Compliance
NIS2, CRA, ISO 27001, DSGVO & DORA – ohne Mehraufwand
Regulatorische Anforderungen an Identity & Access Management wachsen – und mit dem Cyber Resilience Act laufen die ersten Fristen bereits. neoid macht Ihr Unternehmen audit-ready von Tag 1 – ohne separate Compliance-Projekte.
Cyber Resilience Act
Der CRA gilt schon – die Meldepflicht läuft seit September 2026
Der Cyber Resilience Act (EU 2024/2847) betrifft Hersteller, Importeure und Händler von Hardware und Software mit digitalen Elementen – von der vernetzten Maschine bis zur Fachanwendung. Seit dem 11. September 2026 müssen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle gemeldet werden, auch für Produkte, die schon auf dem Markt sind.
- 1
10. Dezember 2024
In Kraft getreten
Die Verordnung gilt unmittelbar in allen EU-Mitgliedstaaten – ohne nationales Umsetzungsgesetz.
- 2
11. September 2026 · gilt bereits
Meldepflichten
Aktiv ausgenutzte Schwachstellen und schwere Vorfälle gehen an das zuständige CSIRT und an ENISA.
- Frühwarnung innerhalb von 24 Stunden
- Meldung innerhalb von 72 Stunden
- Abschlussbericht nach 14 Tagen bzw. einem Monat
- 3
11. Dezember 2027
Alle Pflichten
Neue Produkte kommen nur noch mit CE-Kennzeichnung nach CRA auf den Markt.
- Security by Design und Risikobewertung
- Schwachstellenmanagement über den Support-Zeitraum
- Technische Dokumentation für die Marktüberwachung
- bleiben für die Frühwarnung an CSIRT und ENISA
- 24 h
- Quelle: Art. 14 CRA
- oder 2,5 % des weltweiten Jahresumsatzes als Höchstbußgeld
- 15 Mio. €
- Quelle: Art. 64 CRA
- gelten alle Pflichten – neue Produkte nur mit CE-Kennzeichnung nach CRA
- Dez. 2027
- Quelle: Art. 71 CRA
Wo neoid Sie beim CRA unterstützt
Vorfälle schnell eindämmen
Der Notausschalter sperrt ein kompromittiertes Konto in allen angebundenen Systemen und beendet alle Sitzungen – in Sekunden statt Stunden.
Fristgerecht melden
Der Audit-Trail zeigt, wer wann worauf Zugriff hatte. Damit stehen die Fakten für Frühwarnung, Meldung und Abschlussbericht bereit.
Entwicklung absichern
Zugänge zu Repositories, Build-Servern und Signierschlüsseln nur nach Rolle, mit Passkeys und regelmäßiger Rezertifizierung.
Externe im Blick
Konten von Dienstleistern und externen Entwicklern sind zentral erfasst, rezertifizierbar und mit einem Klick gesperrt.
Und neoid selbst?
Identitätsmanagement-Systeme zählen nach Anhang III des CRA zu den wichtigen Produkten der Klasse I und unterliegen damit strengeren Anforderungen an die Konformitätsbewertung. Wir bereiten neoid auf die CRA-Pflichten vor.
Diese Übersicht ersetzt keine Rechtsberatung. Ob und in welcher Rolle Ihr Unternehmen betroffen ist, hängt von Ihren Produkten ab.
Regelwerke
Welche Anforderungen neoid abdeckt
- 1
NIS2-Richtlinie
Pflichten für wichtige und besonders wichtige Einrichtungen.
- Art. 21 Abs. 2 (b): Zugangskontrolle und Identitätsmanagement
- Art. 21 Abs. 2 (e): Sicherheit in der Lieferkette (externe Zugänge)
- Art. 21 Abs. 2 (i): Multi-Faktor-Authentifizierung
- Art. 23: Meldepflichten mit lückenlosen Incident-Logs
- 2
ISO 27001:2022
Der Standard für Informationssicherheits-Managementsysteme.
- A.5.15 / A.5.16: Zugriffskontrolle und Identitätsverwaltung
- A.5.18: Zugriffsrechte (Provisionierung und Deprovisionierung)
- A.8.2: Privilegierte Zugriffsrechte
- A.8.15: Logging – unveränderliche Audit-Trails
- 3
DSGVO
Anforderungen an Verarbeitung, Speicherung und Löschung personenbezogener Daten.
- Art. 5: Datensparsamkeit
- Art. 17: Recht auf Löschung
- Art. 25: Privacy by Design – Zero-Knowledge-Architektur
- Art. 30: Verzeichnis der Verarbeitungstätigkeiten
- 4
DORA
IKT-Risikomanagement für Finanzunternehmen.
- Regelmäßige Überprüfung von Zugriffsrechten
- Funktionstrennung über Systeme hinweg
- Keine Selbst-Rezertifizierung, Begründungspflicht
- Revisionssicherer Nachweis für Prüfer
Governance
Was neoid automatisch für Ihre Nachweise erzeugt
Rezertifizierung
Periodische und anlassbezogene Kampagnen: Verantwortliche bestätigen oder entziehen Zugriffe – mit Erinnerungen, Fristen und Ausnahmen.
Funktionstrennung (SoD)
Konfliktregeln über Systeme hinweg, Prüfung bei jeder Regeländerung, nächtliche Überwachung und dokumentierte Ausnahmen.
Unveränderliche Audit-Logs
Zeitgestempelte Protokolle aller Zugriffsänderungen mit Vorher/Nachher – exportierbar.
Compliance-Export
Regelstände, Rezertifizierungen und SoD-Status als revisionssicherer Nachweis.
Regel-Verantwortliche
Jede Zuweisungsregel hat einen Owner, der sie regelmäßig bestätigt.
Governance-Dashboard
Fällige Prüfungen und offene Konflikte auf einen Blick.
Der Audit-Trail im Detail
Jeder Eintrag enthält:
- Wer
- Ausführende Person und auslösendes System
- Was
- Aktion, z. B. Kontoanlage, Rechteänderung, Sperrung – mit Vorher/Nachher
- Wann
- Zeitstempel in UTC mit Millisekunden-Präzision
- Womit
- Quell-IP, User-Agent, Session-ID
- Ergebnis
- Erfolg oder Fehler mit Fehlercode
- Integrität
- SHA-256-Hash zur Manipulationserkennung
BSI IT-Grundschutz
neoid unterstützt auch die Umsetzung der Grundschutz-Bausteine:
- ORP.4: Identitäts- und Berechtigungsmanagement
- OPS.1.1.3: Änderungsmanagement durch automatisierte Provisionierung
- DER.1: Detektion sicherheitsrelevanter Ereignisse durch zentrales Logging
- CON.3: Datensicherung aller Konfigurationen und Audit-Daten
Schatten-IT
Was Sie nicht sehen, können Sie nicht schützen
Schatten-IT ist das unsichtbare Risiko in jedem Unternehmen. neoid hilft, unkontrollierte SaaS-Zugänge zu entdecken, zu bewerten und zu beherrschen.
- mehr SaaS-Anwendungen als die IT kennt
- 3×
- Quelle: Gartner
- aller Datenschutzverletzungen involvieren interne Akteure
- 34 %
- Quelle: Verizon DBIR
- SaaS-Apps im Schnitt – genehmigt sind meist 30–40
- 156
- Quelle: BetterCloud
E-Mail-Domain-Monitoring
neoid erkennt, bei welchen SaaS-Diensten Ihre Unternehmens-Domain zur Registrierung genutzt wird – neue Dienste werden sofort gemeldet.
SSO-Adoption-Flow
Entdeckte Anwendungen lassen sich mit einem Klick in den neoid-SSO-Verbund aufnehmen – kontrolliert statt verboten.
Zentrales App-Verzeichnis
Genehmigte, geprüfte und blockierte Anwendungen mit Risikoklasse, Datenkategorie und Nutzerzahl.
Governance-Workflow: vom Fund zur Kontrolle
- 1
Entdecken
Neue SaaS-Registrierungen mit Firmen-E-Mail automatisch erkennen.
- 2
Bewerten
Risiko nach Datenkategorie, DSGVO-Konformität und Zertifizierungen einordnen.
- 3
Integrieren oder sperren
Genehmigte Apps in den SSO-Verbund aufnehmen, riskante blockieren.
Nächster Schritt
Machen Sie Ihr nächstes Audit zur Formsache
Wir zeigen live, welche Nachweise neoid für NIS2, CRA, ISO 27001 und DORA liefert.
Kostenlos · ohne Vorbereitung · Termin direkt online wählbar