Inbetriebnahme des NIS2 Cybersecurity Compliance Toolkit in Odoo: ein Beispiel von A bis Z

Das Beispiel: Metalúrgica Ribera installiert das Toolkit

Beispiel Fiktiver Fall: Firma und Zahlen sind erfunden, um den Ablauf zu zeigen.

Metalúrgica Ribera ist ein erfundenes Unternehmen, das Teile für andere Industriebetriebe fertigt und bereits mit Odoo arbeitet. Ihre Systemverantwortliche Laura installiert das NIS2 Cybersecurity Compliance Toolkit, um Unternehmensprofil, Kontrollen, Risiken, Schulungen und Vorfälle an einem Ort zu haben. Der folgende Ablauf ist der, den sie bei der Inbetriebnahme durchläuft: Die Namen von Ansichten, Spalten, Feldern und Status stammen aus dem Modul; Lauras Entscheidungen sind illustrativ.

Vor der Installation prüft Laura ihre Version. Das Modul ist in Odoo Apps für Odoo 17, 18 und 19 veröffentlicht, für 49 € zzgl. MwSt. pro Version, als Einmalzahlung pro Version. Wenn Sie noch unsicher sind, ob es zu Ihnen passt, finden Sie die Details unter ob das Toolkit zu Ihrem Unternehmen passt.

Erster Datensatz: das Unternehmensprofil

Laura beginnt mit der Liste der Unternehmensprofile. Sie sieht die Spalten juristische Person, Unternehmen, Mitgliedstaat, Sektor, Größe, Anwendbarkeitsstatus, Profilstatus und Verantwortlicher, dazu eine Suchleiste und die Schaltfläche Neu. Diese Spalten zeigen ihr, welche Daten sie bereithalten muss: um welche juristische Person es sich handelt, in welchem Mitgliedstaat sie tätig ist, ihren Sektor, ihre Größe und wer für das Profil zuständig ist.

Bei dem Feld applicability_status hält sie sich am längsten auf. Die vom Modul definierten Werte sind Potentially In Scope, Likely Out of Scope, Needs Legal Review, Essential Entity Candidate (Annex I), Important Entity Candidate (Annex II) und Confirmed by Legal Counsel. Achten Sie auf die Bezeichnungen: Sie sprechen von «Kandidat» und von rechtlicher Prüfung. Die App speichert die Einschätzung, die Sie selbst eintragen. Laura lässt das Profil auf Needs Legal Review und notiert, dass sie es auf Confirmed by Legal Counsel ändert, sobald ihr Rechtsberater es bestätigt.

Zweiter Schritt: die Kontrollen und ihr Reifegrad

Die Liste der Kontrollen hat Spalten für Kategorie, Name der Kontrolle, Reifegrad, Verantwortlicher und Überprüfung. Der Reifegrad (maturity_status) kennt Not Implemented, Planned, Partially Implemented, Implemented und Not Applicable.

Laura geht die Kontrollen mit ihrem Team einzeln durch und legt sich ein eigenes Kriterium fest, um nicht bei jeder Zeile zu zögern:

• Implemented nur, wenn sie zeigen kann, wie es heute gemacht wird.
• Partially Implemented, wenn es existiert, aber nicht alles abdeckt, was die Kontrolle beschreibt.
• Planned, wenn eine Person und ein Datum verbindlich festgelegt sind.
• Not Applicable, wenn es für ihre Tätigkeit nicht gilt und sie erklären kann, warum.
• Not Implemented für alles andere.

In jeder Zeile trägt sie außerdem den Verantwortlichen ein, denn die Spalte steht in der Liste und sie will auf einen Blick sehen, wer welche Kontrolle betreut.

Dritter Schritt: das Risikoregister

Die Liste Risk Register zeigt Auswirkung, Eintrittswahrscheinlichkeit, Restrisiko, Behandlungsentscheidung und Status, mit der Schaltfläche New und der Suche. Die Status, die das Modul hierfür definiert, sind Draft, Under Review, Accepted und Closed.

Laura legt jedes Risiko in Draft mit Auswirkung und Eintrittswahrscheinlichkeit an. Sie setzt es auf Under Review, wenn sie es der Geschäftsleitung vorstellt, und auf Accepted, wenn eine Behandlungsentscheidung vereinbart ist. Risiken, die nicht mehr zutreffen, belässt sie in Closed, statt sie zu löschen, damit die Nachvollziehbarkeit erhalten bleibt.

Schulungen: die Training Records

Die Liste der Training Records hat Spalten für Name, Typ, Artikel und Status, mit der Schaltfläche New und der Suche. Die Status sind Assigned, In Progress, Completed, Overdue und Exempt.

Laura legt für jede Schulung, die die Belegschaft absolvieren muss, einen Datensatz an und markiert diejenigen als Exempt, für die sie nicht gilt, statt sie ohne Datensatz zu lassen. Wenn sie die Liste filtert, ist alles, was weder Completed noch Exempt ist, offene Arbeit.

Vorfälle: die Liste und die Status, die das Modul definiert

Die Liste der Vorfälle hat Spalten für Referenz, Zeitpunkt der Erkennung, Schweregrad, Status und Bewertung der Erheblichkeit, dazu die Schaltfläche Neu und die Suche.

Unter den Statussätzen, die der Code des Moduls definiert, gibt es einen mit Detected, Triage, Under Investigation, Reportable Decision Pending, Reported, Closed und False Positive, sowie ein Feld root_cause_status mit Unknown, Under Investigation, Identified und Not Applicable. Laura öffnet in ihrer Testdatenbank einen Test-Vorfall, um zu sehen, welche Werte ihr die Statusspalte anbietet, bevor sie es dem Team erklärt. Wenn Sie die vollständige Struktur des Moduls sehen möchten, finden Sie sie unter wie das Toolkit im Inneren funktioniert.

Die erste Woche: was Laura geprüft hat

Nachdem alles erfasst ist, reserviert sich Laura in der ersten Woche jeden Tag etwas Zeit zur Kontrolle:

• Dass im Unternehmensprofil juristische Person, Mitgliedstaat, Sektor, Größe und Verantwortlicher ausgefüllt sind.
• Dass applicability_status wiedergibt, was der Berater gesagt hat, und keine Vermutung.
• Dass in der Liste der Kontrollen keine Kontrolle ohne Verantwortlichen geblieben ist.
• Dass hinter den Kontrollen in Planned eine Person steht.
• Dass Risiken in Draft auf Under Review gesetzt wurden oder ein Datum dafür haben.
• Welche Schulungen in Overdue erscheinen und wen man anrufen muss.
• Dass der Test-Vorfall in der Testdatenbank geblieben ist und nicht in der Produktivdatenbank.

Was das Beispiel lehrt

Die Reihenfolge, die Laura einhält (Profil, Kontrollen, Risiken, Schulungen, Vorfälle), ist ihre eigene Wahl, gedacht, um vom Allgemeinen zum Alltäglichen zu gehen. Was aus dem Modul stammt, ist das, was Sie ausfüllen und verstehen müssen: die Spalten jeder Liste und die Werte jedes Status. Drei Gedanken zum Mitnehmen:

• Status sind Entscheidungen von Menschen. Legen Sie vor dem Start ein Kriterium schriftlich fest, vor allem für maturity_status.
• Der Anwendbarkeitsstatus braucht Ihren Berater. Die Bezeichnungen des Moduls machen das mit Needs Legal Review und Confirmed by Legal Counsel deutlich.
• Ein Verantwortlicher pro Zeile. Die Listen der Profile und Kontrollen haben diese Spalte; nutzen Sie sie.

So unterstützt Sie FlexigoTech

FlexigoTech führt Odoo ein und entwickelt individuelle Konnektoren und Integrationen. Wenn Sie Hilfe beim Laden Ihrer Kontrollen und Risiken brauchen oder das Toolkit mit anderen Teilen Ihres Odoo verbinden möchten, finden Sie das Modul auf unserer Seite und in seinem Eintrag in Odoo Apps.

Weiterlesen