Standards & Managementsysteme
Von ISO 27001 über BSI IT-Grundschutz++ bis C5 und TISAX — die Normen und Frameworks, mit denen Sicherheit zertifizierbar wird.
Governance, Risk & Compliance
ISO 27001, BSI IT-Grundschutz, NIS2, DORA, CRA und EU AI Act: Wie Sie Managementsysteme, Risikomanagement und regulatorische Pflichten in eine prüffähige, integrierte Struktur bringen — ohne doppelte Arbeit.
Gute Governance ist kein Papierwerk, sondern das Betriebssystem Ihrer Sicherheit: Ein integriertes Managementsystem übersetzt Standards und Regulatorik in klare Verantwortlichkeiten, messbare Kontrollen und Nachweise, die im Audit tragen. Diese Wissensseiten bündeln unsere Methodik zu Standards, EU-Regulatorik und dem laufenden Betrieb — von der Gap-Analyse über die Zertifizierung bis zu vCISO und GRC as a Service.
Themen & Wissensseiten
Jedes Thema führt zu einer eigenen Wissensseite mit Vertiefung, Praxisleitfäden und den passenden Leistungen.
EU- & nationale Regulatorik
NIS2, DORA, CRA, EU AI Act, KRITIS und MDR — Pflichten, Fristen und der Weg zur nachweisbaren Konformität.
NIS2 DORA EBA-Leitlinien Third-Party Risk (Non-ICT) BaFin-Orientierungshilfe KI & IKT-Risiken Slopsquatting & Coding-Agenten EU Cyber Resilience Act ENISA Secure by Design Playbook EU AI Act KRITIS MDR — Medizinprodukte KI-Risikomanagement im Medizinbetrieb Instandhaltung vernetzter Medizinprodukte Data Act & vernetzte Medizinprodukte KI-Compliance
Betrieb, Rollen & Nachweise
So bleibt Compliance lebendig: externe CISO- und ISB-Rollen, Audits, Schulungen und automatisierte Nachweise.
Lieferkettensicherheit
Third-Party-Risk-Management für Ihre IT-Lieferkette: von den regulatorischen Pflichten aus NIS2 und DORA bis zur Bewertung von Cloud-Providern (CSA CAIQ/CCM/STAR) und KI-Providern (CSA AI Controls Matrix v1.1).
Deep Dives
Vertiefende Wissensseiten zu den Themen, die aktuell die meisten Fragen aufwerfen — mit verifizierten Quellen und konkreten Maßnahmen.
BaFin-Orientierungshilfe KI
Am 18.12.2025 hat die BaFin ihre unverbindliche Orientierungshilfe zu IKT-Risiken beim Einsatz von KI in Finanzunternehmen veröffentlicht. Sie soll helfen, die DORA-Anforderungen an IKT-Risikomanagement und IKT-Drittparteienrisikomanagement auch für KI-Systeme umzusetzen — entlang des gesamten KI-Lebenszyklus und mit einer Fallstudie zum LLM-basierten KI-Assistenten. Diese Seite trennt durchgängig, was DORA und RTS verlangen, was die BaFin als bewährte Praxis beschreibt und was wir zusätzlich empfehlen.
Zur WissensseiteEBA-Leitlinien Third-Party Risk
Mit EBA/GL/2026/09 ersetzt die EBA ihre Outsourcing-Leitlinien von 2019 durch einen Rahmen für das gesamte Drittparteienrisiko aus Non-ICT-Dienstleistungen — mit Fokus auf kritische oder wichtige Funktionen, einem Register nach dem Vorbild des DORA-Informationsregisters und einer Übergangsfrist von zwei Jahren. Diese Seite ordnet die Leitlinien ein, grenzt sie gegen DORA ab und macht die Anforderungen mit Scope-Navigator, Register-Builder und Readiness-Radar greifbar.
Zur WissensseiteOSCAL — Frameworks as Code
Der NIST-Standard, der Regularien, Standards und Frameworks von PDF zu Daten macht: Kataloge, Profile, Mappings und Evidenzen — maschinenlesbar, versionierbar, automatisierbar.
Zur WissensseiteLieferkettensicherheit
Wie Sie die Sicherheit Ihrer IT-, Cloud- und KI-Lieferkette strukturiert bewerten und steuern – von der Lieferantenauswahl bis zum kontinuierlichen Monitoring.
Zur WissensseiteISO/IEC 42001 in der Praxis
Mit der ISO/IEC 42001:2023 existiert erstmals eine internationale, zertifizierbare Norm für ein Artificial Intelligence Management System (AIMS). Was die Norm fordert, wie die Dokumentationslandschaft aussieht — und wie Sie ein AIMS effizient in Ihr bestehendes ISMS integrieren.
Zur WissensseiteAI-Act-Transparenzpflichten
Ab dem 2. August 2026 gelten die Transparenzpflichten des Art. 50 AI Act für interaktive KI-Systeme, generative Inhalte, Emotionserkennung und Deepfakes. Der Guidelines-Entwurf der EU-Kommission vom 8. Mai 2026 konkretisiert, wie Anbieter und Betreiber diese Pflichten umsetzen sollen.
Zur WissensseiteNIST AI RMF & Cyber AI Profile
Risikomanagement für KI nach NIST: Das AI Risk Management Framework und das neue Cyber AI Profile (NIST IR 8596) geben Organisationen einen strukturierten, priorisierten Rahmen, um KI-Systeme abzusichern, KI für die Verteidigung zu nutzen und KI-gestützte Angriffe abzuwehren.
Zur WissensseiteISO/IEC 27001
Was die Norm fordert, wie der Weg zum Zertifikat abläuft und warum ein ISMS nach ISO/IEC 27001 als Nachweis gegenüber Kunden, Partnern und Aufsichtsbehörden trägt.
Zur WissensseiteIT-Grundschutz
Wie BSI-Standards, IT-Grundschutz-Kompendium und Absicherungsvarianten zusammenspielen – und was die laufende Modernisierung zu Grundschutz++ für Ihr ISMS bedeutet.
Zur WissensseiteISO/IEC 27701
Wie Sie den Umgang mit personenbezogenen Daten in ein zertifizierbares Managementsystem überführen – und was die eigenständig zertifizierbare Revision ISO/IEC 27701:2025 für ISMS-Betreiber und Auftragsverarbeiter bedeutet.
Zur WissensseiteTISAX
Wie das Prüf- und Austauschverfahren der Automobilindustrie funktioniert: von der Governance durch die ENX Association über den Prüfkatalog VDA ISA bis zu Assessment-Leveln, Labels und drei Jahren Gültigkeit.
Zur WissensseiteIntegrierte Managementsysteme
Wie Sie ISO/IEC 27001, 27701 und 42001 sowie ISO 9001 und ISO 22301 auf Basis der Harmonized Structure in einem Managementsystem zusammenführen – von der Dokumentenlenkung bis zum kombinierten Zertifizierungsaudit.
Zur WissensseiteNIS2
Was die Richtlinie (EU) 2022/2555 von wesentlichen und wichtigen Einrichtungen verlangt – und wie Deutschland sie mit dem NIS2UmsuCG im BSIG umgesetzt hat.
Zur WissensseiteDORA
Was die Verordnung (EU) 2022/2554 von Finanzunternehmen und ihren IKT-Dienstleistern verlangt – die fünf Säulen, TLPT, das Informationsregister und das Oversight kritischer Drittdienstleister im Überblick.
Zur WissensseiteCyber Resilience Act
Was die Verordnung (EU) 2024/2847 von Herstellern, Einführern und Händlern von Produkten mit digitalen Elementen verlangt – von Security by Design und SBOM bis zu den Meldefristen ab dem 11. September 2026.
Zur WissensseiteSecure by Design Playbook
Die kostenlose ENISA-Umsetzungshilfe vom 30. Juli 2026 im Deep Dive: 22 Prinzipien als einseitige Playbooks mit Checklisten, Mindest-Nachweisen und Release-Gates – inklusive maschinenlesbarer Attestierung und indikativem CRA-Mapping.
Zur WissensseiteEU AI Act
Risikoklassen, Fristen nach dem Digital Omnibus, Rollen und Sanktionen: was die Verordnung (EU) 2024/1689 für Unternehmen bedeutet – Stand Juli 2026.
Zur WissensseiteKRITIS
Was Betreiber kritischer Anlagen nach dem novellierten BSI-Gesetz und dem KRITIS-Dachgesetz umsetzen müssen – von Schwellenwerten über Angriffserkennung bis zur Nachweispflicht.
Zur WissensseiteMDR-Cybersecurity
Welche Cybersecurity-Anforderungen die MDR an Hersteller stellt – und wie MDCG 2019-16, IEC 81001-5-1 und die KI-Verordnung den Rahmen für den gesamten Produktlebenszyklus setzen.
Zur WissensseiteKI-Compliance
Wie Sie ein AI-Governance-Programm strukturiert aufbauen – vom KI-Inventar über Risikoklassifizierung und KI-Kompetenz bis zu Lifecycle-Kontrollen entlang von AI Act, ISO/IEC 42001, NIST AI RMF und BSI AIC4.
Zur WissensseitevCISO & externer ISB
Was CISO und ISB unterscheidet, welche Anforderungen ISO 27001 und NIS2 an die Rollenvergabe stellen – und wann eine externe Besetzung als vCISO oder vISB sinnvoll ist.
Zur WissensseiteGRC as a Service
Wie Managed-GRC-Modelle den laufenden Betrieb von ISMS, Risikomanagement und Compliance-Nachweisen organisieren – von den Leistungsbausteinen über sinnvolle Kennzahlen bis zu den Grenzen der Verantwortungsübernahme.
Zur WissensseiteAudits & Zertifizierungen
Wie ISO-Zertifizierungen tatsächlich ablaufen: von der Audit-Typologie über Stage 1 und Stage 2 bis zu Überwachungsaudits, Rezertifizierung und der Akkreditierungskette dahinter.
Zur WissensseiteSecurity Questionnaires
Wie Sie die wachsende Zahl an Sicherheitsfragebögen aus Kundenprüfungen und Third-Party-Risk-Management strukturiert beantworten und gezielt anfordern – mit Standardkatalogen, Antwort-Bibliotheken, KI-gestützter Antwortgenerierung und einem Trust Center.
Zur WissensseiteTrust Center
Wie Sie Zertifikate, Testate, Subprozessor-Listen und Pentest-Zusammenfassungen strukturiert bereitstellen – öffentlich, wo möglich, und NDA-geschützt, wo nötig.
Zur WissensseiteWhitepaper zum Download
Jedes Whitepaper hat eine eigene Seite mit Details und direktem Download-Formular.
DORATLPT nach DORA: Wie du deine Kronjuwelen wirklich schütztZur Whitepaper-Seite 
BSI Grundschutz++BSI Grundschutz++ Methodik & ISO 27001 Upgrade-PfadZur Whitepaper-Seite 
EU CRACRA Reality Check — Zero-Days, Supply Chain & AIZur Whitepaper-Seite 
DORADORA Reality Check — Third-Party Risk & Agentic AIZur Whitepaper-Seite 
NIS2NIS2 Reality Check — Registrierung, Lieferkette & HaftungZur Whitepaper-Seite 
EU AI ActAI Act Reality Check — Hochrisiko-Fristen, GPAI & Agentic AIZur Whitepaper-Seite 
EBA / DORAThird-Party Risk für CISOs — EBA-Leitlinien Non-ICT 2026Zur Whitepaper-Seite 
BaFin / DORA / KIKI unter DORA für CISOs — BaFin-Orientierungshilfe zu IKT-RisikenZur Whitepaper-Seite Aktuelles zu diesem Themenfeld
Alle NeuigkeitenGRC Engineering Weihnachtsworkshop am 12. Dezember: sieben Vorträge, ein Lunch, 20 PlätzeAm Samstag, 12. Dezember 2026, lädt VamiSec zum GRC Engineering Weihnachtsworkshop nach Sankt Augustin bei Bonn ein. Valeri Milke zeigt in sieben Vorträgen, wie NIS2, CRA und AI Act im integrierten Managementsystem zusammenfinden, was ein GRC-Graph sichtbar macht, wie sich Lieferketten- und Cyberrisiken in Euro bewerten lassen – und wie die Migration zur Post-Quanten-Kryptografie mit der CBOM beginnt. Kostenfrei, nur auf persönliche Einladung.VamiGRC Christmas Bootcamp am 12. Dezember: Agentic GRC Engineering – vor Ort und liveSieben Türchen, ein Vormittag: Am Samstag, 12. Dezember 2026, zeigen Valeri Milke und das VamiSec-Team von 10 bis 14 Uhr, wie agentisches GRC Engineering NIS2, CRA, AI Act und Lieferkettenrisiken beherrschbar macht – plus Christmas Special zu Post-Quanten-Kryptografie und CBOM. Vor Ort in Sankt Augustin oder live auf LinkedIn und YouTube, kostenfrei.BaFin-Orientierungshilfe KI: Was Banken und Versicherer bei IKT-Risiken unter DORA jetzt umsetzen solltenDie BaFin hat am 18. Dezember 2025 ihre Orientierungshilfe zu IKT-Risiken beim Einsatz von KI veröffentlicht. Sie ist unverbindlich, zeigt aber auf 38 Seiten, wie Finanzunternehmen die DORA-Anforderungen auf KI-Systeme anwenden können — von Governance über Tests und Cloud-Verträge bis zur Vorfallmeldung. Wir haben sie ausgewertet und eine interaktive Wissensseite plus CISO-Whitepaper veröffentlicht.EBA-Leitlinien zum Third-Party Risk 2026: Was Finanzunternehmen jetzt über Non-ICT-Dienstleister wissen müssenAm 18. September 2026 hat die EBA ihre Outsourcing-Leitlinien von 2019 durch EBA/GL/2026/09 ersetzt: Jede wiederkehrende Non-ICT-Leistung, die eine Funktion trägt, fällt jetzt unter einen DORA-konsistenten Rahmen — mit Register, Klauselkatalog, Weiterverlagerungsregeln und zweijähriger Übergangsfrist. Wir haben den Final Report ausgewertet und eine interaktive Wissensseite plus CISO-Whitepaper veröffentlicht.VamiSec vor Ort in Tallinn: Trust Services and eID Forum & CA-Day 202615.–16. September, Kultuurikatel Tallinn: ENISA, Europäische Kommission, D-Trust und TÜV NORD Cert versammeln die europäische Vertrauensdienste-Community — eIDAS 2.0, EUDI Wallet, European Business Wallet, CRA-Schnittstellen und Post-Quantum. Wir sind dabei und ordnen ein, was das für Ihre Compliance bedeutet.MID-Digitale Sicherheit: 50 % Zuschuss für Pentests, Schulungen & IT-BasisschutzNeue Übersichtsseite: Das NRW-Programm fördert IT-Sicherheitsmaßnahmen mit 50 % Zuschuss (4.000–15.000 €) — von der IST-Analyse mit Penetrationstest über Security-Schulungen bis zur Erstbeschaffung von Hard- & Software. Vergabe im monatlichen Losverfahren über die NRW.BANK — wir begleiten von der Interessensbekundung bis zum Verwendungsnachweis.MID-Digitalisierung: 50 % Zuschuss für die Entwicklung digitaler ProdukteDas NRW-Programm bezuschusst Fremdleistungen für die Entwicklung marktgängiger digitaler Produkte mit Schlüsseltechnologien wie KI mit 50 % (4.000–15.000 €), vergeben im monatlichen Losverfahren. VamiSec entwickelt als Auftragnehmer mit Security-by-Design sowie CRA- und AI-Act-Konformität ab dem ersten Sprint.Bis zu 15.000 € Zuschuss: GRC-Beratung über MID-Digitale Prozesse (NRW)Das Landesprogramm „Mittelstand Innovativ & Digital“ fördert externe Beratung zur Digitalisierung Ihrer GRC-Prozesse — von Gap-Analysen zu NIS2, CRA, EU AI Act und ISO 27001 über Roadmap und Tool-Auswahl bis zur VamiGRC-Einführung. Die Förderung deckt die Beratung bis zu 100 % ab. Aufruf 2026: Anträge vom 07.09. bis 01.12.2026 über die NRW.BANK — wir begleiten den gesamten Förderprozess.VamiSec ist akkreditierter PECB Training Partner — über 300 offizielle Zertifizierungen (ISO 27001, NIS 2, EU AI Act & mehr)Die VamiSec GmbH ist akkreditierter PECB Training Partner und vermittelt über 300 international anerkannte Zertifizierungen — von ISO 27001 über NIS 2 bis EU AI Act, durchgeführt von aktiven Lead Auditoren, die diese Standards täglich in Kundenprojekten leben.Grundschutz++ jetzt als Beratungsleistung verfügbarWir bieten ab sofort Grundschutz++ als integrierte Beratungsleistung an — die Kombination aus BSI IT-Grundschutz und ISO 27001, umgesetzt im Vami IMS Framework. Ein Managementsystem, zwei Zertifizierungsziele, ohne Doppelarbeit.VamiSec offiziell nach ISO/IEC 27001:2022 zertifiziertVamiSec ist offiziell nach ISO/IEC 27001:2022 zertifiziert — durchgeführt von der Proks Certification GmbH. Geltungsbereich: Beratungsleistungen im Bereich Informationssicherheit, digitale Produkte sowie die Verarbeitung von Kundendaten. Informationssicherheit und Compliance als Basis für Vertrauen.
Compliance mit System statt Aktenordner
Wir zeigen Ihnen im Erstgespräch, wie Ihre Standards- und Regulatorik-Anforderungen in ein integriertes, prüffähiges Managementsystem zusammenlaufen.