ISO 27001, BSI IT-Grundschutz und TISAX verlangen Nachweise, keine Absichten. NXN Compliance OS führt Anforderungen, Maßnahmen, Nachweise und die technische Prüfung in einem System zusammen. Was das System vorschlägt, gilt erst, wenn ein Mensch es bestätigt.
Dieselbe Anforderung wie in der Oberfläche oben, in drei Zuständen. An jeder Stelle sehen Sie, wer entschieden hat, wie eine Zahl entsteht und was mit Arbeit passiert, die nicht mehr gebraucht wird.
Vorschlagen lassen. Selbst entscheiden.
Vorschlag
Bestätigt
hinfällig
Rechenweg
EinstufungVorschlag
Teilweise umgesetzt.
zählt nicht: nicht im Vollständigkeitsgrad, nicht in der Anwendbarkeitserklärung
Bestätigung durch einen Menschen
EinstufungBestätigt durch: Informationssicherheit
Teilweise umgesetzt.
wirkt auf Kennzahlen und Anwendbarkeitserklärung · Verlauf: Bestätigt · Informationssicherheit · vor 2 Tagen
Vorher und nachher, dieselbe Einstufung
a · Grundsatz 1
Vorschlag ist keine Aussage.
Was das System vorschlägt, ist gekennzeichnet. Erst die Bestätigung eines Menschen wirkt auf Kennzahlen und Anwendbarkeitserklärung.
Die Gap-Analyse im geführten Modus fragt pro Anforderung, und die KI schlägt eine Einstufung vor. Solange niemand bestätigt, zählt sie nicht: nicht im Vollständigkeitsgrad, nicht in der Anwendbarkeitserklärung. Wer wann bestätigt hat, steht im Verlauf.
Mehr dazu
Die Gap-Analyse im geführten Modus fragt pro Anforderung, und die KI schlägt eine Einstufung vor. Solange niemand bestätigt, zählt sie nicht: nicht im Vollständigkeitsgrad, nicht in der Anwendbarkeitserklärung. Wer wann bestätigt hat, steht im Verlauf.
Anwendbarkeitserklärung: die Übersicht nach ISO 27001, welche Maßnahmen der Norm für Ihr Unternehmen gelten und warum.
Gap-Analyse im geführten Modus, bestätigt durch Informationssicherheit
Beispiel mit fiktiven Werten.
b · Grundsatz 2
Jede Zahl ist herleitbar.
Zu jedem Vollständigkeitsgrad gehört die Ausschlussquote und der Weg, auf dem er entstanden ist.
Eine Quote ohne die ausgeschlossenen Anforderungen sagt wenig: Wer viel ausschließt, sieht schnell besser aus, als er ist. Deshalb steht beides nebeneinander, und Sie können jede Zahl vor dem Auditor und vor der Geschäftsführung Schritt für Schritt erklären.
Mehr dazu
Eine Quote ohne die ausgeschlossenen Anforderungen sagt wenig: Wer viel ausschließt, sieht schnell besser aus, als er ist. Deshalb steht beides nebeneinander, und Sie können jede Zahl vor dem Auditor und vor der Geschäftsführung Schritt für Schritt erklären.
Maßnahmenplan · neu erzeugt
Frist für die Behebung festlegenbearbeitet · Informationssicherheit
Wöchentlicher Prüflauf gegen freigegebene Zielebestätigt
Versionsstände der Server manuell erfassenBearbeitung bleibt erhalten.bestätigthinfällig
Nach „Plan neu erzeugen“: nichts gelöscht
c · Grundsatz 3
Nichts verschwindet still.
Wird ein Plan neu erzeugt, bleibt menschliche Arbeit erhalten; Entfallenes wird als hinfällig markiert statt gelöscht.
Ändert sich der Geltungsbereich oder ein Katalog, rechnet das System den Plan neu. Was Menschen bearbeitet haben, bleibt erhalten, und was entfällt, bleibt als hinfällig sichtbar. So lässt sich auch später nachvollziehen, welche Maßnahme nicht mehr verfolgt wurde.
Mehr dazu
Ändert sich der Geltungsbereich oder ein Katalog, rechnet das System den Plan neu. Was Menschen bearbeitet haben, bleibt erhalten, und was entfällt, bleibt als hinfällig sichtbar. So lässt sich auch später nachvollziehen, welche Maßnahme nicht mehr verfolgt wurde.
Alles zusammen steht im revisionssicheren Audit-Log: was vorgeschlagen, bestätigt, geändert und als hinfällig markiert wurde, und von wem.
So arbeitet das System
Von der Anforderung zur Umsetzung.
Eine Kette statt sieben Werkzeuge. Jeder Schritt hängt am vorherigen und bleibt bis zum Audit nachvollziehbar. Wählen Sie ein Glied, um zu sehen, was das System dort übernimmt.
1Anforderung
Jede Anforderung zeigt, für welche Kataloge sie zusätzlich zählt. Welche Kataloge in welcher Version, steht weiter unten.
Am Beispiel
Eine Maßnahme, mehrfach angerechnet
ISO 27001:2022
Umgang mit technischen Schwachstellen
zählt auch fürBSI IT-GrundschutzTISAX
Was Sie einmal einrichten, zählt für jeden Katalog, der es verlangt. Der Beleg hängt an der Anforderung, die er belegt, nicht dreimal in drei Ordnerstrukturen.
2Gap-Analyse
Der geführte Modus fragt pro Anforderung, nicht pro Unternehmen. Jede Antwort liefert Einstufung, benötigten Nachweis und Maßnahme mit Aufwand. Vorschlag und Aussage bleiben getrennt.
Am Beispiel
EinstufungVorschlag
Teilweise umgesetzt.
zählt erst nach Bestätigung
3Risiko
Konfigurierbare Matrix, Bewertungshistorie, befristete Risikoakzeptanz. Beispiel: „Ohne Ihre Maßnahmen 20 (kritisch) → mit Ihren Maßnahmen 6 (mittel)“.
RisikobewertungBeispiel
Ohne Ihre Maßnahmen20 · kritisch
Mit Ihren Maßnahmen6 · mittel
4Maßnahme
Aus jeder Maßnahme wird eine Aufgabe mit Zuständigkeit, Frist, benötigtem Nachweis und konkreten Umsetzungsschritten.
AufgabeBeispiel
Veraltete Version beheben
Zuständigkeit
IT-Leitung
Frist
gesetzt
Nachweis
Prüflauf nach der Behebung
Schritte
Update einspielen · Dienst neu starten · Prüflauf anstoßen
5Verantwortliche Person
Täglich eine Übersicht an die Zuständigen: ablaufende Nachweise, fällige Aufgaben, überfällige Befunde, und nur, wenn etwas ansteht.
TagesübersichtBeispiel
Ablaufend
ein Nachweis
Fällig
eine Aufgabe
Überfällig
keine Befunde
6Nachweis
Zentrales Repository mit Freigabe-Workflow und Ablaufdatum. Nachweise sammelt das System automatisch aus den eigenen Prüfläufen und aus angebundenen Systemen, zum Beispiel SharePoint, SMB-Fileserver, Jira, ServiceNow oder Confluence. Was bei Ihnen noch nicht angebunden ist, binden wir individuell an.
Managementbericht, Kennzahlen mit Herleitung, Auditoren-Portal mit begrenztem Zugriff, Exportpaket mit Prüfsummen-Manifest.
Jedes Glied kennt sein nächstes. Kein Schritt ohne Herkunft.
Technische Prüfung
Prüfen statt behaupten.
Ein Nachweis sagt, was einmal eingerichtet wurde. Er sagt nicht, ob es heute noch so ist. Deshalb hat NXN Compliance OS eine eigene technische Prüfung: Netzwerk-Scan und automatisierte Penetrationstests, deren Ergebnisse direkt an der betroffenen Anforderung landen.
Ein Netzwerk-Scan findet, was in Ihrem Netz erreichbar ist und wie es konfiguriert ist. Ein automatisierter Pentest geht einen Schritt weiter und prüft, ob sich eine gefundene Schwachstelle tatsächlich ausnutzen lässt.
Für die Tiefe gibt es den manuellen Pentest durch unsere Sicherheitsforscher. Netzwerk-Scan und automatisierte Pentests ergänzen ihn und prüfen dazwischen, damit neue Lücken nicht bis zum nächsten Test unbemerkt bleiben.
Eigenes Prüfwerkzeug von NetzExperten, kein zugekaufter Scanner-Report
Wiederholbare Prüfläufe statt einer Momentaufnahme im Jahresbericht
Nachweis der Ausnutzbarkeit statt einer Liste theoretischer Lücken
Bericht je Lauf und Verlauf über die Zeit – wurde es besser?
Nur gegen freigegebene Ziele, jeder Lauf im Audit-Log
Sie legen fest: was, wie tief, wie oft.
Umfang
Netzbereiche, einzelne Systeme, Anwendungen, externe Adressen – je Ziel getrennt freigegeben.
Tiefe
Inventar · Schwachstellenprüfung · aktive Prüfung. Jede Stufe ist eine eigene Entscheidung.
Takt
Täglich, wöchentlich, monatlich, quartalsweise – oder vor dem nächsten Audit.
Fenster
Wartungsfenster und Freigabe je Ziel. Nichts läuft ungeplant, nichts läuft unprotokolliert.
Einmal eingerichtet, läuft die Prüfung von selbst weiter – und meldet sich, wenn sich etwas verschlechtert.
Auch Produktions- und OT-Netze, also die Netze von Anlagen und Maschinensteuerungen, prüfen wir. Ziele, Tiefe und Prüffenster stimmen wir dort besonders sorgfältig mit Ihnen und den Verantwortlichen für die Anlagen ab.
Was aus einem Fund wird.
Der Fund wird kein PDF im Ordner, sondern ein Befund mit Frist, ein Risiko im Register und eine Aufgabe bei einer namentlich zuständigen Person. Nach der Nachprüfung hängt der Nachweis an der Anforderung, die er belegt.
1Fund
Der Prüflauf findet etwas – zum Beispiel ein Zertifikat, das bald abläuft.
2Befund mit Frist
Aus dem Fund wird ein Befund mit Frist – kein PDF im Ordner.
3Risiko
Der Befund landet als Risiko im Register und wird bewertet.
4Aufgabe
Eine Aufgabe bei einer namentlich zuständigen Person.
5Nachprüfung
Der nächste Prüflauf bestätigt, ob die Maßnahme wirkt.
6Nachweis
Der Nachweis hängt an der Anforderung, die er belegt.
Alle arbeiten am selben Stand, jede Rolle mit ihrem Ausschnitt. Ein Rollenmodell regelt, wer was sehen und bestätigen darf.
Informationssicherheit
Steuert das ISMS (Informationssicherheits-Managementsystem, also das System, mit dem Sie Informationssicherheit planbar und überprüfbar machen), bestätigt oder verwirft Vorschläge, entscheidet über befristete Risikoakzeptanz. Ein Stand, den alle sehen, statt Excel, Word, E-Mail und Dateiablagen. Diese Rolle übernimmt Ihr eigener Informationssicherheitsbeauftragter (ISB) oder, auf Wunsch, unser Team.
Zentral
Ansicht: InformationssicherheitBeispiel
Umgang mit technischen SchwachstellenVorschlag
Teilweise umgesetzt.
BestätigenAnpassenVerwerfen
Risikoakzeptanz · befristetEntscheiden
IT und Fachbereiche
Bekommen ihre Aufgaben mit Zuständigkeit, Frist, benötigtem Nachweis und Umsetzungsschritten. Erinnerungen kommen nur, wenn etwas ansteht. Nachweise aus Prüfläufen und angebundenen Systemen sammelt das System selbst.
Nachweisbar: Nachweise entstehen während der Arbeit, nicht in der Woche vor dem Audit.
Ansicht: IT-Leitung · Meine AufgabenBeispiel
Veraltete Version beheben
Frist
gesetzt
Nachweis
Prüflauf nach der Behebung
Update einspielen
Dienst neu starten
Prüflauf anstoßen
Erinnerung nur, wenn etwas ansteht.
Geschäftsführung
Sieht den aktuellen Compliance-Status ohne Nachfrage-Runde, im Managementbericht und mit Kennzahlen, deren Herleitung sich aufklappen lässt.
Transparent
Ansicht: GeschäftsführungBeispiel
Vollständigkeitsgrad75 %Herleitung ▾
ManagementberichtÖffnen
Auditor
Bekommt ein Auditoren-Portal mit begrenztem Zugriff und ein Exportpaket mit Prüfsummen-Manifest. Der Beleg hängt an der Anforderung, die er belegt.
Ein Prüfsummen-Manifest listet zu jeder Datei im Paket eine Prüfsumme. Damit lässt sich jederzeit prüfen, dass ein Beleg seit dem Export nicht verändert wurde.
Portal und Exportpaket sind für Ihre Zertifizierungsstelle bzw. Ihren TISAX-Prüfdienstleister. Wir bereiten auf die Zertifizierung vor, zertifizieren aber nicht selbst. Über das Ergebnis entscheidet die unabhängige Stelle.
Mandantenfähig: Einmal aufgebaute Prozesse gelten für den nächsten Standard und den nächsten Standort.
Betrieb
Wo läuft das, und wer betreibt es?
Nachweise und Ergebnisse von Schwachstellenprüfungen gehören zu den sensibelsten Daten eines Unternehmens. Deshalb entscheiden Sie, wo NXN Compliance OS läuft und ob die Vorschläge lokal oder über ein Sprachmodell entstehen. Den Betrieb übernehmen wir.
Standort
Selbst gehostet in Ihrer Umgebung oder in der Private Cloud in einem Rechenzentrum in Deutschland. Ihre Nachweise bleiben dort, wo Sie sie haben wollen.
Betrieb
Betrieb, Updates und Pflege von NXN Compliance OS übernehmen wir, auch wenn es in Ihrer Umgebung läuft. Sie müssen keine Container pflegen. „Selbst gehostet“ heißt: Es läuft auf Ihren Servern, nicht, dass Sie sich darum kümmern müssen.
Mandantentrennung, Rollenmodell und revisionssicheres Audit-Log sind Fundament, nicht nachträgliches Feature.
KI-Vorschläge
Ob die Vorschläge lokal entstehen, dort, wo NXN Compliance OS läuft, oder über ein Sprachmodell per API, entscheiden Sie. Alle Sprachmodelle, die wir einsetzen, nutzen wir ohne Training mit Ihren Daten und gehostet in Deutschland. In der Private Cloud bleiben Ihre Daten damit vollständig in Deutschland. In beiden Fällen gilt: Was das System vorschlägt, wirkt erst nach Bestätigung durch einen Menschen.
Mit eigenem ISB oder mit uns.NXN Compliance OS können Sie allein lizenzieren und mit Ihrem eigenen Informationssicherheitsbeauftragten nutzen, oder mit Begleitung durch unser Team. Umgekehrt geht es auch: Unsere Compliance-Beratung buchen Sie auf Wunsch ohne NXN Compliance OS, etwa wenn Sie schon ein eigenes ISMS-Werkzeug nutzen.
Bestehende Daten übernehmen.Vorhandene Nachweise, Maßnahmen und Risiken, etwa aus Excel-Listen oder einem anderen Werkzeug, lassen sich importieren. Sie fangen nicht von vorn an.
Kataloge aktuell.Neue Katalogversionen, etwa die jährliche Aktualisierung des TISAX-Katalogs, pflegen wir ein. Ältere Versionen bleiben für laufende Assessments nutzbar.
Modellkosten getrennt.Nutzen Sie für die Vorschläge ein Sprachmodell über die API, fallen die Kosten dafür separat an. Sie buchen sie über uns oder direkt beim Anbieter.
Lizenz mit klarem Ende.Die Nutzung von NXN Compliance OS endet mit der Kündigung. Ihre Daten, also Nachweise, Risiken und Verlauf, können Sie vorher exportieren.
Welche Kataloge, in welcher Version? Das ist bei einem ISMS-Werkzeug die erste Frage. NXN Compliance OS ist kein Werkzeug für eine einzelne Norm: Die Kette aus Anforderung, Risiko, Maßnahme und Nachweis bleibt dieselbe, der Katalog wechselt, die technische Prüfung läuft daneben weiter.
ISO/IEC 27001:2022
ISO 27001:2022
Kapitel 4–10 und Annex A, gegen DIN EN ISO/IEC 27001:2024-01 geprüft.
Kompendium · Grundschutz++
BSI IT-Grundschutz
In beiden Formen: nach dem IT-Grundschutz-Kompendium mit Bausteinen und Anforderungen und nach Grundschutz++, der neuen Methodik des BSI.
ISA2027
TISAX nach ISA2027
Katalogstruktur für die Anforderungen der Automobil-Lieferkette, nach dem aktuellen Prüfkatalog ISA2027 („ISA“ ist der Fragenkatalog, nach dem geprüft wird). Die jährliche Aktualisierung pflegen wir ein; ältere Versionen bleiben für laufende Assessments nutzbar.
Bewusste Entscheidung: drei Kataloge in der Tiefe statt zwölf an der Oberfläche. Breite ohne Tiefe hilft bei einer Zertifizierung nicht.
In Planung
DORAGeplant
ISO 9001Geplant
SOC 2Geplant
Lieferanten-ComplianceGeplant
weitere KatalogeGeplant
NIS2 ist kein eigener Katalog in NXN Compliance OS. Viele NIS2-Maßnahmen lassen sich über ein ISMS nach ISO 27001 abbilden und nachweisen. Zu NIS2
NXN Compliance OS ist eine Eigenentwicklung. Software, Einführung, Betrieb und die Sicherheitsarbeit dahinter kommen vom selben Team: Compliance-Beratung, technische Prüfung und Entwicklung arbeiten bei uns zusammen. Interne Audits führen bei uns Personen durch, die Sie nicht beraten haben. Zu unserem Team gehören aktive IT-Sicherheitsforscher, die auch unsere manuellen Penetrationstests durchführen. Das Prüfwerkzeug in NXN Compliance OS haben wir selbst gebaut.
In der Demo zeigen wir Ihnen die Kette von der Anforderung bis zum Audit, die drei Grundsätze und die technische Prüfung im Einsatz. Danach sprechen wir darüber, welcher Katalog bei Ihnen ansteht und ob Sie NXN Compliance OS mit eigenem ISB oder mit unserer Begleitung nutzen möchten. Die Demo läuft mit Beispieldaten.
NXN Compliance OS
