Bedrohung und Regulierung wachsen gleichzeitig
Zwei Entwicklungen treffen zur gleichen Zeit auf dieselben Unternehmen. Nichthandeln ist die teuerste Option — und seit Dezember 2025 ein persönliches Haftungsrisiko der Leitungsebene.
Bedrohungslage: angespannt bis kritisch
- Ransomware und Lieferkettenangriffe laut BSI-Lagebild auf hohem Niveau
- Zunehmend KI-gestützte Angriffe — Deepfake-CEO-Fraud, automatisiertes Phishing
- Angriffsfläche wächst mit jedem neuen KI-Tool im Unternehmen
NIS2 und DORA sind da
NIS2UmsuCGseit 06.12.2025 in Kraft, ohne Übergangsfrist — rund 29.500 Unternehmen betroffenDORAseit 17.01.2025 für den Finanzsektor und dessen IKT-Drittdienstleister verbindlich- Bußgelder bis 10 Mio. € bzw. 2% des weltweiten Jahresumsatzes (NIS2)
EU AI Act: Fristen laufen
- Transparenzpflichten (
Art. 50) ab 02.08.2026 — in wenigen Wochen - Hochrisiko-Pflichten (Annex III) per Digital Omnibus auf 02.12.2027 verschoben
- Verschiebung ist Umsetzungsfenster, keine Entwarnung — Governance-Aufbau dauert 12–18 Monate
Persönliche Haftung der Leitung
- Organisationsverschulden nach
§ 93 AktG/§ 43 GmbHG - Umsetzungs-, Überwachungs- und Schulungspflicht der Geschäftsleitung
- Nur ca. 11.500 der 29.500 betroffenen Unternehmen bislang beim BSI registriert
Sind Sie betroffen?
Getrennte Systeme, eine Haftung
ISMS, BCM, KI-Governance und GxP-Validierung werden in den meisten Unternehmen von unterschiedlichen Personen, mit unterschiedlicher Methodik und ohne gemeinsame Eskalationslogik betrieben. Verantwortet wird das Ergebnis trotzdem an einer einzigen Stelle — der Geschäftsleitung, seit § 93 AktG / § 43 GmbHG persönlich haftend.
Getrennte Dokumentationswelten
- Assets, Risiken und Maßnahmen werden mehrfach erhoben
- Unterschiedlich bewertet — die Bilder laufen auseinander
- ISMS, BCM, KI, GxP-Validierung und IT-Betrieb als unverbundene Silos
Audit-Fatigue
- Parallele interne und externe Audits binden dieselben Schlüsselpersonen mehrfach pro Jahr
- Silo-Ansätze verursachen erfahrungsgemäß 30–50% Mehraufwand in Dokumentation und Pflege
- Bei gleichzeitig schlechterer Nachweisqualität
Gefährliche Schnittstellen
- KI-Systeme laufen häufig außerhalb des ISMS-Scopes — und außerhalb der GxP-Validierung
- Notfallpläne ohne KI-, Cloud- und GxP-System-Szenarien
- Lieferanten werden mehrfach, aber inkonsistent bewertet
Kein konsolidiertes Risikobild
- Der Vorstand unterschreibt Risikoberichte, die niemand konsolidiert hat
- Das eigentliche Problem ist nicht zu wenig Compliance
- Es ist unverbundene Compliance
Wo diese Lücke im Alltag entsteht
Sicherheit will den Patch heute, GxP verlangt die vollständige Re-Validierung vorher — ein gemeinsamer Change-Prozess mit Security- und GxP-Kategorie löst das, zwei getrennte Freigabewege verschärfen es.
Netzsegmentierung und Monitoring gelten in der Produktion oft als Risiko für die Verfügbarkeit — dabei schützen sie genau die Anlagen, die ein Stillstand am teuersten treffen würde.
Die Geschäftsleitung braucht ein Risikobild, das sie verantworten kann — bekommt aber vier Berichte in vier Sprachen, die niemand konsolidiert hat.
Sechs Anforderungen, die kein GxP-Regelwerk kennt
Ein vollständig validiertes System mit lückenlosem Audit Trail kann sicherheitstechnisch trotzdem ungeschützt sein — GAMP 5 und Annex 11 prüfen den intended use, nicht den unintended abuse. Genau hier entsteht die gefährlichste Schnittstelle:
| Anforderung | Warum GxP-Reife hier nicht ausreicht |
|---|---|
| Angriffserkennung (Detektion) | GxP kennt kein SIEM, keine OT-Anomalieerkennung — ohne Detektion beginnt die Meldeuhr erst, wenn der Schaden sichtbar ist |
| Behördliche Meldepflicht in 24 Std. | Es gibt in GMP nichts in dieser Taktung |
| Cyber-Sicherheit der Lieferkette | Quality Agreements regeln Datenintegrität, nicht Incident-Notification oder Schwachstellenoffenlegung |
| Patch-Management mit fester Kadenz | GxP kennt nur Change Control — einen Genehmigungsprozess, kein Zeitversprechen |
| Mehrfaktor-Authentifizierung | Klassische GxP-Regularien kennen nur Benutzername/Passwort als „zwei Komponenten“ |
| Persönliche Geschäftsleitungshaftung | GxP kennt Verantwortlichkeit über die Sachkundige Person — nicht persönlich über die Geschäftsführung |
Ein Managementsystem, keine fünf Parallelprojekte
Sie brauchen kein zweites ISMS neben Ihrem bestehenden QMS und keine fünfte Beratung neben Ihrer GxP-Validierung, sondern einen Partner, der beide Sprachen spricht. Daraus entsteht ein Managementsystem-Kern: ISMS, IT-Grundschutz, BCMS, AIMS und GxP-Validierung über gemeinsame Kontrollen, ein Risikoregister, ein Auditprogramm, ein Lagebild.
Warum sich das wirklich integrieren lässt
- Kein Marketing-Versprechen: ISO 27001, 22301 und 42001 teilen dieselbe Kapitelstruktur (Annex SL) — Kontext · Führung · Planung · Unterstützung · Betrieb · Bewertung · Verbesserung
- Deshalb lässt sich ein gemeinsamer Managementsystem-Kern tatsächlich bauen, statt nur behauptet zu werden
- BSI IT-Grundschutz und GAMP 5 liefern darunter die technische bzw. Validierungs-Tiefe, die die Norm allein nicht gibt
Ein Risikomanagement
- Einheitliche Methodik nach
ISO 31000, konkretisiert überISO 27005/BSI 200-3und angebunden anICH Q9(Quality Risk Management) - Für Informations-, Kontinuitäts-, KI- und GxP-Risiken gemeinsam
- Ein Register statt vier parallele Bewertungen
Ein Auditprogramm
- Ein Auditprogramm, ein Management-Review, eine Dokumentenlenkung
- Statt vier parallelen Systemwelten mit eigener Taktung
- Kombinierte Audits senken Aufwand und Zertifizierungskosten
Regulatorik als Nebenprodukt
- NIS2-, DORA- und AI-Act-Pflichten werden Controls direkt zugeordnet — genau wie GAMP-5- und Annex-11-Anforderungen
- Compliance wird Nebenprodukt des Systems, nicht Sonderprojekt
- Wir bauen nicht fünf Systeme. Wir bauen eines — mit fünf Nachweisen.
ISO/IEC 27001 — das Fundament nachweisbarer Sicherheit
Ohne ISMS beantwortet niemand im Unternehmen dieselbe Sicherheitsfrage zweimal gleich — mit Kunden, Auditoren und dem eigenen Vorstand. Das ISMS nach ISO 27001 ist der international anerkannte Nachweis, der das beendet, und zunehmend Ticket-to-Play in Ausschreibungen und Lieferketten.
Risikobasiert statt Checkliste
- Schutzbedarf und Risikoappetit des Unternehmens steuern die Maßnahmen
- Keine Sicherheit von der Stange
- Überdokumentation ist ein Beratungsfehler, kein Normerfordernis
93 Controls, vier Themenfelder
ISO/IEC 27001:2022— organisatorisch, personenbezogen, physisch, technologisch- Gesteuert über das Statement of Applicability (SoA)
- Scope, Risikoregister und Auditzyklus tragen BCMS, AIMS und GxP-Validierung mit
Deckt NIS2-Kernanforderungen ab
- Der § 30-BSIG-Pflichtenkatalog liest sich wie ein ISMS-Inhaltsverzeichnis — ISO 27001 deckt davon branchenschätzungsweise 70–80% strukturell ab
- Die verbleibenden 20–30% sind die teuersten: Detektion, 24-Stunden-Meldefähigkeit, Lieferketten-Cybersicherheit im OT-Umfeld
- Ein Nachweis für mehrere Pflichten — statt ein zweites, paralleles Risikoregister
Was es für Ihren Vertrieb bedeutet
- Ohne Zertifikat füllt Ihr Vertrieb Security-Fragebögen von Konzernkunden manuell aus — mit Zertifikat verweisen Sie auf das SoA
- Verkürzt Security-Assessments von Kunden nachweislich von Wochen auf Tage
- Trägt als führendes System zugleich BCMS, AIMS und GxP-Validierung mit — ein Aufbau, vier Wirkungen
BSI IT-Grundschutz — technische Tiefe statt Abstraktion
Ein ISMS-Zertifikat beantwortet noch nicht, welcher Server heute wie gehärtet werden muss. Der IT-Grundschutz übersetzt Governance in konkrete technische Maßnahmen — deutsche Ingenieursmethodik, kompatibel zur ISO 27001, de-facto-Referenz für Behörden und KRITIS.
Methodisches Rückgrat
BSI 200-1(ISMS) ·200-2(Vorgehensweise) ·200-3(Risikoanalyse)- Vollständig kompatibel zur ISO-27001-Welt
- Von der Vorstandsetage bis in den Serverraum
Konkret statt allgemein
- Über 100 Bausteine übersetzen „angemessen abgesichert" in eine Liste konkreter, priorisierter Anforderungen — kein Interpretationsspielraum im Audit
- Von Active Directory bis zur Industriesteuerung, inklusive OT-Bausteine für Ihre Produktion
- Jährliche Edition hält Maßnahmen aktuell — der Werkzeugkasten hinter der Norm, nicht nur ihre Überschrift
Wir wählen das Niveau, nicht Sie pauschal
- Nicht überall Standard-Absicherung — Basis-Absicherung dort, wo sie ausreicht, Kern-Absicherung gezielt für Ihre Kronjuwelen
- Diese Priorisierung leiten wir aus Ihrem tatsächlichen Schutzbedarf ab, nicht aus einer Standard-Checkliste
- Ergebnis: budgetgerechter Einstieg mit Basis-Absicherung in Wochen statt eines pauschalen Mehrjahresprojekts
Höchste Nachweistiefe im deutschen Markt
- Zertifizierungsoption „ISO 27001 auf der Basis von IT-Grundschutz“
- Faktisch gesetzt für Zusammenarbeit mit öffentlicher Hand und KRITIS-Umfeld
- Strukturanalyse, Schutzbedarfsfeststellung, Modellierung — echte Praxis statt Papier
Bewährte Profile statt Neuentwicklung
- Wir bauen nicht bei null: branchenspezifische IT-Grundschutz-Profile des BSI (u. a. Chemie, Leitstellen) liefern eine geprüfte Bausteinauswahl als Startpunkt
- Für Betreiber kritischer Anlagen zusätzlich: Branchenspezifische Sicherheitsstandards (B3S) nach § 8a Abs. 2 BSIG als offizieller, BSI-anerkannter Nachweis für die gesetzliche Prüfpflicht
- Wir passen ein anerkanntes Profil an Ihre Anlage an, statt eines neu zu erfinden
BCMS nach ISO 22301 & BSI-Standard 200-4
Die Frage im Ernstfall lautet nicht „haben wir ein ISMS", sondern „wie lange können wir ohne ERP produzieren". Wer Wiederanlaufzeiten kennt und den Ernstfall geübt hat, führt in der Krise — alle anderen improvisieren.
Business Impact Analyse
- Kritische Geschäftsprozesse und maximal tolerierbare Ausfallzeiten (MTPD)
- Wiederanlaufzeit (RTO) und maximal tolerierbarer Datenverlust (RPO — wie „alt" ein Backup sein darf) als Managemententscheidung, nicht als IT-Annahme
- Grundlage jeder belastbaren Kontinuitätsstrategie
Pläne, die im Ernstfall wirklich helfen
- Für die Szenarien, die real vorkommen: Ransomware, Cloud-/Provider-Ausfall, Standortverlust, Lieferkettenausfall
- Nicht als Ordner fürs Audit, sondern als Handlungsanweisung für die erste Stunde
- Konkret genug, um im Ernstfall tatsächlich zu funktionieren — nicht erst beim zweiten Vorfall
Tests & Übungen — Pflichtprogramm
- Ein ungeübter Plan ist ein Dokument, kein Schutz
- Methodische Grundlage:
BSI-Standard 200-4— nahtlos verzahnt mit dem Incident Management des ISMS - Vom Sicherheitsvorfall zur Geschäftsunterbrechung: ein durchgängiger Prozess
NIS2 und DORA fordern BCM explizit
- Backup-Management, Krisenmanagement, Wiederherstellung sind Pflichtthemen
- DORA verlangt zusätzlich IKT-Drittparteirisiko-Management und Reaktionsfähigkeit auf Betriebsstörungen
- Ohne BCM steigen Cyber-Policen-Prämien — oder die Versicherbarkeit entfällt
ISO/IEC 42001 — KI-Governance vom Risiko zum Wertschöpfungshebel
Ihre Fachbereiche nutzen längst KI-Tools — die Frage ist, ob Sie wissen welche, mit welchen Daten, und wer die Verantwortung trägt. Das AIMS macht KI-Einsatz auditierbar, bevor der Regulator es erzwingt, und schafft die Governance-Grundlage für souveräne, wertschöpfende KI-Infrastrukturen.
Das erste zertifizierbare KI-Managementsystem
ISO/IEC 42001:2023— gleiche Harmonized Structure wie das ISMS- Dockt direkt an ein bestehendes ISO-27001-System an
- Keine automatische Konformitätsvermutung, sondern die strukturelle Beweisführung für AI-Act-Konformität
Kernelemente
- KI-Inventar und Rollenklärung — Provider oder Deployer
- KI-Risikobewertung und Impact Assessments, Daten-Governance
- Menschliche Aufsicht und Lifecycle-Kontrollen
AI-Act-Readiness strukturell verankert
- Transparenzpflichten (
Art. 50) ab 02.08.2026, AI Literacy (Art. 4) bereits verpflichtend - Hochrisiko-Anforderungen —
Art. 9Risikomanagement,Art. 10Daten-Governance,Art. 14menschliche Aufsicht — bis 12/2027 - Klare Freigabewege statt Schatten-KI
Kontrolle über Ihre Daten, nicht nur über Ihre Prozesse
- On-Premise- und EU-Cloud-Architekturen statt Abhängigkeit von US-Hyperscaler-Blackboxes
- Datenhoheit und kontrollierte Modell-Lieferkette — wissen, wohin welche Daten fließen
- KI-Nutzung, die Wettbewerbsvorteile schafft statt Abfluss- und Abhängigkeitsrisiken
GxP-Validierung — GAMP 5, EU GMP Annex 11 & 21 CFR Part 11
Für Pharma, MedTech und jedes computergestützte System mit GxP-Bezug: Wer KI und IT-Systeme im regulierten Umfeld betreibt, braucht mehr als ein ISMS — er braucht den Nachweis der Datenintegrität nach ALCOA+.
GAMP 5 (2nd Edition) — Lebenszyklus-Validierung
- V-Modell: Anforderungen → Design → Implementierung → Test → Betrieb → Decommissioning
- Quality Risk Management nach
ICH Q9— Validierungsaufwand proportional zum Produktrisiko - Kategorisierung von Software (Kat. 1, 3, 4, 5) steuert Tiefe der Tests
EU GMP Annex 11 — computergestützte Systeme
- Anforderungen an Cloud-Umgebungen, Datenübertragung, Berechtigungskonzept
- Audit Trail, Backup-Strategie und Change Control als Pflichtnachweise
- Ergänzt GAMP 5 um den europäischen regulatorischen Rahmen
FDA 21 CFR Part 11 — elektronische Signaturen
- Rechtsverbindlichkeit elektronischer Aufzeichnungen und Signaturen
- Zugriffskontrolle, Systemvalidierung, Audit-Trail-Pflicht
- Relevant für jeden US-Marktzugang und viele globale Lieferketten
ALCOA+ trifft CIA-Triade
- Attributable, Legible, Contemporaneous, Original, Accurate, Complete, Consistent, Enduring, Available
- Die pharma-spezifische Ausprägung der ISO-27001-Kontrollen — komplementär, nicht konkurrierend
- Ein Kontrollsatz, zwei Nachweisformen: Validierungsbericht und Statement of Applicability
Wie wir NIS2 und GxP zueinander einordnen
Ein Gesetz und ein Industrie-Leitfaden liegen auf unterschiedlichen Ebenen — wir vergleichen deshalb entlang von drei Achsen:
| Vergleich | Was hier verglichen wird |
|---|---|
| NIS2 ↔ ISO 27001 / IEC 62443 | Managementsystem gegen Managementsystem — die eigentlich vergleichbare Ebene |
| GAMP 5 ↔ Annex 11 / Part 11 | Leitfaden gegen Regulierung — GAMP 5 ist nicht rechtsverbindlich, Annex 11/Part 11 sind es |
| NIS2 ↔ Annex 11 (Entwurf 2025) | Hier liegt die eigentliche Überlappung — der Annex-11-Entwurf führt erstmals ein eigenes Security-Kapitel |
Für Ihre GxP-Systeme heißt das konkret: Wir mappen Ihre bestehenden Validierungsnachweise gegen die passende Ebene, statt Äpfel mit Birnen zu vergleichen.
Wir sprechen fließend Regulatorik
Gesetze verpflichten, Normen strukturieren die Umsetzung. Beides gehört in ein gemeinsames Kontrollsystem — nicht in getrennte Compliance-Programme.
Gesetze & Verordnungen
Normen & Standards
Der Kontroll-Cross-Walk
Der Cross-Walk zeigt konkret, was „integriert" bedeutet: acht zentrale Kontroll-Domänen, jede davon einmal implementiert — und gleichzeitig gültig für GxP, Informationssicherheit, Resilienz und KI-Governance. Klicken Sie mehrere Rahmenwerke gleichzeitig an — z. B. NIS2 und GAMP 5 — um deren Nachweisspuren im direkten Vergleich hervorzuheben.
| UCF-Domäne | GAMP 5 / Annex 11 / Part 11 | ISO/IEC 27001:2022 | BSI Grundschutz | DORA | NIS2 | EU AI Act |
|---|---|---|---|---|---|---|
| Access Control | Annex 11 §3.2 Berechtigungskonzept; Part 11 §11.10 | A.5.8 Rollen, A.8.3 Zugang |
SYS.1P Personalschutz, SYS.2A Identifikation | Art. 20(1)(h) Zugangskontrolle | Art. 21(1)(c) Zugangskontrolle | Art. 52(1) Menschliche Aufsicht |
| Audit Trail | Annex 11 §3.3 Audit Trail; GAMP 5 Protokollierung | A.5.24, A.8.15 Protokollierung |
OPS.1P Protokollierung | Art. 21 Protokollverwaltung | Art. 21(1)(f) Audit-Logs | Art. 12 Aufzeichnungen |
| Backup & Recovery | Annex 11 §5.3 Backup; GAMP 5 Backup-Validierung | A.8.13 Backup, A.8.14 Redundanz |
DAT.V-1 Datensicherung, SYS.3P | Art. 17 Backup & Recovery | Art. 21(1)(g) IT-Notfall | Art. 16(2) Datenmanagement |
| Change Management | GAMP 5 Kap. 6 Change Control; CAPA | A.8.9.2 Systemänderungen |
SYS.2A Konfigurationsänderungen | Art. 15 IT-Sicherheitsvorfälle | Art. 21(1)(e) Änderungsmanagement | Art. 15(1) Änderungen am Modell |
| Incident Management | GAMP 5 Kap. 7 Störungen; CAPA | A.5.24 Überwachung, A.6.3 |
OPS.1P Störungsbeseitigung | Art. 22–24 Meldepflichten | Art. 21(1)(d) Incident Mgmt. | Art. 63 Meldepflichten |
| Third-Party Risk | GAMP 5 Kap. 5 Lieferantenqualifikation | A.5.19 Lieferantenbeziehung |
SUP.1P Lieferantenbeziehungen | Art. 28–33 Third-Party-Management | Art. 21(1)(n) Lieferkette | Art. 61–63 TPS-Überwachung |
| Data Integrity | ALCOA+ Prinzipien; Part 11 §11.10 | A.5.27 Datenqualität, A.8.16 |
DAT.V-1, DAT.V-2 | Art. 20(1)(g) Datenintegrität | Art. 21(1)(b) Datenintegrität | Art. 10 Trainingsdaten |
| Risk Management | GAMP 5 Kap. 4 QRM; ICH Q9 | A.5.3 Risikomanagement, A.6.1 |
ENT.1 Risikoanalyse | Art. 5(2) IT-Risikomanagement | Art. 21(1)(a) Risikomanagement | Art. 9 KI-Risikomanagement |
Ausschnitt aus dem vollständigen Cross-Walk — Grundlage jeder GAP-Analyse, die wir für Sie durchführen.
Leitlinien und Nachweisdokumente im Überblick
Compliance ist erst belastbar, wenn sie dokumentiert ist. Statt vier getrennter Policy-Landschaften bauen wir eine schlanke, konsolidierte Leitlinien-Struktur — jede Richtlinie deckt mehrere Rahmenwerke gleichzeitig ab.
| Leitlinie | GxP-Abdeckung | InfoSec-Abdeckung | Resilienz-Abdeckung | KI-Abdeckung |
|---|---|---|---|---|
| Informationssicherheitsleitlinie (erweitert) | GAMP 5, Annex 11 | ISO 27001 § 5.2 | DORA Art. 5, NIS2 Art. 5 | EU AI Act Art. 2 |
| Data Integrity Policy | ALCOA+, Part 11 | A.5.27 Datenqualität | DORA Art. 20 | AI Act Art. 10 |
| Change Management Policy | GAMP 5 Kap. 6 | ISO 27001 A.8.9.2 | DORA Art. 15 | AI Act Art. 15 |
| Third-Party Policy | GAMP 5 Kap. 5 | ISO 27001 A.5.19 | DORA Art. 28–33 | AI Act Art. 61–63 |
| AI Governance Policy | — nicht GxP-originär | — nicht InfoSec-originär | — nicht Resilienz-originär | ISO 42001, EU AI Act |
Empfehlung: Start mit einer einzigen Informationssicherheitsleitlinie nach ISO 27001 § 5.2, erweitert um BCM, KI und GxP, die Geltungsbereich, Verantwortlichkeiten und die Hierarchie aller Unterrichtlinien definiert — kein neu erfundenes Dokument, sondern der bereits normativ verankerte Leitlinien-Begriff, konsequent zu Ende gedacht.
Dokumente, die wir gemeinsam aufbauen
ISMS-Politik & Risikoregister
Ein konsolidiertes Register für Informations-, Kontinuitäts-, KI- und GxP-Risiken.
Statement of Applicability (SoA)
ISO-27001-Anhang-A-Kontrollen: anwendbar oder begründet ausgeschlossen.
BCM-Handbuch & Notfallpläne
BIA, Kontinuitätsstrategien, Meldewege — abgestimmt auf BSI-Standard 200-4.
GAMP-5-Validierungsplan (VMP)
URS, FS/DS und Testpläne (IQ/OQ/PQ) für jedes GxP-relevante System.
KI-Governance-Charter
KI-Inventar, Rollenklärung, AI-Impact-Assessments je Anwendungsfall.
Change- & Incident-Verfahren
Ein Verfahren für Sicherheitsvorfall, Notfall, KI-Fehlverhalten und GxP-Abweichung.
Schulungs- & Awareness-Nachweise
Security Awareness, AI Literacy und GxP-Training in einem Nachweissystem.
Auditplan & Management-Review
Ein Auditprogramm, ein Review-Zyklus, ein konsolidiertes Lagebild pro Quartal.
Wo die Integration im Alltag sichtbar wird
Die Methodik aus Abschnitt 03 ist ein Prinzip auf dem Papier — hier zeigen wir, wo sie im Tagesgeschäft tatsächlich zusammenläuft: im Register, im Ereignisprozess, in der Lieferantensteuerung, in der Schulung.
Ein Asset- und Risikoregister
- Informations-, Kontinuitäts-, KI- und GxP-Risiken nach einer Methodik bewertet
- Aggregiert bis auf Vorstandsebene
Ein durchgängiger Ereignisprozess
- Gleiche Eskalationslogik für jeden Auslöser — Störung → Notfall → Krise, unabhängig davon, ob ein Security Incident, ein KI-Fehlverhalten oder eine GxP-Abweichung der Trigger war
- Gleiche Meldewege — auch für NIS2-, DORA- und AI-Act-Meldepflichten
Lieferanten einmal steuern
- Informationssicherheit, Kontinuität, KI- und GxP-Zulieferungen in einem Bewertungsprozess
- NIS2- und DORA-Lieferkettenanforderungen inklusive
Ein Schulungs- und Management-Review
- Security Awareness, AI Literacy und GxP-Schulungen kombiniert
- Ein konsolidiertes Lagebild statt vier widersprüchlicher Berichte
Ein Beispiel aus dem Risikoregister
| Asset | InfoSec (CIA) | Kontinuität (BC) | KI-Risikoklasse | GxP-Relevanz | Gesamtpriorisierung |
|---|---|---|---|---|---|
| Kundenportal (Cloud-Backend) | C·I·A betroffen — fehlende MFA | Kein BCM-Schwerpunkt (reines InfoSec-Risiko) | Kein KI-Bezug | Kein GxP-Bezug | Hoch |
| Produktionsstandort (Fertigung) | Verfügbarkeit (A) betroffen | Betriebsunterbrechung — Schnittstelle zum BCM | Kein KI-Bezug | Kein GxP-Bezug | Mittel |
| KI-Chargenfreigabe-Vorprüfung (MES) | Integrität (I) betroffen | Kein BCM-Schwerpunkt | Hohes Risiko — Art. 6 / Anhang III |
GAMP 5 Kat. 5 | Hoch |
| Lieferkette: Cloud-Provider | Integrität/Verfügbarkeit (I·A) | Sub-Dienstleister-Ausfall — SLA-Lücke | Kein KI-Bezug | Kein GxP-Bezug | Niedrig |
Reale Beispielzeilen aus unserer Risikoregister-Vorlage. Jede Spalte folgt der für sie richtigen Methodik — ISO/IEC 27001 Kap. 6.1.2/8.2 und ISO 31000 für InfoSec, BSI-Standard 200-2 für Kontinuität, die EU-AI-Act-Risikoklassifizierung für KI, ICH Q9 für GxP. Diese vier Bewertungen zu einer einzigen Zahl zu verrechnen, wäre nicht seriös — ein Datenschutzrisiko und ein Patientensicherheitsrisiko sind keine gemeinsame Einheit. Die Gesamtpriorisierung ist deshalb eine gemeinsame Einschätzung der zuständigen Owner anhand aller vier Spalten, kein automatisch berechneter Wert. Genau das ist der Nutzen eines gemeinsamen Registers: Ein KI-gestütztes GxP-System wird nicht mehr allein aus der InfoSec-Perspektive priorisiert.
In vier Phasen zur nachweisbaren Reife
Kein Big Bang: risikopriorisierte Umsetzung in 12–18 Monaten, mit messbaren Quick Wins ab Woche 4 und Zertifizierungsfähigkeit als Meilenstein — nicht als Selbstzweck.
Phase 1 — Transparenz
- Integrierte GAP-Analyse über alle Rahmenwerke
- NIS2-/DORA-Betroffenheitsanalyse, KI-Inventur, GxP-System-Landkarte
- Priorisierter Board-Report mit Risiko-Heatmap
Phase 2 — Fundament
- ISMS-Kern: Scope, Politik, Risikomethodik
- Grundschutz-Basis-Absicherung als technischer Quick Win
- KI-Governance-Charter, Meldeprozesse
Phase 3 — Ausbau
- Controls-Implementierung
- BIA und Notfallpläne mit erster Übung
- 42001-Prozesse, GAMP-5-Validierungspläne, Awareness & AI Literacy
Phase 4 — Nachweis
- Interne Audits, Management-Review
- Zertifizierungsaudits (Stufe 1/2) — kombiniert, wo sinnvoll
- Übergang in den Regelbetrieb (KVP)
Methodik: der 6-Phasen-Audit-Prozess
Weil Informationssicherheit (ISO 27001) und KI-Management (ISO 42001) derselben internationalen Managementsystem-Struktur folgen, lassen sich integrierte Audits für Datensicherheit und KI aus einer Hand hochgradig effizient umsetzen — ein methodischer Synergieeffekt statt zwei getrennter Prüfläufe.
Scope Definition
- Gemeinsam mit Ihnen definierter Prüfumfang: welche IT-Infrastrukturen und KI-Systeme abgedeckt werden
- Ausrichtung auf gesetzliche Vorgaben wie den EU AI Act
Risk & Impact Assessment
- Systematische Bewertung klassischer Cyberrisiken und spezifischer KI-Risiken — ethisch, rechtlich, betrieblich, technisch
- Definition der Kontrollmaßnahmen nach ISO-Vorgaben
Dokumentenprüfung
- Prüfung bestehender Richtlinien gegen Normanforderungen
- Schwachstellen identifiziert, bevor das System live getestet wird
Umsetzungsaudit vor Ort
- Bewertung der praktischen Umsetzung direkt am System
- Experten-Interviews, Verifizierung der Daten-Governance
Post-Audit & Corrective Actions
- Abweichungen präzise dokumentiert
- Behebung in definiertem Zeitrahmen, anschließend Re-Validierung
Zertifizierungsreife & Lifecycle
- System bereit für die offizielle Zertifizierung (3 Jahre Gültigkeit)
- Jährliche Surveillance-Audits sichern Rechtssicherheit auch bei Updates
Regulatorisches Risiko, wirtschaftliche Wirkung
Die Risikoseite ist gesetzlich beziffert und persönlich haftungsrelevant. Die Antwort darauf ist kein zweites Compliance-Programm, sondern strukturell weniger Aufwand für dieselbe Nachweispflicht — weil eine Kontrolle mehrfach zählt, statt mehrfach gebaut zu werden.
NIS2-Bußgeldrahmen
Oder 2% des weltweiten Jahresumsatzes, je nachdem was höher ist — plus DSGVO-Kopplungsrisiken und zivilrechtliche Haftung.
AI-Act-Bußgeldrahmen
Oder 7% des weltweiten Jahresumsatzes bei Verstößen gegen Hochrisiko-Pflichten (Annex III).
Persönliche Organhaftung
Umsetzungs-, Überwachungs- und Schulungspflicht der Geschäftsleitung seit 06.12.2025 ohne Übergangsfrist — das dokumentierte Managementsystem ist der Entlastungsbeweis.
Nachweispflichten pro Kontrolle
Eine implementierte Kontrolle wie Access Control oder Audit Trail belegt gleichzeitig Anforderungen aus GAMP 5, ISO 27001, BSI Grundschutz, DORA, NIS2 und dem EU AI Act — siehe Control-Matrix oben.
Wo Silo-Compliance Aufwand erzeugt — und was die Integration strukturell ändert
| Bereich | Wo Silo-Compliance den Aufwand erzeugt | Was die Integration strukturell ändert |
|---|---|---|
| Audits | Vier getrennte Auditprogramme mit eigener Taktung, eigenen Interviewpartnern, eigener Dokumentenlogik | Ein Auditprogramm prüft dieselbe Kontrolle einmal gegen bis zu sechs Regelwerke gleichzeitig — siehe Control-Matrix oben |
| Findings | Dieselbe Lücke wird in ISMS-, BCM-, KI- und GxP-Audit unabhängig voneinander neu entdeckt und neu dokumentiert | Ein Maßnahmenregister, eine Ursache, ein Owner — Redundanz entfällt strukturell, nicht durch mehr Koordinationsaufwand |
| Dokumentation | Vier Policy-Landschaften mit eigener Versionierung, die bei jeder Änderung auseinanderlaufen können | Eine Informationssicherheitsleitlinie, erweitert um BCM, KI und GxP, mit klar zugeordneten Unterrichtlinien — siehe Leitlinien-Matrix oben |
| Schulung | Security Awareness, AI Literacy und GxP-Training als separate Pflichtprogramme mit eigenem Nachweis | Ein kombiniertes Schulungs- und Nachweissystem, ein Termin statt drei |
| Meldefähigkeit | NIS2 verlangt 24-Std.-Erstmeldung, GxP kennt diese Taktung nicht — ohne gemeinsamen Prozess entscheidet im Ernstfall niemand rechtzeitig, was meldepflichtig ist | Ein Ereignisprozess von Security Incident bis GxP-Abweichung mit denselben Meldewegen — siehe Zusammenspiel oben |
| Marktzugang | Jeder Kunde prüft Informationssicherheit, Kontinuität und KI-Governance einzeln — Security-Assessments dauern Wochen | Ein Zertifikatssatz als Ticket-to-Play verkürzt Kunden-Assessments auf Tage |
Die Mechanismen sind strukturell — die konkrete Aufwandsreduktion hängt vom bestehenden Reifegrad Ihres Unternehmens ab und wird im Executive GAP-Assessment ermittelt, nicht pauschal behauptet.
Offizielle Quellen & Handreichungen
Direkter Zugang zu den Originalquellen: Behörden, Norminstitute und spezialisierte Mapping-Portale für Ihre kontinuierliche Orientierung.