Cybersecurity & IT-Compliance

Wir übersetzen regulatorische Anforderungen in funktionierende IT-Systeme.

Regulation auf Prozesse abbilden. GRC und ITSM verbinden. Damit Cyber- und IT-Risiko auf Betriebsdaten sitzen — nicht auf Folien.

Kontakt Landscape ansehen

Kurz beantwortet

Was macht snrt. in Cybersecurity und IT-Compliance?

snrt. übersetzt regulatorische und Sicherheitsanforderungen in funktionierende GRC- und ITSM-Systeme, verbunden so dass Cyber- und IT-Risiko auf live Betriebsdaten sitzen. Wir sind Implementierungspartner für den Stack, kein Policy-Shop. Die Seite ist eine Landscape, kein fünfstufiger Delivery-Wasserfall. Oben Regulation und Standards: DORA, BaFin MaRisk, FINMA Circ. 2023/1, NIS2, beantwortet mit der ISO/IEC-27000-Familie (27001, 27002, 27005). In der Mitte das ISMS, getrennt nach Verteidigungslinie. Die 1st Line betreibt und trägt Risiko. Die 2nd Line definiert und überwacht. Interne Revision (3rd Line) und Management Review schliessen den Zyklus. Unten trägt ITSM/CMDB die 1st Line und GRC die 2nd, verbunden durch einen Live-Datenloop: Asset, Change, Incident, Control, Risiko, Evidence. Käufer sind meist CISO, Head of Information Security oder Compliance-Lead in Banken und Versicherungen im DACH-Raum. Typischer Einstieg: Audit-Befund, FINMA-/DORA-/NIS2-Druck oder Tools, die existieren, aber nicht sprechen.

Wie passen GRC und ITSM hier zusammen?

GRC und ITSM sind oft schon da, und Risiko lebt trotzdem in Tabellen. snrt. richtet GRC ein und passt es an: Risikoregister, Control Library, Assessments, Attestations, Evidence. Auf der ITSM/CMDB-Seite Setup, Konfiguration und Wartung für Incident, Change, Request, Ownership und Lifecycle. Ziel ist ein Live-Loop in beide Richtungen: die 1st Line erfasst, die 2nd Line sieht es ohne nachzufragen. Wir schreiben Regulation in den IT-Alltag und die Dokumentation. Prozessdokumentation, die Auditoren und Betrieb gleichermassen nutzen können. Wir schreiben keine Policies von Grund auf, verkaufen kein SOC-as-a-Service, betreiben kein MDR und garantieren keine DORA-Compliance. Tooling-Sprache auf der Site bleibt herstellerneutral. Typischer Druck kommt nach dem Audit oder unter FINMA, DORA oder NIS2. Wenn die Regulation klar ist, der Stack aber nicht, oder die Tools nicht sprechen, starten wir meist dort.

Landscape

Zwei Expertise-Bereiche. Ein verbundenes Feld.

Regulation und die ISO/IEC-27000-Familie oben. Das ISMS in der Mitte, getrennt nach Verteidigungslinie: die 1st Line betreibt und trägt Risiko, die 2nd Line definiert und überwacht. ITSM/CMDB und GRC tragen je eine Linie — verbunden durch einen Live-Datenloop.

1ST LINE

Operate & own risk: IT-Betrieb, Control-Owner.

2ND LINE

Define & oversee: ISO/ISB, Risikokontrolle, Compliance.

3RD LINE

Independent assurance: Interne Revision.

Regulation & Standards

Was gilt — und der Standard, mit dem die meisten Institutionen antworten.

DORA

EU. Fünf Säulen: ICT-Risiko, Incident Reporting, Resilience Testing, Third-Party Risk, Information Sharing.

BaFin · MaRisk

DE. Drei Verteidigungslinien; unabhängige Risikokontrolle und Compliance.

FINMA Circ. 2023/1

CH. Operationelle Risiken und Resilienz, inkl. ICT- und Cyber-Risiko.

NIS2

EU. Cybersecurity-Risikomanagement und Meldepflichten für wesentliche und wichtige Einrichtungen.

ISO/IEC 27000

Die Normenfamilie hinter dem ISMS.

ISO/IEC 27001

ISMS-Anforderungen. Der zertifizierbare Kern.

ISO/IEC 27002

Leitfaden zu den 93 Annex-A-Controls.

ISO/IEC 27005

Informationssicherheits-Risikomanagement.

ISMS · ISO/IEC 27001

PLAN · DO · CHECK · ACT

1ST LINEOperate & own risk

Control operation

Annex-A-Controls im Alltag: Zugang, Change, Backup, Logging.

Incidents & changes

Erkennen, loggen, klassifizieren. Speist DORA-Incident-Reporting.

Asset & service ownership

Ein benannter Owner für jedes Asset und jeden Service in der CMDB.

2ND LINEDefine & oversee

Scope & policies

ISMS-Scope, Informationssicherheitspolitik, Rollen und Verantwortlichkeiten.

Risk assessment & SoA

Methode nach ISO/IEC 27005; Statement of Applicability.

Monitoring & reporting

Control-Tests, Risikoindikatoren, Reporting an das Management.

CHECK · ACT

Interne Revision (3rd Line) und Management Review schliessen den ISMS-Zyklus.

Supporting IT Systems

1ST LINE

ITSM / CMDB

Setup, Konfiguration, Wartung — Incident, Change, Request, CMDB, Ownership, Lifecycle.

2ND LINE

GRC

Setup und Anpassung — Risikoregister, Control Library, Assessments, Attestations, Evidence.

Live-Loop: Asset ↔ Change/Incident ↔ Control ↔ Risiko ↔ Evidence. Die 1st Line erfasst, die 2nd Line sieht es ohne nachzufragen.

Weiter

Bringen Sie den Audit-Befund oder die Tooling-Lücke.

Wenn GRC und ITSM schon da sind, aber nicht sprechen — oder die Regulation klar ist, der Stack aber nicht — dort starten wir meist.

Kontakt