erfundenes Beispielunternehmen

Complass bei Kellenbach: eine Tour in sieben Kapiteln

Kellenbach Maschinenbau ist erfunden, die Bilder zeigen das echte Portal mit den Beispieldaten des Unternehmens. Je Schritt sehen Sie, wie es heute oft läuft und was Complass daran ändert. Gehen Sie in Ihrem Tempo durch die Kapitel, jedes lässt sich einzeln starten.

Familienunternehmen, 380 Beschäftigte, zwei Werke in Hagen und Iserlohn
Nach NIS2 eine wichtige Einrichtung
Hersteller nach CRA und Maschinenverordnung, mit dem eigenen KB Connect Gateway

Tour starten

Kapitel

Überblick Alle Regelwerke in einem Portal 3 Schritte Empfohlener Einstieg
Von der Lücke zur Maßnahme Gap-Analyse, Anwendbarkeit, Maßnahmen 4 Schritte
Vorfall mit Meldefrist Ein laufender NIS2-Vorfall 2 Schritte
Eigenes Produkt (CRA) KB Connect Gateway und KB Insight 5 Schritte
Werk Hagen (OT) Zonen, Conduits und Security-Level 2 Schritte
Risiken Bewerten, behandeln, berichten 3 Schritte
Audit und Zugriff Nachweise und Berechtigungen 2 Schritte

Kapitel 1

Überblick: Alle Regelwerke in einem Portal

Dashboard von Kellenbach mit Gesamtfortschritt, nächstem Audit, offenen Aufgaben, Reifegrad und laufenden Meldefristen

Überblick · 1 von 3

Der Stand von Kellenbach auf einer Seite

Heute oft: Wer wissen will, wo das Unternehmen steht, sammelt Zahlen aus Tabellen, Mails und Projektordnern zusammen.
Mit Complass: Das Dashboard zeigt Gesamtfortschritt, nächstes Audit, offene Aufgaben und Reifegrad über alle Projekte. Darunter laufen die Meldefristen des aktuellen Vorfalls mit, und jede Kachel führt direkt zur Liste dahinter.

20 Regelwerke im Portal

Gesamtfortschritt über alle Projekte
Laufende Meldefristen

Regelwerke-Übersicht: übergreifende Maßnahmen und die Projekte, in denen sie zählen

Überblick · 2 von 3

Einmal umsetzen, für jedes Regelwerk nachweisen

Heute oft: ISO 27001, NIS2 und CRA verlangen vieles doppelt, und jede Anforderung wird in einer eigenen Liste gepflegt.
Mit Complass: Die Regelwerke-Übersicht ordnet jeder übergreifenden Maßnahme die Projekte zu, in denen sie zählt. Was einmal umgesetzt und belegt ist, wirkt für jedes Regelwerk, das es verlangt.

Übergreifende Maßnahmen
Wirkung je Projekt

Projekt ISO 27001 für die Werke Hagen und Iserlohn mit Fortschritt, nächstem Schritt und Phasen

Überblick · 3 von 3

Ein Projekt je Regelwerk, Schritt für Schritt bis zum Audit

Heute oft: Der Projektplan liegt bei einer Person, und was als Nächstes ansteht, weiß nur sie.
Mit Complass: Das ISO-27001-Projekt für beide Werke zeigt den Fortschritt jeder Phase und den nächsten offenen Schritt, mit einem Klick zum Weiterarbeiten. Voraudit und Zertifizierungsaudit stehen als Termine im Projekt.

Ihr nächster Schritt
Phasen bis zum Audit

Kapitel 2

Von der Lücke zur Maßnahme: Gap-Analyse, Anwendbarkeit, Maßnahmen

Gap-Analyse mit Reifegrad-Skala und Bewertung je Bereich

Von der Lücke zur Maßnahme · 1 von 4

Wo steht Kellenbach heute?

Heute oft: Die Gap-Analyse ist das Ergebnis eines Workshops, das nach wenigen Monaten niemand mehr aktualisiert.
Mit Complass: Jede übergreifende Maßnahme wird von „nicht vorhanden“ bis „wirksam und überprüft“ bewertet, mit Ziel und Begründung. Complass zeigt, wo die größten Lücken liegen, und übernimmt sie auf Wunsch direkt in den Maßnahmenplan.

Reifegrad-Skala
Bewertung je Bereich

Erklärung zur Anwendbarkeit nach ISO 27001 Anhang A mit Bewertungsstand und Export

Von der Lücke zur Maßnahme · 2 von 4

Die Erklärung zur Anwendbarkeit als gelenktes Dokument

Heute oft: Die Anwendbarkeitserklärung ist eine Excel-Datei, deren Begründungen beim nächsten Audit niemand mehr zuordnen kann.
Mit Complass: Für jede Maßnahme aus Anhang A steht im Katalog, ob sie anwendbar ist, warum, wie weit sie umgesetzt ist und wo der Nachweis liegt. Die Erklärung wird nach Prüfung als Version freigegeben und als Word, Excel oder PDF exportiert.

Bewertungsstand des Katalogs
Export als Word, Excel, PDF

Maßnahmenplan mit Filtern, Zuständigen, Fälligkeiten und Prioritäten

Von der Lücke zur Maßnahme · 3 von 4

Jede Lücke wird eine Aufgabe mit Namen und Termin

Heute oft: Aufgaben aus Audit und Gap-Analyse verteilen sich auf Mails, Besprechungsnotizen und Tickets.
Mit Complass: Der Maßnahmenplan sammelt alle Aufgaben mit Zuständigkeit, Fälligkeit, Priorität und dem Regelwerk, das sie fordert. Zuständige erhalten eine E-Mail bei Zuweisung und eine Erinnerung vor der Fälligkeit; Überfälliges fällt sofort auf.

Aufgaben mit Zuständigkeit und Fälligkeit
Filter nach Regelwerk, Priorität und Person

Kommentare mit Erwähnungen und erledigter Rückfrage an einer Aufgabe

Von der Lücke zur Maßnahme · 4 von 4

Rückfragen dort, wo die Arbeit liegt

Heute oft: Die Abstimmung zu einer Maßnahme läuft per Mail und ist beim nächsten Audit nicht mehr auffindbar.
Mit Complass: Kommentare mit Erwähnungen stehen direkt an der Aufgabe, eine Rückfrage wird als erledigt markiert. Beim Audit ist so nachvollziehbar, wer was geprüft und entschieden hat.

Kommentare an der Aufgabe

Kapitel 3

Vorfall mit Meldefrist: Ein laufender NIS2-Vorfall

Vorfallliste mit dem laufenden Ransomware-Vorfall und seiner nächsten Meldefrist

Vorfall mit Meldefrist · 1 von 2

Ransomware auf den Dateiservern der Verwaltung

Heute oft: Im Ernstfall klärt das Team erst einmal, ob gemeldet werden muss, an wen und bis wann.
Mit Complass: Der laufende Vorfall ist erfasst, als meldepflichtig nach NIS2 bewertet und zeigt die nächste Frist mit Restzeit. Abgeschlossene Vorfälle, darunter ein CRA-Fall am eigenen Gateway, bleiben mit allen Meldungen nachvollziehbar.

3 Vorfälle im Beispiel

Offener Vorfall mit nächster Frist
Fristen im Blick

Meldestufen des NIS2-Vorfalls mit Fristen, übermittelter früher Erstmeldung und offener Meldung

Vorfall mit Meldefrist · 2 von 2

Die Meldestufen nach NIS2 mit ihren Fristen

Heute oft: Die Fristen rechnet jemand unter Zeitdruck von Hand nach, und was übermittelt wurde, steht in einer Mail.
Mit Complass: Complass rechnet die Fristen ab Kenntnis: frühe Erstmeldung, Meldung, Abschlussmeldung. Übermittelte Stufen stehen mit Zeitpunkt und Aktenzeichen da; die Meldung selbst geht wie vorgeschrieben über das Portal der zuständigen Stelle.

Nächste Frist
Meldestufen nach NIS2

Kapitel 4

Eigenes Produkt (CRA): KB Connect Gateway und KB Insight

Schwachstellenliste mit CVSS, KEV, Priorität, Fälligkeit und Verantwortlichen

Eigenes Produkt (CRA) · 1 von 5

Schwachstellen nach Dringlichkeit statt nach Eingang

Heute oft: Scanner-Berichte kommen als PDF, und welcher Fund zuerst behoben wird, entscheidet das Bauchgefühl.
Mit Complass: Alle Funde stehen in einer Liste mit CVSS, Kennzeichen für aktiv ausgenutzte Schwachstellen (KEV), Priorität, Frist und Verantwortlichen. Oben steht, was ausgenutzt wird und erreichbar ist.

Funde nach Priorität

Fund am Kundenportal KB Insight mit CVSS, KEV, SSVC-Entscheidung und betroffenem Asset

Eigenes Produkt (CRA) · 2 von 5

Ein Fund mit allem, was die Entscheidung braucht

Heute oft: CVE-Nummer, Bewertung und betroffenes System stehen in drei verschiedenen Werkzeugen.
Mit Complass: Der Fund am eigenen Kundenportal KB Insight zeigt Bewertung, KEV-Eintrag und SSVC-Entscheidung neben dem betroffenen Asset und seiner Erreichbarkeit aus dem Internet. So ist begründet, warum er sofort behandelt wird.

Bewertung der Schwachstelle
Betroffenes Asset

Empfohlene Maßnahmen zu einem Fund mit Quelle und „Als Maßnahme übernehmen“

Eigenes Produkt (CRA) · 3 von 5

Vom Fund zur Maßnahme

Heute oft: Was zu tun ist, steht verstreut in Herstellerhinweisen, Datenbanken und Foren.
Mit Complass: Zu jedem Fund stehen die empfohlenen Maßnahmen mit ihrer Quelle bereit: Update des Herstellers, Vorgabe der CISA, allgemeine Maßnahme zur Schwachstellenart. Mit einem Klick wird daraus eine Aufgabe mit Frist.

Empfohlene Maßnahmen mit Quelle

SBOM der KB-Connect-Firmware mit Komponenten, Lizenzen und offenen Schwachstellen

Eigenes Produkt (CRA) · 4 von 5

Die SBOM des KB Connect Gateway

Heute oft: Welche Komponenten in der Firmware stecken, weiß die Entwicklung; Produktmanagement und Support wissen es nicht.
Mit Complass: Die SBOM zeigt die Firmware mit Bootloader, Kernel und Bibliotheken, ihren Lizenzen und offenen Schwachstellen. Sie wird aus CycloneDX eingelesen, laufend gegen neue Schwachstellen abgeglichen und im Standardformat exportiert.

Komponenten der Firmware
Export im Standardformat

Sicherheitshinweis eines Beispielherstellers mit den betroffenen eigenen Assets

Eigenes Produkt (CRA) · 5 von 5

Herstellerhinweise den eigenen Geräten zuordnen

Heute oft: Sicherheitshinweise der Zulieferer kommen per Mail, und ob die eigenen Geräte betroffen sind, prüft jemand von Hand.
Mit Complass: Hinweise im Format CSAF werden eingelesen und über Modell und Version den eigenen Assets zugeordnet. Die Liste zeigt sofort, welches Gerät betroffen ist und welches noch untersucht wird.

Ihre betroffenen Assets
Exportieren

Kapitel 5

Werk Hagen (OT): Zonen, Conduits und Security-Level

Zonen und Conduits des Werks Hagen mit Kennzahlen und Netzplan nach Purdue-Ebenen

Werk Hagen (OT) · 1 von 2

Zonen und Conduits mit Soll und Ist

Heute oft: Das Zonenmodell ist eine Zeichnung aus dem letzten Projekt, die nach dem nächsten Umbau nicht mehr stimmt.
Mit Complass: Das Werk Hagen ist nach IEC 62443 in Zonen und Conduits geteilt. Complass zeigt die Lücken zwischen Ziel- und erreichtem Security-Level und beobachteten Verkehr ohne freigegebenen Conduit, auch im Netzplan nach Purdue-Ebenen.

Zonen, Conduits und SL-Lücken
Netzplan nach Purdue-Ebenen

Asset-Inventar mit Zone, Zuständigkeit und Schutzbedarf

Werk Hagen (OT) · 2 von 2

Ein Inventar für IT und OT

Heute oft: Server pflegt die IT, Maschinen und Steuerungen führt jedes Werk in einer eigenen Liste.
Mit Complass: Server, Arbeitsplätze, Steuerungen und Bedienpanels stehen in einem Inventar mit Zone, Schutzbedarf und Zuständigkeit. Offen und sichtbar: Die Assets im Werk Iserlohn haben noch keine Zone, das OT-Projekt dort folgt 2027.

38 erfasste Assets

Inventar mit Zone und Schutzbedarf

Kapitel 6

Risiken: Bewerten, behandeln, berichten

Risikoregister mit Bewertung und Behandlung

Risiken · 1 von 3

Ein Risikoregister für das ganze Unternehmen

Heute oft: Risiken stehen in einer Liste, die einmal im Jahr für das Audit aufgefrischt wird.
Mit Complass: Jedes Risiko hat Bewertung, Behandlung, Risikoeigner und den Termin der nächsten Überprüfung, verknüpft mit Assets, Schwachstellen und Maßnahmen. Register, Heatmap und Methode liegen auf einer Seite.

12 bewertete Risiken

Risikoregister
Register, Heatmap und Methode

Heatmap mit inhärentem Risiko und Restrisiko nebeneinander

Risiken · 2 von 3

Vorher und nachher auf einen Blick

Heute oft: Für die Geschäftsleitung wird die Heatmap jedes Quartal neu in eine Präsentation gebaut.
Mit Complass: Die Heatmap entsteht aus dem Register: links das inhärente Risiko, rechts das Restrisiko nach den umgesetzten Maßnahmen. Ein Klick auf eine Zahl öffnet die Risiken dahinter.

Inhärentes Risiko und Restrisiko

Bewertung eines Risikos mit nicht bindendem Vorschlag und seinen Gründen

Risiken · 3 von 3

Ein Vorschlag zur Bewertung, die Entscheidung bleibt im Haus

Heute oft: Jede Bewertung beginnt bei null, und jede Abteilung bewertet nach eigenem Maßstab.
Mit Complass: Complass leitet aus Schutzbedarf und Exposition der verknüpften Assets und den offenen Schwachstellen einen Vorschlag ab und nennt die Gründe. Der Vorschlag ist nicht bindend; übernommen oder angepasst wird von den Fachleuten im Unternehmen.

Vorschlag mit Begründung

Kapitel 7

Audit und Zugriff: Nachweise und Berechtigungen

Audit und Zugriff · 1 von 2

Das Audit-Paket auf Anforderung

Heute oft: Vor dem Audit sammelt jemand tagelang Dokumente, Listen und Nachweise aus Ordnern zusammen.
Mit Complass: Der Audit-Export stellt Dokumente, Kataloge, Register, Nachweise und Protokolle in einer ZIP-Datei zusammen, mit Startseite und Prüfsummenliste. Enthalten ist nur, was die anfordernde Person lesen darf; jeder Export steht im Kundenprotokoll.

Umfang des Exports

Berechtigungen je Person und Bereich mit Filter

Audit und Zugriff · 2 von 2

Wer darf was, belegt für das Audit

Heute oft: Wer worauf zugreifen darf, steht verteilt in Systemen und Mails, und die Übersicht fürs Audit entsteht jedes Mal neu.
Mit Complass: Je Person und Bereich steht fest: kein Zugriff, Lesen oder Schreiben, dazu Sonderrechte wie Exportieren oder Freigeben. Die Übersicht lässt sich filtern und als Nachweis exportieren.

Wer darf was?
Rechte je Bereich

Ihr nächster Schritt: Complass mit Ihrem Beispiel sehen

In der Vorführung zeigen wir Complass an einem Beispielprojekt, abgestimmt auf Ihre Regelwerke. Oder prüfen Sie zuerst, welche Regelwerke für Sie gelten.

Demo anfragen Anwendbarkeit prüfen Preise