ISO 27001
Das Informationssicherheits-Managementsystem: Richtlinien, Erklärung zur Anwendbarkeit, Kontrollen, Kennzahlen und kontinuierliche Verbesserung, von der Regel bis zum Nachweis.
Im Cockpit ansehen →Standards · Unternehmen
Von Galyct Pro unterstützte Standards
ISO 27001, NIS 2, DORA, DSGVO mit der 72-Stunden-Meldung, EBIOS RM, BIA / BCP / DRP: abgedeckt, erklärt und vor allem mit einer Entscheidung verknüpft. Denn eine Cyber-Entscheidung muss sich im Nachhinein erklären lassen, gegenüber einem Kunden, einem Versicherer, einer Behörde oder Ihrem eigenen Gremium.
Das Risiko verstehen. Die Kontrolle zurückgewinnen. Dauerhaft standhalten.
In Frankreich bei Scaleway gehostet · KI von Mistral (EU) · um DSGVO, NIS 2 und DORA vorzubereiten und zu dokumentieren.
01 · DIE STANDARDS
Sechs Grundlagen, ein Anspruch: entscheiden, nachweisen, standhalten
Wir decken sie nicht ab, um Kästchen abzuhaken. Wir übersetzen sie in Verantwortlichkeiten, Nachweise und Abwägungen, die einzige Form von Compliance, die einem Audit, einem Vorfall oder einer Frage der Aufsichtsbehörde standhält.
NIS 2
Die europäische Richtlinie, die den Anwendungsbereich erheblich erweitert: wesentliche oder wichtige Einrichtungen, Pflichten zur Cyberhygiene und verstärkte Verantwortung der Geschäftsleitung.
Wer betroffen ist →DORA
Die digitale operationale Resilienz des Finanzsektors: fünf Säulen, IKT-Risikomanagement und Beherrschung der Dienstleister, anwendbar seit dem 17. Januar 2025.
Die fünf Säulen →DSGVO · 72 h CNIL
Verzeichnis der Verarbeitungstätigkeiten, Folgenabschätzungen, Meldung einer Verletzung binnen 72 Stunden: personenbezogene Daten, behandelt als Nachweis, ohne kosmetische Compliance.
Die 72-Stunden-Pflicht →EBIOS Risk Manager
Die Risikoanalysemethode der ANSSI, in fünf Workshops: von der Sicherheitsbasis über die Szenarien bis zur Behandlung und zum von der Geschäftsleitung abgewogenen Restrisiko.
Die 5 Workshops →BIA · BCP · DRP
Die Betriebskontinuität: Auswirkungsanalyse, Aufrechterhaltung im Notbetrieb und technischer Wiederanlauf werden klar unterschieden, RTO und RPO inklusive.
Die Zeitleiste →
02 · GRUNDSATZ
Compliance heißt nicht, Dokumente zu stapeln. Es heißt, verhältnismäßige, dokumentierte und vertretbare Entscheidungen zu treffen.
Ein Standard hat erst Wert, wenn er in Verantwortlichkeiten, Nachweise und tatsächlich verfolgte Abwägungen übersetzt ist. Galyct Pro verknüpft jede Anforderung (ISO, NIS 2, DORA, DSGVO) mit einer nachvollziehbaren Entscheidung, nicht mit einem beruhigenden Aktenordner. Die Dokumentation spiegelt die gelebte Praxis wider, nie umgekehrt.
03 · EBIOS RISK MANAGER
Die Methode der ANSSI in 5 Workshops, bis zur Entscheidung
Eine seriöse Risikoanalyse erzeugt keine abstrakte Matrix. Sie verknüpft glaubwürdige Szenarien mit geschäftlichen Auswirkungen, bestehenden Maßnahmen und den Abwägungen der Geschäftsleitung: mindern, akzeptieren, übertragen oder vorrangig behandeln.
01SicherheitsbasisUmfang, geschäftliche Werte, unterstützende Ressourcen, gefürchtete Ereignisse und die bereits umgesetzten Basismaßnahmen.
02RisikoquellenPaare aus Risikoquelle und Ziel: wer Sie ins Visier nehmen könnte, mit welchen Motiven und Mitteln.
03Strategische SzenarienAngriffspfade auf hoher Ebene über das Ökosystem und die Beteiligten, Dienstleister inklusive.
04Operative SzenarienTechnische Vorgehensweisen, ausgenutzte Schwachstellen und Wahrscheinlichkeit der ausgewählten Pfade.
05RisikobehandlungPriorisierte Maßnahmen, Verantwortliche, Budgets, Fristen, dann Bewertung des Restrisikos und Nachverfolgung.
→EntscheidungDas Ergebnis ist keine Tabelle, sondern ein entscheidbarer Fahrplan, vertretbar vor dem Gremium.
04 · BETRIEBSKONTINUITÄT
BIA → BCP → DRP: die Zeitleiste einer Unterbrechung
Die BIA ermittelt, was lebenswichtig ist. Der BCP organisiert die Kontinuität im Notbetrieb. Der DRP bereitet den technischen Wiederanlauf vor. Auf der Zeitleiste eines Vorfalls angeordnet, werden diese Pläne nicht mehr verwechselt.
01Vorher · BIAKritische Tätigkeiten, Auswirkungen einer Unterbrechung, Abhängigkeiten und RTO- / RPO-Ziele. Das Fundament.
02T0 · UnterbrechungDer Vorfall tritt ein: Der Normalbetrieb stoppt, die Krise beginnt.
03Währenddessen · BCPDie wesentlichen Funktionen im Notbetrieb aufrechterhalten, die gesamte Organisation, nicht nur die IT.
04Wiederanlauf · DRPSysteme und Daten unter Einhaltung von RTO / RPO wiederherstellen. Der technische Teil.
05Danach · Tests & NachbetrachtungEin nie getesteter Plan ist eine Hypothese, keine Garantie. Abweichungen, Maßnahmen, Aktualisierung.
06Ergebnis · Kontinuität gehaltenKontrollierte Rückkehr zum Normalbetrieb, Nachweise bewahrt, Entscheidungen dokumentiert.
05 · NICHT MEHR VERWECHSELN
Vier Unterscheidungen, die die Entscheidung verändern
Wer diese Begriffe gleichbedeutend verwendet, verliert bereits an Präzision. Wer sie klärt, weiß, wo er beginnen muss und was er von jedem Instrument und jeder Rolle tatsächlich erwartet.
BIA · BCP · DRP
BIA: ermittelt, was lebenswichtig ist, und die Toleranzen gegenüber einer Unterbrechung. Das Fundament, ohne das ein Plan blind gebaut wird.
BCP: organisiert die Aufrechterhaltung der wesentlichen Tätigkeiten im Notbetrieb. Er geht über die IT hinaus und betrifft die gesamte Organisation.
DRP: stellt Systeme und Daten nach einem Schadensfall wieder her. Der rein technische Teil.
RTO · RPO
RTO: maximal tolerierbare Ausfalldauer, also in welcher Zeit ein Dienst wiederhergestellt sein muss.
RPO: maximal tolerierbarer Datenverlust, also wie weit man zeitlich zurückgehen darf.
Zwei messbare Ziele, in der BIA festgelegt, die anschließend Backups, Redundanz und DRP dimensionieren.
Audit · Risikoanalyse
Audit: betrachtet den Stand der Beherrschung und die Lücken, also wo Sie zu einem bestimmten Zeitpunkt stehen.
Risikoanalyse: verknüpft diese Lücken mit glaubwürdigen Szenarien, geschäftlichen Auswirkungen, Entscheidungen und Restrisiken. Das eine stellt fest, das andere führt zu einer Abwägung.
CISO · DSB
CISO: steuert die Sicherheit des Informationssystems, also den Schutz von Betrieb, Zugängen und Verfügbarkeit.
DSB: wacht über die Rechtmäßigkeit der Verarbeitung personenbezogener Daten (DSGVO); eine unabhängige Funktion. Zwei Verantwortlichkeiten, die sich abstimmen, ohne zu verschmelzen.
06 · NIS 2
Ein erweiterter Anwendungsbereich, eine Verantwortung, die bis zur Geschäftsleitung reicht
NIS 2 erweitert den europäischen Cybersicherheitsrahmen in Frankreich auf mehrere Tausend Organisationen in rund achtzehn Sektoren. Das Umsetzungsgesetz nimmt Gestalt an: Auf „den Stichtag“ zu warten ist eine schlechte Rechnung, die Umsetzung dauert Monate.
Wesentliche Einrichtungen
Die kritischsten Sektoren: Energie, Gesundheit, Verkehr, Wasser, Digitales, Verwaltung… Verstärkte Aufsicht und vollständige Pflichten, mit möglicher Ex-ante-Kontrolle.
Wichtige Einrichtungen
Ein erweiterter Kreis: Lebensmittel, verarbeitendes Gewerbe, Abfallwirtschaft… Verhältnismäßige Pflichten und eine eher nachträglich ausgeübte Kontrolle.
Die Pflichten im Überblick
Risikomanagement & CyberhygieneRisikoanalyse, Backups, MFA, Zugriffsverwaltung, Protokollierung.
LieferketteSicherheit der kritischen Dienstleister und Lieferanten, von denen Sie abhängen.
Vorfälle & MeldungErkennung, Bewältigung und Meldung erheblicher Vorfälle an die Behörden.
BetriebskontinuitätBackups, Krisenmanagement sowie Notfall- und Wiederanlaufpläne (BIA, BCP, DRP).
Verantwortung der Geschäftsleitung
Wesentliche Neuerung: Die Leitungsorgane müssen die Risikomanagementmaßnahmen billigen und überwachen. Cybersicherheit ist kein rein technisches Thema mehr.
Wo anfangen
Feststellen, ob Sie betroffen sind (Sektor, Größe, Rolle), Ihre vorrangigen Risiken mit einer EBIOS-RM-Analyse kartieren, die Lücke durch ein Audit messen, dann Governance und Berichtswesen strukturieren.
07 · DORA
Die digitale operationale Resilienz des Finanzsektors
Seit dem 17. Januar 2025 anwendbar, schreibt die DORA-Verordnung dem Finanzsektor (und seinen IT-Dienstleistern) einen anspruchsvollen Resilienzrahmen vor. In Frankreich liegt die Aufsicht insbesondere bei der ACPR und der AMF (den französischen Finanzaufsichtsbehörden).
Unmittelbar verpflichtet
Die Finanzunternehmen
Ein sehr breites Spektrum von Akteuren fällt in den Anwendungsbereich:
- Banken, Versicherungen, Vermögensverwalter
- Zahlungs- und E-Geld-Institute
- Anbieter von Krypto-Dienstleistungen (in Frankreich PSAN)
Mittelbar im Anwendungsbereich
Ihre IKT-Dienstleister
Entscheidender Punkt: DORA zielt auch auf die Anbieter von IT-Dienstleistungen.
- Hoster, Softwarehersteller, Cloud-Anbieter
- Über die vertraglichen Anforderungen, die ihren Finanzkunden auferlegt werden
- Vertragsregister, konforme Klauseln, Reversibilitätsstrategie
Die fünf Säulen
IKT-Risikomanagement
Governance, Kartografie, Schutz- und Kontinuitätsmaßnahmen, gesteuert auf Ebene der Geschäftsleitung.
Vorfallmanagement
Erkennung, Klassifizierung und Meldung schwerwiegender IKT-bezogener Vorfälle.
Resilienztests
Regelmäßige Tests, bis hin zu erweiterten Tests (TLPT) für die bedeutendsten Akteure.
Risiko durch IKT-Dienstleister
Vertragsregister, Vertragsklauseln, Bewertung der Konzentration, Reversibilitätsplan.
Informationsaustausch
Freiwilliger Austausch von Informationen über Cyberbedrohungen zwischen Finanzunternehmen.
Der am meisten unterschätzte Punkt: die Dritten
Viele Organisationen stellen fest, dass sie ihre Abhängigkeit von einigen wenigen kritischen Anbietern nicht beherrschen. DORA macht daraus ein vorrangiges Thema: Register, konforme Klauseln, Konzentration und Reversibilität.
08 · DSGVO · 72 H CNIL
Von den Daten zum Nachweis, 72-Stunden-Meldung inklusive
DSGVO-Compliance hat nur dann operativen Wert, wenn sie sich in ein gepflegtes Verzeichnis, echte Folgenabschätzungen und die Fähigkeit übersetzt, eine Verletzung fristgerecht zu melden, ohne leere Erklärungen oder kosmetische Compliance.
Verzeichnis der Verarbeitungstätigkeiten
Verarbeitungen, Zwecke, sensible Daten, Zugriffe und Auftragsverarbeiter, kartiert und aktuell gehalten.
Folgenabschätzungen
DSFA für Verarbeitungen mit hohem Risiko: messen, bevor verarbeitet wird, und die Entscheidungen dokumentieren.
72-Stunden-Meldung
Eine Datenschutzverletzung muss der CNIL (französische Datenschutzbehörde) binnen 72 Stunden gemeldet werden. Ein Countdown, den man vor dem Vorfall vorbereitet, nicht währenddessen.
DSB & Sicherheit
Abstimmung zwischen DSB und Sicherheitsfunktion: Entscheidungsnachweise, Vorfallmanagement, Betroffenenrechte.
09 · WAS WIR NICHT VERSPRECHEN
Ein Standard leitet, er garantiert nichts an Ihrer Stelle
Ein gut gepflegter Standard verringert Improvisation und erleichtert Abwägungen. Er ersetzt weder Tests noch Entscheidungen noch die Fakten vor Ort. Das versprechen wir nicht.
Compliance, verknüpft mit der gelebten Praxis
Kein Label ersetzt tatsächlich angewandte Maßnahmen. Ein unnötiges, nie umgesetztes Dokument erhöht das Risiko manchmal, statt es zu senken.
Kein Nullrisiko
Eine Risikoanalyse garantiert weder das Fehlen von Schwachstellen noch das Ausbleiben einer Kompromittierung. Sie ist eine strukturierte Einschätzung zu einem bestimmten Zeitpunkt, die nach jedem Vorfall, jeder IT-Änderung oder jeder neuen Abhängigkeit zu überarbeiten ist.
Kein ungetesteter Plan
Ein nie getesteter Plan erzeugt die Illusion von Kontrolle. Und die Entscheidung bleibt bei der Geschäftsleitung: Galyct Pro erhellt die Abwägungen; die Akzeptanz des Risikos und die Mittel sind Sache der Organisation.
Sehen Sie Ihre Standards angewandt auf Ihren Kontext.
Eine 30-minütige Live-Demo zu ISO 27001, NIS 2, DORA, DSGVO, EBIOS RM oder BCP / DRP, oder starten Sie selbst mit der kostenlosen Führungsdiagnose. Unverbindlich.