Governance · Risk · Compliance
GRC-System das Anforderungen in erledigte Aufgaben übersetzt
ISO 27001, NIS2, BSI IT-Grundschutz, Arbeitsschutz: Jedes Regelwerk bringt eigene Listen mit – dabei verlangen sie oft dasselbe. Ein GRC-System bündelt die Anforderungen, zerlegt sie in konkrete Arbeitspakete, delegiert sie an die richtigen Personen und hält Nachweise und Prüfintervalle im Blick.
- Was?Anforderungen als konkrete Arbeitspakete
- Einmalumsetzen, in allen passenden Katalogen nutzen
- Wer?Aufgaben mit Verantwortlichen und Termin
- Wann wieder?Prüfintervalle mit „erfüllt bis“ und Fälligkeit
Grundlagen
Was ist ein GRC-System?
GRC steht für Governance, Risk & Compliance: die Steuerung eines Unternehmens (Governance), den Umgang mit Risiken (Risk) und die Einhaltung von Gesetzen, Normen und Verträgen (Compliance). Ein GRC-System ist das Werkzeug, mit dem diese drei Aufgaben nicht in getrennten Excel-Listen, sondern an einer Stelle geführt werden.
Für die meisten Unternehmen beginnt GRC mit einer einfachen Frage: Welche Anforderungen gelten für uns – und wie weisen wir nach, dass wir sie erfüllen? Mit ISO/IEC 27001, der NIS2-Richtlinie, dem BSI IT-Grundschutz, dem Arbeitsschutzgesetz oder dem Energieeffizienzgesetz kommen schnell mehrere hundert Anforderungen zusammen. Viele davon überschneiden sich: Eine Rechteüberprüfung, ein Backup-Test oder eine Schulung wird von fast jedem Regelwerk verlangt.
Ein gutes GRC-System sorgt deshalb dafür, dass jede Tätigkeit nur einmal geplant, erledigt und belegt wird – und trotzdem in jedem Katalog als erfüllt erscheint. Entscheidend ist dabei nicht die schönste Übersicht, sondern dass aus Anforderungen konkrete Aufgaben mit Verantwortlichen, Terminen und Nachweisen werden.
Ablauf
Vom Regelwerk zur erledigten Aufgabe in sechs Schritten
So arbeitet das Katalogmodul von e-Aufgaben – und so lässt sich GRC auch unabhängig von einer Software sauber aufbauen.
- 1
Kataloge auswählen
Passende Regelwerke aktivieren, z. B. ISO 27001, NIS2 und BSI IT-Grundschutz, und die für Sie relevanten Anforderungen auswählen.
- 2
Anforderungen verstehen
Zu jeder Anforderung gibt es eine Umsetzungsanleitung in verständlicher Sprache: Was ist konkret zu tun?
- 3
Arbeitspakete bündeln
Gleiche Tätigkeiten aus verschiedenen Katalogen werden zu einem gemeinsamen Arbeitspaket zusammengeführt.
- 4
Delegieren
Aus jedem Arbeitspaket wird mit einem Klick eine Aufgabe – mit Rolle, Beschreibung, Abnahmekriterien und Termin.
- 5
Nachweisen
Ergebnis und Nachweis werden mit Datum und Person dokumentiert; der Status überträgt sich auf alle Kataloge.
- 6
Wiederholen
Wiederkehrende Prüfungen bleiben bis zum Ablauf ihres Intervalls erfüllt und werden danach automatisch wieder fällig.
Aufgaben-Matrix
Eine Tätigkeit, mehrere Kataloge
Herzstück ist eine große Tabelle: In jeder Zeile steht ein Arbeitspaket, in den Spalten die Kataloge, die es verlangen. So sehen Sie auf einen Blick, welche Arbeit welche Anforderung abdeckt. Ein Ausschnitt:
| Arbeitspaket | Intervall | ISO 27001 | NIS2 | BSI GS++ |
|---|---|---|---|---|
| Rechteüberprüfung durch die Fachbereiche | halbjährlich | A.5.18 | Art. 21 (2) i | ✓ |
| Wiederherstellung aus der Datensicherung testen | jährlich | A.8.13 | Art. 21 (2) c | ✓ |
| Sensibilisierung und Schulung durchführen | jährlich | A.6.3 | Art. 20 / 21 (2) g | ✓ |
| Sicherheitsvorfälle melden und bewerten | bei Ereignis | A.5.24–5.26 | Art. 23 | ✓ |
| Managementbewertung durchführen | jährlich | 9.3 | – | – |
Verlangt ein Katalog nur einen Teil einer Tätigkeit, wird das Paket atomar aufgeteilt (z. B. A1, A2, A3). So erfüllt jeder Katalog seine Mindestanforderung mit ganzen Paketen – und niemand macht mehr Arbeit als nötig.
Funktionen
Was ein GRC-System leisten muss
An diesen Punkten entscheidet sich, ob Compliance gelebt wird oder nur vor dem Audit auf dem Papier steht.
Kataloge statt Kopien
Regelwerke werden zentral gepflegt und von jedem Team übernommen – eigene Ergänzungen bleiben erhalten.
Konkrete Anleitungen
Normtext allein sagt nicht, was zu tun ist. Jedes Arbeitspaket beschreibt die Schritte – z. B. welche Rechte zu prüfen sind.
Gemeinsame Arbeitspakete
Eine Umsetzung zählt für ISO 27001, NIS2 und BSI zugleich. Bei unterschiedlichen Vorgaben gilt automatisch die strengste.
Prüfintervalle
Einmalig, wiederkehrend oder bei Ereignis: Wiederkehrende Pakete zeigen „erfüllt bis“ und werden danach wieder fällig.
Nachweise mit Zeitstempel
Wer hat wann was erledigt und womit ist es belegt? Fällige Pakete zählen nicht mehr als erfüllt.
Fortschritt je Katalog
Erfüllungsgrad pro Regelwerk, fällige Prüfungen und offene Pakete – für Leitung, ISB und Auditor.
Kataloge
Mitgelieferte Kataloge und Themenfelder
Kataloge sind Themenfeldern zugeordnet. Innerhalb eines Themenfelds – etwa der Informationssicherheit – werden sie über gemeinsame Arbeitspakete miteinander verknüpft.
ISO/IEC 27001:2022
Kapitel 4–10 als prüfbare Aufgaben und alle 93 Controls aus Anhang A – Nummern und Titel, Anleitungen in eigener Formulierung.
NIS2 (Richtlinie (EU) 2022/2555)
Registrierung, Verantwortung der Leitung, Risikomanagementmaßnahmen nach Art. 21 und Meldepflichten nach Art. 23.
BSI IT-Grundschutz++
Der Anwenderkatalog des BSI (Nachfolger des IT-Grundschutz-Kompendiums) mit rund 1.000 Anforderungen, CC BY-SA 4.0.
Arbeitsschutzgesetz (ArbSchG)
Gefährdungsbeurteilung, Unterweisung, Dokumentation und Wirksamkeitskontrolle als Arbeitspakete.
Energieeffizienzgesetz (EnEfG)
Energie- oder Umweltmanagementsystem, Umsetzungspläne, Abwärme und Pflichten für Rechenzentren.
Eigene Kataloge
Kundenanforderungen, Konzernvorgaben oder interne Richtlinien als eigener Katalog – per Editor oder JSON-Import.
Werkzeuge
Excel-Mapping oder GRC-System?
Viele starten mit einer Mapping-Tabelle zwischen ISO 27001 und NIS2. Sobald Aufgaben verteilt und wiederholt werden müssen, wird es eng:
| Kriterium | Excel-Mapping | GRC mit e-Aufgaben |
|---|---|---|
| Überschneidungen | manuell gepflegte Querverweise | gemeinsame Arbeitspakete, einmal erledigt – überall erfüllt |
| Was ist konkret zu tun? | Normtext in einer Zelle | Anleitung mit Schritten und Abnahmekriterien |
| Verantwortliche | Name in einer Spalte | Aufgabe landet direkt bei der Person, mit Erinnerung |
| Wiederkehrende Prüfungen | Datum von Hand nachtragen | Intervall, „erfüllt bis“ und automatische Fälligkeit |
| Nachweise | Ablage getrennt von der Liste | Nachweis mit Datum und Person am Arbeitspaket |
| Neue Normfassung | Tabelle neu aufbauen | neue Version importieren, Unterschiede ansehen, Teamdaten behalten |
Software-Lösung
GRC mit e-Aufgaben und dem Katalogmodul
e-Aufgaben ist die Aufgabenverwaltung aus unserem Haus. Das Katalogmodul erweitert sie zu einem schlanken GRC-System: Anforderungen aus Normen und Gesetzen werden zu Arbeitspaketen und diese zu ganz normalen Aufgaben – mit allem, was e-Aufgaben schon kann:
- Kataloge je Team: Kataloge werden pro Team freigeschaltet; jedes Team wählt die für sich relevanten Anforderungen aus.
- Aufgaben-Matrix: alle Arbeitspakete mit den Katalogen als Spalten, Filter nach Rolle, Status, Fälligkeit und CSV-Export.
- Delegieren mit Kontext: die Aufgabe enthält Rolle, „Was ist zu tun?“, Abnahmekriterien und die abgedeckten Anforderungen.
- Status automatisch: erledigte, blockierte oder in Prüfung befindliche Aufgaben setzen den Stand des Arbeitspakets selbst.
- Wiederkehrende Prüfungen: Intervall vorbelegt, Übersicht über fällige und bald fällige Prüfungen, Wiederholung als Aufgabe.
- Versionierung: neue Katalogfassungen importieren, Unterschiede anzeigen und vor dem Umstellen die Auswirkungen sehen.
Im Browser auf PC, Tablet und Smartphone, auf Deutsch, Englisch und Türkisch. Das Katalogmodul wird auf Anfrage freigeschaltet – sprechen Sie uns an. Für die Lenkung von Leitlinien und Nachweisdokumenten gibt es mit Q-DMS zusätzlich ein Dokumentenmanagementsystem.
Ratgeber
Vertiefende Fachbeiträge
Praxiswissen zum Zusammenspiel von ISO 27001, NIS2 und BSI IT-Grundschutz und zu wiederkehrenden Prüfungen.
ISO 27001, NIS2 und BSI IT-Grundschutz gemeinsam umsetzen
Überschneidungen nutzen, Pakete atomar schneiden und jede Tätigkeit nur einmal erledigen und belegen.
NIS2 umsetzen: Pflichten, Maßnahmen und Nachweise
Betroffenheit, Leitungsverantwortung, Art. 21 und Meldefristen – Schritt für Schritt in Arbeitspakete übersetzt.
Wiederkehrende Prüfungen im ISMS: Intervalle, Fälligkeit, Nachweis
Typische Intervalle, „erfüllt bis“ und Fälligkeit – damit regelmäßige Kontrollen nicht still auslaufen.
Normrevisionen im Griff: Kataloge versionieren ohne Datenverlust
Neue Fassungen importieren, Unterschiede sehen und Teamstände sicher übernehmen.
FAQ
Häufige Fragen
Kurze Antworten auf die Fragen, die uns in Projekten und Audits am häufigsten gestellt werden.
Was ist ein GRC-System?
Ein GRC-System unterstützt Governance, Risikomanagement und Compliance an einer Stelle. Es verwaltet die geltenden Anforderungen aus Normen, Gesetzen und Verträgen, verteilt die daraus folgenden Aufgaben an Verantwortliche und dokumentiert, wann welche Anforderung womit erfüllt wurde.
Wie hängen ISO 27001, NIS2 und BSI IT-Grundschutz zusammen?
Alle drei verlangen ein systematisches Informationssicherheitsmanagement und überschneiden sich stark – etwa bei Zugriffsrechten, Datensicherung, Vorfallbehandlung oder Schulungen. NIS2 ergänzt vor allem die Verantwortung der Leitung und feste Meldefristen. Wer gemeinsame Arbeitspakete nutzt, erledigt diese Tätigkeiten einmal und weist sie in allen drei Regelwerken nach.
Reicht ein ISO-27001-Zertifikat für NIS2?
Nicht automatisch. Ein ISMS nach ISO 27001 deckt einen großen Teil der Maßnahmen aus Art. 21 NIS2 ab. Zusätzlich sind unter anderem die Registrierung, die Billigung und Überwachung durch die Leitung samt Schulung (Art. 20) und die Meldepflichten mit 24 Stunden, 72 Stunden und einem Monat (Art. 23) zu erfüllen.
Was ist ein Arbeitspaket?
Ein Arbeitspaket ist eine konkrete, abgeschlossene Tätigkeit mit Rolle, Ergebnis und Anleitung – zum Beispiel „Rechteüberprüfung durch die Fachbereiche durchführen“. Eine Anforderung kann mehrere Pakete verlangen, und ein Paket kann Anforderungen aus mehreren Katalogen abdecken.
Wie werden wiederkehrende Prüfungen behandelt?
Jedes Arbeitspaket ist einmalig, wiederkehrend oder ereignisbezogen. Wiederkehrende Pakete haben ein Intervall, etwa halbjährlich oder jährlich. Nach dem Abschluss gilt das Paket bis zum Ablauf des Intervalls als erfüllt und wird danach wieder fällig – und zählt bis zur erneuten Durchführung nicht mehr als erfüllt.
Enthalten die Kataloge den Normtext?
Nein, sofern er urheberrechtlich geschützt ist. Bei ISO/IEC 27001 enthält der Katalog nur Nummern und Titel sowie Anleitungen in eigener Formulierung; die Norm selbst erwerben Sie bei DIN Media bzw. ISO. Gesetzestexte wie ArbSchG und EnEfG sowie der unter CC BY-SA 4.0 veröffentlichte BSI-Grundschutz++ sind enthalten.
Was passiert, wenn eine Norm überarbeitet wird?
Die neue Fassung wird als weitere Katalogversion importiert. Sie sehen, welche Anforderungen neu, geändert oder entfallen sind, und vor dem Umstellen, was das für Ihr Team bedeutet. Auswahl, Status und Ergänzungen des Teams bleiben bei unveränderten Anforderungen erhalten.
Über uns
Software und Audit-Praxis aus einer Hand
Hinter dieser Seite steht das Software Ingenieurbüro Aktürk aus Gelsenkirchen. Seit über 25 Jahren entwickeln wir Software für Unternehmen – darunter die Aufgabenverwaltung e-Aufgaben mit dem Katalogmodul und das Dokumentenmanagementsystem Q-DMS.
Als ISO 27001 Auditoren kennen wir GRC auch von der anderen Seite des Audittisches: Wir wissen, welche Nachweise geprüft werden und woran Compliance in der Praxis scheitert. Dieses Wissen steckt in den Anleitungen und Arbeitspaketen unserer Kataloge und in unserer ISMS-Beratung.
Kontakt
Fragen zu GRC, ISO 27001 oder NIS2?
Ob Freischaltung des Katalogmoduls, Aufbau Ihres ISMS oder Vorbereitung auf das nächste Audit – sprechen Sie uns direkt an.