
- ISO 27001
- Wir verwenden Annex-A-Kontrollen wieder, die Sie bereits betreiben, und bilden die eigene Pflicht auf sie ab.
- NIST CSF
- Wir richten massgeschneiderte Kontrollen an den Funktionen Identify, Protect, Detect, Respond und Recover aus, wo dies hilft, das Framework zu strukturieren.
- HIPAA
- Wir legen die administrativen, physischen und technischen Schutzmassnahmen in Kontrollen aus, die zu Ihren Systemen passen.
- GDPR
- Wir übersetzen Datenschutzpflichten in Kontrollen und die Evidenz, die nötig ist, um sie zu zeigen.
- DPDP
- Wir bilden die Pflichten des indischen Digital Personal Data Protection auf Kontrollen ab, die zu Ihrer Verarbeitung passen.
FAQ
- Was gilt als eigenes Framework?
- Alles ohne weit verbreitete Vorlage: eine Branchenregulierung, eine regionale Datenanforderung, der massgeschneiderte Security-Anhang eines Kunden oder ein interner Standard, den Ihr Unternehmen definiert hat.
- Können Sie ein eigenes Framework auf solche abbilden, die wir bereits halten?
- Ja. Wo Sie bereits SOC 2- oder ISO 27001-Kontrollen erfüllen, ordnen wir diese hinüber, damit Sie die Arbeit wiederverwenden und nur das aufbauen, was wirklich neu ist.
- Beraten Sie, wenn wir unsicher sind, welcher Standard gilt?
- Ja. Teil der Arbeit ist, die Pflicht ehrlich auszulegen und Ihnen zu sagen, was sie verlangt und was nicht, bevor irgendwelche Kontrollen gebaut werden.
Verwandte Services
Weiterführende Artikel
Die OWASP LLM Top 10, erklärt: Ein verständlicher Leitfaden für Teams, die KI-Funktionen ausliefern
Ein klarer, praxisnaher Durchgang durch die OWASP Top 10 der Risiken für Anwendungen mit großen Sprachmodellen, mit einer verständlichen Beschreibung und einer konkreten Gegenmaßnahme für jedes Risiko, gerichtet an Teams, die zum ersten Mal KI-Funktionen hinzufügen.
9 Min. Lesezeit
Wie Sie einen Penetrationstest-Bericht (VAPT) lesen: ein verständlicher Leitfaden für Teams
Eine praxisnahe Erläuterung, was in einen Penetrationstest-Bericht gehört, Abschnitt für Abschnitt, damit Gründerinnen und Gründer sowie Engineering-Teams ihn souverän lesen und auf seiner Grundlage handeln können.
8 Min. Lesezeit
SOC 2 vs. ISO 27001: ein ehrlicher Vergleich als Entscheidungshilfe
Ein verständlicher Leitfaden zu den tatsächlichen Unterschieden zwischen SOC 2 und ISO 27001: was jeder Standard ist, wer welchen verlangt, wie die Prüfungen ablaufen, was Sie am Ende in der Hand halten und ob Sie beides machen sollten.
8 Min. Lesezeit