Zwischen „irgendwo ist wieder etwas passiert" und „hier ist der auditierbare Nachweis, dass wir es bewertet haben" liegt viel manuelle Arbeit. SecTepe.CTI.Compliance automatisiert genau diese Strecke: aus rund 62 Quellen entstehen klassifizierte, framework-gemappte Compliance-Reports, die am Ende als Evidenz in SecTepe.Core landen.
Die Vier-Achsen-Klassifikation
Herzstück ist eine Klassifikation entlang vier Achsen, die das nachgelagerte MISP-/Core-Portal spiegeln – damit sich jeder Report nach Sektor, Geografie, Methode und Quellen-Vertrauen filtern und auditieren lässt:
- CATEGORY – Sektor/Thema: u. a. KRITIS, Energie, Verteidigung, Spionage, Supply Chain, Cloud Security, Datenschutz, Finanzsektor, Automotive, Healthcare.
- TECHNIQUE – Maßnahmen/Blickwinkel: Maßnahmen, Risiken, Mitigation, Compliance, TOM, BCM, SBOM, Framework, Patch Management, Resilienz.
- LOCATION – mit automatischer Länder-zu-Regionen-Ableitung:
DE/FR/GB → [Europe, NATO],US → [Americas, NATO]usw. NATO wird nur für Mitgliedstaaten ergänzt. - TRUST – Vertrauensstufe (Standard
MEDIUM) plus TLP (StandardAMBER, optional+STRICT).
Unbekannte Tokens werden toleriert (und protokolliert), damit die Feeds dem Vokabular vorauslaufen dürfen – ein pragmatischer Umgang mit einer sich ständig ändernden Bedrohungslage.
Die Pipeline von der Quelle zur Evidenz
Der End-to-End-Fluss über vier Repositories lautet: ~62 RSS-/HTTP-Quellen + Supply-Chain-Advisories → Ingest (Dedup, Readability) → Classify (18 Regeln → Thema + Framework + Severity) → Analyze (IOC-Entitäten, Story-Clustering, LLM-Advisor) → Render (Markdown/JSON/HTML/PDF + Dashboard). Optional folgt eine Anreicherung über die MISP-Intel-API von SecTepe.Core.CTI.
Framework-Mapping als Kern
Klassifiziert wird gegen die großen Rahmenwerke: NIS2 (24h/72h-Meldung, Lieferkette, Management-Haftung), DORA (IKT-Risikomanagement, Incident-Reporting, Resilienz-Tests, TLPT), DSGVO (72h-Meldung, DSFA), ISO/IEC 27001 (Annex A), BSI IT-Grundschutz, TISAX, PCI-DSS und HIPAA. Cross-Source-Stories bündeln dabei dasselbe Thema über mehrere Quellen zu einer Erzählung statt acht Dubletten.
Der Kreis schließt sich in SecTepe.Core
Am Ende werden die Reports an SecTepe.Core übergeben (POST /api/v1/ingest/compliance-reports). Dort mappt der EvidenceMappingService jeden Befund über sein Framework auf ein ISMS-Control, berechnet Abdeckungsgrad und Lückenliste, und ein Audit-Paket-Dienst bündelt das Ergebnis. Aus einer Threat-News wird so nachvollziehbar eine auditierbare Governance-Evidenz – die Fortsetzung der Logik aus der Supply-Chain-Advisory-Pipeline.
Fazit
Vier Klassifikations-Achsen, ein Framework-Mapping über acht Rahmenwerke und ein durchgängiger Fluss bis in die ISMS-Evidenz: SecTepe.CTI.Compliance schließt die Lücke zwischen Bedrohungslage und Nachweispflicht. Genau das verlangen NIS2 und DORA, wenn sie kontinuierliche, belegbare Risikoarbeit fordern.