CISO Assistant: GRC ohne Excel-Friedhof

In den meisten Unternehmen lebt GRC in Excel: ein Sheet für das Risikoregister, eines pro Audit, eines für die Massnahmen — alle in verschiedenen Versionen, alle per E-Mail verschickt, keines aktuell. CISO Assistant tritt an, genau das abzulösen: eine Open-Source-Plattform, die Governance, Risiko und Compliance in einem Datenmodell zusammenführt — self-hosted, ohne Lizenzkosten.

Kurz gesagt: CISO Assistant ist eine Open-Source-GRC-Plattform der französischen Firma intuitem. Sie verbindet Compliance-Assessments gegen über 100 Frameworks, ein Risikoregister, Massnahmen und Evidenzen in einem Datenmodell. Die Community-Edition läuft per Docker auf dem eigenen Server; SSO und erweiterte Reports gibt es in der Pro-Version.

Was es ist

CISO Assistant wird von der französischen Firma intuitem entwickelt und ist auf GitHub frei verfügbar. Das Projekt ist jung, wächst aber schnell — über 3600 Stars und 80+ Beitragende (Stand August 2026) sprechen für sich. Die Community-Edition deckt den Kern ab: Assessments, Risikoregister, Massnahmenverwaltung, Evidenzen. Wer SSO oder erweiterte Reports braucht, greift zur Pro-Version.

Installiert ist es in Minuten: ein docker compose up, und die Plattform läuft lokal oder auf dem eigenen Server. Für ein Werkzeug, das naturgemäss sensible Daten enthält — Schwachstellen, Risiken, Audit-Befunde — ist self-hosted kein Nice-to-have, sondern ein Argument.

Vom verteilten Tabellen-Chaos zum gemeinsamen Datenmodell — der eigentliche Gewinn liegt nicht im Tool, sondern in der einen gemeinsamen Wahrheit.

Für wen es passt — und für wen nicht

CISO Assistant passt, wenn ein Unternehmen mindestens ein Framework ernsthaft nachweisen muss — ISO 27001, NIS2, nDSG-Massnahmen, einen grossen Kunden-Fragebogen — und heute mit Tabellen kämpft. Es passt auch, wenn Daten aus Gründen der Vertraulichkeit im eigenen Haus bleiben sollen. Es passt weniger, wenn niemand Zeit hat, das Werkzeug zu betreiben: Ein Docker-Host will gepatcht, die Datenbank gesichert, das Update eingespielt werden. Und es passt nicht, wenn man eigentlich nur ein Risikoregister mit fünf Einträgen braucht — dafür ist die Plattform zu schwer. Wer die Alternativen sehen will, findet in Open-Source-GRC-Tools im Vergleich vier Kandidaten nebeneinander.

Warum kein Excel?

Excel scheitert an GRC nicht, weil es zu schwach wäre, sondern weil Compliance-Arbeit aus Beziehungen besteht: Ein Risiko hängt an einem Asset, eine Massnahme mindert mehrere Risiken, eine Evidenz belegt eine Massnahme, ein Framework-Requirement verweist auf all das. In Tabellen wird jede dieser Beziehungen von Hand kopiert — und ist beim nächsten Audit veraltet. In CISO Assistant sind sie Referenzen: Ändert sich eine Massnahme, sehen es alle Assessments, die davon abhängen.

Das stärkste Feature: Framework-Mapping

Die Plattform bringt über 100 Frameworks mit — ISO 27001, NIS2, DORA, NIST CSF, CIS Controls, BSI-Grundschutz und viele mehr. Spannend wird es beim Mapping: Eine Massnahme, die für ISO 27001 dokumentiert ist, zahlt automatisch auf die entsprechenden NIS2- oder SOC-2-Anforderungen ein. Wer mehrere Frameworks bedienen muss, beantwortet Fragen einmal statt dreimal.

Einmal dokumentieren, mehrfach nachweisen: Das Mapping verbindet eine Massnahme mit den Anforderungen mehrerer Frameworks.

Die Begriffe, die man kennen muss

Das Datenmodell ist der Grund, warum das Tool funktioniert — und der Grund, warum der Einstieg holpert. Die wichtigsten Begriffe:

• Domäne — der organisatorische Rahmen, meist das Unternehmen oder ein Geschäftsbereich. Rechte werden pro Domäne vergeben.
• Perimeter — der Scope eines Nachweises: welche Standorte, Systeme und Prozesse ein Assessment abdeckt.
• Framework — der Anforderungskatalog, z. B. ISO 27001:2022 mit seinen Requirements.
• Compliance Assessment — die Bewertung eines Perimeters gegen ein Framework, Requirement für Requirement, mit Umsetzungsstand.
• Reference Control — eine generische Massnahme aus einem Katalog («Multi-Faktor-Authentifizierung»).
• Applied Control — die konkrete Umsetzung im eigenen Haus («MFA für alle M365-Konten per Conditional Access, seit März»).
• Evidenz — der Beleg zur Massnahme: Screenshot, Export, Protokoll.
• Risk Scenario — ein Eintrag im Risikoregister mit Eintrittswahrscheinlichkeit, Auswirkung und den Massnahmen, die es mindern.

Wer diese acht Begriffe verstanden hat, versteht das Tool.

In fünf Schritten zur ersten Bewertung

1. Domäne anlegen und die Benutzer mit ihren Rollen zuweisen — wer liest, wer bewertet, wer freigibt.
2. Perimeter definieren: Was gehört zum Scope? Bei einem KMU meist das ganze Unternehmen; bei einer ISO-Zertifizierung exakt das, was im Zertifikat stehen soll.
3. Framework importieren — die Bibliothek bringt die Kataloge mit, ein Klick genügt.
4. Assessment starten und Requirement für Requirement den Umsetzungsstand erfassen: nicht bewertet, nicht umgesetzt, teilweise, umgesetzt, nicht anwendbar.
5. Massnahmen und Evidenzen verknüpfen. Ab hier wird aus der Bewertung ein Programm: Jede Lücke bekommt eine Applied Control mit Verantwortlichem und Termin, jeder Nachweis eine Evidenz.

Der Fortschritt ist jederzeit sichtbar — als Zahl, nicht als Bauchgefühl. Und beim nächsten Audit ist der Stand nicht «irgendwo im Sheet», sondern ein Klick.

Betrieb: was nach dem ersten Start kommt

docker compose up ist der Anfang, nicht das Ende. Für den produktiven Betrieb gehören vier Dinge dazu:

• HTTPS über einen Reverse Proxy (Caddy, Traefik, nginx) mit einem echten Zertifikat — die Plattform verwaltet vertrauliche Daten und gehört nicht unverschlüsselt ins Netz.
• Backups des Datenbank-Volumes, regelmässig und getestet. Ein GRC-Tool ohne Backup ist ein Excel-Friedhof mit Umweg.
• Updates in kurzen Abständen: Das Projekt veröffentlicht häufig, und Framework-Bibliotheken werden laufend ergänzt.
• Zugriff nur aus dem Firmennetz oder per VPN — auch wenn die Anmeldung sicher ist, muss die Oberfläche nicht öffentlich sein.

So könnte ein erstes Quartal aussehen

Ein realistischer Einstieg für ein KMU, das heute mit Tabellen arbeitet:

1. Monat 1 — Bestand. Domäne, Perimeter, ein Framework (meist ISO 27001 oder der wichtigste Kunden-Fragebogen). Assessment einmal ehrlich durchbewerten, ohne Beschönigung.
2. Monat 2 — Massnahmen. Für jede Lücke eine Applied Control mit Verantwortlichem und Termin. Bestehende Excel-Massnahmen einmalig migrieren, dann die Tabelle abschalten.
3. Monat 3 — Evidenzen und Risiken. Die wichtigsten zehn Massnahmen mit Belegen hinterlegen, das Risikoregister mit den fünf grössten Szenarien starten. Ab jetzt zeigt das Dashboard den Fortschritt — und die Geschäftsleitung bekommt Zahlen statt Prosa.

Was es kostet — und was nicht

Die Community-Edition ist kostenlos, und das bleibt sie auch mit vielen Benutzern: Es gibt keine Grenze pro Kopf. Was Geld kostet, ist der Betrieb — ein kleiner virtueller Server für 20 bis 40 Franken im Monat reicht für ein KMU — und die Zeit für Einarbeitung und Pflege. Rechnet man ehrlich, sind das im ersten Jahr zwei bis vier Arbeitstage für Aufbau und Migration, danach ein bis zwei Stunden pro Woche für die laufende Pflege. Die Pro-Version mit SSO, erweiterten Reports und Support gibt es auf Anfrage; für die meisten Umgebungen unter hundert Mitarbeitenden ist sie nicht nötig. Zum Vergleich: Die kommerziellen GRC-Suiten, die dieselben Aufgaben lösen, beginnen typischerweise im hohen vierstelligen Bereich pro Jahr und enden weit darüber. Der Unterschied ist nicht die Funktion, sondern wer die Arbeit macht — bei der Suite der Anbieter, bei Open Source man selbst.

Ehrlich bleiben: die Grenzen

Die Lernkurve ist real. Das Datenmodell ist mächtig, aber die Begriffe muss man sich erarbeiten — die Dokumentation hilft, ersetzt aber kein Einarbeiten. Der Betrieb braucht jemanden, der Docker, Backups und Updates im Griff hat; die Community-Edition kommt ohne SSO, was in grösseren Umgebungen schnell fehlt. Und: Ein GRC-Tool macht noch keine Governance. Wer seine Risiken nicht kennt, hat sie danach nur schöner verwaltet. Und ein Tool ersetzt auch kein Budget: Was Security insgesamt kosten darf, zeigt der Security-Budget-Check als Richtwert.

Für kleine und mittlere Umgebungen, die heute mit Tabellen kämpfen und morgen vielleicht NIS2- oder ISO-Anforderungen nachweisen müssen, ist CISO Assistant aus meiner Sicht einer der spannendsten Kandidaten im Open-Source-Bereich.