Ein ISMS lebt nur, wenn es genutzt wird
Die meisten Unternehmen haben kein Dokumentationsproblem, sondern ein Nutzungsproblem. Das Wissen ist da, aber es ist schwer zu finden, schwer zu überblicken und veraltet still. Gleichzeitig steigen die Anforderungen von allen Seiten:
- Mehr Regelwerke: NIS2 und das österreichische NISG 2026, DORA, Cyber Resilience Act, EU AI Act – dazu Standards wie ISO 27001, TISAX oder BSI C5.
- Mehr Anforderer: Jeder regulierte Kunde prüft seine Lieferkette. Ein einzelner Lieferantenfragebogen umfasst schnell 100 bis 300 Fragen.
- Mehr Fragen im Alltag: Mitarbeitende brauchen schnelle, verlässliche Antworten – zu Phishing, Datenweitergabe oder Zugriffsrechten.
- Kürzere Zyklen: Richtlinien, Nachweise und Maßnahmen müssen laufend überprüft werden, nicht nur vor dem Audit.
Das Ergebnis: Sicherheitsverantwortliche verbringen mehr Zeit mit Suchen, Abstimmen und Belegen als mit Sicherheit selbst.
Ein Agent als Ergänzung zum bestehenden ISMS
Ein AI-Agent ersetzt weder das ISMS noch die Verantwortlichen. Er setzt auf der vorhandenen Dokumentation auf und macht sie nutzbar – direkt dort, wo gearbeitet wird, etwa per Chat in Microsoft Teams.
Anders als ein einfacher Chatbot arbeitet ein Agent Aufgaben ab: Er sucht in den angebundenen Quellen, bewertet Fundstellen, erkennt Widersprüche, belegt jede Antwort mit der Quelle und fragt bei Unklarheiten die zuständige Person. Die Grundidee: Antworten entstehen aus der eigenen Dokumentation, nicht aus dem Gedächtnis eines Modells.
Ein Assistent, viele Aufgaben
Weil der Agent das gesamte ISMS kennt, ist er nicht auf einen Anwendungsfall beschränkt. Einige Beispiele aus der Praxis:
- Mitarbeitende unterstützen. Eine Kollegin bittet per Mail um Änderung ihrer Bankverbindung – von einer Gmail-Adresse, mit leichtem Zeitdruck. Der Agent erkennt das Muster eines Gehaltsumleitungsbetrugs, benennt die Auffälligkeiten und empfiehlt konkrete Sofortmaßnahmen.
- Richtlinien finden statt suchen. Auf die Frage „Was sagt unsere Richtlinie zu Passwörtern?“ liefert er den relevanten Abschnitt samt Dateiname und Kapitel – und sagt offen, wenn es keinen eigenen Abschnitt gibt.
- Kundenfragebögen beantworten. Er füllt Lieferantenfragebögen direkt im Excel aus, mit Quellenbezug und einem Konfidenzwert pro Antwort. Wo die Dokumentation nichts hergibt, bleibt das Feld bewusst leer.
- Den Überblick behalten. Als virtueller CISO erstellt er auf Zuruf eine priorisierte Liste offener Maßnahmen mit Owner, Frist und Quelle.
- Regulatorik und Zertifizierung vorbereiten. Er ordnet den Umsetzungsstand den ISO-27001-Controls zu und zeigt, wo für ein Audit noch Nachweise fehlen.
- Awareness trainieren. Kurze Quizfragen auf Basis der eigenen Regeln, mit Erklärung und Merksatz – Schulung im Arbeitsalltag statt einmal im Jahr.
Und im Hintergrund hält der Agent das ISMS auf Stand: Ein Bestätigungszyklus fragt regelmäßig bei den Verantwortlichen nach, ob eine Aussage noch gilt. Widersprüchliche oder doppelte Informationen fallen auf, bevor sie in einer Kundenantwort landen.
So arbeitet ein ISMS-Agent
Ob Mitarbeiterfrage, Kundenfragebogen oder Maßnahmenliste – im Kern durchläuft jede Anfrage vier Stationen:
- Quellen anbinden. Richtlinien, Nachweise und Prozessbeschreibungen werden per Upload oder aus dem Objektspeicher eingelesen, künftig auch direkt aus SharePoint, Confluence und Fileshares.
- Evidenz erschließen. Eine hybride Suche kombiniert semantische und klassische Treffer. Ein Wissensgraph merkt sich, woher jede Information stammt, und ein Bestätigungszyklus erkennt alterndes Wissen.
- Antwort mit Beleg. Jede Antwort verweist auf Dokument und Seite. Widersprechen sich zwei Quellen, wird das sichtbar statt stillschweigend geglättet.
- Klären und freigeben. Fehlt etwas, geht eine Rückfrage an die zuständige Person, direkt in Teams. Ein Review-Workflow mit Audit-Trail dokumentiert jede Entscheidung.
Der Effekt: Das Team startet nicht mehr bei null, sondern prüft einen belegten Entwurf – und sieht auf einen Blick, wo echte Lücken bestehen.
Vertrauen ist kein Feature, sondern Architektur
Ein Assistent, der mit Sicherheitsdokumentation arbeitet, muss selbst höchsten Sicherheitsansprüchen genügen. Sonst löst er ein Problem und schafft ein neues. Der Unterschied zu einer Standard-LLM-Lösung liegt deshalb weniger im Sprachmodell als im Fundament darum herum:
Besonders wichtig: Sprachmodell und Embeddings können vollständig lokal laufen. Modelle, Index und Dokumente verlassen das eigene Netz nicht. Ein externer Modellanbieter ist optional und lässt sich abschalten.
Fazit: Ein ISMS, das mithält
Die Anforderungen an Informationssicherheit werden weiter steigen – mit NIS2, DORA und Co. ist das bereits entschieden. Entscheidend ist, ob das ISMS mithält: ob es im Alltag genutzt wird, aktuell bleibt und Antworten liefert, wenn sie gebraucht werden. AI-Agents machen genau das möglich – als Ergänzung zum bestehenden ISMS, belegt bis zur Quelle und mit dem Menschen in der Verantwortung. Genau diese Idee steckt hinter Kira.ISMS, unserem ISMS-Assistenten auf Basis von Atlas, der BrightFlare-Plattform für sichere und nachvollziehbare Agent-Workflows. Sie möchten sehen, wie das mit Ihrem ISMS aussieht? Einfach unser Kontaktformular ausfüllen oder unter contact@brightflare.io melden – wir zeigen es Ihnen gerne in einer Demo.
