Kann eine zentrale Richtlinie für alle Tochtergesellschaften gelten?

Ja, ihr könnt eine gemeinsame Vorgabe definieren. Ob sie jeweils passt und umgesetzt ist, muss anhand des lokalen Geltungsbereichs geprüft werden.

Dürfen Gesellschaften denselben Nachweis verwenden?

Wenn der Nachweis ihre konkrete Prüffrage, den relevanten Zeitraum und die betroffenen Systeme abdeckt. Seine zentrale Ablage allein reicht als Begründung nicht aus.

GRC für Tochtergesellschaften: Zentral steuern, lokal verantworten

Eine Konzernrichtlinie kann für mehrere Gesellschaften gelten. Ihre Umsetzung ist damit noch nicht überall belegt. Andere Systeme, Verträge und Betriebsabläufe führen zu unterschiedlichen Risiken und Nachweisen.

GRC für Tochtergesellschaften braucht deshalb zwei Perspektiven: eine gemeinsame Grundlage und eine nachvollziehbare lokale Bewertung. Der zentrale Bericht muss erkennen lassen, wo die Vorgabe gilt, wo sie umgesetzt ist und wo noch eine Entscheidung fehlt.

Trennt Vorgabe, Leistung und Verantwortung

Beginnt mit den tatsächlich gemeinsam genutzten Leistungen. Betreibt die Gruppe beispielsweise einen zentralen Identitätsdienst, kann ein Teil der technischen Umsetzung zentral erfolgen. Welche Anwendungen angeschlossen sind und welche lokalen Ausnahmen bestehen, müssen die Gesellschaften trotzdem klären.

Ebene	Gemeinsamer Gegenstand	Was lokal zu prüfen bleibt
Vorgabe	Mindestanforderung an Zugänge	Geltungsbereich und begründete Abweichungen
Zentrale Leistung	Betrieb des Identitätsdienstes	Einbindung der eigenen Anwendungen
Nachweis	Test des zentralen Dienstes	Aussagekraft für den lokalen Anwendungsfall
Entscheidung	Gruppenweite Priorität	Zuständige Person und lokale Ressourcen

Das ist eine Arbeitshilfe, keine Aussage darüber, welche rechtlichen Pflichten eine bestimmte Gesellschaft delegieren kann. Diese Prüfung folgt ihrem konkreten Geltungsbereich.

NIST CSF 2.0 verbindet Sicherheitssteuerung mit Unternehmenszielen, Zuständigkeiten und der Kommunikation zwischen Organisationsebenen. Daraus lässt sich die Notwendigkeit gemeinsamer Begriffe ableiten, nicht eine pauschale Gleichsetzung aller Gesellschaften. NIST CSF 2.0, Kapitel 5

Ein gemeinsamer Nachweis braucht einen erkennbaren Umfang

Wenn ein zentraler Wiederherstellungstest nur zwei Plattformen umfasst, belegt er nicht automatisch die Wiederherstellbarkeit jeder Tochtergesellschaft. Dokumentiert deshalb, welche Systeme, Zeiträume und Leistungen ein Nachweis abdeckt.

Vermeidet zwei Extreme: denselben Test überall neu anzufordern oder einen zentralen Beleg ohne Prüfung überall als ausreichend zu markieren. Der Leitfaden zur Nutzung eines Nachweises für mehrere Audits erklärt diese Wiederverwendung entlang konkreter Prüffragen.

Fiktiver Fall: Drei Gesellschaften nutzen denselben Dienstleister für Backups. Zwei betreiben ihre Systeme auf der getesteten Plattform, die dritte nutzt zusätzlich eine lokale Anwendung. Der zentrale Test kann für die ersten beiden relevant sein. Für die dritte bleibt die lokale Wiederherstellung gesondert zu prüfen. Im Gruppenbericht wird diese Lücke ausdrücklich sichtbar.

Vergleicht nur, was nach derselben Methode bewertet wurde

„80 Prozent umgesetzt“ hat wenig Aussagekraft, wenn jede Gesellschaft Status und Umfang anders definiert. Vereinbart gemeinsame Begriffe für Umsetzung, Wirksamkeit, ausstehende Bewertung und begründete Ausnahme.

Zeigt neben einem Gesamtwert den Bezugsrahmen: betroffene Gesellschaften, betrachtete Anforderungen und Datenstand. Fehlende Rückmeldungen dürfen nicht stillschweigend als erfüllt zählen. Die ISMS-Kennzahlen zur Wirksamkeit helfen, reine Aktivitäten von belastbaren Ergebnissen zu trennen.

Ausnahmen brauchen eine Entscheidung

Eine lokale Abweichung ist nicht zwangsläufig ein Fehler. Sie kann durch ein anderes Geschäftsmodell oder eine technische Übergangsphase begründet sein. Problematisch wird sie, wenn niemand weiß, wer sie bewertet oder wann sie endet.

Haltet fest: betroffene Vorgabe, sachliche Begründung, verbleibendes Risiko, gegebenenfalls Ersatzmaßnahme, entscheidungsbefugte Person und nächsten Prüfanlass. Eine begründete Risikoakzeptanz gehört in den festgelegten Entscheidungsweg und nicht nur in ein Freitextfeld des Reports.

So übersetzt ihr den Gruppenbericht in Arbeit

Für jede relevante Lücke muss klar sein, wer den nächsten Schritt übernimmt. Eine zentrale Beschaffung kann beispielsweise Voraussetzung für mehrere lokale Maßnahmen sein. Dann braucht die Gruppe eine gemeinsame Entscheidung statt drei unabhängig verschobener Termine.

In Kopexa könnt ihr eigene Frameworks für interne Anforderungen abbilden. Maßnahmen tragen ihre Nachweise und werden auf Controls gemappt. Für eure Gruppenstruktur solltet ihr in der Testphase konkret prüfen, wie Geltungsbereiche, Zugriffe und Zuständigkeiten zu eurem Modell passen.

Startet mit zwei unterschiedlichen Gesellschaften und einer gemeinsamen Anforderung. Erst wenn der Weg von der Vorgabe zur lokalen Umsetzung und zurück in die Management-Entscheidung funktioniert, lohnt sich die Ausweitung.