ISMS-Management fürAssets, Risiken und Policies
SecTepe.Core bringt alle Teile Ihres ISMS an einen Ort. Dazu gehören Werte, Risiken, Richtlinien, Kontrollen und Audits. Alles hat Versionen, ist verknüpft und jederzeit prüffest.
Module auf einen Blick
- Werte von Anfang bis Ende
- Liste der Risiken mit CVSS
- Ablage für Richtlinien
- Kontrollen im Blick
- Raum für Audits
- Nachweise verknüpfen
Funktionen im Überblick
Alle Teile hängen eng zusammen. Das reicht vom einzelnen Wert bis zum Nachweis im Audit.
Werte verwalten
Sie erfassen alle Werte (Assets) und stufen sie ein. Das gilt für Geräte, Programme, Daten und Abläufe. Core folgt jedem Wert von der Anschaffung bis zum Ende.
Liste der Risiken
Sie erfassen Risiken nach festem Muster. Sie bewerten sie mit CVSS, einem gängigen Maß für Schwachstellen, und mit einer Risikomatrix. Pläne zur Behandlung nennen, wer zuständig ist. Änderungen gibt die verantwortliche Person frei.
Richtlinien verwalten
Alle Richtlinien liegen an einem Ort, mit Versionen und Freigabe. Sie sehen, wer eine Richtlinie gelesen und bestätigt hat. Feste Prüfzyklen zeigen, wann die nächste Überprüfung fällig ist.
Kontrollen im Blick
Sie sehen, ob Ihre Kontrollen wirken. Jede Kontrolle hat Status, Zuständige, Nachweise und feste Prüftermine. Erinnerungen gehen von selbst raus.
Gemeinsam im Audit
Prüfer, Berater und Ihre Teams arbeiten in einem gemeinsamen Raum. Dort gibt es Aufgaben, Kommentare, Chat und eine Ablage für Nachweise.
Berichte und Kennzahlen
Übersichten für Leitung, Prüfer und Betrieb zeigen Kennzahlen und Trends zu Risiken, Kontrollen, Richtlinien und Audits. Sie lassen sich exportieren.
Ihre Vorteile
Schluss mit verstreuten Excel-Dateien und vielen kleinen Programmen. Alle Beteiligten arbeiten auf einer Plattform. Sie sehen klar, wie Werte, Risiken, Kontrollen und Richtlinien zusammenhängen.
- Eine Quelle für alle Daten Ihres ISMS
- Von jeder Kontrolle führt ein Weg zum Nachweis
- Versionen und ein prüffester Verlauf
- Weniger Handarbeit durch Erinnerungen und feste Abläufe
- Kennzahlen für die Leitung, immer aktuell
Anwendungsfälle
ISO 27001 im Alltag
Sie betreiben Ihr ISMS laufend in einem Werkzeug: planen, umsetzen, prüfen, verbessern. Das reicht von der Behandlung der Risiken bis zur Bewertung durch die Leitung.
Plan für Risiken
Aus jedem erkannten Risiko leiten Sie Maßnahmen ab. Core verfolgt sie, bis sie umgesetzt sind.
Neue Richtlinien einführen
Sie führen neue Richtlinien im ganzen Haus ein. Alle bestätigen sie online, und Sie sehen den Stand im Bericht.
Internes und externes Audit
Prüfer erhalten einen eigenen Arbeitsraum mit Nachweisen, Kontrollen, Dokumenten und Verlauf. So entfällt das Hin und Her per E-Mail.
So funktioniert das ISMS-Management in der Praxis
SecTepe.Core führt Werte, Risiken, Kontrollen und Richtlinien in einer Datenbank. Die Einträge verweisen aufeinander. So verfolgen Sie ein Risiko bis zu dem Wert zurück, den es betrifft. Sie sehen auch, welche Kontrollen es behandeln.
So greifen die Bausteine ineinander
- Werte haben einen Typ, einen Eigentümer und einen Verwalter. Sie bewerten Vertraulichkeit, Integrität und Verfügbarkeit von 1 bis 5. Daraus ermittelt Core, wie kritisch der Wert insgesamt ist.
- Risiken erhalten eine Eintrittswahrscheinlichkeit und eine Auswirkung von 1 bis 5. Core berechnet daraus die Risikostufe. Sie entscheiden: mindern, übertragen, vermeiden oder tragen. Restwerte zeigen den Stand nach der Behandlung.
- Kontrollen haben einen Bezug zu ISO 27001, einen Typ und einen Status. Den Katalog aus Anhang A der ISO 27001 laden Sie auf Deutsch oder Englisch.
- Richtlinien laufen vom Entwurf über die Prüfung bis zur Freigabe. Core bewahrt jede Version auf. Mitarbeitende bestätigen oder lehnen die Richtlinien ab, die ihnen zugewiesen sind.
Typische Szenarien
- ISO 27001: Sie laden Anhang A und markieren jede Kontrolle als anwendbar oder nicht, mit Begründung. Die Erklärung zur Anwendbarkeit (SoA) exportieren Sie dann als PDF, Excel oder Word.
- BSI IT-Grundschutz: Für jedes Risiko wählen Sie ISO 27005 oder BSI 200-3 als Methode. Bei BSI 200-3 verknüpfen Sie eine Gefährdung aus dem BSI-Katalog und legen den Schutzbedarf fest. Auch Werte erhalten Vorschläge aus diesem Katalog.
- Interne Audits: Core entwirft auf Wunsch ein Auditprogramm für ISO 27001 über drei Jahre.
- Überprüfungen: Jede Richtlinie hat einen Prüfzyklus, standardmäßig 12 Monate. Überfällige Prüfungen stehen in einer eigenen Liste.
Betrieb und Datenhoheit
Sie können SecTepe.Core selbst betreiben. Es läuft in Containern auf Ihren Servern oder auf Kubernetes. Auch Netze ohne Internetzugang sind möglich. Jeder Datensatz gehört zu genau einem Mandanten. Die KI läuft wahlweise bei IONOS in deutschen Rechenzentren, auf GPU-Servern von SecTepe oder auf Ihrem eigenen GPU-Server. Ist ein anderer KI-Anbieter eingestellt, startet Core nicht.
Häufige Fragen
Wer darf ein Risiko ändern? Jede Person mit passender Rolle kann eine Änderung vorschlagen. Ist sie nicht für das Risiko verantwortlich, wartet die Änderung. Sie gilt erst, wenn die verantwortliche Person zustimmt.
Was passiert mit dem Verlauf, wenn ein Risiko gelöscht wird? Core protokolliert jedes Anlegen, Ändern und Löschen sowie jeden Statuswechsel. Dabei hält es fest, wer die Änderung gemacht hat. Dieser Verlauf bleibt, auch wenn das Risiko selbst gelöscht ist.
Kann ich meine Daten exportieren? Ja. Werte, Risiken, Kontrollen und Richtlinien lassen sich jeweils als XML exportieren.
Wollen Sie Ihr ISMS an einem Ort führen?
In einer Demo zeigen wir Ihnen, wie SecTepe.Core Ihr ISMS bündelt. Sie sehen auch, wie es alles prüffest festhält.
So arbeiten wir mit Ihnen zusammen
Wir wollen lange mit Ihnen arbeiten, nicht nur einmal liefern. Unser Weg hat vier Schritte. So wissen Sie stets, was als Nächstes kommt, wer was macht und was am Ende steht.
1. Erstes Gespräch, kostenlos
Wir lernen Ihre Lage und Ihre Ziele kennen. In 30 bis 45 Minuten prüfen wir, ob wir zu Ihnen passen. Wir zeigen Wege auf und klären Ihre Fragen.
2. Bestandsaufnahme
Wir prüfen, wo Sie heute stehen: bei Technik, Abläufen und Vorgaben. Sie bekommen eine Liste mit Stärken und Lücken, nach Dringlichkeit sortiert. Darauf baut unser Angebot auf.
3. Umsetzung mit festem Kontakt
Eine erfahrene Leitung führt Sie durch das Projekt. Es gibt klare Ziele, einen offenen Plan für Zeit und Kosten und jede Woche einen Stand. Alle Ergebnisse sind dokumentiert und gehören Ihnen.
4. Betrieb und Prüfung
Nach dem Projekt bleiben wir an Ihrer Seite. Wir betreiben Systeme für Sie, prüfen sie in festen Abständen und behalten offene Punkte im Blick. Bei neuen Gefahren oder neuen Regeln melden wir uns von selbst.
Häufige Fragen
Diese Fragen hören wir oft im ersten Gespräch. Für alles andere schreiben Sie an hello@sectepe.de oder rufen Sie uns an.
- Wie starten wir eine Zusammenarbeit mit SecTepe?
- Jedes Projekt beginnt mit einem kostenlosen Gespräch. Danach bekommen Sie ein Angebot mit Aufwand, Zeitplan und Ergebnis. Auf Wunsch starten wir klein, mit einem Test. So lernen Sie uns kennen, bevor es richtig losgeht.
- Für welche Firmen und Branchen arbeiten Sie?
- Wir arbeiten für kleine und mittlere Firmen, für Teile großer Konzerne und für Betreiber kritischer Anlagen (KRITIS). Oft sind das Industrie, Handwerk, Gesundheit, Banken, Energie und Behörden. Der Kern ist der Mittelstand in Deutschland, Österreich und der Schweiz.
- Arbeiten Sie vor Ort, remote oder hybrid?
- Beides. Prüfungen, Beratung und die meisten Dienste laufen aus der Ferne, aus deutschen Rechenzentren. Für Workshops, Schulungen und Notfälle kommen wir vor allem in NRW, im Rheinland und im Ruhrgebiet zu Ihnen. Wenn nötig, fahren wir auch weiter.
- Nach welchen Normen arbeiten Sie?
- Wir arbeiten nach ISO 27001:2022, BSI IT-Grundschutz, TISAX, B3S KRITIS, NIS2 und DORA und nach den Regeln einzelner Branchen. Unsere Methoden stützen sich auf bekannte Rahmenwerke wie NIST CSF, MITRE ATT&CK, OWASP und OSSTMM. Wir wählen sie je nach Projekt.
- Wie schützen Sie die Vertraulichkeit meiner Daten?
- Durch Vertrag und durch Technik. Vor jedem Projekt unterschreiben beide Seiten eine Pflicht zur Geheimhaltung. Ihre Daten bleiben in deutschen Rechenzentren. Jeder Zugriff braucht eine Anmeldung mit zweitem Faktor und wird einzeln geprüft. Unser ganzes Team ist per Vertrag und nach DSGVO zum Schweigen verpflichtet.