Ersetzt das Mapping ein Audit oder eine Zertifizierung?

Nein. Die Zuordnung ist ein Hinweis. Sie hilft beim Priorisieren und bei der Dokumentation im ISMS. Sie ist keine formale Aussage über eine Zertifizierung. Die Bewertung im Audit bleibt bei Ihren Auditor:innen.

Welche Controls aus ISO 27001 deckt SnapScan ab?

SnapScan ordnet Befunde Controls aus ISO/IEC 27001:2022 Annex A zu. Dazu gehören etwa A.8.8 (technische Schwachstellen), A.8.26 (Sicherheit von Anwendungen), A.8.24 (Kryptografie) und A.5.15 (Zugriffskontrolle). Welche Controls betroffen sind, hängt von Ihren Befunden ab.

Was ist ein MCP-Server?

MCP steht für Model Context Protocol. Das ist eine Schnittstelle, über die KI-Assistenten und andere Systeme Daten abfragen. Der MCP-Server von SnapScan kann Befunde nur lesen, nicht ändern. Jeder Zugang braucht einen eigenen Schlüssel.

Funktioniert das auch für Cloud-Befunde?

Ja. Befunde aus Cloud-Konten erhalten zusätzlich den BSI-Baustein OPS.2.2 (Cloud-Nutzung) und das ISO-Control A.5.23 (Informationssicherheit bei Cloud-Diensten).

Zurück zu SnapScan

SnapScan · Compliance-Mapping

Schwachstellen in der Sprache Ihres ISMS

Ihr Scan meldet „CVSS 9,8“. Ihr Audit fragt nach „A.8.8“. SnapScan schlägt die Brücke. Jeder Befund zeigt, welche Bausteine des BSI IT-Grundschutz und welche Controls aus ISO 27001 er berührt.

Demo anfragen

Vom Befund zum Control

SnapScan ordnet jeden Befund zuerst einer Kategorie zu. Aus der Kategorie folgen die passenden Bausteine desBSI IT-Grundschutz und Controls ausISO/IEC 27001:2022 Annex A. Einige Beispiele:

SQL-Injection: APP.3.1 Webanwendungen und CON.8 Software-Entwicklung, dazu A.8.26 und A.8.28.
Veraltete Software: OPS.1.1.3 Patch- und Änderungsmanagement, dazu A.8.8.
Schwache TLS-Einstellungen: CON.1 Kryptokonzept, dazu A.8.24.
Schwache oder Standard-Passwörter: ORP.4 Identitäts- und Berechtigungsmanagement, dazu A.5.17 und A.8.5.
Fehlende Zugriffskontrolle: APP.3.1 und ORP.4, dazu A.8.3 und A.5.15.
Schwächen im Active Directory: APP.2.2 Active Directory Domain Services und ORP.4.
Fehlkonfiguration: NET.1.1 Netzarchitektur und -design, dazu A.8.9 und A.8.20.

Ohne Mapping ordnet jemand jeden Befund von Hand ein. Das kostet Zeit, und in der Dokumentation entstehen Lücken. Mit SnapScan steht die Zuordnung direkt am Befund. Ihr ISMS-Team kann sie prüfen und übernehmen.

Welche Controls sind betroffen?

SnapScan fasst alle Befunde zu einer Übersicht zusammen. Pro Baustein und Control sehen Sie, wie viele Befunde ihn betreffen. Sie sehen auch den höchsten Schweregrad. Die schwersten stehen oben. Reine Info-Befunde zählen nicht als Lücke.

So erkennen Sie schnell, wo Ihr ISMS Handlungsbedarf hat. Die Ergebnisse helfen bei der Priorisierung und als Nachweis für Ihre Dokumentation.

Wichtig: Die Zuordnung ist ein Hinweis, keine formale Aussage über eine Zertifizierung. Sie ersetzt weder ein Audit noch die Bewertung durch Fachleute.

Ergebnisse dorthin bringen, wo gearbeitet wird

Berichte

Der White-Label-Report bietet eine Zusammenfassung für die Geschäftsführung und eine Gesamtbewertung des Risikos. Dazu kommen CVE- und CWE-Referenzen und Hinweise zur Behebung. Den Report gibt es als HTML und als Markdown.

SARIF-Export

SARIF ist ein Standardformat für Sicherheitsbefunde. SnapScan exportiert in Version 2.1.0. Ihre Entwickler sehen die Befunde so direkt in GitHub Code Scanning oder Azure DevOps.

MCP-Server für KI-Assistenten

Der MCP-Server ist eine Schnittstelle für KI-Assistenten, Ticket-Systeme und SOAR. Er kann Befunde und Scans nur lesen. Jeder Befund trägt KEV, EPSS und die Angabe, ob ein Beweis vorliegt. Schlüssel erzeugen Sie in der Konsole, mit Rolle, Ablaufdatum und Widerruf. Mehr dazu im Beitrag zumMCP-Findings-Export. Die Befunde fließen so auch als Nachweise in dieISO-27001-Software SecTepe.Core. Beim Aufbau Ihres ISMS hilft unsereISMS-Beratung.

Häufige Fragen zum Compliance-Mapping

Ersetzt das Mapping ein Audit oder eine Zertifizierung?: Nein. Die Zuordnung ist ein Hinweis. Sie hilft beim Priorisieren und bei der Dokumentation im ISMS. Sie ist keine formale Aussage über eine Zertifizierung. Die Bewertung im Audit bleibt bei Ihren Auditor:innen.
Welche Controls aus ISO 27001 deckt SnapScan ab?: SnapScan ordnet Befunde Controls aus ISO/IEC 27001:2022 Annex A zu. Dazu gehören etwa A.8.8 (technische Schwachstellen), A.8.26 (Sicherheit von Anwendungen), A.8.24 (Kryptografie) und A.5.15 (Zugriffskontrolle). Welche Controls betroffen sind, hängt von Ihren Befunden ab.
Was ist ein MCP-Server?: MCP steht für Model Context Protocol. Das ist eine Schnittstelle, über die KI-Assistenten und andere Systeme Daten abfragen. Der MCP-Server von SnapScan kann Befunde nur lesen, nicht ändern. Jeder Zugang braucht einen eigenen Schlüssel.
Funktioniert das auch für Cloud-Befunde?: Ja. Befunde aus Cloud-Konten erhalten zusätzlich den BSI-Baustein OPS.2.2 (Cloud-Nutzung) und das ISO-Control A.5.23 (Informationssicherheit bei Cloud-Diensten).

Das Mapping an Ihren Befunden sehen

Wir zeigen Ihnen in einer Demo, wie aus Scan-Ergebnissen ISMS-Nachweise werden.

Demo anfragen

Weitere Themen

Attack Surface Management

Die externe Angriffsfläche finden und laufend überwachen.

Schwachstellenscan

Websites, APIs und Cloud gezielt prüfen.

Interne Netze prüfen

Runner, Appliance und On-Host-Agent im eigenen Netz.

So arbeiten wir mit Ihnen zusammen

Wir wollen lange mit Ihnen arbeiten, nicht nur einmal liefern. Unser Weg hat vier Schritte. So wissen Sie stets, was als Nächstes kommt, wer was macht und was am Ende steht.

1. Erstes Gespräch, kostenlos

Wir lernen Ihre Lage und Ihre Ziele kennen. In 30 bis 45 Minuten prüfen wir, ob wir zu Ihnen passen. Wir zeigen Wege auf und klären Ihre Fragen.

2. Bestandsaufnahme

Wir prüfen, wo Sie heute stehen: bei Technik, Abläufen und Vorgaben. Sie bekommen eine Liste mit Stärken und Lücken, nach Dringlichkeit sortiert. Darauf baut unser Angebot auf.

3. Umsetzung mit festem Kontakt

Eine erfahrene Leitung führt Sie durch das Projekt. Es gibt klare Ziele, einen offenen Plan für Zeit und Kosten und jede Woche einen Stand. Alle Ergebnisse sind dokumentiert und gehören Ihnen.

4. Betrieb und Prüfung

Nach dem Projekt bleiben wir an Ihrer Seite. Wir betreiben Systeme für Sie, prüfen sie in festen Abständen und behalten offene Punkte im Blick. Bei neuen Gefahren oder neuen Regeln melden wir uns von selbst.