Ordivis Security
Die meisten ISMS-Werkzeuge verlangen ein eigenes Bestandsverzeichnis. Dann pflegen Sie zwei Wahrheiten, und eine davon ist immer veraltet. Ordivis Platform führt Schutzbedarf, Grundschutz-Check und Risikoanalyse direkt an den Configuration Items – für BSI IT-Grundschutz und ISO/IEC 27001:2022 im selben Modul.
# Vom Zielobjekt zur Maßnahme CI: app-srv-04 (CI-Klasse: Windows-Server) └─ Vorschlag SYS.1.2.3 Windows Server ├─ Anforderung Soll / Ist / Entfällt ├─ Risiko Häufigkeit × Schaden → 1–25 └─ Maßnahme Frist · Verantwortlich · Status Quelle: CMDB (read-only) Abschluss: revisionssicher, PDF-Bericht
Ein ISMS (Informationssicherheits-Managementsystem) ist das dokumentierte Regelwerk aus Verfahren, Zuständigkeiten und Maßnahmen, mit dem eine Organisation Informationssicherheit systematisch steuert – vom Schutzbedarf über die Risikobewertung bis zur Wirksamkeitskontrolle.
Wichtig für die Erwartungshaltung: Ein ISMS ist kein Produkt, das man kauft, sondern ein Managementsystem, das man betreibt. Software kann es unterstützen – indem sie Kataloge vorhält, den Bearbeitungsstand verfolgt, Fristen überwacht und Nachweise erzeugt. Die Entscheidungen darüber, welches Risiko akzeptabel ist, nimmt Ihnen kein Werkzeug ab.
Was Software dagegen sehr wohl leisten muss: verhindern, dass der Aufwand in der Dokumentenverwaltung versickert. Ein ISMS, das aus 40 Word-Dateien und drei Excel-Tabellen besteht, ist beim ersten Audit belastbar und ein Jahr später überholt.
ISO/IEC 27001 beschreibt, was ein ISMS leisten muss, und lässt weitgehend offen, wie. Der BSI IT-Grundschutz liefert stattdessen konkrete Bausteine mit ausformulierten Anforderungen je Zielobjekttyp und ist damit deutlich präskriptiver – man arbeitet eine Struktur ab, statt sie zu erfinden.
In der Praxis entscheidet meist das Umfeld: Im öffentlichen Sektor und bei KRITIS-Betreibern ist der Grundschutz verbreitet, international führt an ISO 27001 kein Weg vorbei. Beides schließt sich nicht aus – eine Grundschutz-Zertifizierung schließt ein ISO-27001-Zertifikat ein. Ordivis Platform führt deshalb beide Kataloge im selben Modul, statt Sie auf ein Framework festzulegen.
Verpflichtend für KRITIS-Betreiber und für Einrichtungen im Anwendungsbereich von NIS2, faktisch erzwungen bei vielen öffentlichen Ausschreibungen und in Lieferketten großer Industriekunden. Freiwillig sinnvoll, sobald der Ausfall oder Abfluss von Daten das Geschäft ernsthaft trifft – also praktisch überall.
So bildet Ordivis Platform den Grundschutz-Zyklus ab – jeder Schritt setzt auf dem vorigen auf, ohne dass Daten neu erfasst werden müssen.
Sicherheitskataloge werden über OSCAL importiert – BSI IT-Grundschutz ebenso wie ISO/IEC 27001:2022 Annex A. Der Katalog-Browser ist editier- und erweiterbar, eigene Anforderungen lassen sich ergänzen.
Die Zielobjekte kommen aus der CMDB – read-only, damit das ISMS keine konkurrierende Bestandsführung eröffnet. Kein zweites Inventar, kein Abgleich.
Bausteine werden Zielobjekten zugewiesen. Anhand der CI-Klasse schlägt Ordivis Platform die passenden Bausteine automatisch vor – das erspart den größten Teil der stumpfen Zuordnungsarbeit.
Je Anforderung wird der Soll-Ist-Abgleich geführt, mit dem Umsetzungsstatus Ja / Teilweise / Nein / Entfällt und Begründung. Der Fortschritt ist jederzeit als Quote sichtbar, nicht erst am Ende.
Aus einem Katalog von 47 BSI-Elementargefährdungen und 25 Enterprise-Bedrohungen werden Risiken abgeleitet und über Häufigkeit × Schaden auf einer Skala von 1 bis 25 bewertet. Nach Wahl der Behandlungsstrategie wird das Restrisiko erneut bewertet – beide Stände erscheinen in einer 5×5-Heatmap.
Aus offenen Anforderungen und nicht akzeptierten Risiken entsteht automatisch ein Maßnahmenplan mit Verantwortlichkeit, Frist und Statusverfolgung. Kritische Risiken lösen eine Benachrichtigung an den ISB aus.
Der Abschluss ist revisionssicher: Der Stand wird eingefroren und bleibt nachvollziehbar. Als PDF entstehen Management-Summary, Risikoregister, Maßnahmenplan und Schutzbedarfsübersicht – sowie ein Delta-Bericht, der den Fortschritt zwischen zwei Checks zeigt.
Kein Zusatzmodul, kein Aufpreis – das ISMS gehört zum vollen Funktionsumfang jeder Lizenz.
security.*-BerechtigungenSeparate ISMS-Werkzeuge brauchen eigene Zielobjekte. Die pflegt am Anfang jemand sorgfältig – und nach einem Jahr niemand mehr. Ordivis Platform liest die CMDB, statt sie zu kopieren.
Wird ein verknüpftes CI stillgelegt, erhält der ISB einen Prüfhinweis. Das Sicherheitsbild altert damit sichtbar statt still.
Offene Maßnahmen laufen im selben System wie der Service Desk. Kein Export nach Excel, keine parallele Nachverfolgung per E-Mail.
Business-Continuity-Management, Notfallplanung und Disaster Recovery nutzen dieselben CIs und Schutzbedarfe – die BIA muss die Landschaft nicht neu erheben.
Das Verarbeitungsverzeichnis nach Art. 30 DSGVO liegt im gleichen System. Technisch-organisatorische Maßnahmen müssen nicht doppelt dokumentiert werden.
Änderungen an Sicherheitsdaten laufen durch dieselbe Audit-Protokollierung wie alles andere – ein Nachweis statt mehrerer Teilprotokolle.
Ein ISMS (Informationssicherheits-Managementsystem) ist das dokumentierte Regelwerk aus Verfahren, Zuständigkeiten und Maßnahmen, mit dem eine Organisation Informationssicherheit systematisch steuert – vom Schutzbedarf über die Risikobewertung bis zur Wirksamkeitskontrolle. Es ist kein Produkt, sondern ein Managementsystem; Software unterstützt es, ersetzt es aber nicht.
ISO/IEC 27001 beschreibt, was ein ISMS leisten muss, und lässt offen, wie. Der BSI IT-Grundschutz liefert konkrete Bausteine mit ausformulierten Anforderungen je Zielobjekttyp und ist damit deutlich präskriptiver. In Deutschland ist der Grundschutz im öffentlichen Sektor und bei KRITIS verbreitet, ISO 27001 international. Beide lassen sich kombinieren – eine Grundschutz-Zertifizierung schließt ein ISO-27001-Zertifikat ein.
BSI IT-Grundschutz und ISO/IEC 27001:2022 Annex A werden im selben Modul geführt. Sicherheitskataloge lassen sich über OSCAL importieren, der Katalog-Browser ist editier- und erweiterbar – eigene oder branchenspezifische Kataloge sind damit ebenfalls abbildbar.
Weil sonst zwei Bestandsverzeichnisse gepflegt werden müssen und auseinanderlaufen. In Ordivis Platform nutzt das ISMS die CMDB read-only als Schutzobjekt-Basis: Bausteine werden anhand der CI-Klasse automatisch vorgeschlagen, und bei Stilllegung eines verknüpften CIs erhält der ISB einen Prüfhinweis.
Risiken werden aus einem Katalog mit 47 BSI-Elementargefährdungen und 25 zusätzlichen Enterprise-Bedrohungen abgeleitet und über Häufigkeit × Schadenshöhe auf einer Skala von 1 bis 25 bewertet. Nach Wahl der Behandlungsstrategie wird das Restrisiko erneut bewertet; beide Stände erscheinen in einer grafischen 5×5-Heatmap. Die Risikoakzeptanz erfolgt durch den ISB, kritische Risiken lösen eine Benachrichtigung aus.
Indirekt – und das sagen wir bewusst vorsichtig. NIS2 verlangt Risikomanagement, Maßnahmen zur Aufrechterhaltung des Betriebs, Meldewege und Nachweisfähigkeit. Genau diese Bausteine liefert Ordivis Platform mit ISMS, BCM und dem revisionssicheren Auditpfad. Ein Werkzeug erfüllt jedoch keine Richtlinie – die Umsetzung bleibt eine organisatorische Aufgabe.
Ja, und gerade hier ist das relevant: Die Daten enthalten Schutzbedarfe, offene Maßnahmen und bewertete Schwachstellen – eine Landkarte Ihrer Angriffsfläche. Ordivis Platform läuft vollständig im eigenen Rechenzentrum auf PostgreSQL, dank ECDSA-Offline-Aktivierung auch air-gapped ohne Internetverbindung.
Nein. Zertifiziert wird Ihre Organisation durch eine akkreditierte Stelle, nicht Ihre Software. Ordivis Platform liefert die Struktur, die Nachweise und die Berichte, mit denen Sie in ein Audit gehen – die Bewertung nimmt der Auditor vor.
Die Schutzobjekt-Basis: Configuration Items, Relationen und Impact-Analyse als Grundlage jeder Strukturanalyse.
Alle ITIL-Module auf derselben Datenbasis – damit Maßnahmen im Betrieb landen und nicht in einer Nebenliste.
Kontinuitäts-Gaps aus der BIA wandern als Risiken direkt in die ISMS-Risikoanalyse.
Art. 30 DSGVO im selben System – technisch-organisatorische Maßnahmen nicht doppelt dokumentieren.
Warum Grundschutz, Doppik-Planbarkeit und air-gapped Betrieb für Verwaltungen zusammengehören.
Von der Modellierung über den Check bis zur Heatmap – in einer Demo per Videokonferenz, mit dem aktuellen Entwicklungsstand.