Integrierte Prozessdigitalisierung für kritische und regulierte Organisationen

Warum Excel und E-Mail bei Informationssicherheit und Compliance an ihre Grenzen stoßen 

Die Anforderungen an Informationssicherheit, Risikomanagement und Compliance steigen kontinuierlich. Mit NIS2, DORA, dem EU AI Act und weiteren regulatorischen Vorgaben müssen Unternehmen nicht nur technische Sicherheitsmaßnahmen etablieren, sondern auch Prozesse, Verantwortlichkeiten und Nachweise zuverlässig steuern. 

Gerade in kritischen und regulierten Organisationen reicht es deshalb nicht aus, Informationen und Maßnahmen über einzelne Excel-Dateien, E-Mails oder isolierte Tools zu verwalten. Entscheidend ist, Zusammenhänge sichtbar zu machen: Welche Systeme und Prozesse sind betroffen? Welche Risiken bestehen? Welche Maßnahmen wurden definiert – und sind diese tatsächlich wirksam? Eine integrierte Plattform schafft dafür eine gemeinsame Daten- und Prozessbasis. 

Informationssicherheit ist mehr als eine technische Aufgabe 

Der Schutz kritischer Infrastrukturen und sensibler Unternehmensbereiche beginnt nicht erst bei der technischen Absicherung von Systemen. Mensch, Organisation und Technologie müssen zusammenspielen. Verantwortlichkeiten müssen klar definiert, Informationen transparent verfügbar und sicherheitsrelevante Aufgaben nachvollziehbar gesteuert werden. Gleichzeitig gilt es, regulatorische Anforderungen in bestehende Unternehmensprozesse zu integrieren und deren Umsetzung kontinuierlich zu überwachen. 

Genau hier stoßen klassische Arbeitsweisen mit Excel-Tabellen, E-Mail-Verteilern und voneinander getrennten Einzellösungen an ihre Grenzen. Informationen liegen an unterschiedlichen Stellen, Zuständigkeiten sind nicht immer eindeutig und Veränderungen lassen sich nur mit erheblichem manuellem Aufwand nachvollziehen. Die Folge: wertvolle Zeit wird in Abstimmungen und Dokumentation investiert, während der eigentliche Mehrwert – Risiken frühzeitig zu erkennen und gezielt zu reduzieren – in den Hintergrund rückt. 

Eine Plattform für integrierte Prozesse 

Als technologische Grundlage setzt die iTSM Group auf ServiceNow. Die Now Platform bietet die Möglichkeit, bereichsübergreifende Prozesse, Services und Informationen in digitalen Workflows abzubilden, miteinander zu verknüpfen und zu automatisieren. Was als IT-Service-Management-Plattform gestartet ist, lässt sich heute weit über klassische IT-Prozesse hinaus einsetzen. Neben IT-Workflows können unter anderem Prozesse aus HR, Customer Service, Legal oder weiteren Unternehmensbereichen auf einer gemeinsamen Plattform abgebildet werden. Damit entsteht eine zentrale Grundlage, auf der Informationen nicht länger isoliert betrachtet werden müssen. Stattdessen lassen sich Prozesse, Verantwortlichkeiten, Risiken und Maßnahmen miteinander verbinden. 

Risiken erkennen, Maßnahmen steuern 

Ein integriertes Risikomanagement schafft Transparenz über Risiken und deren Auswirkungen auf das Unternehmen. Risiken können mit den betroffenen Prozessen, Services, Anwendungen und Verantwortlichkeiten verknüpft werden. Maßnahmen lassen sich direkt aus identifizierten Risiken ableiten, Verantwortlichen zuweisen und hinsichtlich ihrer Umsetzung und Wirksamkeit nachverfolgen. 

Auch regulatorische Anforderungen können in diese Prozesse eingebunden werden. So lässt sich beispielsweise nachvollziehen, welche Anforderungen bestehen, welche Maßnahmen daraus resultieren und wo noch Handlungsbedarf besteht. Mit ServiceNow GRC, Integrated Risk Management und Security Operations können Informationssicherheit, Risikomanagement und Compliance ganzheitlich unterstützt werden. Auch Anforderungen aus NIS2 oder dem EU AI Act lassen sich in entsprechende Governance- und Compliance-Prozesse integrieren. Das schafft nicht nur mehr Transparenz für die Verantwortlichen. Auch Audits und Prüfungen können durch eine nachvollziehbare Dokumentation von Anforderungen, Maßnahmen und Zuständigkeiten effizienter unterstützt werden. 

Prozesse statt Einzellösungen 

Risiken entstehen selten isoliert. Sie stehen in Zusammenhang mit Geschäftsprozessen, IT-Services, Anwendungen, Infrastrukturen und organisatorischen Verantwortlichkeiten. Eine integrierte Prozesslandschaft macht diese Abhängigkeiten sichtbar. Beispielsweise kann nachvollzogen werden, welche Auswirkungen der Ausfall eines IT-Systems auf einen kritischen Geschäftsprozess hat und welche Maßnahmen zur Risikoreduzierung oder Aufrechterhaltung des Betriebs vorgesehen sind. 

Auch Business Continuity Management und Risikomanagement greifen dabei ineinander. Risiken werden nicht isoliert betrachtet, sondern im Kontext der tatsächlichen Geschäftsabläufe bewertet und gesteuert. So wird aus einer Sammlung einzelner Sicherheits- und Compliance-Maßnahmen ein ganzheitlicher Prozess. 

KI steuerbar machen: Governance für den Einsatz künstlicher Intelligenz 

Mit dem Einsatz künstlicher Intelligenz entsteht in vielen Organisationen eine neue Klasse von Assets – KI-Agenten, Sprachmodelle, Copilots, Prompts und Datensätze. Sie werden häufig dezentral eingeführt, teilweise auch ohne Abstimmung mit IT, Informationssicherheit oder Compliance. Damit stellen sich dieselben Fragen wie bei jedem anderen kritischen Baustein der Unternehmens-IT: Was ist im Einsatz? Wer ist verantwortlich? Welche Daten werden verarbeitet? Und welche regulatorischen Anforderungen gelten? 

Der EU AI Act verschärft diese Fragestellung zusätzlich. Anbieter und Betreiber von KI-Systemen müssen Anwendungsfälle klassifizieren, Risiken bewerten, Maßnahmen dokumentieren und deren Wirksamkeit nachweisen können. Eine Verwaltung über Excel-Listen oder verteilte Dokumentationen stößt hier noch schneller an ihre Grenzen als in klassischen Compliance-Themen – schlicht, weil sich die KI-Landschaft im Unternehmen laufend verändert. 

Mit dem AI Control Tower bietet ServiceNow dafür eine zentrale Governance-Ebene innerhalb der Plattform. KI-Assets werden erkannt und in einem gemeinsamen Inventar geführt – sowohl ServiceNow-eigene Funktionen wie Now Assist als auch Modelle und Agenten von Drittanbietern oder aus Cloud- und Hyperscaler-Umgebungen. Über die Verknüpfung mit der CMDB entsteht ein Bezug zu den betroffenen Services, Prozessen und Verantwortlichkeiten. Ergänzend lassen sich Governance-Workflows und Compliance-Gates abbilden, unter anderem mit Bezug auf den EU AI Act und das NIST AI Risk Management Framework. 

Der entscheidende Punkt aus Sicht regulierter Organisationen: KI-Governance bleibt damit kein separates Thema neben Informationssicherheit, Risikomanagement und Compliance, sondern wird Teil derselben Prozesslandschaft. Risiken aus KI-Anwendungsfällen können wie andere Risiken bewertet, mit Maßnahmen hinterlegt und im Rahmen von Audits nachvollziehbar dokumentiert werden. 

Digitalisierung Schritt für Schritt 

Eine solche Transformation muss nicht auf einen Schlag erfolgen. Im Gegenteil: Gerade bei komplexen Organisationen empfiehlt sich ein schrittweises Vorgehen. Klar abgegrenzte Anwendungsfälle ermöglichen es, schnell erste Ergebnisse zu erzielen, Erfahrungen zu sammeln und die Lösung kontinuierlich weiterzuentwickeln. Gleichzeitig können Mitarbeitende frühzeitig in die neuen digitalen Arbeitsweisen einbezogen werden. Wichtig ist dabei, nicht allein die Technologie zu betrachten. Erfolgreiche Digitalisierung berücksichtigt gleichermaßen Prozesse, Rollen und Verantwortlichkeiten. Denn eine Plattform kann nur dann ihr Potenzial entfalten, wenn sie die tatsächliche Arbeitsweise der Organisation unterstützt und nicht lediglich bestehende Abläufe digital abbildet. 

Digitale Souveränität als Teil der Sicherheitsstrategie 

Für Unternehmen mit besonders hohen Anforderungen an Sicherheit und Compliance wird zunehmend auch die Frage relevant, wo und unter welchen Bedingungen eine Plattform betrieben wird. Je nach individuellen Anforderungen können dabei auch Aspekte wie Datenstandort, Sicherheitsniveau, regulatorische Vorgaben und die Souveränität des Betriebs eine wichtige Rolle spielen. Damit wird die Wahl des Betriebsmodells zu einem wichtigen Bestandteil einer ganzheitlichen Sicherheitsstrategie – neben integrierten Prozessen und moderner Technologie. 

Vom Sicherheitsprojekt zum integrierten Unternehmensprozess 

Die Digitalisierung von Informationssicherheit und Compliance sollte nicht als isoliertes IT-Projekt verstanden werden. Sie ist vielmehr Teil einer ganzheitlichen digitalen Transformation. Wenn Menschen, Prozesse und Technologien auf einer gemeinsamen Plattform zusammengeführt werden, entstehen neue Möglichkeiten: Informationen werden transparenter, Verantwortlichkeiten nachvollziehbarer und Abläufe lassen sich gezielt automatisieren. 

So wird Informationssicherheit vom isolierten Spezialthema zu einem integrierten Bestandteil der täglichen Unternehmensprozesse. Und genau darin liegt der entscheidende Schritt weg von Excel-Silos und E-Mail-Verteilern: Nicht einzelne Aufgaben werden digitalisiert, sondern Zusammenhänge werden sichtbar und steuerbar.