Automatisierung der Sicherheits-Compliance (ISO 27001, NIS2, DORA)

Sicherheits-Compliance nachzuweisen heißt meist, Nachweisen hinterherzulaufen: Screenshots, Exporte, Tabellen und Richtliniendokumente werden vor jedem Audit zusammengetragen. Plattformen zur Compliance-Automatisierung binden die IT-Landschaft an, prüfen Kontrollen laufend, ordnen einen Nachweis mehreren Rahmenwerken zu und nutzen LLMs, um Richtlinien zu entwerfen, Kundenfragebögen zu beantworten und Lücken zu erklären. Die Menschen behalten die Verantwortung für Risikoentscheidungen, den Geltungsbereich und die abschließende Bestätigung.

Problem & Nutzen

• Heute: Ein ISMS (ISO/IEC 27001) wird mit Tabellen, Wikis und jährlichen Audit-Sprints betrieben. NIS2 verpflichtet inzwischen viele mittlere und große Einrichtungen in 18 Sektoren, Maßnahmen zum Risikomanagement, zur Meldung von Vorfällen und zur Sicherheit der Lieferkette umzusetzen, wobei die Leitungsorgane in der Verantwortung stehen [1]. DORA gilt seit dem 17. Januar 2025 für Finanzunternehmen in der EU und ergänzt einen IKT-Risikorahmen, Vorfallsmeldungen, Tests der Resilienz und ein Register der vertraglichen Vereinbarungen mit IKT-Drittdienstleistern [2]. Viele Unternehmen müssen alle drei Vorgaben gleichzeitig erfüllen, dazu kommen Kundenfragebögen.
• KI-Nutzen: weniger manuelles Sammeln von Nachweisen, ein Kontrollsatz für mehrere Rahmenwerke, schnelleres Entwerfen, stets aktueller Auditstatus, kürzere Bearbeitungszeit bei Fragebögen. Anbieter werben öffentlich mit großen Zeitersparnissen; behandeln Sie solche Zahlen als Marketing, bis Sie sie an Ihrer eigenen Ausgangslage gemessen haben.
• Kein Ersatz für: den tatsächlichen Betrieb der Kontrollen. Automatisierung zeigt, dass eine Kontrolle konfiguriert ist und protokolliert wird, nicht dass sie wirksam ist.

Varianten

• KMU / Start-up: SaaS-Plattform für die ISO-27001-Vorbereitung, kundengetriebene Sicherheitsfragebögen.
• Von NIS2 betroffener Mittelstand (Fertigung, Energie, Logistik, digitale Dienste): Lückenanalyse gegen die Maßnahmen nach Art. 21, Lieferantenbewertungen, Workflow für Vorfallsmeldungen (24 Stunden Frühwarnung, 72 Stunden Meldung, Abschlussbericht nach einem Monat).
• Finanzunternehmen (DORA): IKT-Risikorahmen, Informationsregister, Konzentrationsrisiko bei Drittanbietern, Vorbereitung auf TLPT, Klassifizierung und Meldung schwerwiegender Vorfälle.
• Öffentlicher Sektor: Abbildung von BSI IT-Grundschutz bzw. der nationalen NIS2-Umsetzung.
• Beratungen / Prüfer: LLM-gestützte Dokumentenprüfung für interne Audits und Lückenanalysen.

So funktioniert es

1. Integrationen (Cloud, IdP, MDM, EDR, Ticketsystem, HR, Code-Repositories)
2. Nachweiserfassung (geplante API-Abrufe, Konfigurations-Snapshots, Tickets, Schulungsnachweise)
3. Kontrollbibliothek + Crosswalk (ISO 27001 Anhang A ⇄ NIS2 Art. 21 ⇄ DORA ⇄ interne Kontrollen)
4. automatisierte Tests (bestanden/nicht bestanden je Kontrolle, Drift-Warnungen, Ausnahmen mit Verantwortlichem)
5. LLM-Schicht: Richtlinienentwürfe, Erklärung von Lücken, Fragebogenbeantwortung (RAG über freigegebene Dokumente), Extraktion von Vertragsklauseln für IKT-Drittdienstleister
6. menschliche Prüfung (Kontrollverantwortliche, CISO, Datenschutzbeauftragte(r))
7. Aufgabenverfolgung
8. Nachweispaket für Prüfer

• Kontrollzuordnung: Embeddings und ein LLM schlagen Crosswalks zwischen den Anforderungen der Rahmenwerke und den internen Kontrollen vor; eine verantwortliche Person für die Kontrolle genehmigt jede Zuordnung.
• RAG für Fragebögen: Antworten werden nur aus einer freigegebenen Wissensbasis (Richtlinien, frühere Antworten, Zertifikate) erzeugt und nennen die Quellenstelle; nicht belegte Fragen gehen an einen Menschen.
• Agentische Workflows: Agenten haken bei Kontrollverantwortlichen nach, eröffnen Tickets und testen nach der Behebung erneut (siehe AGENT-018).
• Mensch-in-der-Schleife (Human-in-the-Loop): Geltungsbereich, Risikoakzeptanz, Statement of Applicability, Vorfallsklassifizierung und jede Bestätigung gegenüber einer Aufsichtsbehörde oder einem Prüfer bleiben menschliche Entscheidungen.

Datenaufbereitung

Die Daten bestehen überwiegend aus technischen Nachweisen und Dokumenten. Nachweise liegen in Cloud-Konsolen, beim Identitätsanbieter, in MDM/EDR, Ticket- und HR-Systemen und werden per API abgerufen. Richtlinien, Risikoregister und Verträge liegen typischerweise als Word/PDF auf Dateiablagen, in SharePoint oder in einem Wiki, oft in mehreren veralteten Fassungen; Lieferantenverträge existieren mitunter nur als Papierscans.

Typische Lücken: kein aktuelles Asset-Inventar, doppelte und widersprüchliche Richtlinienversionen, unklare Kontrollverantwortliche, gescannte Verträge ohne Text und API-Zugänge, die niemand freigegeben hat. In HR- und Zugriffsprotokoll-Nachweisen kommen personenbezogene Daten vor.

Schritte der Aufbereitung: (1) ein Inventar der Assets und Systeme aufbauen und je Kontrolle einen Verantwortlichen benennen (PREP-004); (2) einen maßgeblichen Richtliniensatz mit Versionen und Freigabedaten als RAG-Quelle pflegen (PREP-013, PREP-017); (3) Lieferantenverträge per OCR erfassen (PREP-006, DOC-014); (4) schreibgeschützte Servicekonten für die Nachweis-APIs anlegen und die Berechtigungen prüfen (PREP-023); (5) frühere Fragebogenantworten als Referenzbeispiele sammeln (PREP-016); (6) HR-Exporte nach Möglichkeit pseudonymisieren (PREP-022).

Werkzeuge: die Integrationen der Compliance-Plattform, Paperless-ngx für Scans, ein gemeinsames Wiki. Grober Aufwandsanteil: etwa 30 bis 40 Prozent des Projekts, vor allem Inventarisierung und Bereinigung der Richtlinien. Zur Bereitschaftsprüfung siehe GUIDE-003.

Umsetzungswege

Welcher Weg für wen

• smb: A, weil ausgereifte Plattformen zur Compliance-Automatisierung mit EU-Hosting zu KMU-Preisen verfügbar sind und die Nachweiserfassung für ISO 27001 ein Standardprozess ist.
• enterprise: B, weil Kontrollbibliothek, GRC-Werkzeuge und interne Nachweisquellen spezifisch sind; eine LLM-Schicht auf den eigenen Systemen passt dann besser als ein monolithisches Produkt.
• public: C, weil Behörden und KRITIS-Betreiber oft souveränes Hosting benötigen und Richtlinien und Risikoregister nicht in Clouds außerhalb der EU senden können.
• developer: B, weil der Aufbau auf Cloud-KI-Diensten mit offenen Frameworks (z. B. OSCAL, Open Policy Agent) volle Kontrolle über die Zuordnungslogik gibt.

Weg A — Kaufen (für die meisten KMU empfohlen)

• GRC- / Compliance-Automatisierungsplattformen: Vanta, Drata, Secureframe, Sprinto, Scrut (global); zu den Anbietern aus der EU zählen Cyberday (FI), SECJUR (DE) und ISMS.online (UK); GRC-Suiten für Großunternehmen wie OneTrust, ServiceNow IRM, Archer, Diligent und für DORA-spezifische Register Anbieter wie 2B Advice (DE) und Protecht. Prüfen Sie vor dem Kauf die aktuellen Produktlinien und den Datenstandort in der EU.
• Prüfen: EU-Hosting, native Integrationen für Ihren Stack, Inhaltspakete für NIS2/DORA (nicht nur SOC 2), exportierbare Nachweise, Zugang für Prüfer, KI-Funktionen mit offengelegten Modellanbietern.
• A wählen, wenn: eine Standard-SaaS-Landschaft vorliegt, die ISO-27001-Zertifizierung innerhalb von 3-9 Monaten angestrebt wird und das Sicherheitsteam klein ist.

Weg B — Auf Cloud-KI-Diensten aufbauen

• LLMs: Modelle von Claude, GPT, Gemini oder Mistral in EU-Regionen (z. B. über Azure-OpenAI-EU- Bereitstellungen, Google Vertex AI EU, AWS Bedrock Frankfurt, Mistral La Plateforme) mit strukturierten Ausgaben für die Kontrollzuordnung und den Entwurf von Fragebogenantworten.
• Nachweise: Cloud-eigene Dienste (AWS Config / Security Hub, Microsoft Defender for Cloud / Purview Compliance Manager, Google Security Command Center) liefern bereits Kontrollstatus und regulatorische Vorlagen; setzen Sie über deren APIs eine LLM-Schicht obendrauf.
• Orchestrierung: n8n, Power Automate oder ein kleiner Dienst; Vektorindex auf Postgres/pgvector.
• B wählen, wenn: Sie eine eigene ISMS-Werkzeugkette oder branchenspezifische Anforderungen haben.

Weg C — Selbst betreiben (Open Source)

• Nachweise und Kontrolltests: Open-Source-Werkzeuge wie OpenSCAP, Wazuh (Compliance- Dashboards für Regeln im Stil von PCI/NIST/DSGVO), Steampipe/Powerpipe-Compliance-Module, Prowler und CloudQuery für den Cloud-Sicherheitsstatus; OSCAL (NIST) als maschinenlesbares Kontrollformat; Eramba Community und CISO Assistant (Open-Source-GRC) für die Registerebene.
• LLM-Schicht: Open-Weight-Modelle wie Mistral Small/Large, Llama, Qwen oder gpt-oss, bereitgestellt über vLLM oder Ollama, mit Embeddings (BGE-M3, multilingual-e5) für RAG über Richtlinien.
• Hardware: HW2 genügt für Modelle der Klasse 20-30B bei Richtlinien- und Fragebogenlasten.
• C wählen, wenn: Souveränität, regulierte Daten oder Nachweise in abgeschotteten Netzen (Air-Gap) erforderlich sind.

Weg D — Eigenes Training

Selten gerechtfertigt. Das Feintuning eines Klassifikators für die Crosswalk-Zuordnung oder die Vorfallsklassifizierung erfordert aufbereitete, beschriftete Paare aus Anforderung und Kontrolle sowie frühere Vorfallsdaten; RAG über gute Dokumente liefert in der Regel ausreichende Ergebnisse.

Stand der Technik (2026)

• Führende Plattformen bewerben „KI-Agenten“, die Fragebögen automatisch ausfüllen, Richtlinien entwerfen, Sicherheitsdokumente von Lieferanten prüfen und fehlschlagende Tests priorisieren. Die laufende Kontrollüberwachung hat die punktuelle Prüfungsvorbereitung als Grunderwartung abgelöst.
• Maschinenlesbare Compliance (OSCAL, Meldevorlagen von ESMA/EBA wie das DORA-Informationsregister in xBRL-CSV) ermöglicht einen strukturierten, API-gestützten Austausch von Nachweisen.
• Die Übergangsfrist für ISO/IEC 27001:2022 endete im Oktober 2025; Zertifikate müssen daher jetzt der Ausgabe 2022 mit ihren 93 Kontrollen in Anhang A folgen [3].
• Grenzen: LLMs können eine Kontrolle plausibel, aber falsch zuordnen, in Fragebögen die Compliance übertreiben oder Richtlinienaussagen erfinden, die nicht der Realität entsprechen. Grüne Dashboards können trügerische Sicherheit erzeugen („Checkbox-Compliance“); Prüfer testen weiterhin die Wirksamkeit im Betrieb. NIS2 wird national umgesetzt, die Anforderungen unterscheiden sich daher je Mitgliedstaat und ändern sich; prüfen Sie gegen das nationale Gesetz.

Gemeinsame Bausteine & Kombinationen

• Gemeinsamer Stack (llm-general + RAG + workflow-automation): KNOW-009 Fragen und Antworten zu Normen, DOC-016 Compliance-Prüfungen von Dokumenten, SEC-022 KI-Governance (dieselbe Nachweis-Engine für die KI-Verordnung (AI Act)).
• Nachweisquellen: SEC-004 Schwachstellenmanagement, SEC-020 Zugriffsüberprüfungen, SEC-017 Datenklassifizierung, SEC-013 AI-SPM, SEC-001 SOC für Vorfallsdaten und Meldefristen.
• Datenschutzseite: SEC-018 (Verzeichnis von Verarbeitungstätigkeiten, Betroffenenanfragen) nutzt die Kontrollbibliothek für DSGVO Art. 32 gemeinsam.
• Agenten: AGENT-018 laufende Überwachung von Kontrollen.

Aufwand, Kosten & Kennzahlen

• Weg A: Wochen, um Integrationen anzubinden; die ISO-27001-Vorbereitung dauert typischerweise mehrere Monate, weil Richtlinien, Risikobewertung und internes Audit Kalenderzeit brauchen. Die Preise sind meist ein Jahresabonnement nach Unternehmensgröße oder Anzahl der Rahmenwerke, plus Auditkosten.
• Weg B: 2-4 Monate für eine LLM-Schicht auf vorhandenen GRC-Daten.
• Weg C: 3-6 Monate plus Betrieb; vor allem Integration und Pflege der Inhalte.
• Kennzahlen: Anteil der Kontrollen mit automatisiertem Nachweis, mittlere Zeit bis zur Behebung fehlgeschlagener Kontrollen, Stunden für die Prüfungsvorbereitung, Bearbeitungszeit für Fragebögen, Anzahl der Abweichungen im Audit, eingehaltene Fristen für Vorfallsmeldungen (24 h / 72 h), Vollständigkeit des Registers der Drittdienstleister.

Menschen & Veränderung

Beginnen Sie mit der Geschäftsleitung (Geltungsbereich, Budget) und der oder dem Informationssicherheitsbeauftragten, die oder der das Projekt verantwortet. Beziehen Sie die Abteilungsleitungen und die IT früh ein, weil Kontrollverantwortliche Nachweise liefern und API-Zugriff gewähren müssen; die Personalabteilung stellt Schulungs- und Onboarding-Nachweise bereit; Recht/Compliance prüft die Zuordnung zu NIS2/DORA. Die oder der Datenschutzbeauftragte wird benötigt, weil die Nachweise Mitarbeiterkonten und Logs enthalten; eine DSFA ist bei rein technischen Nachweisen meist nicht erforderlich, prüfen Sie sie aber dort, wo HR-Daten oder Aktivitätsprotokolle ausgewertet werden, und schließen Sie mit dem Plattformanbieter einen AVV (Art. 28 DSGVO) ab (GUIDE-005).

Betriebsrat: abhängig vom Einzelfall. Das Werkzeug überwacht überwiegend Systeme, aber die laufende Erfassung von Logs auf Nutzerebene sowie von Geräte- und Schulungsstatus kann technisch das Verhalten von Beschäftigten überwachen und löst damit § 87 Abs. 1 Nr. 6 BetrVG aus; § 90 Abs. 1 Nr. 3 verlangt eine frühzeitige Unterrichtung, wenn Arbeitsverfahren mit KI geplant werden. Informieren Sie den Betriebsrat im Kick-off und vereinbaren Sie eine kurze Betriebsvereinbarung, die die Nachweise auf das beschränkt, was die Kontrollen brauchen (GUIDE-004).

KI-Kompetenz: Art. 4 der KI-Verordnung (AI Act) verlangt, dass Arbeitgeber den Aufbau von KI-Kompetenz fördern; geben Sie den Kontrollverantwortlichen eine kurze Schulung dazu, was das LLM entwirft und was sie selbst prüfen müssen (GUIDE-006). Starten Sie einen Pilot mit einem Rahmenwerk (z. B. ISO 27001) und wenigen Kontrollverantwortlichen. Typische Sorge: „Das ist Überwachung meiner Arbeit“; legen Sie daher offen, welche Nachweise erfasst werden und warum. Die Menschen behalten Geltungsbereich, Risikoakzeptanz und jede Bestätigung gegenüber Prüfern (GUIDE-008).

Risiken, Regulierung & Compliance

• KI-Verordnung (AI Act): minimales Risiko für interne Compliance-Werkzeuge; KI-Kompetenz (Art. 4) gilt. Nicht Anhang III. Bewertet das Werkzeug zusätzlich Beschäftigte (z. B. Insider-Risiko oder HR-Überwachung), ist neu zu beurteilen (siehe SEC-005, LANG-032).
• DSGVO: Nachweise enthalten personenbezogene Daten (Nutzerlisten, Logs, Schulungsnachweise, HR-Daten); nutzen Sie Auftragsverarbeitungsverträge, EU-Hosting, Datenminimierung und Zugriffskontrolle auf den Nachweisspeicher. Inhalte von Fragebögen und Richtlinien, die an externe LLMs gehen, dürfen keine Geheimnisse enthalten.
• Branchenregeln: NIS2 (Richtlinie (EU) 2022/2555) mit nationaler Umsetzung (in Deutschland das NIS2UmsuCG bzw. die Änderungen am BSIG); DORA (Verordnung (EU) 2022/2554) und die zugehörigen technischen Standards; für Finanzunternehmen gilt DORA als lex specialis gegenüber NIS2 [1][2].
• Risiko durch Dritte: Die Compliance-Plattform ist selbst ein IKT-Drittdienstleister nach DORA und ein Lieferant nach NIS2; sie enthält eine Karte Ihrer Schwachstellen, bewerten Sie sie daher und schützen Sie die Zugangsdaten.
• Gegenmaßnahmen: menschliche Freigabe von Zuordnungen und Bestätigungen, Quellenangaben für alle erzeugten Antworten, Protokollierung von KI-Vorschlägen gegenüber den endgültigen Entscheidungen, regelmäßige unabhängige Prüfung der automatisierten Tests.

Erste Schritte

1. Anwendbarkeit klären: Kategorie der NIS2-Einrichtung (wesentlich/wichtig) und nationales Recht; Geltungsbereich von DORA; von Kunden geforderte ISO-27001-Zertifizierung.
2. Geltungsbereich und einen einzigen internen Kontrollsatz festlegen; den Crosswalk einmal aufbauen.
3. 5-10 Kernsysteme anbinden (IdP, Cloud, MDM, Ticketsystem, HR) und zuerst die fehlgeschlagenen Tests prüfen.
4. Freigegebene Richtlinien in eine RAG-Wissensbasis laden und den Fragebogenentwurf mit Prüfung pilotieren.
5. Vor dem Zertifizierungsaudit ein internes Audit durchführen; Kennzahlen monatlich verfolgen.

Quellen

1. Directive (EU) 2022/2555 (NIS2) — https://eur-lex.europa.eu/eli/dir/2022/2555/oj
2. Regulation (EU) 2022/2554 (DORA) — https://eur-lex.europa.eu/eli/reg/2022/2554/oj
3. ISO/IEC 27001:2022 — https://www.iso.org/standard/27001
4. ENISA — NIS2 technical implementation guidance — https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance
5. European Supervisory Authorities — DORA information — https://www.esma.europa.eu/esmas-activities/digital-finance-and-innovation/digital-operational-resilience-act-dora
6. NIST OSCAL — https://pages.nist.gov/OSCAL/
7. Wazuh documentation — https://documentation.wazuh.com/
8. Prowler — https://github.com/prowler-cloud/prowler
9. CISO Assistant — https://github.com/intuitem/ciso-assistant-community
10. BSI — NIS2 information — https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/nis-2-regulierte-unternehmen_node.html