Wer ein ISMS nach ISO 27001, TISAX® oder NIS-2 aufbaut, bekommt schnell Angebote für GRC-Tools: Software für Governance, Risk und Compliance, mit Lizenz pro Nutzer oder pro Jahr. Für viele mittelständische Unternehmen ist das eine zusätzliche Plattform, die niemand im Alltag öffnet. Wenn Ihr Team bereits mit Confluence und Jira arbeitet, haben Sie die wichtigsten Bausteine schon im Haus.
Was ein GRC-Tool eigentlich leistet
Ein GRC-Tool bündelt im Kern vier Dinge:
- Dokumente: Richtlinien, Prozesse und Nachweise an einem Ort, mit Versionen und Freigaben
- Register: Risiken, Assets, Lieferanten und das Statement of Applicability (SoA)
- Aufgaben: Maßnahmen, Korrekturmaßnahmen und Vorfälle mit Verantwortlichen, Fristen und Status
- Überblick: Berichte für die Geschäftsführung und den Auditor
Keiner dieser Punkte ist an eine bestimmte Software gebunden. Die Normen verlangen dokumentierte Information, nachvollziehbare Prozesse und Nachweise, kein bestimmtes Werkzeug.
Was die Normen verlangen – und was nicht
ISO 27001 fordert in Kapitel 7.5, dass dokumentierte Information gelenkt wird: gekennzeichnet, aktuell, freigegeben, geschützt und auffindbar. Die VDA ISA für TISAX® fragt nach umgesetzten und gelebten Prozessen. NIS-2 verlangt Risikomanagement-Maßnahmen und Meldewege. In keinem dieser Regelwerke steht, dass dafür ein GRC-Tool nötig ist. Im Audit zählt, ob Sie zeigen können, was Sie tun, wer es tut und seit wann.
So decken Confluence und Jira die Anforderungen ab
| Anforderung | GRC-Tool | Confluence & Jira |
|---|---|---|
| Richtlinien und Prozesse | Dokumentenmodul | Confluence-Seiten mit automatischer Versionierung |
| Freigaben und Dokumentenlenkung | Freigabe-Workflow | Seitenstatus, Owner und Dokumentenhistorie je Seite |
| Risikoregister und Risikobehandlung | Risikomodul | Jira-Vorgänge mit Workflow, Bewertung und Verantwortlichem |
| Maßnahmen, Korrekturmaßnahmen, Vorfälle | Aufgabenmodul | Jira-Vorgangstypen mit Status, Fristen und Automatisierung |
| Nachweise für das Audit | Export oder Auditor-Zugang | Verlauf jeder Seite und jedes Vorgangs; Lesezugriff für den Auditor |
| Überblick für die Geschäftsführung | Dashboard | Jira-Dashboards und Filter |
Der entscheidende Unterschied ist nicht die Funktion, sondern die Nutzung: Ihr Team arbeitet in Confluence und Jira ohnehin jeden Tag. Ein Risiko, eine Änderung oder ein Vorfall landet dort, wo die Arbeit stattfindet. Nachweise entstehen nebenbei, statt vor dem Audit nachträglich zusammengesucht zu werden.
Die Vorteile im Alltag
- Keine zusätzliche Plattform: kein weiteres Login, keine eigene Schulung, keine neue Oberfläche.
- Keine zusätzlichen Lizenzen: Sie nutzen die Atlassian-Lizenzen, die Sie bereits haben.
- Ihre Daten bleiben in Ihrer Instanz: Cloud oder Data Center, mit Ihren Berechtigungen und Ihrem Backup.
- Kein Lock-in: Die Inhalte sind Ihre Confluence-Seiten und Jira-Vorgänge – auch wenn Sie später etwas ändern.
- Eine Struktur für mehrere Standards: ISO 27001, TISAX® und NIS-2 überschneiden sich stark; eine gemeinsame Struktur vermeidet Doppelpflege.
Wann ein GRC-Tool trotzdem sinnvoll sein kann
Ehrlich gesagt gibt es Fälle, in denen ein GRC-Tool die bessere Wahl ist:
- Ihr Team nutzt Confluence und Jira nicht, oder nur in einzelnen Abteilungen.
- Sie steuern viele Standards und Gesellschaften gleichzeitig und brauchen konzernweite Berichte.
- Sie wollen technische Nachweise automatisiert aus Cloud-Diensten und Systemen einsammeln lassen, etwa für SOC 2.
Für den typischen Mittelständler mit einem ISMS nach ISO 27001 oder TISAX® ist das selten der Fall.
Was Sie brauchen, damit es funktioniert
Confluence und Jira sind leer, wenn Sie anfangen. Ein ISMS darin braucht eine durchdachte Struktur: einen Seitenbaum nach dem Aufbau eines ISMS, Richtlinien mit Owner, Klassifikation und Dokumentenhistorie, Jira-Vorgangstypen für Risiken, Maßnahmen, Vorfälle und Änderungen, und Workflows mit klaren Status. Diese Struktur selbst zu entwickeln kostet Zeit – und ist genau der Teil, an dem viele Projekte stocken.
Unsere ISMS-Templates für Confluence & Jira liefern diese Struktur fertig: Richtlinien, Prozesse und Jira-Workflows für ISO 27001, TISAX® und NIS-2, importiert in Ihre eigene Instanz. Wenn Sie zusätzlich Begleitung beim Aufbau Ihres ISMS wünschen, starten wir mit einer GAP-Analyse.
ISMS-Templates ansehen Kostenloses Erstgespräch vereinbaren
Häufige Fragen
Akzeptiert ein Auditor ein ISMS in Confluence und Jira?
Ja. Auditoren prüfen, ob die Anforderungen umgesetzt und nachgewiesen sind, nicht welches Werkzeug Sie dafür nutzen. Wichtig sind gelenkte Dokumente, nachvollziehbare Änderungen und Nachweise – das leisten Confluence und Jira.
Brauche ich für ISO 27001 eine spezielle Software?
Nein. ISO 27001 schreibt keine Software vor. Sie verlangt dokumentierte Information, die gelenkt wird, und Prozesse, die nachweisbar umgesetzt sind.
Funktioniert das mit Confluence Cloud und Data Center?
Ja. Ein ISMS lässt sich in beiden Varianten aufbauen. Unsere Templates gibt es für Cloud und Data Center.
Was passiert, wenn wir später doch ein GRC-Tool einführen?
Ihre Richtlinien, Register und Vorgänge liegen strukturiert in Confluence und Jira und lassen sich exportieren. Die Arbeit am ISMS geht nicht verloren.
Über den Autor
Can Adigüzel ist Mitgründer und Geschäftsführer der 360 Digitale Transformation GmbH, Berater für TISAX® und ISO 27001 Lead Auditor mit über 200 Audits. Er ist seit 2012 im IT-Projektmanagement und seit 2019 in der Informationssicherheit tätig. Er hilft mittelständischen Unternehmen, Informationssicherheit pragmatisch umzusetzen.
Confluence und Jira sind Marken von Atlassian. Die 360 Digitale Transformation steht in keiner geschäftlichen Beziehung zu Atlassian. TISAX® ist eine eingetragene Marke der ENX Association. Die 360 Digitale Transformation steht in keiner geschäftlichen Beziehung zur ENX. Mit der Nennung der Marke TISAX® ist keine Aussage des Markeninhabers zur Geeignetheit der hier beworbenen Leistungen verbunden. TISAX® Assessments, zur Erlangung von Labels, werden nur von den auf der Homepage der ENX genannten Prüfdienstleistern durchgeführt.