GRASP German GRC ist die GRC-Plattform von DextraData für Unternehmen, die Informationssicherheit, Risikomanagement und Nachweisführung entlang mehrerer Normen in einer Arbeitsumgebung führen wollen, darunter auch Energieversorger und andere KRITIS-Betreiber, die sich mit den Anforderungen von NIS-2 auseinandersetzen. Die Software bündelt Risikomanagement, Informationssicherheit und Business Continuity Management und macht sie modulübergreifend nutzbar, ergänzt um Kontrollinhalte, die speziell auf die Energiewirtschaft zugeschnitten sind.
Sicherheitsanforderungen speziell für die Energiewirtschaft, mit ISO/IEC 27019
Die generischen Vorgaben aus ISO 27001 und ISO 27002 bilden nicht jede Besonderheit der Energieversorgung ab, insbesondere nicht die Prozessleit- und Automatisierungstechnik. ISO/IEC 27019 schließt genau diese Lücke mit Kontrollen, die speziell auf die Energiewirtschaft zugeschnitten sind. GRASP bildet diese Kontrollen im ISMS-Modul ab und macht sie zusammen mit den bestehenden Risikobewertungen, Maßnahmen und Nachweisen aus ISO 27001 nutzbar. Energieversorger arbeiten damit an einer branchenspezifischen Anforderung, ohne die Plattform zu wechseln oder Daten doppelt zu erfassen.
Ein Risikokatalog für ISO 27001, ISO 27019, NIS-2, IT-Grundschutz und Business Continuity
Wer als Energieversorger parallel an mehreren Normen arbeitet, kennt das Problem getrennter Risikoregister je Norm. Das Risikomanagement von GRASP legt Risiken einmal an und macht sie über ihre fachliche Relevanz in den relevanten Modulen verfügbar, darunter ISO 27001, NIS-2, IT-Grundschutz und Business Continuity Management. Bewertet wird nach Eintrittswahrscheinlichkeit und Auswirkung, mit Behandlungsoptionen, Maßnahmenplanung und einer Gegenüberstellung von Brutto und Restrisiko. Die Standardskalen orientieren sich an den Empfehlungen des BSI und lassen sich anpassen.
Aufgaben und Fristen zentral im Blick
Feststellungen aus Risikobewertung, Audit und IT-Grundschutz laufen in GRASP an einer Stelle zusammen. Jede daraus entstehende Maßnahme trägt eine verantwortliche Person, eine Priorität und eine Fälligkeit, bei erreichten oder überschrittenen Fristen wird per E-Mail benachrichtigt. So bleibt sichtbar, was aus der GRC-Arbeit an Aufgaben offen ist, unabhängig davon, aus welchem Modul sie stammt.
BSI IT-Grundschutz aus einem lizenzierten Werkzeug
GRASP steht auf der Liste der vom BSI lizenzierten IT-Grundschutz-Werkzeuge. Energieversorger, die nach dem Grundschutz-Vorgehen arbeiten, können damit im selben Werkzeug entlang der BSI-Standards 200-1 bis 200-3 arbeiten, statt das Vorgehen separat nachzubauen.
Rechenzentrumsstandort wählbar, auch ausschließlich in Deutschland
GRASP wird überwiegend auf Microsoft Azure betrieben. Kunden können zwischen einem Standard-Cluster in den Niederlanden und einem Cluster ausschließlich in Deutschland wählen. Für Kunden, die zusätzlich auf einen Betrieb ohne US-Hyperscaler bestehen, steht mit StackIT eine dedizierte Umgebung bei einem deutschen Anbieter mit Rechenzentren in Deutschland und Österreich zur Verfügung.
Häufig gestellte Fragen
GRASP unterstützt das norm- und modulübergreifende Risikomanagement, das auch für NIS-2 relevante Risiken abbildet, ergänzt um Kontrollen nach ISO/IEC 27019 für die Besonderheiten der Energiewirtschaft, sowie Business Continuity Management für die Notfallplanung. Eine eigene, speziell auf die Melde- und Fristenpflichten von NIS-2 zugeschnittene Funktion ist aktuell nicht Teil des Produkts.
Ja. GRASP führt Risikobewertung, Maßnahmenverfolgung und die zugehörige Nachweisführung in einem Werkzeug. Für eine Aussage zu einem konkreten Zertifizierungs- oder Auditverfahren sprechen Sie uns bitte direkt an.
Ja. Die Kontrollen aus ISO/IEC 27019 sind im ISMS-Modul hinterlegt und lassen sich zusammen mit den bestehenden ISO-27001-Bewertungen, Maßnahmen und Nachweisen nutzen.
Standardmäßig auf Microsoft Azure mit einem Cluster in den Niederlanden. Kunden mit Bedarf an einem Rechenzentrumsstandort ausschließlich in Deutschland können ein zweites Azure-Cluster in Deutschland oder eine dedizierte Umgebung bei StackIT wählen.
Nein. GRASP bietet aktuell ein B3S-Modul für Krankenhäuser. Ein branchenspezifischer Sicherheitsstandard für die Energiewirtschaft ist derzeit nicht Teil des Produkts.
