Compliance-Kontrollen
Kontrollen, die mehreren Frameworks gleichzeitig zugeordnet sind, Verantwortliche, Nachweise mit Ablaufdatum, Prüfungen und Erinnerungen.
Daten: Kontrollen
Kibo / Kits / Governance, Risk & Compliance (GRC)
Governance, Risiko und Compliance in einem Kit.
Kontrollen einmal jedem Rahmenwerk zugeordnet, das sie abdecken, Nachweise jede Woche geprüft, Risiken von den richtigen Personen behandelt und akzeptiert, und ein Probeaudit vor dem echten.
Beispielgespräch
Sie
Nimm eine Backup-Kontrolle ins Register auf: nächtliche Sicherungen des Dateiservers, Wiederherstellungstest im Oktober, Verantwortlicher Tom Becker.
Kibo
Ich lege die Kontrolle mit ISO 27001 A.8.13 (Datensicherung) an und nehme den Oktober-Bericht als Nachweis auf. Bitte prüf zuerst die Karte.
Neue Kontrolle: Backups des Dateiservers
KontrolleNächtliche Sicherung des Dateiservers, Wiederherstellung wird jährlich getestetFramework-ReferenzenISO 27001 A.8.13VerantwortlicherTom BeckerStatusumgesetztNachweisdatum14.10.2026
1 · Was es abdeckt
Die Prozesse dieses Kits.
Vorgefertigte Prozesse für die Compliance-Arbeit: ein Kontrollregister, das mehreren Frameworks gleichzeitig zugeordnet ist (ISO 27001, SOC 2, NIST CSF, CIS v8, NIS2, DORA, DSGVO), mit Nachweisen mit Ablaufdatum, ein Risikoregister, Richtlinienmanagement mit Bestätigungen der Mitarbeitenden, Audit-Feststellungen und Korrekturmaßnahmen, Probeaudits, Ausnahmen und Verzichte mit Genehmiger und Ablaufdatum sowie die Struktur des Compliance-Frameworks: Regelwerke, ihre Fundstellen (geladen aus ISO 27001, NIST CSF 2.0, CIS v8, DORA oder Anhang 11), Kontrollziele und Kontrollen in einer Kette verknüpft, Gesellschaften und Compliance-Quote in % je Regelwerk, Fundstelle, Kontrollziel, Richtlinie und Gesellschaft mit einem Dashboard pro Rolle. Jeder Prozess ist in einem Schritt eingerichtet, mit seinen Erinnerungen; Zahlen stammen immer aus den Datensätzen.
Risikoregister
Risiken mit Verantwortlichen, Eintrittswahrscheinlichkeit x Auswirkung, Behandlung, Akzeptanz durch einen Genehmiger und Erinnerungen zur Überprüfung.
Daten: Risiken
Richtlinienmanagement
Richtlinien mit Verantwortlichem, Genehmiger und jährlicher Überprüfung; Mitarbeitende bestätigen sie und sehen nur ihre eigenen.
Daten: Richtlinien, Richtlinienbestätigungen
Audit-Feststellungen
Feststellungen aus jedem Audit, Verantwortliche, Korrekturmaßnahmen und Fälligkeiten, erst nach Verifizierung geschlossen.
Daten: Feststellungen
Probeaudit
Audits planen, wie ein Auditor testen, bevor das echte Audit kommt, Feststellungen in die Tabelle der Feststellungen, Bereitschaft einen Monat vorher.
Daten: Audits, Feststellungen
Ausnahmen und Verzichte
Richtlinienausnahmen, Kontrollverzichte und Risikoakzeptanzen: Verantwortlicher, Grund, kompensierende Kontrolle, Genehmiger, Ablaufdatum.
Daten: Ausnahmen
Compliance-Framework
Regelwerke, ihre Fundstellen, Kontrollziele und Kontrollen in einer Kette verknüpft, Richtlinien mit dem verknüpft, was sie abdecken, Gesellschaften mit übergeordneten Einheiten; Compliance-Quote in % je Regelwerk, Fundstelle, Kontrollziel, Richtlinie und Gesellschaft mit Aggregation und Drill-down; ein Dashboard pro Rolle.
Daten: Regelwerke, Gesellschaften, Richtlinien, Fundstellen, Kontrollziele, Kontrollen
2 · Beispiele
Echte Anfragen, und die Karte, die jede erzeugt.
Beispielgespräch
Sie
Nimm eine Backup-Kontrolle ins Register auf: nächtliche Sicherungen des Dateiservers, Wiederherstellungstest im Oktober, Verantwortlicher Tom Becker.
Kibo
Ich lege die Kontrolle mit ISO 27001 A.8.13 (Datensicherung) an und nehme den Oktober-Bericht als Nachweis auf. Bitte prüf zuerst die Karte.
Neue Kontrolle: Backups des Dateiservers
KontrolleNächtliche Sicherung des Dateiservers, Wiederherstellung wird jährlich getestetFramework-ReferenzenISO 27001 A.8.13VerantwortlicherTom BeckerStatusumgesetztNachweisdatum14.10.2026
Beispielgespräch
Sie
Wir entwickeln selbst keine Software. Markier die sichere Entwicklung als nicht anwendbar.
Kibo
Ich habe SD-02 gefunden (ISO 27001 A.8.25, Lebenszyklus der sicheren Entwicklung). Eine nicht anwendbare Kontrolle braucht eine Begründung, die in die Erklärung zur Anwendbarkeit übernommen wird.
SD-02 auf nicht anwendbar gesetzt
Kontroll-IDSD-02Framework-ReferenzenISO 27001 A.8.25Statusnicht anwendbarGrund für NichtanwendbarkeitDas Unternehmen entwickelt keine Software; zugekaufte Software fällt unter die Lieferantenkontrollen
Beispielgespräch
Sie
Erfass ein Risiko: Unser alter ERP-Server hat keinen Support mehr, Ravi ist verantwortlich. Wahrscheinlichkeit 4, Auswirkung 4. Wir akzeptieren es bis zur Migration im Juni.
Kibo
Der Score ist 4 x 4 = 16, also hoch. Die Akzeptanz braucht ein Ja der Risikomanagement-Gruppe. Nach deiner Bestätigung lege ich das Risiko an und frage die Gruppe.
ERP-Server ohne Support
RisikoEin ERP-Server ohne Sicherheitsupdates des Herstellers könnte kompromittiert werdenVerantwortlicherRavi MenonWert16BehandlungakzeptierenNächste ÜberprüfungFeb. 2027
Beispielgespräch
Sie
Neues Risiko: Ransomware auf dem Dateiserver, Verantwortlicher Tom Becker. Wahrscheinlichkeit 3, Auswirkung 5, wir wollen es senken.
Kibo
3 x 5 = 15 ist ein hohes Risiko: Es braucht einen Maßnahmenplan mit Verantwortlichem und Termin und wird vierteljährlich geprüft. Ich lege es nach deiner Bestätigung an.
Ransomware auf dem Dateiserver
KategorieSicherheitVerantwortlicherTom BeckerEintrittswahrscheinlichkeit3Auswirkung5Wert15
Beispielgespräch
Sie
Gib die neue Richtlinie zum mobilen Arbeiten zur Freigabe. Version 1.0, Tom Becker hat sie geschrieben, Lena Hoffmann gibt sie frei.
Kibo
Ich lege sie als Entwurf in Prüfung an. Für alle gilt sie erst, wenn Lena sie freigegeben hat.
Richtlinie zum mobilen Arbeiten v1.0
RichtlinieRichtlinie zum mobilen ArbeitenVersion1.0VerantwortlicherTom BeckerGenehmigerLena HoffmannStatusin Prüfung
Beispielgespräch
Sie
Ich habe die Informationssicherheitsrichtlinie gelesen.
Kibo
Du hast eine offene Anfrage für Version 3.1. Ich trage ein, dass du sie heute gelesen hast.
Bestätigung von Nina
RichtlinieInformationssicherheitsrichtlinieVersion3.1PersonNinaBestätigt am07.11.2026Statusbestätigt
Beispielgespräch
Sie
Beim Überwachungsaudit wurde festgestellt, dass wir einen Teil des internen Auditprogramms ausgelassen haben. Geringfügig, ISO 27001 Klausel 9.2, Ravi behebt es, fällig am 15. Januar.
Kibo
Ich erfasse eine geringfügige Abweichung zu Klausel 9.2 mit Ravi als Verantwortlichem und Fälligkeit 15. Januar 2027. Geschlossen wird sie erst, wenn jemand anderes den Nachweis geprüft hat.
Internes Auditprogramm unvollständig
Quelleexternes AuditAnforderungISO 27001 Klausel 9.2SchweregradgeringfügigVerantwortlicherRavi MenonFällig15.01.2027
Beispielgespräch
Sie
Ravi hat die Zugriffsüberprüfung abgeschlossen. Lena hat den Bericht geprüft. Schließ die Abweichung zu den Zugriffsrechten.
Kibo
Der Nachweis ist die unterschriebene Zugriffsüberprüfung vom 4. November, und Lena ist nicht die Verantwortliche, sie darf also prüfen. Ich setze die Abweichung mit ihrem Namen auf „geprüft“.
Überprüfung der Zugriffsrechte
FeststellungZugriffsrechte seit 12 Monaten nicht überprüftStatusgeprüftNachweisUnterschriebener Bericht der Zugriffsüberprüfung, 04.11.2026Geprüft vonLena Hoffmann
Beispielgespräch
Sie
Richte ein Probeaudit nach ISO 27001 für die Zentrale ein, Start 11. Januar. Lena Hoffmann leitet es.
Kibo
Ich lege das Audit mit Geltungsbereich und Leitung an und gehe dann von den Fakten aus: Kontrollen, Nachweise und offene Abweichungen zu ISO 27001.
Probeaudit ISO 27001, Zentrale
AuditProbeaudit ISO 27001 ZentraleArtProbeUmfangInformationssicherheits-Managementsystem, ZentraleLeadLena HoffmannStartdatum11.01.2027
Beispielgespräch
Sie
Beim Probeaudit hat sich gezeigt, dass Backups nie auf Wiederherstellung getestet wurden. Erfass es als Abweichung, Tom ist verantwortlich, Behebung vor dem Audit.
Kibo
Die nächtlichen Jobs liefen, aber ich finde keinen Beleg für einen Wiederherstellungstest. Ich schlage eine geringfügige Abweichung zu A.8.13 vor, die Lena bestätigen sollte. Sie wird erst mit deinem Ja angelegt.
Kein Wiederherstellungstest der Backups
QuelleProbeauditAnforderungISO 27001 A.8.13SchweregradgeringfügigVerantwortlicherTom BeckerKorrekturmaßnahmeWiederherstellungstest des Dateiservers durchführen und dokumentieren
Beispielgespräch
Sie
Das Designteam braucht zwei Laptops ohne Festplattenverschlüsselung, bis die neue CAD-Software zertifiziert ist. Bitte Stefan Brandt, eine Ausnahme bis 31. März zu genehmigen.
Kibo
Ich erfasse eine Richtlinienausnahme mit Ausgleichsmaßnahme und Ablauf am 31. März 2027. Gültig ist sie erst, wenn Stefan sie genehmigt.
Zwei Laptops ohne Festplattenverschlüsselung
AusnahmeZwei Design-Laptops ohne FestplattenverschlüsselungArtRichtlinienausnahmeKompensierende KontrolleKeine Kundendaten auf den Laptops, Geräte nachts im Büro eingeschlossenGenehmigerStefan BrandtAblaufdatum31.03.2027
Beispielgespräch
Sie
Erfass die Akzeptanz des Risikos beim ERP-Server bis 30. Juni, Lena Hoffmann als Genehmigerin. Der Server ist bis dahin vom Internet getrennt.
Kibo
Das Risiko hat Score 16, daher wird es hier als Risikoakzeptanz erfasst und vom Risikoregister aus verlinkt. Gültig ist es erst nach Lenas Ja.
Risikoakzeptanz: ERP-Server ohne Support
ArtRisikoakzeptanzRichtlinie oder KontrollePatch-ManagementKompensierende KontrolleServer vom Internet getrennt, Zugriff nur aus dem BüronetzRisiko16GenehmigerLena Hoffmann
Beispielgespräch
Sie
Nimm die NIS2-Richtlinie in unsere maßgeblichen Dokumente auf. Sie gilt für die ganze Gruppe, Lena Hoffmann ist verantwortlich.
Kibo
NIS2 steht noch nicht in der Liste. Ich lege sie als anwendbares Gesetz an; ihre Anforderungen lassen sich danach als Zitate ergänzen.
NIS2-Richtlinie
NameRichtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames CybersicherheitsniveauKurznameNIS2ArtGesetzZutreffendjaVerantwortlicherLena Hoffmann
Beispielgespräch
Sie
Leg unseren Standort Lyon als Einheit unter der Hoffmann Logistik GmbH an, damit sein Wert in die Gruppe einfließt.
Kibo
Ich lege den Standort mit der Hoffmann Logistik GmbH als übergeordneter Einheit an. Seine Kontrollen zählen dann in der Gesellschaft und in der Gruppe.
Standort Lyon
GesellschaftStandort LyonArtStandortÜbergeordnetHoffmann Logistik GmbHLandFrankreichKritikalitäthoch
3 · Freigaben und Erinnerungen
Regeln, die es einrichtet, im Code durchgesetzt.
- Erinnerung · Kontrollen: 14 Tage vor „Nächste Prüfung“
- Erinnerung · Kontrollen: 30 Tage vor „Nachweis gültig bis“
- Bericht · Eine Zusammenfassung an die Führungskraft, jeden Montag um 9:00 Uhr
- Freigabe · Risikoakzeptanz
Schritt 1: die Gruppe Risikomanagement wenn “Behandlung” ist annehmen, “Wert” mindestens 15 - Erinnerung · Risiken: 7 Tage vor „Nächste Überprüfung“
- Bericht · Eine Zusammenfassung an die Führungskraft, am 1. jedes Monats um 9:00 Uhr
- Erinnerung · Richtlinien: 30 Tage vor „Nächste Überprüfung“
- Erinnerung · Richtlinienbestätigungen: 7 Tage nach „Angefragt am“
- Erinnerung · Feststellungen: 7 Tage vor „Fällig“
- Erinnerung · Feststellungen: 1 Tage nach „Fällig“
- Erinnerung · Audits: 30 Tage vor „Startdatum“
- Freigabe · Ausnahmen und Verzichte
Schritt 1: die in „Genehmiger“ genannte Person - Erinnerung · Ausnahmen: 30 Tage vor „Ablaufdatum“
- Erinnerung · Ausnahmen: Am Tag von „Ablaufdatum“