01
Ziel und Umfang
In einem kurzen Workshop besprechen wir die Organisation, kritische Dienste, Kundenvorgaben und das Prüfziel. Wir klären, welche Anforderungen mit den für ihre Auslegung zuständigen Personen bestätigt werden müssen.
Compliance und Regulierung
IT-Compliance
Wir verbinden Anforderungen an die IT mit konkreten Arbeiten, Zuständigkeiten und Unterlagen für Prüfungen. Gesetzliche Pflichten, Kundenvorgaben, die Vorbereitung auf eine Zertifizierung und unser TrustGuard-Programm sind dabei getrennte Bereiche. Den Umfang stimmen wir auf die Organisation ab; die Leistung garantiert keine Konformität.
Kunden
Unternehmen und Institutionen, die stabile IT benötigen.
Von Anforderungen zum Arbeitsplan
Dies ist ein Ausgangspunkt für Geschäftsleitung, IT, Compliance, Rechtsabteilung und interne Revision. Zuerst klären wir Ziel, kritische Dienste und vorhandene Unterlagen. Die genannten Vorschriften, Normen und Programme sind keine gleichwertigen Pflichten für jedes Unternehmen; Anwendbarkeit und Umfang bewerten wir für die jeweilige Organisation.
Prüfungen und Auditvorbereitung
Wählen Sie den Bereich passend zu Ihrem Bedarf. Ein NIS2-Audit ersetzt nicht jede andere Prüfung. Eine ISO-Lückenanalyse ist keine formale Zertifizierung.
NIS2-Audit
Prüfung relevanter Anforderungen, Schutzmaßnahmen, Vorfälle, Lieferanten, Betriebskontinuität und Leitungsverantwortung.DORA-Audit
Prüfung von IKT-Risiken, digitaler Resilienz, Lieferanten, Vorfällen, Tests und Dokumentation im Finanzsektor, im für die Organisation relevanten Umfang.ISO-27001-Lückenanalyse
Prüfung von Lücken im Informationssicherheitsmanagement, Richtlinien, Risikoregistern, Rollen und Überprüfungen vor der Zertifizierung.IT-Audit für KSB 315
IT-Kontrollen, Anwendungen, Zugriffe, Änderungen, Finanzsysteme, Berichte und Unterlagen für die Abschlussprüfung.Das eigene Zertifikat von Virtline
TÜV NORD Polska hat das Informationssicherheitsmanagementsystem von Virtline nach PN-EN ISO/IEC 27001:2023-08 zertifiziert. Das veröffentlichte Zertifikat nennt Geltungsbereich und Gültigkeit. Es betrifft unser Managementsystem, nicht eine Zertifizierung des Kunden oder die Konformität seiner IT-Umgebung.
Zertifikat von Virtline ansehenAblauf des Compliance-Projekts
Wir können mit einer Prüfung beginnen oder einen vorhandenen Bericht nutzen. Bestandsaufnahme, Entscheidungen, Umsetzung und laufende Betreuung haben jeweils einen gesondert vereinbarten Umfang.
02
Ist-Zustand
Wir prüfen Kontrollen und Unterlagen, benennen Lücken, Risiken und Entscheidungsverantwortliche. Auch Verträge, SLAs, Subunternehmer und Abhängigkeiten der Dienste von Lieferanten werden betrachtet.
03
Planung und Umsetzung
Wir vereinbaren Prioritäten, Budget, Termine und Abnahmekriterien. Beauftragte Arbeiten können Richtlinien, technische Schutzmaßnahmen, Register, Schulungen und die Überarbeitung von Konfigurationen umfassen.
04
Prüfung und Pflege
Wir prüfen die Ergebnisse der vereinbarten Arbeiten und die Vollständigkeit der Unterlagen. Weitere Berichte, Berechtigungsprüfungen, Tests und Aktualisierungen planen wir mit Ihrer IT oder als gesonderte Betreuung.
Praktischer Umfang
Ergebnisse für Ihr Unternehmen
Die Ergebnisse hängen von der gewählten Prüfung oder Umsetzung ab. Die Dokumentation soll tatsächliche Arbeiten sowie Lücken und Einschränkungen beschreiben.
Zuordnung der Anforderungen zu Kontrollen und Systemen, Lückenregister, geschäftliche Auswirkungen, Wahrscheinlichkeit und Bedeutung der Dienste. Jede Empfehlung nennt Grund, Priorität, Zuständigkeit und vorgeschlagenen Termin.
Dringende Korrekturen, Leitungsentscheidungen, technische Arbeiten, Lieferantenabhängigkeiten und Budgetbedarf. Erledigte Aufgaben, offene Arbeiten und von befugten Personen akzeptierte Risiken werden getrennt ausgewiesen.
Verfahren, Konfigurationen, Logs, Monitoringberichte, Ergebnisse von Wiederherstellungstests, Berechtigungsprüfungen, Vorfallregister, Entscheidungen und Abnahmeprotokolle. Eine Datei oder Erklärung allein belegt keine wirksame Kontrolle.
Rollen der Leitung, Systemverantwortlichen, IT, Compliance und Lieferanten, Abnahmekriterien und Belege für den Abschluss. Auch Überprüfungen und die Aktualisierung der Dokumentation werden vereinbart.
Unterlagen müssen die Praxis abbilden
Ein Verfahren ohne Konfigurationen, Logs oder Tests kann Lücken in der Kontrollbewertung hinterlassen. Die Planung umfasst privilegierte Zugriffe, MFA, Backup und Wiederherstellung, Monitoring und Vorfalleskalation, Einstellungen von Microsoft 365, Active Directory und Geräten sowie die Lieferantensteuerung. Jeder Bereich braucht Zuständigkeiten und Überprüfungen. Für KI berücksichtigen wir Systemklassifizierung, Datenrisiken, Informationsflüsse, Dokumentation und Betriebsregeln. Gemeinsame Arbeiten können mehrere Anforderungen unterstützen, heben aber deren Unterschiede nicht auf. Das Unternehmen bleibt für seine Entscheidungen und Pflichten verantwortlich. Vorbereitete Unterlagen ersetzen weder die Bewertung eines Prüfers noch die unabhängige Entscheidung einer Zertifizierungsstelle.
CRA und die Cybersicherheit von Produkten
Der Cyber Resilience Act betrifft Produkte mit digitalen Elementen. Eine Lückenanalyse sowie die Umsetzung von Schutzmaßnahmen und Prozessen zur Behandlung von Schwachstellen helfen, Produkt und Dokumentation auf die passende Konformitätsbewertung vorzubereiten.
Programme und Umsetzung
Weitere Schritte nach Klärung von Ziel und Lücken. Jeder Bereich hat einen eigenen Umfang und gehört nicht automatisch zu jedem Audit.
-
AI Act
Klassifizierung von KI-Systemen, Datenrisiken, Verantwortung, Dokumentation und sicherer Betrieb. Anforderungen und Fristen sind für den jeweiligen Einsatz und die Rolle des Unternehmens zu klären.
-
TrustGuard
Unser eigenes Programm für Prüfungskanzleien und professionelle Dienstleister: Stufen, Sicherheitspraktiken, Dokumentation und Kundenkommunikation. Es ersetzt weder ISO-Zertifizierung noch gesetzliche Pflichten.
-
NIS2 umsetzen
Planung und Umsetzung vereinbarter Richtlinien, Verfahren, technischer Schutzmaßnahmen, Register und Regeln für deren Pflege.
-
DORA umsetzen
IKT-Risikomanagement, Lieferantensteuerung, Resilienztests, Vorfälle, Reaktionsszenarien und Berichte.
Schutz und laufende Betreuung
Wir verbinden Anforderungen mit Arbeiten in Ihrer IT. Werkzeuge, Integrationen und Betrieb werden gesondert vereinbart. Der Kauf einer Lösung belegt keine Konformität.
-
Cybersicherheit
Audits, Tests und Schutzmaßnahmen, um die technische Grundlage von Verfahren zu prüfen und erkannte Lücken zu bearbeiten.
-
SOC, SIEM und SOAR
Ereignisüberwachung, Verknüpfung von Alarmen und Reaktionsszenarien. Werkzeuge und Betreuung brauchen einen vereinbarten Umfang.
-
Backup und Wiederherstellung
Aufbewahrung, Wiederherstellungstests und Schutz der Kopien vor Ransomware. Wir vereinbaren den tolerierbaren Datenverlust (RPO) und die Wiederherstellungszeit (RTO).
-
MFA und Zugriff
Zusätzliche Anmeldebestätigung für Konten, VPN, Microsoft 365 und kritische Anwendungen sowie Regeln für privilegierte Zugriffe.
-
EDR, MDR und XDR
Bedrohungserkennung, Reaktion, Alarme und Eskalation. Wir unterscheiden Endgeräteschutz, betreute Reaktion und die Verknüpfung verschiedener Informationsquellen.
-
Microsoft 365
Identität, E-Mail, Datenaustausch, Aufbewahrung, Sicherheitseinstellungen und Berechtigungsprüfungen.
-
IT-Outsourcing
Vereinbarte Einführung und Pflege von Schutzmaßnahmen, Verfahren, Berichten und regelmäßigen Überprüfungen.
Fragen zur IT-Compliance
Mit Audit oder Umsetzung beginnen?
+
Sind Anforderungen und Lücken unklar, beginnen wir mit einem Workshop oder einer passenden Prüfung. Liegt bereits ein Bericht vor, können wir eine konkrete Umsetzung, Zuständigkeiten, Termine und Abnahmeunterlagen vereinbaren. Nicht jede Prüfung wird als NIS2-Audit behandelt.
Lassen sich mehrere Bereiche in einem Plan zusammenführen?
+
Ja. Zugriffe, Backups, Monitoring, Vorfälle, Lieferanten, Rollen und Prüfungen dienen oft mehreren Zielen. Wir ordnen sie den jeweiligen Anforderungen zu und unterscheiden dabei Regulierung, die Norm ISO 27001, eine Prüfung nach KSB 315 und unser TrustGuard-Programm. Eine Kontrolle belegt nicht die Erfüllung aller Anforderungen.
Bedeutet eine Prüfung Zertifizierung oder Konformität?
+
Nicht allein. Eine ISO-27001-Lückenanalyse hilft, die Bereitschaft zu bewerten; die formale Zertifizierung erfordert eine gesonderte Bewertung. KSB-315-Unterlagen unterstützen den Abschlussprüfer, ersetzen aber nicht sein Urteil. Unser ISO-Zertifikat betrifft Virtline. Pflichten, Fristen und deren Auslegung müssen für das konkrete Unternehmen geklärt werden. IT-Leistungen garantieren keine Konformität.
Helfen Sie nach dem Audit weiter?
+
Ja. Im vereinbarten Umfang können wir MFA, Backups, Monitoring, EDR/MDR/XDR, Einstellungen von Microsoft 365 und Active Directory, Richtlinien, Register und Schulungen umsetzen. Weitere Berichte, Prüfungen und die Pflege der Unterlagen brauchen abgestimmte Zuständigkeiten und Betreuung. Ein Bericht beseitigt kein Risiko; eine dokumentierte Ausnahme ist keine Behebung.
Den passenden Umfang klären
Beschreiben Sie das Prüfziel, die Regulierung oder Kundenvorgabe, wichtige Systeme und vorhandene Berichte. Wir schlagen einen ersten Schritt vor: Workshop, Prüfung, Maßnahmenplan, Umsetzung oder Ordnung der Unterlagen.
Anforderungen besprechen