Seminar ImmuniWeb Compliance – DORA, NIS 2, DSGVO, PCI DSS und ISO 27001

Seminarprofil

Das Seminar übersetzt Sicherheitsanforderungen aus DORA, NIS 2, DSGVO, PCI DSS und ISO 27001 in prüfbare Kontrollen. Es zeigt, welche Plattformprodukte technische Evidenzen liefern, wie Geltungsbereiche und Verantwortlichkeiten definiert werden und wie Nachweise ohne unzulässige Überdehnung ihrer Aussagekraft verwendet werden.

Die angesetzte Dauer von 2 tage ist fachlich erforderlich, weil die Zuordnung mehrerer Regelwerke, die Abgrenzung technischer Evidenz und die Entwicklung eines auditfähigen Nachweisprozesses zwei Tage methodische Arbeit und Fallübungen benötigen.

Inhaltsverzeichnis

1. Seminarprofil
2. Zielgruppe und Voraussetzungen
3. Lernziele
4. Anforderungsanalyse und Kontrollziele
5. Produkt- und Evidenzmatrix
6. DORA und NIS 2
7. DSGVO und Datenschutzbezug
8. PCI DSS und ISO 27001
9. Auditfähiger Nachweisprozess
10. Praxisübungen

Zielgruppe und Voraussetzungen

Zielgruppe: Informationssicherheitsbeauftragte, GRC, Compliance, Datenschutz, Revision, IT-Risikomanagement, Security Governance und technische Kontrollverantwortliche.

Voraussetzungen: Grundkenntnisse zu Informationssicherheitsmanagement und mindestens einem der behandelten Regelwerke; juristische Spezialkenntnisse sind nicht erforderlich.

Lernziele

• Anforderungen in konkrete technische Prüf- und Nachweisbedarfe zerlegen.
• Passende ImmuniWeb-Produkte und Ergebnisarten zuordnen.
• Geltungsbereich, Frequenz und Verantwortlichkeit einer Kontrolle definieren.
• Technische Berichte korrekt als Evidenz und nicht als Rechtsgutachten verwenden.
• Ein wiederholbares Kontroll- und Auditpaket aufbauen.

Seminarinhalte

1. Anforderungsanalyse und Kontrollziele

Regelwerkstexte werden in umsetzbare Kontrollziele übersetzt.

1. Relevante Organisationseinheiten, Systeme und Datenarten abgrenzen.
2. Anforderung, Risiko, Kontrollziel und technische Prüfung getrennt dokumentieren.
3. Verpflichtende und risikobasierte Prüfintervalle bestimmen.
4. Verantwortliche für Durchführung, Bewertung und Freigabe festlegen.

2. Produkt- und Evidenzmatrix

Jedes Produkt liefert andere Evidenzen und besitzt klare Aussagegrenzen.

1. Discovery für Inventar, Exposition, Drittparteien und kontinuierliche Beobachtung zuordnen.
2. Neuron-Produkte für wiederkehrende automatisierte Sicherheitsprüfungen einordnen.
3. On-Demand, MobileSuite und Continuous für vertiefte und kontinuierliche Prüfungen zuordnen.
4. Bericht, Rohbefund, Retest und Managementübersicht als getrennte Nachweisarten definieren.

3. DORA und NIS 2

Resilienz, Risikomanagement, Prüfung und Lieferkettenbezug werden praktisch operationalisiert.

1. Kritische und wichtige Funktionen mit Anwendungen und Dienstleistern verknüpfen.
2. Vulnerability Handling, sichere Entwicklung und Wirksamkeitsprüfung abbilden.
3. Threat-led Tests und kontinuierliche Überwachung risikobasiert einplanen.
4. Nachweise für Managementaufsicht und Aufsichtsanforderungen strukturiert ablegen.

4. DSGVO und Datenschutzbezug

Technische Sicherheitsevidenz wird mit Schutzbedarf und Datenverarbeitung verknüpft.

1. Verarbeitungen und personenbezogene Daten den geprüften Assets zuordnen.
2. Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit als technische Ziele konkretisieren.
3. Datenschutzbefunde aus Web- und Mobile-Prüfungen fachlich bewerten.
4. Abweichungen in Datenschutz-, Sicherheits- und Incident-Prozesse übergeben.

5. PCI DSS und ISO 27001

Norm- und Branchenanforderungen werden in kontrollierbare Prüfprogramme überführt.

1. Karteninhaberdatenumgebung und angrenzende Systeme sauber scopen.
2. Schwachstellenscans, Penetrationstests und Retests terminieren.
3. ISO-27001-Risikobehandlung mit technischen Findings und Maßnahmen verknüpfen.
4. Ausnahmen, Restrisiken und Freigaben nachvollziehbar dokumentieren.

6. Auditfähiger Nachweisprozess

Nachweise müssen vollständig, aktuell, nachvollziehbar und vor Veränderung geschützt sein.

1. Benennung, Versionierung und Aufbewahrungsfrist definieren.
2. Prüfumfang, Methode, Zeitpunkt und Ergebnis gemeinsam archivieren.
3. Abweichungen mit Maßnahme, Owner, Frist und Retest verknüpfen.
4. Ein prüfbares Jahresprogramm mit Statuskontrolle erstellen.

Praxisübungen

• Erstellung einer Anforderungs- und Kontrollmatrix.
• Zuordnung beispielhafter Plattformberichte zu Nachweiszielen.
• Bewertung typischer Aussagegrenzen technischer Evidenz.
• Entwurf eines auditfähigen Jahresprüfplans.

Im Rahmen der Übungen entsteht eine Compliance-Evidenzmatrix mit Regelwerksbezug, Prüfverfahren, Verantwortlichkeiten, Frequenzen und Aufbewahrungsregeln.