NISBee kombiniert rollenbasierten Zugriff, verpflichtende Zwei-Faktor-Authentifizierung, mandantengebundene Datenverarbeitung und nachvollziehbare Änderungen in einer browserbasierten Cloud-Anwendung.
Zugriff & Identität
Rollen, Sitzungs- und Organisationskontext werden serverseitig ausgewertet, bevor geschützte Fachfunktionen verfügbar sind.
Zwei-Faktor-Authentifizierung
Für Administratoren, Risikomanager und Auditoren ist ein zweiter Faktor verpflichtend. Ohne eingerichtete Zwei-Faktor-Authentifizierung wird kein Zugriff auf den geschützten Arbeitsbereich gewährt.
Rollenmodell
NISBee unterscheidet Administrator, Risikomanager und Auditor. Fachliche und administrative Rechte werden rollenbezogen vergeben.
Read-only
Auditoren können prüfungsrelevante Inhalte und Berichte einsehen. Schreibende Änderungen werden serverseitig blockiert.
Organisationskontext
Der Organisationskontext wird aus der angemeldeten Sitzung bestimmt und nicht aus frei übergebenen Formular- oder URL-Werten übernommen.
Cloud-Betrieb & Mandantentrennung
NISBee wird zentral als Webanwendung bereitgestellt. Auf einzelnen Arbeitsplätzen ist keine separate Client-Installation erforderlich.
Fachdaten werden organisationsgebunden verarbeitet und auf Datenbankebene über PostgreSQL Row-Level Security voneinander getrennt.
Ohne gültigen Organisationskontext sind keine Fachdaten sichtbar.
Zusätzlich zur Row-Level Security bindet der Datenzugriff jede Fachabfrage explizit an die Organisation der angemeldeten Sitzung.
Schutzebene: Anwendung + Datenbank
Nachvollziehbarkeit
Fachliche Änderungen werden serverseitig protokolliert. Akteur und Zeitpunkt stammen aus der Anwendungssitzung und werden gemeinsam mit der jeweiligen Änderung verarbeitet.
Risiko / Maßnahme / Nachweis / Vorfall
Zuständige Rolle
Benannter Benutzer
Fachlicher Zustand und Änderungsprotokoll
Das Änderungsprotokoll unterstützt die fachliche Nachvollziehbarkeit und ersetzt kein externes Archiv mit besonderen Aufbewahrungsgarantien.
Technische Vertrauensfakten
Feldverschlüsselung
Ausgewählte sensible Freitextfelder werden vor der Speicherung feldweise verschlüsselt.
AES-256-GCM
Organisationsgebundene Schlüssel
Die Verschlüsselungsschlüssel werden organisationsgebunden aus einem zentral verwalteten Hauptschlüssel abgeleitet.
HKDF-SHA256
Row-Level Security
Die Datenbank begrenzt den Zugriff auf die Daten der jeweils aktiven Organisation.
Least Privilege
Anwendung, Plattformfunktionen und Datenbankmigrationen arbeiten mit getrennten Rechtekontexten.
Web-Sicherheit
Die Cloud-Anwendung nutzt unter anderem HSTS, Content-Security-Policy, Frame-Schutz und nosniff.
Auth-Schutz
Authentifizierungswege werden serverseitig begrenzt; Passwort-Reset beendet bestehende Sitzungen und Konten nutzen E-Mail-Verifizierung.
Export, Sicherung & Nachweise
Dokumentierte Informationen können strukturiert exportiert, gesichert und für interne Prüfungen weiterverwendet werden.
Strukturierte Daten für Sicherung und Weiterverarbeitung exportieren.
Tabellarische Informationen für interne Auswertungen bereitstellen.
Den dokumentierten Stand als Bericht aufbereiten und ausgeben.
Strukturierte Datenbestände prüfen, übernehmen und als Sicherungsstand verwalten.
Das Nachweiscenter strukturiert und referenziert Nachweise; es ist kein allgemeines Dokumentenarchiv.
Rahmen & Verantwortung
Klare Einordnung: Der NIS2 Risk Manager unterstützt strukturiertes NIS2 Risikomanagement – ohne Rechtsberatung, Zertifizierung oder automatische Konformitätszusage.
Kontakt
Wir beantworten Fragen zum Betriebsmodell, zur Datenverarbeitung und zur Evaluierung konkret – auf Wunsch auch schriftlich für Ihre interne Prüfung.
