Ausgangslage
Wer als Sicherheitsberatung mehrere Mandate führt, kennt das Muster. Ein Kunde braucht die NIS-2-Risikomanagementmaßnahmen, ein zweiter bereitet die ISO-27001-Zertifizierung vor, ein dritter den Grundschutz-Check. Die Fragen dahinter überschneiden sich zu großen Teilen – Zugriffsrechte, Mehr-Faktor-Anmeldung, Datensicherung, Vorfallbehandlung –, werden aber für jedes Rahmenwerk in einer eigenen Tabelle neu gestellt.
Die eigentliche Arbeit liegt dazwischen: Fragen an die richtigen Personen beim Kunden verteilen, Nachweise per E-Mail anfordern und nachhalten, Versionen abgleichen, Stände für Geschäftsleitung und Auditor zusammentragen. Davon ist wenig Beratung und viel Koordination. KI könnte einen Teil der Schreib- und Prüfarbeit übernehmen, scheidet aber aus, solange niemand sagen kann, wohin die Daten des Kunden gehen.
Diese Lage haben wir in Gesprächen mit Beratungen immer wieder gehört. Wir haben eine Plattform dafür als eigene Entwicklung gebaut – mit den Anforderungen, die eine Beratung an ein Werkzeug für ihre Kunden stellt:
- Ein Arbeitsraum je Kunde, in dem Beratung und Kunde gemeinsam arbeiten – im Auftritt der Beratung
- Eine Antwort zählt für jedes Rahmenwerk, auf das sie zutrifft
- Nachweise mit Frist, Zuständigkeit und Freigabe statt E-Mail-Anhängen
- KI nur mit Zustimmung des Kunden, nachvollziehbar gekennzeichnet und nie ohne menschliche Entscheidung
- Lückenlose Nachvollziehbarkeit und ein geregeltes Vertragsende
Lösung
Die Plattform hat drei Ebenen: die Beratung, ihre Kunden und je Kunde einen eigenen, strikt getrennten Arbeitsraum. Name, Logo, Farben, E-Mail-Absender, eigene Domain und die Anmeldung über Microsoft Entra ID legt die Beratung selbst fest; Anmeldeseite, E-Mails, Berichte und Lieferantenfragebogen erscheinen in ihrem Auftritt. Die Übersicht der Beratung ordnet alle Kunden nach Handlungsbedarf: Fortschritt, überfällige Aufgaben, offene Freigaben und das nächste Audit.
Kern ist eine Maßnahmenbibliothek mit 49 Maßnahmen in 13 Bereichen. Der Kunde beantwortet jede Maßnahme einmal; über hinterlegte Zuordnungen zählt sie für die NIS-2-Risikomanagementmaßnahmen, für ISO/IEC 27001 Anhang A mit der Erklärung zur Anwendbarkeit und für den BSI-Grundschutz++. Im ISO-Arbeitsschritt steht bei A.5.15 dann der Hinweis, dass die Anforderung durch die Maßnahme „Regeln für den Zugriff“ abgedeckt ist, und die Umsetzungsfrage wird dort optional. Abdeckung entsteht erst, wenn die Beratung den Bereich freigegeben hat. Die Zuordnungen kann die Beratung selbst erweitern, auf Wunsch mit Vorschlägen der KI.
Fünfzehn zweisprachige Methoden decken die Rahmenwerke ab: NIS-2 von der Betroffenheitsprüfung über die Maßnahmen bis zur Meldebereitschaft, ISO/IEC 27001 mit Managementsystem und Anhang A, BSI-Grundschutz++, DORA, die DSGVO mit Verarbeitungsverzeichnis, Datenschutz-Folgenabschätzung und Betroffenenanfragen, die KI-Verordnung, der Cyber Resilience Act, ISO 22301 und ein Lieferanten-Sicherheitsfragebogen. Eine Beratung passt jede Methode einmal als eigene Vorlage an und startet sie dann für jeden Kunden; eigene Methoden kann sie ergänzen.
Die Beratung weist Arbeitsschritte und einzelne Fragen Personen beim Kunden zu, jeweils mit Frist. Nachweise werden gezielt angefordert, hochgeladen, versioniert und von der Beratung angenommen oder zurückgegeben; jeder Arbeitsschritt wird nach dem Vier-Augen-Prinzip freigegeben. Jede Person sieht unter „Meine Aufgaben“, was von ihr erwartet wird, Kommentare mit Erwähnungen ersetzen den E-Mail-Verlauf, und Benachrichtigungen kommen sofort oder als tägliche Zusammenfassung. Berichte wie der NIS-2-Maßnahmenbericht oder die Erklärung zur Anwendbarkeit entstehen als PDF aus den aktuellen Daten.
KI-Unterstützung ist ausgeschaltet, bis die Administration des Kunden zugestimmt und die Beratung sie eingeschaltet hat. Dann entwirft sie aus den Antworten die Anmerkung zu einer Maßnahme, prüft einen hochgeladenen Nachweis gegen die Anforderung und schlägt Zuordnungen vor. Jede Ausgabe ist als KI-Entwurf oder KI-Hinweis gekennzeichnet, nennt Modell und Auftraggeber und gilt erst, wenn eine Person sie annimmt; personenbezogene Angaben werden nicht gesendet oder durch Platzhalter ersetzt. Das Sprachmodell stammt von einem europäischen Anbieter und wird über dessen EU-Schnittstelle genutzt, mit einem Monatsbudget je Beratung.
Jede Änderung, jede Freigabe und jeder Dokumenten-Download landet in einem Audit-Log, das sich nachträglich nicht ändern lässt. Rollen für Beratung und Kunde, bis hin zum lesenden Zugang für Auditoren, begrenzen, wer was sieht. Kunden zeigen ihren Stand auf einer eigenen Trust-Seite, Lieferanten beantworten ihren Fragebogen ohne Konto. Aus Microsoft Entra ID kommen Nachweise wie MFA-Registrierung und Conditional Access täglich von selbst, aus weiteren Systemen über eine Nachweis-Schnittstelle. Am Vertragsende exportiert die Beratung alle Daten und löscht sie, mit 30 Tagen Frist zum Widerruf.
- Arbeitsraum je Kunde mit Name, Logo, Farben und Domain der Beratung, Anmeldung auch über Microsoft Entra ID
- Maßnahmenbibliothek mit 49 Maßnahmen, angerechnet auf NIS-2, ISO/IEC 27001 Anhang A und BSI-Grundschutz++
- 15 zweisprachige Methoden, von der Beratung als eigene Vorlagen angepasst
- Zuweisungen mit Frist, Nachweisanforderungen und Freigabe nach dem Vier-Augen-Prinzip
- KI-Entwürfe und KI-Prüfung von Nachweisen, nur mit Zustimmung des Kunden und immer mit menschlicher Entscheidung
- Unveränderliches Audit-Log, Trust-Seite, Lieferantenfragebogen ohne Konto und ein geregeltes Vertragsende
Einblicke ins Produkt
Bildschirmfotos der Plattform mit frei erfundenen Beispieldaten: Beratung, Kunden und Personen sind fiktiv. Die Oberfläche ist hier auf Englisch eingestellt.
Ergebnis
Die Plattform zeigt, wie weit ein Werkzeug für Beratungen reichen kann, wenn es aus der Arbeit der Beratung heraus gebaut wird. Die Logik der Rahmenwerke steckt in Methoden und Zuordnungen, die sich ohne Entwicklung anpassen lassen. Die Zusammenarbeit mit dem Kunden ist der eigentliche Ablauf und kein Zusatz. Und KI bereitet Schreib- und Prüfarbeit vor, während die Entscheidung bei Menschen bleibt.
Für Ihre Beratung heißt das: Ein Werkzeug in dieser Tiefe bauen wir auch für Ihre Methodik – unter Ihrer Marke, für Ihre Kunden, mit dem vollständigen Quellcode in Ihrem Besitz. Ob es die gemeinsame Arbeit an Rahmenwerken ist, ein Selbstcheck als Einstieg oder ein einzelner Ablauf, klären wir im Erstgespräch.
- Zuständigkeit, Frist und Freigabe für jede Frage und jeden Nachweis an einer Stelle
- Keine doppelte Abfrage: Eine Antwort des Kunden zählt für jedes passende Rahmenwerk
- KI, die ein Kunde freigeben kann: abschaltbar, gekennzeichnet, in der EU verarbeitet
- Nachweise für Prüfer und Behörden aus aktuellen Daten, nachvollziehbar bis zur einzelnen Änderung