Compliance verlangt Nachweis.
Nicht Absicht.
Ihre Richtlinie sagt, wie es sein soll. tidiam zeigt, wie es tatsächlich ist: Zugriffe, Berechtigungen und MFA-Abdeckung über Entra ID, Active Directory, Okta, Keycloak und AWS IAM (Google Workspace in Kürze), täglich geprüft und als Report belegbar. Gemappt auf NIS2, ISO/IEC 27001:2022 und BSI IT-Grundschutz, und damit auf das, was das österreichische NISG 2026 aus NIS2 übernimmt. Read-only verbunden, ohne Schreibpfad in Ihre Verzeichnisse.
Antwort in der Regel innerhalb von 24 Stunden an Werktagen. Erste Findings am selben Tag, an dem der erste Konnektor steht.
Die drei Fragen, die im Audit gestellt werden
Wer hat Zugriff?
Alle aktiven Konten von Menschen und Systemen, über alle verbundenen Verzeichnisse hinweg, an einer Stelle. Auch die, von denen niemand mehr wusste.
Ist es sicher konfiguriert?
125 Checks prüfen die tatsächliche Konfiguration gegen anerkannte Vorgaben. Priorisierte Findings, jedes mit Fix-Empfehlung.
Können Sie es belegen?
Report auf Knopfdruck, gemappt auf NIS2, ISO/IEC 27001:2022 und BSI IT-Grundschutz, CIS Controls als Referenz. Mit Zeitstempel und Verlauf.
NIS2: Was Art. 21 an Identitäten berührt
Artikel 21 Absatz 2 der NIS2-Richtlinie nennt unter anderem Zugriffskontrolle, Multi-Faktor-Authentifizierung und die Bewertung der Wirksamkeit von Risikomanagementmaßnahmen. Für die Identitätsseite heißt das konkret:
| Anforderung im Alltag | Ohne tidiam | Mit tidiam |
|---|---|---|
| MFA-Abdeckung über alle Konten belegen | Export je System, manuell zusammenführen, Stand veraltet beim Absenden | Eine Ansicht über alle Verzeichnisse, tagesaktuell |
| Privilegierte Konten nachweisen | Excel-Liste, gepflegt von wem? | Automatisch erkannt, mit Verlauf |
| Offboarding belegen | „Ich glaube ja“ statt Beleg | Verwaiste und inaktive Konten je System, mit Datum |
| Wirksamkeit regelmäßig bewerten | Einmal im Jahr, punktuell | Täglich geprüft, Health Score über Zeit |
| Audit-Vorbereitung, Identitätsteil | Screenshots sammeln, rund 60 Stunden (Annahme unseres ROI-Rechners) | Report erzeugen, rund 2 Stunden |
ISO 27001:2022: dieselben Nachweise, andere Nummern
Wer nach ISO zertifiziert ist oder es werden will, prüft dieselbe Substanz wie unter NIS2, nur unter anderen Bezeichnungen. Sechs Controls aus Anhang A betreffen direkt das, was tidiam laufend prüft.
| Control | Titel | Was tidiam dazu zeigt |
|---|---|---|
| A.5.15 | Access control | Wer darf worauf zugreifen, und entspricht das dem Berechtigungskonzept? |
| A.5.16 | Identity management | Welche Identitäten existieren, auch die von Systemen und Anwendungen? |
| A.5.17 | Authentication information | Wie wird authentifiziert, wo fehlt MFA, wo sind Passwortrichtlinien schwach? |
| A.5.18 | Access rights | Wurden Rechte bei Wechsel und Austritt tatsächlich entzogen? |
| A.8.2 | Privileged access rights | Wer hat erhöhte Rechte, seit wann, dauerhaft oder zeitlich begrenzt? |
| A.8.5 | Secure authentication | Ist die Authentifizierung so konfiguriert wie vorgesehen, etwa ohne Legacy-Protokolle? |
Für das Audit zählt nicht die Richtlinie, sondern der Beleg, dass sie wirkt. Genau den erzeugt tidiam auf Knopfdruck, mit Zeitstempel und Verlauf, statt aus Screenshots zusammengesucht. Anforderungen, die tidiam nicht abdeckt, weist der Report ausdrücklich als Out-of-Scope aus.
Sie fallen zusätzlich unter NIS2? Die Anforderungen überschneiden sich fast vollständig: NIS2 und Identitäten. Wie das Mapping technisch arbeitet, steht in den Docs.
NISG 2026: ab 1. Oktober 2026
Österreich setzt NIS2 mit dem NISG 2026 um. Es löst das NISG 2018 ab und tritt am 1. Oktober 2026 in Kraft. Betroffen sind rund 4.000 Unternehmen und Einrichtungen aus 18 Sektoren, ab der Größe eines mittleren Unternehmens: mindestens 50 Mitarbeitende, oder mehr als 10 Mio. Euro Umsatz bei mehr als 10 Mio. Euro Bilanzsumme.
Im Pflichtenkatalog stehen Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung, Zugriffskontrolle und Personalsicherheit ausdrücklich. Dazu kommt die Verantwortung der Geschäftsleitung, die Umsetzung zu überwachen.
Was das praktisch heißt: Für die Selbstdeklaration brauchen Sie keinen Vorsatz, sondern einen Stand. Wie viele Konten haben kein MFA? Wer hat privilegierte Rechte, und seit wann? Welche Konten gehören zu Menschen, die das Haus längst verlassen haben? tidiam beantwortet diese Fragen über alle verbundenen Verzeichnisse hinweg, täglich und als Report. Das Mapping im Report folgt NIS2 Art. 21, also der Richtlinie, die das NISG umsetzt.
Was tidiam hier nicht ist
Kein Konformitätsnachweis und keine Registrierung. Wir liefern die technischen Belege für den Identitätsteil. Die Deklaration reichen Sie ein, nicht wir.
Hintergrund zur EU-Richtlinie, die das NISG umsetzt: NIS2 und Identitäten.
Was tidiam bewusst nicht ist
Wir verkaufen keinen Ersatz für Dinge, die Sie schon haben.
- Kein ISMS. Ihr ISMS beschreibt das Soll. tidiam zeigt den Zustand.
- Kein SIEM. Ein SIEM zeigt Ereignisse. tidiam zeigt Konfiguration und Rechte.
- Kein IGA. Es gibt keinen Schreibpfad, keine Rechtevergabe, kein Provisioning. Read-only ist eine Architekturentscheidung, kein Feature-Rückstand.
- Kein Beratungsersatz. Wir liefern Fakten und Belege. Die Bewertung bleibt bei Ihnen und Ihren Beratern.
Cloud-Quellen werden direkt über die Hersteller-API verbunden (OAuth, Dienstkonto oder IAM-Rolle), Active Directory über einen schlanken Agent im eigenen Netz. In beiden Fällen ausschließlich lesend. Details auf der Seite Trust & Sicherheit.
Was in welchem Plan enthalten ist
Damit es im Erstgespräch keine Überraschung gibt.
- Essentials. Ein Konnektor, Findings mit Empfehlungen, täglicher Sync, NIS2 als Kontrollübersicht, fünf PDF-Reports im Monat.
- Professional. NIS2, ISO 27001 und BSI IT-Grundschutz vollständig, dazu Access Reviews, Change Trail, Permission Analytics und unbegrenzte Reports.
- Business. Zusätzlich externer Lesezugang für Prüfer, Report-Branding, SLA 99,9 % und ein fester Ansprechpartner.
Ehrlich gesagt: Wenn Sie NIS2, ISO 27001 oder das NISG nachweisen müssen, ist Essentials der falsche Plan. Er zeigt Ihnen, wo Sie stehen. Er belegt es noch nicht. Die vollständigen Angaben stehen auf der Preisseite.
So schnell sind Sie startklar
Konto anlegen
Sie registrieren sich und wählen einen Tarif. Mit Entra ID können Sie auch erst kostenlos testen.
Zugang einrichten
Sie legen den read-only Zugang an. Aufwand bei Ihnen rund 30 bis 60 Minuten.
Erste Findings
Nach dem ersten Sync sehen Sie Ihre Befunde. Wenn Sie möchten, gehen wir die Einrichtung in einem Termin mit Ihnen durch.
Nachweis statt Absicht. Ab dem ersten Konnektor.
Lieber erst selbst schauen? Die interaktive Demo läuft mit Beispieldaten, ohne Installation. Den Zugangslink schicken wir an Ihre geschäftliche E-Mail-Adresse.