Funktionen inklusive ab Business: Risk-Management, Pakete vergleichen
Risk-Management
Risiken erkennen, bewerten und behandeln, mit der Methode, die zu Ihrem Unternehmen passt, und verbunden mit Assets, Schwachstellen und Maßnahmen.
Fast jedes Regelwerk verlangt einen risikobasierten Ansatz, und die Bewertung muss zu den Assets, Schwachstellen und Maßnahmen passen, die Sie bereits dokumentieren.
So hilft Complass
Risikoregister mit Bezug
Risiken mit Bezug auf Assets, Zonen und Standorte, gekoppelt an Schwachstellen, Vorfälle und die Erklärung zur Anwendbarkeit.
Methode nach Wahl
Matrix von 3 × 3 bis 5 × 5 mit Vorlagen nach ISO/IEC 27005, IEC 62443-3-2 und BSI-Standard 200-3. Qualitativ, quantitativ als erwarteter Jahresschaden in Euro mit Spannen (P50/P90) oder kombiniert.
Risikoappetit und Akzeptanz
Frei definierbarer Risikoappetit und Akzeptanzkriterien mit Freigabestufen. Ab der Klasse, die Sie festlegen, und immer über dem Risikoappetit stimmt eine zweite Person zu (Vier-Augen-Prinzip).
Behandlung mit Kosten-Nutzen
Maßnahmen und Aufgaben je Risiko, Restrisiko mit den umgesetzten Maßnahmen, Zielrisiko nach allen geplanten Maßnahmen mit Freigabe durch den Risikoeigner und Kosten-Nutzen-Betrachtung (ROSI). Risikobehandlungsplan und Risikobeurteilungsbericht als PDF.
Heatmap und Zonen-Risikobewertung
Heatmap für inhärentes Risiko, Restrisiko und Zielrisiko, Risikobewertung je Zone nach IEC 62443-3-2. Angriffstechniken nach MITRE ATT&CK lassen sich erfassen.
Gesetzlicher und normativer Bezug
- § 30 BSIG§ 30 BSIG Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …Original öffnen (gesetze-im-internet.de) ↗
- Art. 21 NIS2-RichtlinieArtikel 21 NIS2-Richtlinie Risikomanagementmaßnahmen im Bereich der Cybersicherheit(1) Die Mitgliedstaaten stellen sicher, dass wesentliche und wichtige Einrichtungen geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen ergreifen, um die Risiken für die Sicherheit der Netz- und Informationssysteme, die diese Einrichtungen für ihren Betrieb oder für die Erbringung ihrer Dienste nutzen, zu beherrschen und die Auswirkungen von Sicherheitsvorfällen auf die Empfänger …Original öffnen (EUR-Lex) ↗
- Art. 13 CRAArtikel 13 CRA Pflichten der Hersteller(1) Wenn sie ein Produkt mit digitalen Elementen in den Verkehr bringen, gewährleisten die Hersteller, dass dieses Produkt gemäß den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I konzipiert, entwickelt und hergestellt worden ist. (2) Für die Zwecke der Erfüllung von Absatz 1 führen die Hersteller eine Bewertung der Cybersicherheitsrisiken durch, die ein Produkt mit digitalen Elementen birgt, und …Original öffnen (EUR-Lex – ABl. L 2024/2847 vom 20.11.2024, eingearbeitet: Berichtigungen ABl. L 2025/90555 vom 2.7.2025, ABl. L 2025/90828 vom 17.10.2025 und ABl. L 2026/90667 vom 6.8.2026) ↗
- ISO/IEC 27001:2022, 6.1 und 8.2–8.3
- ISO/IEC 27005
- IEC 62443-3-2
- BSI-Standard 200-3
MITRE ATT&CK als Framework und Lagebild
MITRE ATT&CK beschreibt, wie Angreifer tatsächlich vorgehen. Complass verbindet diese öffentliche Wissensbasis mit Ihren Maßnahmen, Schwachstellen und Vorfällen – je Unternehmen einstellbar, für IT, OT oder beides.
Heatmap Taktik × Technik
Enterprise für IT, ICS für Steuerungen und Anlagen: Welche Angriffstechniken decken Ihre Maßnahmen ab, wo sind Lücken? Filter nach Plattform und Asset-Typ wie SPS, HMI oder Engineering Workstation.
Mitigations als Anforderungen
Status, Begründung, Nachweise und Aufgaben je Mitigation, vorbelegt aus Ihrer Umsetzung von ISO 27001 Anhang A und IEC 62443-3-3.
Schwachstellen, Vorfälle, Risiken
Techniken, die offene Schwachstellen ermöglichen, beobachtete Techniken am Vorfall und Risikoszenarien direkt aus einer Technik.
© The MITRE Corporation. ATT&CK® ist eine eingetragene Marke von The MITRE Corporation.
Häufige Fragen
Qualitativ oder quantitativ – was ist richtig?
Beides ist zulässig. Viele Unternehmen beginnen mit einer Matrix und bewerten wichtige Risiken zusätzlich in Euro. Complass unterstützt beide Wege und die Kombination.
Können wir unsere bestehende Methode übernehmen?
Ja, Matrixgröße, Stufen, Risikoappetit und Akzeptanzkriterien legen Sie selbst fest, oder Sie starten mit einer Vorlage.
Wie hängt das Risk-Management mit den Regelwerken zusammen?
Risikobehandlungen verweisen auf Maßnahmen und Anforderungen, z. B. in der Erklärung zur Anwendbarkeit. So ist nachvollziehbar, warum eine Maßnahme umgesetzt wird.
Complass mit Ihren eigenen Daten testen
Legen Sie Ihren Testzugang selbst an, auf Wunsch mit einem Beispielprojekt je Regelwerk. Wenn Sie Complass lieber erst gezeigt bekommen, fragen Sie eine Demo an.