Konformitätsübersichten
Die im ISMS-Betrieb erfassten Umsetzungsstände der BSI IT-Grundschutz-Anforderungen bilden die Grundlage für mehrere Konformitätsübersichten gegenüber regulatorischen Rahmenwerken. So lässt sich der Konformitätsgrad gegenüber ISO/IEC 27001, der DORA-Verordnung (VO (EU) 2022/2554) und der NIS2-Richtlinie (Richtlinie (EU) 2022/2555) ableiten, ohne eine separate Aufwandsanalyse durchführen zu müssen.
Alle drei Übersichten sind über die ISMS-Navigation erreichbar, sobald ein Scope über bewertete BSI-Anforderungen verfügt – es ist keine gesonderte Aktivierung erforderlich.
Gemeinsame Funktionsweise
Alle drei Übersichten teilen sich dieselbe Darstellung und Bewertungslogik:
- Gesamt-Konformitätsgrad als Ring-Chart, plus Fortschrittsanzeige je Kapitel.
- Aufklappbare Gliederung bis auf Artikel-/Absatzebene mit dem amtlichen Gesetzestext sowie den zugeordneten BSI-Anforderungen bzw. Bausteinen. Ein Klick auf eine zugeordnete Anforderung öffnet eine Detailansicht mit dem aktuellen Bewertungsstatus.
- Kennzeichnung „Keine Entsprechung im BSI IT-Grundschutz" für Artikel oder Absätze, für die keine passende BSI-Anforderung existiert – ohne Ersatz- oder Kaschierungstext.
- Implizite Erfüllung: Anforderungen ohne eigenen BSI-Anforderungscode, die stattdessen auf den grcproxy-eigenen Sicherheitskonzeptions- und Risikoanalyseprozess nach BSI-Standard 200-2/200-3 verweisen, gelten als erfüllt und sind entsprechend grün markiert.
- Panel „Größte Hebel": eine Liste der Maßnahmen, deren vollständige Umsetzung den Gesamt-Konformitätsgrad am stärksten verbessern würde – zur Priorisierung offener Aufgaben.
- Rein rechtlich-organisatorische Kapitel ohne inhaltlichen Bezug zum BSI IT-Grundschutz (z. B. Begriffsbestimmungen, Zuständigkeiten, Übergangsbestimmungen) werden zu einem einzigen zusammenfassenden Hinweis zusammengefasst und erscheinen nicht in der Kapitel-Fortschrittsübersicht.
Behandlung nicht anwendbarer Maßnahmen
Als „entbehrlich" (nicht anwendbar) begründete Objekt-Assessments fließen weder positiv noch negativ in die Konformitätswertung ein – sie werden aus Zähler und Nenner ausgeschlossen. Der ausgewiesene Konformitätsgrad entspricht damit ausschließlich den tatsächlich anwendbaren Maßnahmen. „Nicht anwendbar" bedeutet dabei einen begründeten Ausschluss aus der Erklärung zur Anwendbarkeit, nicht automatisch „umgesetzt".
Voraussetzung
Alle drei Übersichten nutzen dieselbe Datengrundlage: die im IT-Grundschutz-Check bewerteten Anforderungen. Je vollständiger und aktueller diese Bewertung ist, desto belastbarer ist der ausgewiesene Konformitätsgrad.