Warum gilt diese Maßnahme, welche Kontrolle setzt sie um, und wirkt sie? Die ISMS Software von Durava hält Schutzbedarf, Anwendbarkeitserklärung, Kontrollen und Nachweise für ISO/IEC 27001:2022 in einer Kette zusammen. Als Teil der GRC-Plattform mit KI.
Stand: 3. Oktober 2026 · Wo Ihre Daten liegen
Eigene Einstufung festgeschrieben, nicht unter der geerbten Untergrenze. Darunter nur mit Begründung.
In der Anwendbarkeitserklärung eingeschlossen, mit Begründung
Eine ISMS-Software unterstützt Aufbau und Betrieb eines Informationssicherheitsmanagementsystems nach ISO/IEC 27001. Die ISMS Software von Durava bildet die Kette ab, die ein Auditor nachvollziehen will: vom Schutzbedarf der Objekte über die Risikoanalyse zur Anwendbarkeitserklärung mit begründeter Entscheidung je Anhang-A-Maßnahme, weiter zur Kontrolle, die sie umsetzt, und zum Nachweis, dass sie wirkt. Die KI liest Ihre Richtlinien und schlägt Kontrollen und Zuordnungen vor; übernommen wird nur, was ein Mensch bestätigt.
Gepflegt als Tabelle, ist sie am Tag der Zertifizierung aktuell. Danach ändern sich Kontrollen, Richtlinien und Objekte, und die Tabelle erfährt davon nichts.
| Maßnahme | anwendbar | Kontrolle | Umsetzung |
|---|---|---|---|
| A.5.23 | ja | (leer) | offen |
| A.7.4 | nein | (leer) | (leer) |
| A.8.13 | ja | siehe Backup-Konzept v2 | ? |
Stand der Datei: März 2025. Warum A.7.4 entfällt, steht nirgends.
| Maßnahme | Entscheidung | Kontrolle | Stand |
|---|---|---|---|
| A.5.23 | eingeschlossen: Cloud-Dienste im Einsatz | keine Kontrolle | Hinweis in der Erklärung |
| A.7.4 | ausgeschlossen: kein eigenes Rechenzentrum | entfällt | Begründung festgehalten |
| A.8.13 | eingeschlossen: Verfügbarkeit hoch | Wiederherstellungstest | umgesetzt |
Freigegeben wird erst, wenn jede Entscheidung begründet ist. Der Umsetzungsstand kommt aus dem Kontrollbestand.
Sechs Funktionen, jede mit einem Beispiel. Jeder Vorschlag bleibt ein Entwurf, bis ein Mensch ihn übernimmt.
Aus Richtlinien und Prozessbeschreibungen schlägt die KI Kontrollen vor, mit Art, Turnus, verantwortlicher Rolle, Kontrollbereich und der zitierten Zeile. Doppelte Vorschläge eines Laufs fasst sie zusammen.
Zu einer Kontrolle sucht die Plattform passende Maßnahmen und Anforderungen in allen übernommenen Regelwerken. Auf Wunsch beurteilt die KI, ob die Kontrolle sie inhaltlich trägt.
Für Anforderungen ohne Kontrolle schlägt die KI Kontrollen aus Ihrem Bestand vor, die sie tragen könnten, einzeln oder für ein ganzes Regelwerk.
Vergleicht man alte und neue Fassung einer Richtlinie, zeigt die Plattform die betroffenen Kontrollen und Anforderungen; die KI schätzt die Tragweite mit Begründung ein.
Für eine Anwendung schneidet die KI die passenden Risiken Ihres Katalogs auf das Objekt zu; ab hohem Schutzbedarf gehören die Elementaren Gefährdungen des BSI dazu.
„Was regelt unsere Richtlinie zur Nutzung von Cloud-Diensten?“ Der Assistent antwortet aus Ihren Unterlagen; ein Klick auf die Quelle öffnet die zitierte Stelle.
Grundlage der Anwendbarkeitserklärung sind die 93 Maßnahmen aus Anhang A der ISO/IEC 27001:2022. Dieselbe Kontrolle trägt zugleich Anforderungen aus NIS-2 und DORA; ihr Nachweis zählt für alle.
Je Maßnahme eine Entscheidung: eingeschlossen oder ausgeschlossen, beides mit Begründung. Für eingeschlossene Maßnahmen zeigt die Erklärung die umsetzenden Kontrollen und ihren Umsetzungsstand.
Eigene Regelwerke: Weitere Regelwerke und Vorgaben Ihres Hauses importieren Sie selbst und ordnen sie denselben Kontrollen zu; ihr Nachweis zählt dann auch dort.
Vom Schutzbedarf bis zur freigegebenen Erklärung, jeder Baustein mit einem Beispiel aus der Arbeit.
Je Objekt vier Schutzziele in drei Stufen, als Entwurf erfasst und festgeschrieben. Die geerbte Untergrenze steht daneben, Abweichungen nach unten brauchen eine Begründung.
Aus dem festgeschriebenen Schutzbedarf ergeben sich passende Sollmaßnahmen mit Bezug zu ISO 27001. Ausgewählte werden als Kontrolle am Objekt angelegt.
Je Maßnahme aus Anhang A eingeschlossen oder ausgeschlossen, mit Begründung. Vorschläge aus dem Geltungsbereich; Hinweise, wenn Maßnahmen ohne Kontrolle eingeschlossen sind.
Je Kontrolle die vier Nachweisebenen mit Stand. Fachbereiche reichen Durchführungsnachweise im Portal ein, die zweite Linie bestätigt oder weist begründet zurück.
Für jede Anforderung die Kette von der Geltung über die Kontrolle bis zum Nachweis, und je Regelwerk, was noch offen ist.
Informationssicherheits-Risiken im selben Register wie alle anderen, mit Behandlung und Verweis auf die Maßnahmen der Anwendbarkeitserklärung.
ISO 27001 Anhang A, dazu NIS-2 oder DORA, wo sie gelten.
Je Objekt vier Schutzziele, festgeschrieben, mit geerbter Untergrenze.
Aus Richtlinien vorschlagen lassen, bestätigen und den Regelwerken zuordnen.
Anwendbarkeitserklärung freigeben, Nachweise je Kontrolle führen.
Sicherheitskontrollen sind Kontrollen des IKS, Sicherheitsrisiken stehen im Risikoregister.
Eine Sicherheitskontrolle wird einmal im Internen Kontrollsystem geführt, mit Turnus und Nachweis; die Anwendbarkeitserklärung zeigt sie an der Maßnahme. Risiken der Informationssicherheit stehen im Risikoregister neben allen anderen.
Passen Verfügbarkeits-Schutzbedarf und Wiederanlaufziel aus dem Notfallmanagement nicht zusammen, weist die Anwendbarkeitserklärung darauf hin. Die Dienstleister, die Ihre Systeme betreiben, führt das Drittparteienmanagement.
Durava ist für Ihr Haus selbst ein Dienstleister. Deshalb stehen hier die Fakten, die Ihre eigene Sorgfaltsprüfung braucht.
Datenbanken und Dateiablage in Microsoft-Azure-Rechenzentren in Frankfurt und Berlin, der Suchindex der Unterlagen in Schweden. Verschlüsselt bei Übertragung und Speicherung.
Sprachmodelle über Azure OpenAI, verarbeitet in der EU-Datenzone, bereitgestellt in Schweden. Eingaben werden nach Zusage von Microsoft nicht zum Training genutzt.
Anmeldung über das Microsoft Entra ID Ihres Hauses. Mehr-Faktor-Anmeldung und Zugriffsregeln steuern Sie selbst.
Strikte Datentrennung je Mandant auf Datenbankebene; manipulationsgeschützter Prüfpfad mit Prüfsummen-Kette. Auf Wunsch im Azure-Abonnement Ihres Hauses.
Datenblatt, Sicherheitskonzept, Betriebs- und Berechtigungskonzept sowie die Liste der Unterauftragsverarbeiter stellen wir Ihnen auf Anfrage bereit, auch bevor Sie eine Demo vereinbaren. Die Liste nennt Ort und Garantie jedes Dienstes, auch der Graph-Datenbank: Rechenzentrum in den Niederlanden, Anbieter mit Sitz in den USA, abgesichert über EU-Standardvertragsklauseln.
Ein Informationssicherheitsmanagementsystem (ISMS) ist das Regelwerk aus Verantwortlichkeiten, Prozessen und Maßnahmen, mit dem ein Unternehmen die Vertraulichkeit, Integrität und Verfügbarkeit seiner Informationen steuert und laufend verbessert. Der internationale Maßstab dafür ist ISO/IEC 27001. Kern eines ISMS sind die Risikobeurteilung, die Auswahl von Maßnahmen, die Anwendbarkeitserklärung und die regelmäßige Überprüfung der Wirksamkeit. Eine ISMS-Software hält diese Kette vom Schutzbedarf bis zum Nachweis an einer Stelle zusammen.
Die Anwendbarkeitserklärung nach ISO 27001 Abschnitt 6.1.3 listet alle Maßnahmen aus Anhang A und hält je Maßnahme fest, ob sie angewendet wird und warum, bei einem Ausschluss auch, warum nicht. In Durava entscheiden Sie je Maßnahme mit Begründung; freigegeben wird erst, wenn jede Entscheidung begründet ist, und der freigegebene Stand wird festgeschrieben. Welche Kontrollen eine Maßnahme umsetzen und wie weit sie umgesetzt ist, liest die Erklärung aus Ihrem Kontrollbestand.
ISO/IEC 27001:2022, und zwar den Hauptteil (Abschnitte 4 bis 10) und Anhang A mit 93 Maßnahmen in vier Themen: organisatorisch (37), personenbezogen (8), physisch (14) und technologisch (34). Jede Maßnahme steht mit Nummer und Titel bereit. Die Übergangsfrist für Zertifikate nach der Fassung von 2013 ist am 31. Oktober 2025 abgelaufen.
In der Schutzbedarfsfeststellung stufen Sie je Objekt Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität als normal, hoch oder sehr hoch ein und schreiben die Einstufung fest. Was ein Prozess braucht, zeigt Durava an den Anwendungen und Systemen, die ihn tragen, als Untergrenze nach dem Maximumprinzip; wer darunter bleibt, begründet das. Aus dem festgeschriebenen Schutzbedarf ergeben sich passende Sollmaßnahmen mit ISO-27001-Bezug, die als Kontrolle am Objekt übernommen werden, und Vorschläge für die Anwendbarkeitserklärung.
Ja, wenn dieselbe Kontrolle die Anforderung trägt. In der ISMS Software von Durava ordnen Sie eine Sicherheitskontrolle zugleich Maßnahmen aus ISO 27001 Anhang A und Anforderungen aus NIS2, DORA oder der DSGVO zu; ihr Durchführungsnachweis wirkt dann für alle. Passende Zuordnungen schlägt die Plattform vor, auf Wunsch mit inhaltlicher Beurteilung durch die KI; übernommen werden sie von einem Menschen. Wie die Abdeckung je Regelwerk aussieht, zeigt das Compliance-Management.
Für TISAX-Reifegradbeurteilungen steht ein Bewertungsschema nach VDA ISA 6.0 bereit. Aus dem BSI IT-Grundschutz sind die Elementaren Gefährdungen G 0.1 bis G 0.47 als Risikokatalog enthalten; ab hohem Schutzbedarf stützt sich die Risikoanalyse eines Objekts darauf. Weitere Kataloge und eigene Vorgaben importieren Sie als Regelwerk und ordnen sie denselben Kontrollen zu.
In Deutschland setzt das NIS2UmsuCG die NIS-2-Richtlinie um; es ist am 6. Dezember 2025 in Kraft getreten und hat den Kreis der betroffenen Einrichtungen deutlich erweitert. Betroffene Einrichtungen müssen sich beim BSI registrieren, Risikomanagementmaßnahmen umsetzen und erhebliche Sicherheitsvorfälle melden; die Meldungen selbst laufen über das Meldeverfahren des BSI. Ein ISMS nach ISO 27001 ist eine tragfähige Grundlage für die Risikomanagementmaßnahmen. Durava liefert die NIS-2-Richtlinie und das BSI-Gesetz in der Fassung des Umsetzungsgesetzes als Anforderungskataloge mit. Mehr auf der Seite NIS2 Compliance.
Nein. Die KI liest Richtlinien und Prozessbeschreibungen und schlägt Kontrollen vor, mit Art, Turnus, Ausführung, verantwortlicher Rolle, den begrenzten Risiken und dem zitierten Beleg aus dem Dokument. Die Vorschläge landen in einer Freigabeliste; erst ein Mensch übernimmt sie in den Kontrollbestand. Dasselbe gilt für Zuordnungen zu Regelwerken.
Nein. Die ISMS Software nimmt dem Informationssicherheitsbeauftragten Lese- und Pflegearbeit ab: Kontrollen aus Richtlinien vorschlagen, Zuordnungen zu Regelwerken finden, die Kette vom Schutzbedarf bis zum Nachweis zusammenhalten. Schutzbedarf, Risikoakzeptanz und die Entscheidungen der Anwendbarkeitserklärung trifft und verantwortet weiterhin ein Mensch.
Sehen Sie in einer persönlichen Demo, wie die ISMS Software von Durava Schutzbedarf, Anwendbarkeitserklärung, Kontrollen und Nachweise verbindet.
