CISO Assistant: GRC-Plattform mit 200+ Frameworks und automatischem Control-Mapping

Welches Problem CISO Assistant löst und für wen es gebaut ist

Die Beschreibung nennt als Ausgangslage Werkzeugfragmentierung, doppelte Datenpflege und fehlende Integration. Wer heute ISO 27001, NIS2 und DORA gleichzeitig bedienen muss, führt typischerweise drei Tabellenkalkulationen, zwei Ticketsysteme und ein Dokumentenablage-System, in dem niemand mehr weiß, welcher Nachweis zu welchem Control gehört. CISO Assistant setzt dagegen auf einen zentralen Bestand an Objekten, die sich gegenseitig referenzieren. Die Zielgruppe sind nach der Selbstbeschreibung Praktiker aus Cybersecurity und IT, also ISMS-Verantwortliche, Risk-Manager und Auditoren, die mehrere Rahmenwerke parallel pflegen. Der Nutzen liegt weniger in einer einzelnen Funktion als in der Verknüpfung: Ein Control, das bereits für ISO 27001 dokumentiert wurde, soll über das automatische Mapping auch für NIST CSF oder SOC 2 herangezogen werden können, ohne dass der Nachweis ein zweites Mal erfasst wird. Ob das in der Praxis vollständig aufgeht, hängt davon ab, wie deckungsgleich die beteiligten Rahmenwerke sind. Die README verspricht ausdrücklich, Compliance von den Sicherheitskontrollen zu entkoppeln, damit Kontrollen über die Plattform hinweg wiederverwendbar bleiben.

Datenmodell statt Dokumentenablage: wie die Verknüpfung funktioniert

Sichtbar wird die Architektur an zwei Stellen. Erstens nennt die README ein offenes Format, mit dem eigene Objekte und Frameworks definiert werden können; die Syntax dafür wird als einfach beschrieben, ohne dass die README sie zeigt. Zweitens gibt es ein automatisches Mapping und einen Mapping Explorer. Daraus lässt sich ableiten, dass Frameworks nicht als Sammlung von PDFs, sondern als strukturierte Objekte vorliegen, die auf gemeinsame Kontrollen verweisen. Der Datenfluss verläuft dann nicht mehr von Dokument zu Dokument, sondern von einer Anforderung über eine geteilte Kontrolle zu mehreren Compliance-Zielen. Für den Alltag heißt das: Wird eine Kontrolle als umgesetzt markiert, kann sie in mehreren Audits als Nachweis auftauchen. Genau hier liegt auch die Bruchstelle. Die Qualität des Mappings entscheidet über den Nutzen. Wo Rahmenwerke unterschiedlich granular sind, etwa ein Control in ISO 27001 gegen mehrere Unterpunkte in NIS2, entstehen Eins-zu-viele- oder viele-zu-viele-Beziehungen, die manuell nachgezogen werden müssen. Die README nennt das Mapping als Funktion, nicht als vollständig verifizierte Deckung. Wer sich darauf verlässt, sollte die Zuordnung für die eigenen Kernrahmenwerke stichprobenartig gegen die Originaltexte prüfen, bevor Audits darauf aufbauen.

Installation: zwei Skripte, ein Docker-Stack

Der Schnellstart ist knapp gehalten. Vorausgesetzt werden Docker und Docker Compose. Danach folgt ein Klon des Repositorys:

git clone --single-branch -b main https://github.com/intuitem/ciso-assistant-community.git

Anschließend wird das Startskript ausgeführt, unter Linux oder macOS mit ./docker-compose.sh, unter Windows mit ./docker-compose.ps1. Die Skripte verwenden vorgebaute Images, die laut README die gängigen Hardware-Architekturen abdecken. Wer eine abweichende Architektur nutzt und Plattformwarnungen erhält, kann auf docker-compose-build.sh ausweichen und selbst bauen. Für Anpassungen, etwa Mailer-Einstellungen, lässt sich die Compose-Datei erweitern. Ein Hinweis in der README betrifft den Bezug der Images: Der Branch main ist der Merge-Upstream und kann während der Entwicklung brechende Änderungen enthalten. Für den Produktiveinsatz sind Tags oder vorgebaute Images zu verwenden. Das ist keine Formalität. Wer den Hauptbranch zieht, kann nach einem Update mit einem Datenbankschema konfrontiert sein, das nicht mehr zur eigenen Instanz passt. Wer den Betrieb nicht selbst übernehmen will, findet einen SaaS-Testzugang, dessen Konditionen die README nicht ausführt.

Wo die Plattform an ihre Grenzen stößt

Die erste Einschränkung ist der Betrieb. Eine selbst gehostete Docker-Umgebung mit Datenbank, Anwendung und Schnittstellen will aktualisiert, gesichert und überwacht werden. Die README beschreibt den Start, nicht den laufenden Betrieb. Teams ohne jemanden, der Compose-Dateien und Backups verantwortet, unterschätzen diesen Aufwand regelmäßig. Die zweite Einschränkung ist die Reichweite der enthaltenen Rahmenwerke. Über 200 Frameworks sind eine Zahl, die nichts über die Tiefe der jeweiligen Umsetzung sagt. Ob ein Nischenrahmen nur als Anforderungsliste vorliegt oder mit vollständigem Kontrollmapping, lässt sich aus der README nicht ableiten. Die dritte betrifft die Abgrenzung: CISO Assistant ist kein Schwachstellen-Scanner und kein SIEM. Vulnerability Management und Anreicherung werden als Funktionen genannt, aber die Erkennung technischer Schwachstellen findet außerhalb statt. Wer eine Plattform sucht, die Findings selbst erhebt, ist hier falsch. Und wer ausschließlich eine einzelne ISO-27001-Zertifizierung anstrebt, trägt mit der Plattform mehr Struktur ein, als der Vorgang verlangt.

Abgrenzung zu Open-Source-Alternativen wie eramba

Die naheliegende Vergleichsgröße ist eramba, ebenfalls eine selbst hostbare Open-Source-GRC-Plattform mit Fokus auf ISO 27001 und verwandte Standards. Der Unterschied liegt im Ansatz. eramba ist um ein Compliance-Management-Kernmodell herum gebaut und deckt Risiko, Richtlinien und Audits über feste Module ab. CISO Assistant beschreibt sich selbst als multi-paradigmatisch und will unterschiedliche Methodiken und Erwartungen aufnehmen, statt eine vorzugeben. Sichtbar wird das an den genannten Modulen EBIOS RM, Business Impact Analysis und Cyber Risk Quantification, die verschiedene Risikomethoden nebeneinander zulassen. Dazu kommt der API-first-Ansatz: Die README nennt eine API-Dokumentation und Import-Export-Kanäle über UI, CLI, Kafka und Berichte. Wer Compliance-Daten aus bestehenden Systemen automatisiert einspeisen will, findet hier mehr Ansatzpunkte als bei einem Werkzeug, das die Oberfläche als primären Weg behandelt. Der Preis für diese Offenheit ist ein größeres Modell, das mehr Einarbeitung verlangt. Wer eine schmale, klar umrissene ISO-27001-Ablage sucht, fährt mit dem engeren Modell schneller.

Wartung, Release-Takt und die ungeklärte Lizenzfrage

Der Release-Verlauf zeigt einen kurzen Takt: v4.0.1 im September 2026, davor v3.21.4 und v3.21.3 im Abstand weniger Wochen. Das bedeutet für Betreiber, dass sie regelmäßig zwischen Major- und Minor-Ständen unterscheiden müssen. Ein Sprung von 3.x auf 4.x ist ein Major-Sprung und damit ein Kandidat für Migrationen, auch wenn die README dazu keine Aussage trifft. Wer die Plattform produktiv nutzt, sollte die Release Notes vor jedem Update lesen und ein eigenes Testsystem vorhalten, in dem der Sprung zuerst geprüft wird. Die Lizenzangabe ist der zweite Punkt, der vor dem Einsatz zu klären ist. Das Repository trägt die Kennung NOASSERTION, was bedeutet, dass die Lizenz nicht automatisch erkannt wurde. Aus der README lässt sich keine Aussage über Erlaubnisse oder Pflichten ableiten, und die Existenz eines kommerziellen SaaS-Angebots legt nahe, dass zwischen Community- und kommerzieller Edition unterschieden wird. Ob und unter welchen Bedingungen die Community-Version kommerziell genutzt werden darf, ist vor einem Rollout mit dem Anbieter oder anhand der Lizenzdatei im Repository zu klären. Eine rechtliche Bewertung ersetzt das nicht.

Was vor dem Rollout konkret zu prüfen ist

Drei Dinge lassen sich vorab und ohne Produktivdaten klären. Erstens das Mapping der eigenen Kernrahmenwerke: Eine Testinstanz lässt sich mit den Skripten in wenigen Minuten starten, danach kann man ein Framework anlegen und die vorgeschlagene Zuordnung gegen die Originaltexte prüfen. Zweitens der Datenexport. Die README nennt Import- und Export-Funktionen über mehrere Kanäle, darunter CLI und Berichte. Wer prüft, ob sich angelegte Objekte und Bewertungen vollständig wieder herausziehen lassen, vermeidet, dass die Datenhaltung später zur Sackgasse wird. Drittens die Update-Route: Der Hinweis, für Produktion Tags statt des main-Branches zu verwenden, ist der einzige konkrete Betriebshinweis in der README, und er ist ernst zu nehmen. Ein Blick auf die Release Notes zwischen der eingesetzten und der Zielversion gehört dazu. Wer diese drei Punkte abgearbeitet hat, weiß danach ziemlich genau, ob die Plattform zum eigenen Rahmenwerk-Zuschnitt passt oder ob die Zuordnungsarbeit am Ende größer ist als der Gewinn.

Redaktionelles Fazit

Wer mehrere Frameworks parallel bedienen muss und ein Team hat, das Docker und API-Automatisierung beherrscht, findet in CISO Assistant eine selbst hostbare Plattform, die Compliance-Nachweise und Risikoregister in einer Datenhaltung bündelt. Wer eine reine ISO-27001-Zertifizierung ohne Mehraufwand anstrebt oder keine Person für den Betrieb der Docker-Umgebung abstellen kann, sollte bei einem schlankeren Werkzeug bleiben. Vor jedem Produktiveinsatz ist die Lizenzfrage zu klären: Die Repository-Angabe NOASSERTION lässt keine automatische Einordnung zu, und die Bedingungen der Community-Edition können von den SaaS-Angeboten abweichen. Zusätzlich sollte die Migrationsfähigkeit der eigenen Daten über die Import- und Export-Schnittstellen geprüft werden, bevor Objekte und Frameworks angelegt werden.

Offizielle Quellen

1. intuitem/ciso-assistant-community on GitHub
2. Issues
3. Project website
4. README
5. Releases