IT- / Datenschutzrecht
ISO-27001-Audit-Begleitung
anymize entfernt Mandanten- und Lieferanten-Identitäten, konkrete Asset- und Systembezeichnungen sowie interne Organigramme automatisch aus den ISMS-Unterlagen, bevor sie an GPT, Claude oder Gemini gehen — und setzt sie nach der KI-Antwort wieder ein. So strukturieren Sie eine vollständige ISO-27001:2022-Audit-Vorbereitung mit ISMS-Scope, Risiko-Register, SoA und Annex-A-Mapping über die 93 Kontrollen, ohne § 43a BRAO oder § 203 StGB zu berühren.
Schwierigkeit: Spezialist · Datenklasse: Mandantendaten · Letztes Review:
Zur Orientierung gedacht. Die anwaltliche Würdigung im Einzelfall bleibt selbstverständlich bei Ihnen — KI-Outputs sind vor jeder Verwendung zu prüfen. Mehr dazu am Ende.
Anwendungsbereich
Worum geht es hier?
Die ISO-27001-Audit-Begleitung ist Struktur- und Dokument-Arbeit: ISMS-Scope-Statement, Risiko-Register, Statement of Applicability, Auditplanungsunterlagen — alles ist Dokument-zentriert. Die juristische Beratung liegt häufig im Querbezug DSGVO Art. 32 (TOMs), NIS2-Compliance, § 43e BRAO bei Lieferanten und der vertraglichen Absicherung gegenüber dem Mandanten. Wer eine Audit-Begleitung manuell strukturiert, sitzt 15–25 Stunden allein an Scope-Definition, Risiko-Register-Erstaufbau und Annex-A-Mapping. Mit anymize geht die pseudonymisierte ISMS-Skizze an ein Frontier-Modell — Mandantenname, Asset-Bezeichnungen, Lieferanten-Identitäten, IT-System-Namen verlassen das Haus nicht. Die juristische Kernwertung — Scope-Abgrenzung, Risiko-Bewertung im Einzelfall, Annex-A-Anwendbarkeits-Entscheidung mit Begründung — bleibt anwaltliche bzw. Compliance-Eigenleistung.
Für wen passt das?
Zielgruppe und Kontext
- Rolle
- Fachanwält:in für IT-Recht; Compliance-orientierte:r Allround-Anwält:in mit ISMS-Mandaten; Datenschutzbeauftragte:r mit Audit-Begleitungs-Funktion; CISO oder ISMS-Beauftragte:r im Inhouse-Team; externer ISMS-Berater mit anwaltlicher Beratungs-Anbindung.
- Seniorität
- Berufserfahrung mittel bis Spezialist:in — die Annex-A-Mapping-Arbeit ist methodisch erlernbar, aber die SoA-Begründungen und die Risiko-Bewertung im Einzelfall verlangen geübten Blick. ISO/IEC 27005 (Risikomanagement) und ISO/IEC 27002:2022 (Kontroll-Implementierungs-Leitfaden) sind Pflichtreferenzen.
- Kanzleigröße
- Einzelkanzlei mit Compliance-Mandanten bis BigLaw mit komplexen Konzern-ISMS-Mandaten. Hebel ist beim Erst-Audit besonders hoch, weil dort sämtliche Struktur-Arbeit anfällt; Re-Zertifizierungen sind delta-getrieben.
- Spezifische Kontexte
- Mandanten-Unternehmen vor erstmaliger ISO-27001-Zertifizierung (Stage-1 + Stage-2 mit Zertifizierungsstelle); Re-Zertifizierungs-Audit nach drei Jahren; Vorbereitung auf NIS2-konforme ISMS-Implementierung mit ISO-27001 als Maßstab; Konzern-Roll-out eines bestehenden ISMS auf neue Tochterunternehmen; Audit nach Sicherheits-Vorfall mit ISMS-Schwächen-Analyse; M&A-Due-Diligence bei Target mit ISMS-Bestand.
Die Situation in der Kanzlei
So bringen Sie Tempo und Sorgfalt zusammen
ISO/IEC 27001:2022 strukturiert die Audit-Vorbereitung in vier Schichten: ISMS-Scope (Kapitel 4), Risiko-Management (Kapitel 6 + Anhang A), Operations (Kapitel 7–10), und das Statement of Applicability mit den 93 Annex-A-Kontrollen in vier Themengruppen (5 Organisational, 6 People, 7 Physical, 8 Technological). Wer das manuell strukturiert, sitzt 15–25 Stunden allein an Scope-Definition und SoA-Erstaufbau; das Risiko-Register kommt obendrauf. Mandanten erwarten von der Kanzlei nicht die rein technische Kontroll-Implementierung — das macht der CISO / ISMS-Beauftragte — sondern die juristische Verzahnung: DSGVO Art. 32 TOMs, NIS2-Mindestanforderungen (Art. 21 NIS2-RL und Umsetzung im NIS2UmsuCG), § 43e BRAO bei IT-Auslagerung des Mandanten, vertragliche Absicherung gegen Auftragnehmer mit ISO-27001-Bezug (Art. 28 DSGVO-AVV plus ISO-Pflicht-Klauseln). Wer ChatGPT direkt nutzt, kommt schneller zur Struktur — verletzt aber § 43a BRAO und § 203 StGB, sobald Mandantenname, Asset-Bezeichnungen, Lieferanten-Identitäten und konkrete IT-System-Bezeichnungen das Haus verlassen. anymize löst genau diesen Konflikt: Klarnamen werden vor dem KI-Aufruf zu Platzhaltern; die KI-Antwort kommt strukturiert zurück, anymize re-identifiziert. Die juristische Kernwertung — Scope-Abgrenzung, Risiko-Bewertungs-Entscheidung, SoA-Begründung — bleibt im Haus.
Was Sie davon haben
Zeit, Wert, Vertraulichkeit
Zeit pro Audit-Vorbereitung
~8 Std
Frontier-KI strukturiert ISMS-Scope-Statement, Risiko-Register-Vorlage, SoA-Skelett und Annex-A-Mapping in unter 30 Minuten. Anwaltliche / Compliance-Kernwertung — Scope-Begründung, Risiko-Bewertung, SoA-Abweichungs-Argumentation — kommt wie gewohnt obendrauf.
Mehrwert pro Audit
€ 2.000–3.600
Stundensatz IT-/Compliance-Recht (€ 250–450/h) angewandt auf 8 Stunden freigespielte Strukturierungs-Zeit. Bei Erst-Zertifizierungen ist der absolute Hebel höher; bei Re-Zertifizierungen verteilt er sich auf delta-Arbeiten.
Vertraulichkeit
strukturell
anymize entfernt 40+ Kategorien personenbezogener Daten — Mandantenname, Asset-Bezeichnungen, Lieferanten-Identitäten, IT-System-Namen, interne Organigramme — bevor der Text das Haus verlässt.
Erkennungsrate
>95 %
Dreifach geprüft (Algorithmus + zwei spezialisierte KI-Prüfungen). Restmenge kontrollieren Sie im Vorschau-Modus vor dem KI-Aufruf.
So gehen Sie vor
In 5 Schritten zum Antrag
Mandanten-Situation erfassen. Welche Geschäftstätigkeit soll im ISMS-Scope abgebildet werden? Welche Standorte, Tochterunternehmen, Cloud-Services, Outsourcing-Beziehungen? Welche regulatorischen Treiber (DSGVO, NIS2, sektor-spezifische Anforderungen wie KRITIS-DachG, TKG, BAIT/MaRisk, MaComp)? Bestehende ISMS-Bestandteile (Policy-Set, Asset-Inventory, IR-Plan)? Welche Zertifizierungsstelle ist mandatiert? Re-Zertifizierung oder Erst-Audit?
Sie
Scope-Definition · Mandatsrecht
anymize anonymisiert automatisch. Über 40 Kategorien personenbezogener Daten — Mandantenname, Standorte, Tochterunternehmen, Asset-Bezeichnungen, Lieferanten-Identitäten, IT-System-Namen, CISO-/DSB-Identität — werden durch semantische Platzhalter ersetzt. Sie sehen die Vorschau vor dem KI-Aufruf.
anymize
§ 43a BRAO Verschwiegenheit · § 203 StGB
Frontier-KI strukturiert. Die pseudonymisierte ISMS-Skizze geht an Ihr gewähltes Modell — GPT, Claude oder Gemini, alle in anymize verfügbar. Mit dem unten stehenden Prompt fragen Sie eine systematische Audit-Vorbereitung ab: ISMS-Scope → Risiko-Register-Skelett → SoA-Mapping über 93 Annex-A-Kontrollen → Audit-Plan Stage-1 / Stage-2 → Interner-Audit-Plan nach Kapitel 9.2. Die KI sieht keine Klarnamen — sie arbeitet ausschließlich mit den Platzhaltern.
GPT / Claude / Gemini in anymize
Strukturierte Annex-A-Mapping · Audit-Plan
anymize re-identifiziert. Die KI-Antwort kommt mit Platzhaltern zurück; anymize setzt automatisch die Originaldaten wieder ein. Sie erhalten ein ISMS-Scope-Statement, ein Risiko-Register-Skelett, eine SoA-Vorlage und einen Audit-Plan, die Sie würdigen: Scope-Abgrenzung (Cloud-Anteile, Lieferketten-Tiefe), Risiko-Bewertung im Einzelfall, SoA-Begründungen für Anwendbarkeit und Nicht-Anwendbarkeit, Verzahnung mit DSGVO Art. 32, NIS2-Mindestmaß, sektor-spezifische Aufsichts-Erwartung. Citation-Check ISO/IEC 27001:2022 + 27002:2022 + 27005:2022.
anymize + Sie
Bidirektionale Anonymisierung · Citation-Check
Audit-Begleitungs-Bericht. Die Unterlagen werden mit Mandantschaft validiert: Welche Risiken werden akzeptiert, welche gemindert, welche transferiert? Welche Annex-A-Kontrollen sind anwendbar, welche werden begründet ausgeschlossen? Internes Audit mit Mandanten-Auditteam vor Stage-1; Stage-1-Begleitung; Korrekturmaßnahmen-Plan; Stage-2-Begleitung; Begleitung der Aufrechterhaltungs-Audits. Bei NIS2-Pflicht: Doppelbeschuss-Strategie ISO + NIS2-spezifische Maßnahmen klar trennen.
Sie
Beratungsauftrag · Zertifizierungs-Begleitung
Womit Sie arbeiten
So setzen Sie anymize konkret ein
Was anymize tut
- Erkennt 40+ Kategorien personenbezogener Daten — Mandantenname, Standorte, Tochterunternehmen, Asset-Bezeichnungen, Lieferanten-Identitäten, IT-System-Namen, CISO-/DSB-Identität — mit über 95 % Erkennungsrate.
- Dreistufige Prüfung: Algorithmische Analyse, dann zwei spezialisierte KI-Prüfungen, die auch Kontext berücksichtigen (z. B. interne System-Codenamen vs. allgemeine Produktbezeichnungen).
- Bidirektionale Anonymisierung: Platzhalter werden eingesetzt, das Frontier-Modell antwortet mit Kontext, anymize re-identifiziert beim Empfang.
- Daten in deutschen Rechenzentren (Hetzner). Originaldokumente werden nicht gespeichert — nur die Zuordnung Platzhalter ↔ Klarname, mit Aufbewahrungsfrist nach Ihrer Wahl von 24 Stunden bis unbegrenzt.
Was Sie als Anwält:in / Compliance-Beauftragte:r tun
- Mandanten-Situation erfassen — Scope-Treiber, regulatorische Anforderungen, bestehende ISMS-Bestandteile, Zertifizierungsstellen-Mandat.
- Vorschau der Anonymisierung sichten — bei Asset-Listen auf interne Codenamen und bei Lieferantenlisten auf Vendor-Identitäten achten.
- Juristische / Compliance-Kernwertung — Scope-Abgrenzung, Risiko-Bewertung im Einzelfall, SoA-Begründungen, Querbezug DSGVO Art. 32 und NIS2.
- Citation-Check: ISO/IEC 27001:2022 Klauseln 4–10, Annex-A-Kontroll-Nummern (5.x, 6.x, 7.x, 8.x), ISO/IEC 27002:2022, ISO/IEC 27005:2022, NIS2-RL Art. 21, NIS2UmsuCG §§ 30 ff. gegen Primärquellen verifizieren.
- Audit-Begleitung Stage-1 + Stage-2; Korrekturmaßnahmen-Plan; jährliche Aufrechterhaltungs-Audits; Re-Zertifizierungs-Audit nach drei Jahren.
Daten-Input
ISMS-Skizze mit Geschäftstätigkeit, Standorten, Tochterunternehmen, Asset-Inventar (Kurzfassung), Lieferanten-Landkarte, regulatorischen Treibern, bestehenden Policies, Vorfälle der letzten 12 Monate. anymize akzeptiert PDFs, Word-Dokumente, Markdown, Klartext und strukturierte CSV/JSON.
Output-Kontrolle
Pseudonymisierter Text geht an die KI. Re-identifiziertes ISMS-Scope-Statement, Risiko-Register-Skelett, SoA-Vorlage und Audit-Plan kommen zurück. anymize selbst trifft keine inhaltlichen Aussagen — die Strukturierung leistet das Frontier-Modell, die juristische / Compliance-Kernwertung machen Sie.
Freigabeprozess
Sie behalten jederzeit die Hoheit: Sichtung der Anonymisierung, juristische Kernwertung, Mandanten-Beratung, Audit-Begleitung — alles im üblichen Kanzlei-Workflow. anymize ist der Anonymisierungs-Layer, keine ISMS-Software und kein Ersatz für die Audit-Begleitung durch CISO / Compliance / Kanzlei.
Die KI-Anweisung
Prompt zum Kopieren
So nutzen Sie diesen Prompt:
1. ISMS-Skizze, Asset-Inventar-Auszug und Lieferanten-Liste in anymize einfügen — die Anonymisierung läuft automatisch (Mandantenname, Standorte, Tochterunternehmen, IT-System-Bezeichnungen werden zu Platzhaltern).
2. Diesen Prompt kopieren und an die ISMS-Skizze anhängen.
3. In anymize unter „Tools → Reasoning“ auf „Thinking-Modus“ stellen, dann KI-Aufruf starten — der Output kommt re-identifiziert zurück.
4. Die mit [ANWALT-PRUEFUNG] bzw. [COMPLIANCE-PRUEFUNG] markierten Stellen abarbeiten.
Versions-Hinweis: ISO/IEC 27001:2022 hat 93 Kontrollen in vier Themengruppen (A.5–A.8). Die ältere ISO 27001:2013 mit 114 Kontrollen in 14 Bereichen ist nicht mehr zertifizierungs-aktuell.
# Rolle
Du bist ISMS-Audit-Strukturierungs-Assistenz für eine
IT-/Datenschutzrechts-Kanzlei mit Compliance-Praxis.
Rechtsstand: <heutiges Datum — bitte aktuell ermitteln und hier einsetzen>.
# Aufgabe
Strukturiere die Audit-Vorbereitung des vorgelegten Mandanten-Unternehmens
für eine ISO/IEC-27001:2022-Zertifizierung. Liefere:
(1) ISMS-Scope-Statement nach Klausel 4
(2) Risiko-Register-Skelett nach Klausel 6.1.2 / 6.1.3 und ISO/IEC 27005
(3) Statement of Applicability — Mapping über 93 Annex-A-Kontrollen
mit Anwendbarkeit / Begründung
(4) Internen-Audit-Plan nach Klausel 9.2
(5) Audit-Plan Stage-1 (Dokumenten-Review) und Stage-2 (Vor-Ort-Audit)
(6) Verzahnung mit DSGVO Art. 32, NIS2-RL Art. 21, sektor-spezifischen
Anforderungen
Die anwaltliche / Compliance-Kernwertung — Scope-Begründung,
Risiko-Bewertungs-Entscheidung, SoA-Begründung im Einzelfall — ist
NICHT deine Aufgabe; markiere die entsprechenden Stellen mit
[ANWALT-PRUEFUNG] bzw. [COMPLIANCE-PRUEFUNG].
# Inhalt — strikte Reihenfolge
Schritt 1 — ISMS-Scope-Statement (Klausel 4)
- Geschäftstätigkeit und Standorte
- Eingeschlossene Tochterunternehmen / ausgeschlossene Einheiten mit
Begründung
- Eingeschlossene Cloud-Services und Outsourcing-Beziehungen
- Schnittstellen zur Außenwelt
- Ausschlüsse — nur mit nachvollziehbarer Begründung (Klausel 4.3)
Schritt 2 — Risiko-Management (Klausel 6.1)
Risiko-Register-Spalten:
| Risiko-ID | Asset / Prozess | Bedrohung | Schwachstelle | Eintritts-Wahrscheinlichkeit | Auswirkung | Risiko-Stufe | Behandlung (akzeptieren / mindern / transferieren / vermeiden) | Verantwortlich | Maßnahme | Termin |
Methodik nach ISO/IEC 27005:2022. Risiko-Stufen 1–5 oder 1–4
(anpassbar).
Schritt 3 — Statement of Applicability — Annex-A
Strukturiert in vier Themen mit insgesamt 93 Kontrollen:
- A.5 — Organisational Controls (37 Kontrollen)
- A.6 — People Controls (8 Kontrollen)
- A.7 — Physical Controls (14 Kontrollen)
- A.8 — Technological Controls (34 Kontrollen)
Pro Kontrolle:
Anwendbarkeit (Ja / Nein) — Begründung — Implementierungs-Stand
(umgesetzt / in Umsetzung / geplant) — Verantwortlich — Referenz auf
interne Policy / Verfahren — Risiko-Bezug
Schritt 4 — Interner-Audit-Plan (Klausel 9.2)
- Frequenz (mindestens jährlich)
- Auditor-Qualifikation und Unabhängigkeit
- Audit-Programm — welche Bereiche / Kontrollen in welchem Zyklus
- Berichts-Format
- Korrekturmaßnahmen-Prozess
Schritt 5 — Audit-Plan Zertifizierungsstelle
- Stage-1 (Dokumenten-Review): Scope, Policy-Set, SoA, Risiko-Register,
Bereitschafts-Check
- Stage-2 (Vor-Ort / Remote): Implementierungs-Verifikation, Stichproben-
Audit der Kontrollen, Beobachtungs-Audit
- Aufrechterhaltungs-Audits jährlich (1. und 2. Jahr)
- Re-Zertifizierungs-Audit im 3. Jahr
Schritt 6 — Verzahnung
- DSGVO Art. 32 (TOMs) — ISO-27001 ist nicht 1:1, aber starker Beleg;
Mapping erforderlich
- NIS2-RL Art. 21 und NIS2UmsuCG §§ 30 ff. — wesentliche und wichtige
Einrichtungen müssen Mindestmaßnahmen treffen; ISO-27001 deckt viele,
aber nicht alle Pflichten (Meldepflichten gesondert)
- Sektor-spezifisch: KRITIS-DachG, BAIT/MaRisk (Banken), MaComp
(Wertpapierdienstleister), TKG (TK-Anbieter)
- § 43e BRAO bei Outsourcing — Anwalt im Mandat als Auftraggeber:in,
aber relevant für Mandanten-Lieferanten
# Format
Markdown. Executive Summary (max. 4 Sätze) am Anfang.
ISMS-Scope-Statement im Volltext.
Risiko-Register-Tabelle mit 5–8 Beispiel-Risiken.
SoA-Mapping: pro Themengruppe (A.5/A.6/A.7/A.8) eine Übersichts-Tabelle
mit allen Kontroll-Nummern plus separater Spalte „Anwendbarkeit“ und
„Begründung-Kurz“. Vollständige Begründungen [ANWALT-PRUEFUNG]/
[COMPLIANCE-PRUEFUNG]-markiert.
Audit-Plan als Quartals-Übersicht.
Citation-Verifikations-Liste am Ende.
# Verbote
KEINE Aussage zur Konformität ohne Audit-Beleg — die Kontroll-
Implementierung verifiziert das Audit, nicht der Plan.
KEINE konkrete Empfehlung von Sicherheits-Produkten oder Anbietern.
KEINE Behauptung, ISO-27001 erfülle automatisch DSGVO Art. 32 oder
NIS2 Art. 21 — nur Mapping mit Lücken-Hinweis.
KEINE Bezugnahme auf Annex-A-Kontroll-Nummern älterer ISO-Versionen
(ISO 27001:2013 hatte 114 Kontrollen in 14 Bereichen; 2022 hat 93
Kontrollen in 4 Themen).
KEINE Audit-Findings, die nicht durch konkrete Implementierung
verifiziert wurden — der Output ist Plan, nicht Audit-Bericht.So sieht der Sachverhalt aus
Pseudonymisierter Eingabetext
Mandant:
[[Unternehmensname-b7e9]], Software-Dienstleister mit Schwerpunkt
Cloud-SaaS für mittelständische Industriekunden.
Mitarbeiterzahl: ca. 280. Drei Standorte:
[[Adresse-b7e9]] (HQ, Entwicklung, Operations),
[[Adresse-3c41]] (Support, Vertrieb),
[[Adresse-9d76]] (kleines Sales-Office).
Geschäftstätigkeit / Scope-Treiber:
- SaaS-Plattform [[Produktname-b7e9]] für ca. 140 Kunden in der DACH-Region.
- Hosting bei [[Unternehmensname-3c41]] (EU-Rechenzentren).
- Subprozessor für Telemetrie: [[Unternehmensname-9d76]].
- Eigene Entwicklungs- und Operations-Pipeline; Customer-Support
24/5 aus dem zweiten Standort.
Regulatorische Treiber:
- DSGVO (Mandantenkunden sind Verantwortliche, Mandant ist
Auftragsverarbeiter nach Art. 28).
- NIS2: voraussichtlich „wichtige Einrichtung“ als digitaler Dienst
nach NIS2UmsuCG; [ANWALT-PRUEFUNG] der Einstufung.
- Einige Mandanten-Kunden sind selbst KRITIS-Betreiber und verlangen
in Verträgen ISO-27001-Zertifikat.
Zertifizierungsziel:
Erst-Zertifizierung ISO/IEC 27001:2022, Stage-1 in 6 Monaten,
Stage-2 in 9 Monaten. Zertifizierungsstelle [[Unternehmensname-2a35]]
mandatiert.
ISMS-Bestand (Stand heute):
- Information-Security-Policy aus 2023, nicht 27001-konform strukturiert.
- Asset-Inventar in [[Produktname-3c41]] (CMDB), ca. 80 % Abdeckung.
- Incident-Response-Plan vorhanden, in 2024 zweimal angewendet.
- Risikomanagement informell, kein zentrales Register.
- Keine SoA bisher.
Vorfälle letzte 12 Monate:
- Ein Datenleck durch fehlkonfigurierten S3-Bucket bei
[[Unternehmensname-3c41]] (Hoster) — extern entdeckt durch
Sicherheitsforscher:in, von Mandant binnen 48 h behoben.
- Ein Phishing-Vorfall mit Kompromittierung eines Service-Accounts;
durch MFA-Wiederherstellung gelöst.
Mandanten-Frage:
Wie strukturieren wir die Audit-Vorbereitung so, dass wir Stage-1
in 6 Monaten bestehen und Stage-2 möglichst pünktlich erreichen?
Wie verzahnen wir mit NIS2 und DSGVO Art. 32?So liefert anymize zurück
Der Antrags-Entwurf
# ISO-27001:2022-Audit-Begleitung — Strukturierter Entwurf
## Executive Summary
[[Unternehmensname-b7e9]] hat eine realistische Erst-Zertifizierungs-
Perspektive in der gewünschten 9-Monats-Frist, sofern die formale ISMS-
Dokumentation (Policy-Refresh, zentrales Risiko-Register, vollständiges
Asset-Inventar, SoA) binnen vier Monaten abgeschlossen ist. Der
S3-Bucket-Vorfall und der Phishing-Vorfall sind im Risiko-Register zu
adressieren; sie sind kein Hindernis, sondern lebende Belege für
Wirksamkeits-Kultur. NIS2-Pflicht und ISO-Zertifizierung lassen sich
koordiniert führen, aber NIS2-Meldepflichten greifen unabhängig.
## ISMS-Scope-Statement (Klausel 4)
**Scope**: Entwicklung, Betrieb und Support der SaaS-Plattform
[[Produktname-b7e9]] einschließlich aller dafür eingesetzten
Informations-Werte (Code, Build-Pipeline, Produktions-Datenbanken,
Kunden-Konfigurationen) und der unterstützenden Geschäfts-Funktionen
(Customer-Support, Operations, Information-Security-Management).
**Standorte**: HQ und Entwicklung [[Adresse-b7e9]], Support-/Vertriebs-
Standort [[Adresse-3c41]]. Der kleine Sales-Office-Standort
[[Adresse-9d76]] ist ausgeschlossen, weil dort keine Mandanten- bzw.
Endkunden-Daten verarbeitet werden und nur eine Vertriebs-Funktion
besteht (Begründung gemäß Klausel 4.3).
**Eingeschlossene externe Beziehungen**: Hosting [[Unternehmensname-3c41]]
(als Auftragsverarbeiter unter eigenem AVV), Telemetrie-Subprozessor
[[Unternehmensname-9d76]].
**Schnittstellen zur Außenwelt**: Mandanten-Kunden-API, Support-Portal,
Build- und Deployment-Pipeline.
## Risiko-Register-Skelett (Klausel 6.1, ISO/IEC 27005:2022)
| Risiko-ID | Asset / Prozess | Bedrohung | Schwachstelle | EW | AW | Stufe | Behandlung | Verantwortlich | Maßnahme | Termin |
|---|---|---|---|---|---|---|---|---|---|---|
| R-001 | Produktions-Datenbanken | Datenleck durch Fehlkonfiguration | Cloud-Berechtigungs-Komplexität | 3 | 5 | 15 hoch | mindern | CISO | IaC-Review-Pflicht + jährliches Pentest | Q3 |
| R-002 | Service-Accounts | Phishing / Credential-Diebstahl | menschlicher Faktor | 4 | 4 | 16 hoch | mindern | IT-Lead | MFA-Pflicht für alle privilegierten Accounts | Q2 |
| R-003 | Hosting [[Unternehmensname-3c41]] | Ausfall der EU-Region | Single-Region-Abhängigkeit | 2 | 4 | 8 mittel | mindern | Operations | DR-Plan + jährlicher Failover-Test | Q4 |
| R-004 | Build-Pipeline | Supply-Chain-Angriff | Drittabhängigkeiten OSS | 3 | 4 | 12 mittel | mindern | DevOps-Lead | SBOM + Signaturen + Repo-Hardening | Q3 |
| R-005 | Telemetrie-Datenstrom [[Unternehmensname-9d76]] | Datenabfluss bei Subprozessor | mangelnde Vertragsklauseln | 2 | 3 | 6 mittel | transferieren | Compliance | AVV-Nachverhandlung + ISO-27001-Pflicht | Q2 |
| R-006 | Customer-Support-Tickets | Geheimnis-Offenbarung Mitarbeitender | unzureichende Schulung | 3 | 3 | 9 mittel | mindern | HR + Compliance | Pflicht-Schulung mit Tests | Q2 |
EW = Eintritts-Wahrscheinlichkeit (1–5); AW = Auswirkung (1–5).
## Statement of Applicability — A.5 Organisational Controls (37)
| Kontrolle | Titel-Kurz | Anwendbar? | Begründung-Kurz |
|---|---|---|---|
| A.5.1 | Policies for information security | ja | Pflicht-Refresh Policy aus 2023 |
| A.5.2 | IS roles and responsibilities | ja | CISO benannt, RACI-Matrix erforderlich |
| A.5.3 | Segregation of duties | ja | Build / Deploy / Approve aufteilen |
| A.5.4 | Management responsibilities | ja | Top-Management-Commitment dokumentieren |
| A.5.5 | Contact with authorities | ja | Meldewege BfDI + zukünftig BSI nach NIS2 |
| A.5.6 | Contact with special interest groups | ja | CERT-Mitgliedschaft empfohlen |
| A.5.7 | Threat intelligence | ja | TI-Feed in Operations einbinden |
| A.5.8 | IS in project management | ja | SDLC-Integration |
| A.5.9 | Inventory of information and assets | ja | CMDB-Abdeckung auf 100 % heben |
| A.5.10 | Acceptable use | ja | Mitarbeiter-Policy aktualisieren |
| ... | ... (weitere 27 Kontrollen) | ... | [COMPLIANCE-PRUEFUNG] vollständig durchgehen |
| A.5.23 | IS for use of cloud services | ja | hochrelevant — Hosting + Telemetrie |
| A.5.30 | ICT readiness for business continuity | ja | DR-Plan + Failover-Test |
| A.5.34 | Privacy and protection of PII | ja | starke Verzahnung DSGVO Art. 32 |
## SoA — A.6 People Controls (8)
| Kontrolle | Anwendbar? | Begründung-Kurz |
|---|---|---|
| A.6.1 Screening | ja | Pre-Employment-Screening für privilegierte Rollen |
| A.6.2 Terms and conditions | ja | Geheimhaltungs-Klauseln |
| A.6.3 IS awareness | ja | Schulungs-Curriculum aufbauen — Bezug Art. 4 KI-VO bei KI-Werkzeug-Einführung |
| A.6.4 Disciplinary process | ja | Eskalations-Pfad bei Verstoß |
| A.6.5 Responsibilities after termination | ja | Offboarding-Checkliste |
| A.6.6 Confidentiality agreements | ja | NDAs bei Externen |
| A.6.7 Remote working | ja | Home-Office-Policy aktualisieren |
| A.6.8 Information security event reporting | ja | Meldewege intern |
## SoA — A.7 Physical Controls (14) — Auswahl
| Kontrolle | Anwendbar? | Begründung-Kurz |
|---|---|---|
| A.7.1 Physical security perimeters | ja | HQ + Support-Standort |
| A.7.2 Physical entry | ja | Zutrittskontrolle, Besucher-Management |
| A.7.4 Physical security monitoring | ja | Video / Alarmsystem |
| A.7.5 Protection from environmental threats | ja | USV, Klima-Monitoring |
| A.7.9 Security of assets off-premises | ja | Laptop-/Mobile-Schutz |
| ... | ja / [COMPLIANCE-PRUEFUNG] | weitere 9 Kontrollen |
## SoA — A.8 Technological Controls (34) — Auswahl
| Kontrolle | Anwendbar? | Begründung-Kurz |
|---|---|---|
| A.8.1 User endpoint devices | ja | EDR-Lösung Pflicht |
| A.8.2 Privileged access rights | ja | PAM-Konzept |
| A.8.5 Secure authentication | ja | MFA-Pflicht (R-002) |
| A.8.7 Protection against malware | ja | Endpoint + Mail-Gateway |
| A.8.8 Management of technical vulnerabilities | ja | Patching-SLA |
| A.8.16 Monitoring activities | ja | SIEM-Anbindung |
| A.8.22 Segregation of networks | ja | VLAN-/Zonen-Konzept |
| A.8.23 Web filtering | ja | Proxy / DNS-Filter |
| A.8.25 Secure development life cycle | ja | SSDLC inkl. Threat Modeling |
| A.8.28 Secure coding | ja | Coding-Guidelines + Code-Review |
| A.8.30 Outsourced development | nein | keine externe Entwicklung — [COMPLIANCE-PRUEFUNG] |
| A.8.34 Protection of information systems during audit testing | ja | Auditor-Zugriffe protokollieren |
| ... | ja / [COMPLIANCE-PRUEFUNG] | weitere 22 Kontrollen |
## Internes-Audit-Plan (Klausel 9.2)
| Zyklus | Bereich | Verantwortlich |
|---|---|---|
| Q1 | A.5 + Risiko-Management | Compliance |
| Q2 | A.6 + A.7 + Meldewege | HR + Facility |
| Q3 | A.8.1–A.8.20 + Schwachstellen-Management | IT-Security |
| Q4 | A.8.21–A.8.34 + Backup + DR-Test | DevOps + Operations |
Auditor: extern beauftragt, mind. 12 Monate keine Beratungs-Tätigkeit
für den geprüften Bereich.
## Audit-Plan Zertifizierungsstelle
| Phase | Inhalt | Zeitpunkt |
|---|---|---|
| Vorbereitung | Policy-Refresh, Risiko-Register, SoA-Erstellung | Monat 1–4 |
| Internes Audit | ISMS vollständig durchprüfen | Monat 5 |
| Stage-1 [[Unternehmensname-2a35]] | Dokumenten-Review, Bereitschafts-Bewertung | Monat 6 |
| Korrekturmaßnahmen | Findings adressieren | Monat 7–8 |
| Stage-2 [[Unternehmensname-2a35]] | Vor-Ort / Remote, Stichproben-Kontrollen | Monat 9 |
| Zertifikat-Ausstellung | nach erfolgreichem Stage-2 | Monat 10 |
## Verzahnung mit DSGVO Art. 32 und NIS2
**DSGVO Art. 32**: ISO-27001:2022 deckt einen Großteil der TOM-Anforderungen,
ist aber kein DSGVO-Zertifikat. Querbezug erforderlich für:
- Verzeichnis der Verarbeitungstätigkeiten (Art. 30)
- DSFA (Art. 35) bei spezifischen Verarbeitungen
- Betroffenenrechte-Prozesse (Art. 15–22)
- Meldepflichten (Art. 33/34)
ISO-Belege wirken im Aufsichtsverfahren stark indiziell, ersetzen die
DSGVO-Pflichten aber nicht.
**NIS2-RL Art. 21 / NIS2UmsuCG**: [ANWALT-PRUEFUNG] der Einstufung als
„wichtige Einrichtung“ digitaler Dienst. Bei NIS2-Pflicht sind die
Mindestmaßnahmen nach Art. 21 zu treffen — ISO-27001 deckt
- Risiko-Management (Art. 21 Abs. 2 lit. a, b, c, d) → ja
- Sicherheits-Schulungen (lit. g) → ja über A.6.3
- Verschlüsselung (lit. h) → ja über A.8.24
NIS2-spezifische Meldepflichten (Art. 23) und Geschäftsleitungs-Haftung
(Art. 20) sind eigenständig.
## Sanktions-/Bußgeld-Hinweis
- ISO-Zertifizierung ist freiwillig; Entzug bei wesentlichen Abweichungen.
- NIS2-Bußgeldrahmen nach NIS2UmsuCG: für wichtige Einrichtungen bis
7 Mio. € oder 1,4 % weltweiter Jahresumsatz; für wesentliche bis
10 Mio. € oder 2 %.
- DSGVO Art. 83: bis 20 Mio. € oder 4 % Jahresumsatz.
## Citation-Verifikations-Liste
1. ISO/IEC 27001:2022 — Kapitel 4–10
2. ISO/IEC 27001:2022 Anhang A — 93 Kontrollen in A.5–A.8
3. ISO/IEC 27002:2022 — Implementierungs-Leitfaden
4. ISO/IEC 27005:2022 — Risikomanagement
5. Art. 32 DSGVO — EUR-Lex
6. NIS2-RL Art. 20, 21, 23 — EUR-Lex
7. NIS2UmsuCG §§ 30, 31, 32 — Bundesrecht
8. § 43e BRAO — Bundesrecht (relevant für Mandanten-Outsourcing)
[COMPLIANCE-PRUEFUNG: Vollständigkeit der SoA-Begründungen über alle 93
Kontrollen.] [ANWALT-PRUEFUNG: NIS2-Einstufung, Verzahnung mit DSGVO-
Aufsichtsverfahren, Vertrags-Klauseln zwischen Mandant und Kunden mit
ISO-Zertifikats-Verweis.]Was das Berufsrecht verlangt
Pflichten — und wie anymize sie abdeckt
§ 43a BRAO Verschwiegenheit
ISMS-Unterlagen enthalten Asset-Inventare, Lieferanten-Listen, IT-System-Bezeichnungen und Vorfall-Berichte. anymize ersetzt 40+ Kategorien personenbezogener Daten durch Platzhalter, bevor irgendein KI-Anbieter den Text sieht. Erkennungsrate über 95 %.
§ 43e BRAO Auftragsverarbeitung
Sie schließen einen AVV mit anymize ab. Datenverarbeitung ausschließlich in deutschen Rechenzentren (Hetzner). Originaldokumente speichern wir nicht — nur die Zuordnung Platzhalter ↔ Originaldaten, mit Aufbewahrungsfrist nach Ihrer Wahl. Die Selbstreferenz: Sie strukturieren das ISMS des Mandanten mit demselben Werkzeug, das Sie selbst nach § 43e BRAO einsetzen.
§ 203 StGB Geheimnisschutz
Vorfall-Berichte, Schwachstellen-Analysen und Lieferanten-Bewertungen sind hoch sensible Mandanten-Daten. Indem diese Inhalte das Haus nicht verlassen, vermeiden Sie das Offenbarungsproblem grundsätzlich.
Versionen-Trap ISO 27001:2013 vs. 2022
ISO/IEC 27001:2013 hatte 114 Kontrollen in 14 Bereichen (A.5–A.18). ISO/IEC 27001:2022 hat 93 Kontrollen in vier Themen (A.5 Organisational, A.6 People, A.7 Physical, A.8 Technological). Bestehende Mandanten-Dokumente nach 2013 sind nicht mehr aktuell für Zertifizierungs-Audits.
ISO ≠ DSGVO ≠ NIS2
ISO-27001-Zertifikat ist kein DSGVO-Zertifikat und kein NIS2-Compliance-Nachweis. ISO deckt Risiko-Management und TOM-Themen ab — DSGVO-Betroffenenrechte, NIS2-Meldepflichten und sektorale Sondervorschriften bleiben eigenständig.
Scope-Ausschlüsse Klausel 4.3
Ausschlüsse sind erlaubt, müssen aber nachvollziehbar begründet sein und dürfen die Fähigkeit der Organisation, ihre Sicherheitsziele zu erreichen, nicht beeinträchtigen. Pauschal-Ausschluss ganzer Standorte ohne Risiko-Bewertung ist Audit-Befund-Risiko.
Statement of Applicability — Begründungs-Tiefe
Pro Annex-A-Kontrolle ist die Anwendbarkeits-Entscheidung zu begründen — gerade bei „Nicht anwendbar“-Entscheidungen. Eine bloße Tabellen-Notation reicht nicht; Auditoren verlangen schriftliche Begründung mit Risiko-Bezug und Verweis auf Policy / Verfahren.
Vorfall-Kultur als Bonus
Dokumentierte Vorfälle der letzten 12 Monate sind kein Hindernis für die Zertifizierung — im Gegenteil. Eine fehlende Vorfall-Liste signalisiert dem Auditor entweder mangelnde Aufdeckungs-Fähigkeit oder fehlende Kultur. Der S3-Bucket-Vorfall ist Lehr-Beleg.
Auditor-Unabhängigkeit Klausel 9.2
Internes Audit darf nicht durch Personen erfolgen, die im geprüften Bereich operativ verantwortlich sind. Bei kleinen Mandanten häufig nur durch Mandats-Beauftragung externer Auditor:innen umsetzbar — als Folge-Mandat darstellbar.
Datenschutz und Vertraulichkeit
So funktioniert das mit anymize
Die juristisch entscheidende Frage bei der ISMS-Strukturierung: Sieht der KI-Anbieter den Mandantenname, die Asset-Bezeichnungen, die Lieferanten-Identitäten und die IT-System-Codenamen? Antwort mit anymize: nein. Mandantenname, Standorte, Tochterunternehmen, Asset- und Produkt-Bezeichnungen, Hosting-Anbieter und Subprozessoren werden vor dem KI-Aufruf durch Platzhalter ersetzt; nach der KI-Antwort identifiziert anymize zurück. Verarbeitung in deutschen Rechenzentren (Hetzner), AVV nach Art. 28 DSGVO und § 43e BRAO ist Teil des Standardvertrags, Originaldokumente werden nicht gespeichert. Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO (Mandatsvertrag). Bei Vorfall-Berichten mit Bezug zu Endkunden oder Mitarbeitenden des Mandanten prüft anymize zusätzlich auf personenbezogene Daten Dritter — die Anonymisierung deckt auch die Schicht „Dritte als betroffene Person“. Bei besonders sensitiven Audit-Vorbereitungen (Sicherheits-Vorfall mit laufender Behörden-Beteiligung) empfiehlt sich kurze Aufbewahrungsfrist und Vier-Augen-Spot-Check auf die Pseudonymisierung.
Was anymize konkret leistet
- Erkennt Mandantenname, Standorte, Tochterunternehmen, Asset-Bezeichnungen, Lieferanten-Identitäten, IT-System-Namen und Vorfall-Beteiligte mit über 95 % Genauigkeit.
- Ersetzt sie durch semantische Platzhalter, bevor die ISMS-Skizze an GPT, Claude oder Gemini geht.
- Re-identifiziert die KI-Antwort automatisch — Sie sehen ISMS-Scope-Statement, Risiko-Register, SoA und Audit-Plan mit den richtigen Klarnamen zurück.
- Verarbeitung in deutschen Rechenzentren (Hetzner). AVV nach Art. 28 DSGVO mit § 43e BRAO-Erklärung im Standardvertrag.
- Originaldokumente werden nicht gespeichert — nur die Zuordnung Platzhalter ↔ Klarname, mit Aufbewahrungsfrist nach Ihrer Wahl von 24 Stunden bis unbegrenzt.
Sicherheitscheck vor der Einreichung
Was anymize liefert — was Sie souverän entscheiden
Vor dem KI-Aufruf
- Mandanten-Scope-Treiber dokumentiert (Geschäftstätigkeit, Standorte, Cloud-Services, Outsourcing, regulatorische Treiber)?
- Asset-Inventar-Auszug und Lieferanten-Liste bereitgestellt?
- Bestehende ISMS-Bestandteile erfasst (Policies, IR-Plan, Risikomanagement)?
- Vorfälle der letzten 12 Monate dokumentiert?
- Anonymisierungs-Vorschau gesichtet — Asset-Codenamen und Vendor-Identitäten vollständig anonymisiert?
- Bei Sicherheits-Vorfall mit Behörden-Beteiligung: kurze Aufbewahrungsfrist gewählt?
Nach der KI-Antwort
- Re-Identifikation korrekt — alle Platzhalter zurückgesetzt?
- ISMS-Scope-Statement plausibel und nach Klausel 4.3 begründet?
- Risiko-Register-Skelett mit mindestens 5 plausiblen Risiken inkl. R-Bewertung?
- SoA-Mapping deckt alle 93 Annex-A-Kontrollen in A.5–A.8 ab?
- Citation-Check: ISO 27001:2022-Klauseln, Annex-A-Kontroll-Nummern, ISO 27005:2022, NIS2-RL Art. 21 gegen Primärquelle verifiziert?
- Versions-Check: keine ISO-27001:2013-Reste (114 Kontrollen / 14 Bereiche)?
Vor der Mandanten-Vorlage
- Scope-Begründung anwaltlich gewertet?
- Risiko-Bewertungen mit CISO / ISMS-Beauftragten validiert?
- SoA-Begründungen für „nicht anwendbar“-Kontrollen schriftlich vorbereitet?
- Verzahnung mit DSGVO Art. 32 und NIS2 Art. 21 mit dokumentierten Lücken?
- Bei NIS2-Pflicht: Meldepflichten und Geschäftsleitungs-Haftung gesondert markiert?
- Folge-Mandat-Optionen (internes Audit, NIS2-Beratung, AVV-Klauseln) identifiziert?
Typische Fehlermuster — und wie anymize gegensteuert
- →KI verwendet ISO-27001:2013-Kontroll-Nummern (A.5–A.18, 114 Kontrollen) statt 2022-Struktur (A.5–A.8, 93 Kontrollen). Citation-Check zwingend.
- →KI behauptet, ISO-27001-Zertifikat erfülle automatisch DSGVO Art. 32 oder NIS2 Art. 21 — der Prompt verbietet das.
- →KI gibt für „nicht anwendbar“-Kontrollen Pauschal-Begründungen ohne Risiko-Bezug — Audit-Befund-Risiko.
- →KI empfiehlt konkrete Security-Produkte mit Markennamen — der Prompt verbietet das.
- →KI gibt zu enge Scope-Ausschlüsse ohne Klausel-4.3-Begründung — bei Audit defekt.
- →KI ignoriert dokumentierte Vorfälle der letzten 12 Monate — der Prompt verlangt deren Integration ins Risiko-Register.
- →KI hält Audit-Findings für Tatsachen — der Output ist Plan, nicht Audit-Bericht. Wesentliche Abweichungen werden vom Auditor festgestellt.
Rechtsgrundlagen
Normen, Urteile, Belege
Primärnormen / Standards
- Information Security Management Systems — Requirements
- 93 Kontrollen in vier Themen (A.5 Organisational, A.6 People, A.7 Physical, A.8 Technological)
- Implementierungs-Leitfaden zu den Annex-A-Kontrollen
- Risikomanagement für Informationssicherheit
- Sicherheit der Verarbeitung — TOMs
- Meldung von Verletzungen des Schutzes personenbezogener Daten
- Geschäftsleitungs-Haftung
- Mindestmaßnahmen wesentliche / wichtige Einrichtungen
- Meldepflichten
- Deutsche Umsetzung NIS2
Berufsrechtliche Grundlagen
- Anwaltliche Verschwiegenheit
- Auftragsverarbeitung und IT-Auslagerung
- Verletzung von Privatgeheimnissen
Sekundärquellen / Sektor-Spezifika
- Komplementäre Methodik mit C5-Bezug
- Cloud-spezifische Kontroll-Anforderungen
- Banken-spezifische ISMS-Anforderungen
- Wertpapierdienstleister-Anforderungen
- Kritische Infrastrukturen
- TK-Anbieter
- Querbezug bei Drittlandtransfer
- TOM-Erwartungen der Aufsichten
- Querbezug bei KI-Werkzeug-Einführung im ISMS-Scope
Stand: · Nächste Überprüfung:
Hinweis zur Nutzung
Zur Orientierung — nicht als Mandatsersatz
Diese Anleitung beschreibt einen Arbeitsablauf, den Sie mit anymize umsetzen können. Sie ist zur Orientierung gedacht und ersetzt weder die anwaltliche Würdigung im Einzelfall noch eine fachanwaltliche Prüfung. Welche Rechtsprechung einschlägig ist, wie der Sachverhalt rechtlich zu bewerten ist, welche Anträge in Ihrem konkreten Mandat richtig sind — das bleibt selbstverständlich bei Ihnen.
KI-Outputs müssen vor jeder Verwendung anwaltlich geprüft werden. Insbesondere Urteils-Aktenzeichen, Norm-Verweise und Fristen sind gegen Primärquellen zu verifizieren. anymize gewährleistet die Vertraulichkeit der Mandantendaten gegenüber dem KI-Anbieter; die fachliche Richtigkeit des Outputs liegt in Ihrer Verantwortung.
Jetzt starten.
14 Tage kostenlos testen.
Alle Modelle. Alle Features. Keine Kreditkarte.
Wir sind überzeugt von anymize. Und wir wissen: Bei einem KI-Werkzeug, das Mandanten-, Patienten- oder Mitarbeiter-Daten berührt, reicht ein Demo-Video nicht. Deshalb 14 Tage voller Zugang – alle Modelle, alle Features, keine Kreditkarte. Genug Zeit, um sicher zu sein, bevor du uns vertraust.
Dein KI-Arbeitsplatz wartet.