Antworten zu Plattform, Paketen, Sicherheit, Datenschutz, Selbstchecks und den Penetrationstests mit ITSB NYROX. Nicht gefunden?
Themenblöcke
Betroffen sind Unternehmen mit mindestens 50 Mitarbeitenden oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme in 18 Sektoren, dazu Zulieferer über die Lieferkette. Der Selbstcheck in ITSB-OS beantwortet die Frage in zehn Minuten und listet die Pflichten nach § 30 BSIG auf.
Vier Checks zu NIS2, ISO 27001, EU AI Act und KI-Management mit je acht Fragen, ohne Anmeldung, Ergebnis sofort im Browser. Wer weitermachen will, legt im Portal ein Konto an (14 Tage, 0 Euro, keine automatische Verlängerung): Dort werden die Antworten zu Maßnahmen mit Verantwortlichem und Termin, und der Schwachstellen-Scan prüft die eigene Domain im Hintergrund.
Excel kennt keine Verantwortlichen, keine Fristen, keine Nachweise und keine Historie. ITSB-OS führt Risiken, Maßnahmen, Richtlinien und Dokumente so, dass Auditor, Versicherer und Kunde den Stand jederzeit sehen.
Externe Prüfungen Ihrer freigegebenen Domains: bekannte Schwachstellen (CVE), Fehlkonfigurationen, offene Dienste und Ports. Geprüft wird nur von außen, nicht eingreifend und gedrosselt. Voraussetzung sind der Besitznachweis der Domain und eine schriftliche Freigabe. ITSB NYROX ist demnächst verfügbar.
Ab 149 Euro im Monat netto für kleine Unternehmen, 490 Euro für den Mittelstand mit ISMS und Compliance-Mapping, 1.490 Euro mit Managed CISO. Systemhäuser und Berater nutzen die Beraterlizenz für bis zu 25 Mandanten. Monatlich kündbar.
Nein, es ist das Werkzeug dafür. Auf Wunsch übernimmt ITSB Deutschland die Funktion als externer DSB oder ISB und arbeitet direkt in Ihrem Mandanten.
Nein. Die Auswertung läuft vollständig in Ihrem Browser. Erst wenn Sie im Portal fortsetzen, legen Sie ein Konto an; dort werden die Antworten zu Maßnahmen mit Verantwortlichem und Termin.
Die Fragen 5 bis 8 prüfen die Kernanforderungen des jeweiligen Rahmenwerks. Vier Ja bedeuten einen guten Stand, zwei bis drei erste Grundlagen, weniger als zwei erheblichen Handlungsbedarf. Jede Nein-Antwort wird zu einer Empfehlung.
Im 14-tägigen Test von ITSB-OS beantworten Sie dieselben Fragen im Portal, dazu kommen der Schwachstellen-Scan Ihrer Domain und die Selbstchecks zu Datenschutz, Phishing, Cyberversicherung und Notfall. Aus jeder Lücke wird eine Maßnahme. 0 Euro, keine automatische Verlängerung.
Nein. Sie geben eine erste Einordnung in zehn Minuten. Ob NIS2 oder die EU-KI-Verordnung für Sie gilt, klären wir im Gespräch oder im Portal mit Begründung, die Sie Ihrem Beirat vorlegen können.
Das entscheiden Sie: in der ITSB-OS Cloud (wir betreiben es), als ITSB-OS Private Cloud (Ihre dedizierte Umgebung, von ITSB betrieben) oder ITSB-OS On-Premise in Ihrer eigenen Infrastruktur mit Docker oder Kubernetes. Die Lizenz wird in allen Fällen zentral von ITSB verwaltet; On-Premise-Installationen prüfen ihre signierte Lizenz offline.
Nichts Dramatisches. ITSB-OS speichert die zuletzt bestätigte Lizenz und arbeitet damit weiter. Erst wenn eine Lizenz über eine definierte Kulanzfrist hinaus nicht bestätigt werden kann, wechselt der Mandant in einen Lesemodus; Ihre Daten bleiben jederzeit erhalten und abrufbar.
Nein. Alle Pakete sind monatlich kündbar. Bei jährlicher Zahlung sind zwei Monate geschenkt: zwölf Monate zum Preis von zehn, direkt im Shop wählbar.
Ja. Der Wechsel von Start auf Business oder Managed CISO ist jederzeit zum Folgemonat möglich. Alle Daten, Maßnahmen und Nachweise bleiben erhalten.
Zusätzliche Benutzer und Scanziele buchen Sie als Zubuchpaket oder wechseln in das nächste Paket, je nachdem, was günstiger ist. Wir beraten Sie dazu kurz per E-Mail.
Nein. Selbst-Onboarding und E-Mail-Support sind in jedem Paket enthalten. Einrichtung und Support Plus sind Angebote, keine Bedingung.
Sie bestellen direkt bei ITSB unter shop.itsb-os.app und testen 14 Tage kostenlos. Abgerechnet wird nur, wenn Sie am Ende der Testphase aktiv verlängern – dann mit einmalig 10 % Rabatt auf die erste Rechnung, monatlich oder jährlich netto per SEPA-Lastschrift oder auf Rechnung. Ohne Verlängerung endet der Zugang automatisch und kostenfrei. Vertragspartner, Rechnungssteller und Lizenzgeber ist ITSB Deutschland. Managed CISO, Beraterlizenz und Einrichtungspakete richten wir zusätzlich persönlich ein.
Im Paket sind monatlich 2 bis 50 Credits enthalten, je nach Paket. Ein Lauf kostet je Domain 1 Credit (Schnell), 2 Credits (Standard) oder 6 Credits (Intensiv). Zusätzliche Credits gibt es ab 149 Euro netto für 10 Credits, zuzüglich 19 % MwSt. ITSB NYROX ist demnächst verfügbar.
25 Schwachstellen-Scans je Kalendermonat über Partner- und Untermandanten sind enthalten, jeder weitere Scan kostet 5,50 € netto. Die Abrechnung sehen Sie im Partnerportal.
Bei vorsätzlich oder grob fahrlässig falschen Angaben kann der Versicherer die Leistung kürzen oder verweigern. Deshalb sollte jede Antwort einen Beleg haben.
In fast allen Tarifen: MFA auf allen Fernzugängen und Administratorkonten, getrennte und getestete Backups, Endpoint-Schutz mit Erkennung und Reaktion.
Ja. Die Selbstchecks decken die typischen Fragen ab, und die Belege liegen als Export im Portal. Der Fragebogen wird aus dem Lagebild beantwortet, nicht aus dem Gedächtnis.
Einen Auftragsverarbeitungsvertrag nur, wenn personenbezogene Daten verarbeitet werden. Sicherheitsanforderungen gehören aber in jeden Vertrag mit Systemzugriff.
Von der Registrierung bis zum Label rechnen die meisten Zulieferer mit sechs bis neun Monaten. Die Selbsteinschätzung ist der größte Block.
Die Prüfung durch den Prüfdienstleister liegt je nach Standortzahl und Assessment-Level im mittleren vierstelligen bis niedrigen fünfstelligen Bereich, dazu die ENX-Gebühr. Die Vorbereitung im Portal ist im Paket Business enthalten.
Direkt nur in Ausnahmefällen, zum Beispiel bei bestimmten digitalen Diensten. Indirekt ja: Als Zulieferer eines betroffenen Unternehmens werden Sie vertraglich zu vergleichbaren Maßnahmen verpflichtet.
Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Umsatzes für besonders wichtige Einrichtungen, bis zu 7 Millionen Euro oder 1,4 Prozent für wichtige Einrichtungen. Dazu die persönliche Haftung der Geschäftsleitung.
Nein, aber ein ISMS nach ISO 27001 deckt die organisatorischen Pflichten weitgehend ab. Wer beides will, mappt die Kontrollen einmal und weist sie doppelt nach.
Die Sofortseite passt auf ein Blatt, die Alarmkette auf ein zweites. Der Rest, Wiederanlaufpläne je Prozess, darf länger sein, wird aber erst in Stunde zwei gebraucht.
Alle in der Alarmkette und jede Führungskraft. Mitarbeitende brauchen nur die Sofortmaßnahmen und eine Nummer.
Ja. ITSB-OS enthält eine Vorlage mit Sofortmaßnahmen, Alarmkette, Meldetexten und Wiederanlaufplan, die Sie mit Ihren Daten füllen.
Über die API können Bestände aus Inventarsystemen übertragen werden. Ein Import aus Microsoft 365 und Intune folgt mit der Microsoft-365-Anbindung.
Domains werden separat mit Besitznachweis geführt, weil sie die Grundlage der externen Scans sind.
Nein. Er ist die regelmäßige Außensicht, die typische Einfallstore sichtbar macht. Für Penetrationstests vermitteln wir Partner.
Die Scans sind extern über das Internet. Interne Prüfungen sind über Partnerlösungen möglich.
Logo und Organisationsdaten ja, Struktur ist einheitlich, damit Berater und Auditoren sie wiedererkennen.
Ja. Das ISO-27001-Audit-Paket enthält elf Register als CSV (Risiken, Maßnahmen, Lieferanten, Assets und weitere), TISAX-Ergebnisse exportieren Sie ebenfalls als CSV. Einzelne CSV-Exporte direkt aus den Listen folgen.
Das Notfallhandbuch (in allen Paketen) ist die Kurzfassung mit Kontakten und Sofortmaßnahmen, auch offline als PDF. Business Continuity ist die Planung dahinter.
Es deckt die Kernanforderungen an BIA, Pläne und Übungen ab. Für eine Zertifizierung nach ISO 22301 begleiten wir Sie im Managed CISO.
Nein. Es ist die Nachweisbasis, mit der Sie ins Audit gehen. Das Zertifikat vergibt weiterhin die Prüfstelle.
Der Katalog ist versioniert und wird von ITSB gepflegt. Eigene Anforderungen bilden Sie über Richtlinien und Maßnahmen ab, die Sie mit Kontrollen verknüpfen.
Auf Anfrage an support@itsb-deutschland.de. Die Endpunkte sind versioniert (v1).
Die Anbindung an Microsoft 365 und Entra ID (Secure Score, MFA-Stand, Defender-Alarme, Gerätekonformität) ist die nächste Freischaltung. Bestandskunden informieren wir, sobald sie verfügbar ist.
Der Assistent ist in Vorbereitung. Wir informieren Bestandskunden, sobald er verfügbar ist.
Nein. Das ist Bedingung für jeden Anbieter, den wir einsetzen.
Die Bewertung nehmen Sie anhand der Unterlagen des Lieferanten vor. Ein Fragebogenversand an Lieferanten ist in Planung.
Unbegrenzt in jedem Paket.
Bewusst nicht. Keine Simulation, keine Prozessautomatisierung. Dokumentation, die Auditoren und Mitarbeitende lesen können, mit BPMN-Export für Werkzeuge, die mehr brauchen.
Ein dokumentierter Prozess kann einem Geschäftsprozess der Business-Impact-Analyse zugeordnet werden. Wiederanlaufzeit und Ablauf gehören zusammen.
Ja. Die Rolle Benutzer sieht nur freigegebene Bereiche; Richtlinien im ISMS-Bereich brauchen eine Lesefreigabe.
Fällige Reviews und fehlende Kenntnisnahmen stehen im Dashboard. E-Mail-Erinnerungen sind in Planung.
Nein. Die Bewertung ist bewusst einfach (Skala 1 bis 5) und reicht für ISO 27001, NIS2 und TISAX auf Ebene der Einstiegsstufen.
Scan-Befunde sind konkrete technische Schwachstellen und laufen im Schwachstellenmodul. Risiken sind die Ebene darüber.
Nur mit Zugangsschlüssel erreichbar, nicht indexiert. Ohne Schlüssel gibt es keine Seite.
Eines je Mandant. Berater richten für jeden Kundenmandanten ein eigenes ein.
Mittlere und große Unternehmen (mindestens 50 Mitarbeitende oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme) in 18 Sektoren, darunter Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, Post, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe, Forschung. Zulieferer werden über die Lieferkette vertraglich verpflichtet.
Risikomanagement, Vorfallbewältigung, Notfallmanagement und Backups, Lieferkettensicherheit, sichere Beschaffung und Entwicklung, Wirksamkeitsmessung, Schulungen, Kryptografie, Zugriffskontrolle und Asset-Management, MFA und sichere Kommunikation. Dazu Meldepflichten binnen 24 und 72 Stunden und die persönliche Verantwortung der Geschäftsleitung.
Ein ISMS nach ISO 27001 deckt die organisatorischen Anforderungen weitgehend ab, ersetzt aber nicht die Registrierung beim BSI und die Meldepflichten. ITSB-OS mappt jede Kontrolle auf beide Rahmenwerke.
Mit dem NIS2-Selbstcheck in ITSB-OS: Betroffenheit klären, Pflichten abhaken, Lücken als Maßnahmen. Danach Risiken erfassen, Richtlinien aus Vorlagen freigeben, Notfallhandbuch anlegen, Schulungen starten.
Für ein mittelständisches Unternehmen mit ITSB-OS typischerweise sechs bis zwölf Monate: Kontext und Scope, Risiken, Erklärung zur Anwendbarkeit, Richtlinien, Schulungen, internes Audit, Managementbewertung, dann Stufe-1- und Stufe-2-Audit durch die Zertifizierungsstelle.
Dokumentierte Information: Scope, Leitlinie, Risikomethodik, Erklärung zur Anwendbarkeit, Ziele, Auditprogramm, Managementbewertung. Das Audit-Paket aus ITSB-OS enthält genau diese Unterlagen als Export.
Ja. Das KI-Managementsystem nach ISO/IEC 42001 liegt im selben Portal: KI-Systemregister mit Risikoklasse nach EU-KI-Verordnung, Folgenabschätzung je System, Erklärung zur Anwendbarkeit mit 38 Maßnahmen, Audit-Bereitschaft und AIMS-Audit-Paket. Audits, Managementbewertung und Ziele teilen sich die Werkzeuge mit dem ISMS.
Nein. Sie entscheiden je Maßnahme, ob sie anwendbar ist, und begründen Ausschlüsse. ITSB-OS belegt die Erklärung zur Anwendbarkeit aus dem Compliance-Mapping vor und verlangt für jeden Ausschluss eine Begründung.
Ja. Die TISAX-Selbsteinschätzung nach VDA ISA nutzt dieselben Kontrollen. Für Automobilzulieferer ist das oft der schnellere Weg, weil der Kunde das Label verlangt.
Die externen Prüfungen laufen über unseren eigenen Scan-Server in einem deutschen Rechenzentrum. Die Ergebnisse bleiben in Ihrem Mandanten im Portal. Rückruf-Prüfungen gehen an unseren eigenen Server, nicht an einen Drittanbieter-Dienst. ITSB NYROX ist demnächst verfügbar.
In der ITSB-OS Cloud und Private Cloud in einem Rechenzentrum in Deutschland. Bei On-Premise ausschließlich in Ihrer Infrastruktur.
Berichte, VVT, TOMs und Dokumente lassen sich jederzeit als PDF und Datei exportieren. Bei Vertragsende stellen wir auf Anfrage einen vollständigen Export bereit.
Ja. Für Private Cloud und On-Premise beantworten wir Sicherheitsfragebögen und stellen die technische Dokumentation (Architektur, Betrieb, Lizenzierung) bereit.
Betroffene Kunden werden ohne schuldhaftes Zögern informiert, wie im Auftragsverarbeitungsvertrag vereinbart. Maßnahmen und Ursachen werden dokumentiert.
Mailserver-Schutz (SPF, DKIM, DMARC), Webserver und Zertifikate, offene Ports und erreichbare Dienste, bekannte Schwachstellen in erreichbarer Software. Alles von außen, ohne Zugangsdaten, ohne Eingriff.
Nein. Es werden keine Angriffe ausgeführt, keine Lasttests, keine Brute-Force-Versuche. Der Scan verhält sich wie ein aufmerksamer Besucher, der an den Türen rüttelt, aber keine eintritt.
Wir scannen nur, was Ihnen gehört. Der DNS-Eintrag ist der Nachweis. Das schützt Sie und Dritte und ist Voraussetzung für einen rechtssicheren Scan.
Der Selbstcheck ist kostenlos und ohne Anmeldung. Der Schwachstellen-Scan ist Teil des 14-tägigen Tests, der nicht automatisch verlängert wird. Danach entscheiden Sie, ob Sie mit ITSB-OS weiterarbeiten.
Ja. Die Daten eines Mandanten werden als Datenbankexport und Dokumentenarchiv übernommen. Der Wechsel wird als Projekt abgestimmt.
Nein. Die signierte Lizenz wird lokal geprüft. Optional meldet sich die Installation täglich bei ITSB, um Sperrungen und Verlängerungen automatisch zu übernehmen. Für abgeschottete Netze lässt sich das abschalten.
Mindestens 2 vCPU, 4 GB RAM, 40 GB SSD, Docker mit Compose oder Kubernetes, PostgreSQL 15 oder neuer (im Paket enthalten oder extern). Ports 80 und 443, ausgehend Zugriff auf die ITSB-Registry für Updates.
Cloud: ITSB. Private Cloud: ITSB, soweit im gebuchten Service enthalten. On-Premise: Ihr Unternehmen; ITSB liefert Anforderungen, Skripte und Empfehlungen.
Ja, als ITSB-OS Partner-Edition: eine eigene Instanz mit Mandantenkontingent, die der Partner unter seiner Marke für seine Kunden betreibt.
Sie wählen im Checkout SEPA-Lastschrift (Mandat bei unserem Zahlungsdienstleister) oder Kauf auf Rechnung (Neukunden mit USt-IdNr.). Belastet wird in der Testphase nichts.
Sie erhalten vorher eine E-Mail. Verlängern Sie aktiv, läuft das Abo mit 10 % Rabatt auf die erste Rechnung weiter. Sonst endet der Zugang automatisch, ohne Kosten.
Ja. Schreiben Sie uns kurz, wir stellen den Test auf das andere Paket um. Ihre Daten bleiben erhalten.
Berichte, VVT, TOMs und Dokumente exportieren Sie jederzeit als PDF und Datei. Nach Vertragsende werden die Daten nach der vereinbarten Frist gelöscht.
Der 14-Tage-Test läuft in der ITSB-OS Cloud. Private Cloud und On-Premise stimmen wir als Projekt ab; ein Wechsel aus der Cloud ist später möglich. Mehr unter Betriebsmodelle.
Etwa 30 Minuten bis zum ersten Lagebild: Konto anlegen, Domain per DNS bestätigen, Selbstcheck beantworten. Der Scan läuft währenddessen im Hintergrund.
Nein. Der Selbstcheck ist für Geschäftsführung und Verantwortliche ohne Sicherheitsfachwissen geschrieben. Technische Maßnahmen weisen Sie Ihrer IT oder Ihrem Systemhaus zu, beide arbeiten in derselben Liste.
Dann übernimmt ITSB Deutschland als externer Informationssicherheits- oder Datenschutzbeauftragter die Steuerung im Paket Managed CISO, oder ein Partner-Systemhaus aus Ihrer Region.
Die Fragebögen der Versicherer decken sich zu großen Teilen mit den Selbstchecks. Die Antworten belegen Sie mit Exporten aus dem Portal: Richtlinien, Backup-Nachweise, Awareness-Abschlüsse, Scan-Ergebnisse.
490 Euro im Monat netto für bis zu 25 Mandanten, 25 Domains im Scan und 10 Benutzer. Partner erhalten Konditionen nach Partnerstufe. Monatlich kündbar.
Nein. Jeder Mandant hat eigene Benutzer, eigene Daten und eigene Berichte. Sie als Partner wechseln mit einem Klick, Ihre Kunden sehen nur sich selbst.
Ja, mit der Partner-Edition als eigene Instanz: Ihr Logo, Ihre Farben, Ihre Absenderadresse, automatische Updates von ITSB. Für Systemhäuser, die GRC als eigenes Produkt verkaufen.
Partnerportal mit Präsentationen, Preisliste, Vorlagen und Webinaren, Partner-Badge für Ihre Website, Eintrag im Partnerverzeichnis auf itsb-os.app, gemeinsame Kundentermine auf Wunsch.
Bei der Beraterlizenz bleibt ITSB Deutschland Lizenzgeber des Kundenmandanten, der Partner erbringt seine Beratung. Bei der Partner-Edition schließt der Partner mit seinen Endkunden eigene Verträge; die Nutzungsbedingungen von ITSB-OS werden weitergegeben.
Ja, mit der Partner-Edition: Name, Logo, Absender und Fußzeilen der Berichte tragen Ihre Marke.
Zentral bei ITSB, auf Basis der vereinbarten Partnerstufe und der Lizenzen. In der Plattform selbst gibt es keine Abrechnung.
Die Betreuung wird gelöst, der Mandant und alle Daten bleiben beim Kunden. Der neue Partner wird als Mitglied eingeladen.