Control

Von Silos zu Systemen: Wie GRC endlich integriert funktioniert

Mittwoch, 10. Januar 2024

IT

Von Silos zu Systemen: Wie GRC endlich integriert funktioniert

GRC – Governance, Risk & Compliance – galt jahrelang als vernünftiger Dreiklang, in der Praxis aber oft als Dreifaltigkeit der Silos. Governance schrieb Richtlinien, Risk malte Heatmaps, Compliance pflegte Ordner – jede Disziplin korrekt im eigenen Kosmos, selten im Gleichklang. Das Ergebnis: viele Aktivitäten, wenig Wirkung. Heute, mit überlappenden Aufsichten (DORA, NIS2, AI Act, CRA, CSRD), komplexen Lieferketten und softwaregetriebener Wertschöpfung, bricht dieses Modell sichtbar. Was fehlt, ist kein weiterer Standard, sondern eine Arbeitsweise, die GRC zu einem System macht: aus einem Guss geplant, aus Daten gespeist, im Betrieb verankert, mit Nachweisen, die aus dem Tun entstehen – nicht aus dem Nachzeichnen. Dieser Beitrag zeigt, wie die Integration gelingt: organisatorisch, technisch, kulturell. Und warum „integriert“ nicht bedeutet, alles zu zentralisieren, sondern Schnittstellen so zu gestalten, dass Arbeit fließt.

1) Warum die alte GRC-Logik scheitert – und zwar zuverlässig

Silos sind bequem. Jedes Team setzt seine Tools, seine Taxonomie, seine KPIs. Doch drei strukturelle Brüche machen das alte Modell unhaltbar:

Markiert in:

Risk Governance GRC Control ISMS

2243 Aufrufe

CIS Controls heute: Warum sie mehr als nur eine Checkliste sind

Montag, 01. September 2025

Markus Groß

IT

CIS Controls heute: Warum sie mehr als nur eine Checkliste sind

Es gibt Frameworks, die man aus Pflichtgefühl pflegt – und es gibt solche, die den Alltag wirklich verändern. Die CIS Controls gehören zur zweiten Kategorie. Sie sind längst kein Poster mehr an der Bürowand, keine Prüfliste, die man kurz vor einem Audit abhakt, und auch kein exotischer „Nice-to-have“-Standard. Sie sind eine Betriebsanleitung für gelebte Sicherheit: priorisiert, messbar, anschlussfähig an bestehende Governance – und robust genug, um in hybriden Realitäten aus Cloud, SaaS, Remote Work und komplexen Lieferketten zu tragen. Spätestens mit der jüngsten Evolutionsstufe haben die Controls die Grenze zwischen „Security-Projekt“ und „Security-Betrieb“ endgültig verwischt. Wer sie ernst nimmt, arbeitet anders: transparenter, wiederholbarer, nachweisbarer – und vor allem wirksamer.

Vom Poster zur Betriebsanleitung

Die ursprüngliche Stärke der Controls war immer ihre Frechheit der Priorisierung: Statt alles für gleich wichtig zu erklären, benennen sie wenige Hebel, die die meisten Angriffe früh stoppen oder schnell sichtbar machen. Dieses Grundprinzip ist erhalten geblieben – aber die Controls sind erwachsen geworden. Die aktuelle Fassung versteht unter „Asset“ nicht mehr nur die Maschine unterm Schreibtisch, sondern den ganzen Zoo moderner Unternehmens-IT: Cloud-Workloads, containerisierte Dienste, SaaS-Komponenten, mobile Endgeräte, Identitäten und Konfigurationen als eigene Schutzgüter. Dass die offizielle Controls-Liste heute konsequent von 18 Themenfeldern spricht, ist kein Modedetail, sondern die logische Folge dieser Realität. Damit spiegeln die Controls eine Gegenwart, in der Angriffsflächen nicht mehr am Rechenzentrumszaun enden.

Markiert in:

Informationssicherheit ISMS Control CIS

12089 Aufrufe

Von 20 auf 18: Wie v8 die CIS Controls neu strukturiert

Dienstag, 18. Mai 2021

Markus Groß

IT

Von 20 auf 18: Wie v8 die CIS Controls neu strukturiert

Es passiert nicht oft, dass ein technischer Katalog das Zeug zur gemeinsamen Sprache einer ganzen Branche hat. Die CIS Controls sind so ein Fall – und mit Version 8 haben sie sich neu sortiert, ohne ihre DNA zu verlieren. Aus 20 wurden 18 Controls, aus verstreuten Unterpunkten wurden präziser formulierte Safeguards, aus „Hardware“ und „Software“ wurden Enterprise Assets, aus höflichen Empfehlungen wurden umsetzbare Anforderungen für eine Welt, in der Workloads in die Cloud wandern, Mitarbeiter von überall arbeiten und Lieferketten zum größten Risiko werden können. v8 ist kein kosmetisches Update; es ist die Antwort auf die Frage: Wie priorisiert man Sicherheitsarbeit, wenn Infrastruktur, Identitäten und Daten längst über Rechenzentrum, SaaS und mobile Endpunkte verstreut sind – und wenn die Angreifer inzwischen Produktmanagement in eigener Sache betreiben?

Warum es eine Neuordnung brauchte

Die frühen Fassungen der Controls kamen aus einem ganz bestimmten Schmerz: Immer wieder öffentlich ausgenutzte Schwachstellen, vernachlässigte Baselines, keine Übersicht über Assets, zu breite Adminrechte, Protokolle, die niemand liest, Backups, die im Ernstfall nicht zurückspielen. Version 7 brachte diese Einsichten in eine klare, priorisierte Reihenfolge. Aber die Realität drehte schneller: Cloud wurde Standard, SaaS wurde Geschäftsgrundlage, Identitäten wurden zur neuen Perimeter-Kante, Remote Work wurde Alltagsbetrieb, und Drittparteirisiken wurden sichtbar – nicht nur regulatorisch, sondern operativ. Viele Unternehmen stellten fest, dass v7 zwar wirkt, aber Vokabular und Zuschnitt die neuen Infrastrukturen nur unzureichend abbildeten. v8 reagiert darauf, ohne den Kern (Priorisieren, Messen, Automatisieren) zu verwässern.

Markiert in:

ISMS Control CIS Informationssicherheit

11948 Aufrufe

BLOG

BLOG

Von Silos zu Systemen: Wie GRC endlich integriert funktioniert

1) Warum die alte GRC-Logik scheitert – und zwar zuverlässig

CIS Controls heute: Warum sie mehr als nur eine Checkliste sind

Vom Poster zur Betriebsanleitung

Von 20 auf 18: Wie v8 die CIS Controls neu strukturiert

Warum es eine Neuordnung brauchte