Sicherheitslücken verstehen. Compliance-Pflichten erfüllen.

Der Compliance-Kompass ordnet die eigenen Angaben zu Branche, Größe, Produkten mit digitalen Elementen und KI-Einsatz allen drei Regelwerken zu und verweist direkt auf die passende Vorlage: NIS2-Checkliste, CRA-Klartext oder AIMS-Handbuch. Vier Fragen genügen für eine erste Einschätzung, die keine rechtliche Prüfung ersetzt.

Der CRA gilt für Hersteller von Produkten mit digitalen Elementen, die in der EU in Verkehr gebracht werden. Das umfasst Hardware-Produkte mit Software-Anteil ebenso wie reine Software-Produkte. Importeure und Händler haben ebenfalls Pflichten, wenn auch in geringerem Umfang als Hersteller.

ISO/IEC 42001:2023 ist die erste international zertifizierbare Norm für KI-Managementsysteme (AIMS). Sie beschreibt, wie eine Organisation die Entwicklung, Bereitstellung und Nutzung von KI-Systemen steuert, mit Kapiteln 4 bis 10 nach derselben Struktur wie ISO/IEC 27001 und einem normativen Anhang A mit 38 Referenz-Controls. Sie richtet sich ausdrücklich auch an Organisationen, die KI nur einsetzen und nicht selbst entwickeln.

CVSS v3.1 kennt fünf Stufen: 0.0 bedeutet „keine" Auswirkung, 0.1 bis 3.9 gilt als niedrig, 4.0 bis 6.9 als mittel, 7.0 bis 8.9 als hoch und 9.0 bis 10.0 als kritisch. Die Einteilung bezieht sich ausschließlich auf die technische Schwere der Schwachstelle selbst. Sie berücksichtigt weder, ob ein Exploit existiert, noch wie schützenswert das betroffene System im eigenen Unternehmen ist.

Das Statement of Applicability (SoA) ist das Dokument, in dem eine Organisation für jeden der 93 Referenz-Controls aus ISO/IEC 27001:2022 Anhang A festhält, ob er angewendet wird, warum, und wie weit die Umsetzung fortgeschritten ist. Zusammen mit dem Risikoregister ist es das zweite zwingend vorgeschriebene ISMS-Dokument nach Kap. 6.1.3 d) und faktisch das Inhaltsverzeichnis jedes Zertifizierungsaudits.

Der CRA verlangt in Anhang I eine Cybersicherheits-Risikobeurteilung für jedes Produkt mit digitalen Elementen. Die TARA (Threat Analysis and Risk Assessment) ist die etablierte Methode, um diese Anforderung zu erfüllen: Sie grenzt das System ab, identifiziert schützenswerte Werte, leitet Bedrohungsszenarien ab, bewertet die Risiken und definiert Maßnahmen. Die Ergebnisse gehören in die technische Dokumentation nach Anhang VII und müssen über den gesamten Unterstützungszeitraum fortgeschrieben werden.