Risikomanagement
Risiken erfassen, bewerten und in einem Risikoregister steuern, das Geschäftsleitung und Auditor lesen können.
·FÜNF LEISTUNGSBAUSTEINE
Compliance, die steuerbar wird
Wir verbinden ISO 27001, NIS 2, DSGVO, EU AI Act und Risikomanagement zu einem klaren Programm aus Maßnahmen, Kontrollen und Nachweisen.
ISO 27001
Aufbau eines ISMS nach ISO 27001 bis zur Zertifizierungsreife, Begleitung im Audit durch eine akkreditierte Zertifizierungsstelle.
NIS 2
Betroffenheit klären, Pflichten aus § 30 BSIG umsetzen und nachweisbar dokumentieren, für besonders wichtige und wichtige Einrichtungen.
DSGVO
DSGVO-Konformität herstellen und halten. Datenschutzprozesse optimieren, regulatorische Risiken senken.
EU AI Act
KI-Anwendungen nach EU AI Act einstufen, Pflichten je Risikoklasse umsetzen und dokumentieren.
Wir leben, was wir beraten GermanAI Defense ist seit Mai 2026 selbst nach ISO/IEC 27001:2022 zertifiziert, geprüft durch die akkreditierte Zertifizierungsstelle A-Mark Ratings Limited (Zertifikat-Nr. 26052601, gültig bis 25.05.2029). Mehr zu Sicherheit & Compliance →
·EIN MANAGEMENTSYSTEM
Vier Regelwerke, ein Kontrollsystem
ISO 27001, NIS 2, DSGVO und EU AI Act verlangen vieles doppelt: Risikoanalyse, Zugriffsregeln, Vorfallprozesse, Schulung. Wir bauen dafür ein gemeinsames ISMS auf. Jede Kontrolle wird einmal umgesetzt und allen Regelwerken zugeordnet, die sie verlangen.
- ISMS
- Informationssicherheits-Managementsystem: feste Rollen, Richtlinien und Abläufe, mit denen ein Unternehmen seine Informationsrisiken steuert und regelmäßig überprüft.
- Kontrolle
- Eine konkrete Vorgabe mit Verantwortlichem, zum Beispiel: Administratorrechte werden jedes Quartal überprüft.
- Nachweis
- Der Beleg, dass die Kontrolle wirkt, etwa ein Prüfprotokoll. Ein Nachweis kann für mehrere Regelwerke gelten.
Vereinfachte Darstellung. Beim EU AI Act hängen die Pflichten von der Rolle im Unternehmen und der Risikoklasse des KI-Systems ab.
·PFLICHTEN IM ÜBERBLICK
Wer betroffen ist und was gilt
Die vier Regelwerke kurz: für wen sie gelten, was sie verlangen und was wir beitragen. Wählen Sie ein Regelwerk.
ISO 27001
Internationale Norm, freiwilligInformationssicherheit nachweisbar steuern und zertifizieren lassen.
- Freiwillig
- Zertifikat drei Jahre gültig
- Jährliches Überwachungsaudit
- Für wen
- Jede Organisation, die Informationssicherheit nachweisbar steuern will. Kunden und Ausschreibungen verlangen das Zertifikat häufig.
- Was es verlangt
- Ein ISMS mit Risikobewertung, passenden Kontrollen aus Anhang A und laufender Verbesserung. Das Zertifikat vergibt eine akkreditierte Zertifizierungsstelle.
- Was wir tun
- ISMS bis zur Zertifizierungsreife aufbauen und Sie im Audit begleiten. Zur ISO 27001 Beratung →
NIS 2
EU-Richtlinie, in Deutschland im BSIGPflichten zur Cybersicherheit für Unternehmen in bestimmten Sektoren.
- Registrierung beim BSI
- Meldung in 24 h, 72 h, 1 Monat
- Schulung der Geschäftsleitung (§ 38 BSIG)
- Für wen
- Unternehmen in bestimmten Sektoren, etwa Energie, Gesundheit, Transport, digitale Infrastruktur und Teile der Industrie. In der Regel ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz und Bilanzsumme.
- Was es verlangt
- Risikomanagement nach § 30 BSIG und Meldung erheblicher Vorfälle in drei Stufen. Die Geschäftsleitung billigt die Maßnahmen, überwacht sie und muss regelmäßig an Schulungen teilnehmen.
- Was wir tun
- Betroffenheit prüfen, Registrierung vorbereiten, Maßnahmen und Meldeweg aufsetzen, die Geschäftsleitung schulen. Zur NIS-2-Beratung →
DSGVO
EU-Verordnung, seit 25. Mai 2018Schutz personenbezogener Daten, gilt für praktisch jedes Unternehmen.
- Seit 25. Mai 2018
- Datenpanne: Meldung unverzüglich, möglichst binnen 72 h (Art. 33)
- Für wen
- Jedes Unternehmen, das personenbezogene Daten verarbeitet.
- Was es verlangt
- Eine Rechtsgrundlage je Verarbeitung, ein Verzeichnis der Verarbeitungstätigkeiten sowie technische und organisatorische Maßnahmen zum Schutz der Daten (Art. 32).
- Was wir tun
- Datenschutz und Informationssicherheit in einem Maßnahmenkatalog zusammenführen und dokumentieren.
EU AI Act
EU-Verordnung, gilt gestaffeltRegeln für KI-Systeme, abgestuft nach Risikoklasse.
- KI-Kompetenz (Art. 4) seit 2. Februar 2025, geändert Juli 2026
- Hochrisiko-Pflichten durch den Digital Omnibus verschoben
- Für wen
- Anbieter, Betreiber, Einführer und Händler von KI-Systemen, die in der EU eingesetzt oder angeboten werden. Betreiber sind Sie bereits, wenn Ihr Unternehmen KI im eigenen Betrieb einsetzt.
- Was es verlangt
- Maßnahmen, die die KI-Kompetenz der Beschäftigten fördern (Art. 4, seit Juli 2026 in geänderter Fassung), und das Verbot bestimmter Praktiken. Weitere Pflichten hängen von der Risikoklasse ab. Für Hochrisiko-KI gelten sie nach dem Digital Omnibus voraussichtlich ab Dezember 2027, für KI in regulierten Produkten ab August 2028.
- Was wir tun
- KI-Anwendungen erfassen und einstufen, Pflichten je Klasse umsetzen, KI-Kompetenz über die GAD Academy schulen.
Auch im Programm: IT-Grundschutz des BSI, etwa für Behörden oder als Grundlage für KRITIS-Nachweise, sowie DORA für Finanzunternehmen.
Stand: September 2026. Die Übersicht erklärt die Grundzüge und ersetzt keine Rechtsberatung im Einzelfall. Ob und wie Ihr Unternehmen betroffen ist, klären wir in der Gap-Analyse.
·ERGEBNISSE
Was Sie am Ende in der Hand haben
Jedes GRC-Projekt endet mit Unterlagen, die Ihr Team selbst weiterführen kann und die ein Auditor prüfen kann.
- 01
Gap-Analyse
Ihr Ist-Stand im Abgleich mit den Anforderungen der Regelwerke, jede Lücke mit Priorität.
- 02
Risikoregister
Alle Informationsrisiken mit Bewertung, Verantwortlichem und geplanter Maßnahme.
- 03
Richtlinien
Leitlinie zur Informationssicherheit und Fachrichtlinien, von der Geschäftsleitung freigegeben.
- 04
Maßnahmenplan
Wer setzt was bis wann um, sortiert nach Risiko und Aufwand.
- 05
Nachweismappe
Anwendbarkeitserklärung (welche ISO-Kontrollen gelten und warum), Verzeichnis der Verarbeitungstätigkeiten, Schulungs- und Prüfnachweise, geordnet nach Regelwerk.
- 06
Audit-Begleitung
Internes Audit vorab, danach Vorbereitung und Begleitung im Audit der Zertifizierungsstelle.
·BUSINESS CONTINUITY · BCM
Wenn der Ernstfall eintritt, bleibt der Betrieb handlungsfähig
Für NIS-2-Einrichtungen ist Business Continuity Pflicht (§ 30 Abs. 2 Nr. 3 BSIG), ISO 27001 sieht sie in den Kontrollen A.5.29 und A.5.30 vor, ISO 22301 liefert den Rahmen. Wir bauen das BCM-Framework auf, identifizieren kritische Prozesse, üben den Krisenfall und steuern die Wiederanlauf-Sequenz, bis sie sitzt.
Rahmenwerk & Steuerung
BCM-Framework aufbauen, Policies und Governance-Strukturen verankern, wiederkehrende Compliance-Aktivitäten steuern.
Folgenanalyse & Risiko
Kritische Geschäftsprozesse identifizieren, Ausfallfolgen bewerten (BIA) und festlegen, wie lange ein Prozess stillstehen darf (RTO) und wie viel Datenverlust tragbar ist (RPO).
Notfallwiederherstellung & Wiederanlauf
Wiederanlauf-Pläne schreiben, Reihenfolge des Hochfahrens festlegen, regelmäßig testen und nachschärfen.
Krisenmanagement
Krisenstab benennen und trainieren, Übungen und BCM-Tests planen, Erkenntnisse in den Regelbetrieb übernehmen.
·VORGEHEN
Von der Gap-Analyse bis zum auditfähigen Betrieb
Fünf Phasen, in denen Frameworks, Risiken, Kontrollen, Nachweise und Audit gemeinsam gedacht werden.
- 01
Gap-Analyse
Frameworks, Reifegrad, Lücken und Risiken systematisch erheben
- 02
Zielbild
Scope, Compliance-Ziele und Roadmap definieren
- 03
Maßnahmen
Kontrollen, Prozesse, Dokumentation und technische Schutzmaßnahmen umsetzen
- 04
Nachweise
Risikoregister, Verzeichnis der Verarbeitungstätigkeiten (VVT), Anwendbarkeitserklärung (Statement of Applicability: welche ISO-Kontrollen gelten und warum) und Audit-Trail bereitstellen
- 05
Audit & Betrieb
Internes Audit, Begleitung der Zertifizierung und kontinuierliche Verbesserung
Start: Gap-Analyse Ihres Ist-StandsErgebnis: auditfähiger Betrieb
Für die operative Umsetzung kann Cybersecurity ergänzend angebunden werden, vom 24/7 SOC bis zur Penetration-Testing-Begleitung.
Cybersecurity ansehen →Fragen zu GRC? Antworten
Was bedeutet GRC?
GRC steht für Governance, Risk und Compliance, auf Deutsch Unternehmensführung, Risikomanagement und Regeltreue. Gemeint ist ein gemeinsames Steuerungssystem: Vorgaben, Risiken, Kontrollen und Nachweise laufen an einer Stelle zusammen, statt in getrennten Projekten je Regelwerk.
Wie hängen GRC und ISO 27001 zusammen?
ISO 27001 beschreibt das Informationssicherheits-Managementsystem (ISMS) und liefert damit das Gerüst für GRC: Risikobewertung, Kontrollen aus Anhang A, Anwendbarkeitserklärung und interne Audits. Mit denselben Kontrollen und Nachweisen lassen sich viele Anforderungen aus NIS 2 und die technischen und organisatorischen Maßnahmen der DSGVO belegen.
Ist GRC eine Software oder eine Beratungsleistung?
Der Begriff wird für beides verwendet. Unsere Leistung ist Beratung und Umsetzung, keine Softwarelizenz: Gap-Analyse, Risikoregister, Richtlinien, Maßnahmenplan, Nachweismappe und Audit-Begleitung. Eine GRC-Software verwaltet Risiken und Kontrollen. Welche Kontrollen für Ihre Organisation gelten und wie sie nachgewiesen werden, legt das Programm fest.
Welche Rolle spielt KI im GRC?
KI ist im GRC zuerst Prüfgegenstand. Der EU AI Act verlangt, KI-Anwendungen zu erfassen, nach Risikoklasse einzustufen und die Pflichten je Klasse zu dokumentieren. Wir übernehmen Erfassung, Einstufung und Umsetzung und schulen die KI-Kompetenz der Beschäftigten über die GAD Academy.
Womit beginnt ein GRC-Programm?
Mit der Gap-Analyse. Wir erheben Frameworks, Reifegrad, Lücken und Risiken Ihres Ist-Stands. Daraus entstehen Zielbild und Roadmap, danach folgen Maßnahmen, Nachweise sowie Audit und Betrieb.