Installierbare Claude-Fähigkeiten, die fachkundige Compliance-Anleitung für 30+ Frameworks bieten, darunter ISO 27001, SOC 2, FedRAMP, GDPR, HIPAA, NIST CSF, PCI DSS und EU AI Act. Enthält Gap-Analyse, Policy-Vorlagen und Kontrollzuordnung.
# Claude Skills für Governance, Risk & Compliance (GRC) Expertenwissen zur Compliance für ISO 27001, SOC 2, FedRAMP, DSGVO, HIPAA, NIST CSF, PCI DSS, TSA Cybersecurity, ISO 42001 AI Management System, ISO 27701 Privacy Information Management, DORA Digital Operational Resilience, Indiens Digital Personal Data Protection Act (DPDPA), CMMC 2.0 Cybersecurity Maturity Model Certification, NIST AI Risk Management Framework, SWIFT Customer Security Programme (CSP), Australian Information Security Manual (ISM), EU NIS2 Directive, CCPA/CPRA California Privacy, ITAR (International Traffic in Arms Regulations), Brasiliens LGPD (Lei Geral de Proteção de Dados), EU CSRD (Corporate Sustainability Reporting Directive), CIS Controls v8 (CIS Top 18), EAR (Export Administration Regulations), NIST SP 800-53 (Security and Privacy Controls for Federal Systems), EU AI Act (Regulation (EU) 2024/1689), Section 508 (US Federal ICT Accessibility), WCAG (Web Content Accessibility Guidelines), NZISM (New Zealand Information Security Manual), Vietnam PDPL (Law on Personal Data Protection No. 91/2025/QH15), EU CRA (Cyber Resilience Act, Regulation (EU) 2024/2847), Saudi-Arabien GRC (NCA ECC, Saudi PDPL, SAMA, CST), VAE GRC (Federal PDPL, DIFC, ADGM, CBUAE, ICT Health Law), TISAX (VDA ISA / ENX automotive supplier security), TPRM (third-party/vendor risk), UK Cyber Essentials und SOX ITGC — unterstützt durch Claude Skills. **Monatlich aktualisiert.** Benchmarkiert anhand von 180 Testfällen mit dem Eval-Framework — jeder bewertet anhand von mindestens 5 überprüfbaren Assertions durch unabhängige Agenten (insgesamt 902 Assertions). Skills erreichten **89 %** gegenüber einer Baseline von **55 %**. [](../../releases/tag/v2.1.0) [](LICENSE) [](#the-skills) [](https://claude.ai) [](https://github.com/Sushegaad/Claude-Skills-Governance-Risk-and-Compliance) --- ## Inhaltsverzeichnis - [Was sind Claude Skills?](#what-are-claude-skills) - [Für wen ist das gedacht?](#who-is-this-for) - [Die Skills](#the-skills) - [ISO 27001](#-iso-27001) - [SOC 2](#-soc-2) - [FedRAMP](#-fedramp) - [DSGVO](#-gdpr) - [HIPAA](#-hipaa) - [NIST CSF](#-nist-csf) - [PCI DSS](#-pci-dss) - [TSA Cybersecurity](#-tsa-cybersecurity) - [ISO 42001 AI Management System](#-iso-42001-ai-management-system) - [ISO 27701 Privacy Information Management](#-iso-27701-privacy-information-management) - [DORA Digital Operational Resilience](#-dora-digital-operational-resilience) - [DPDPA India Digital Personal Data Protection](#-dpdpa-india-digital-personal-data-protection) - [CMMC 2.0 Cybersecurity Maturity Model Certification](#-cmmc-20-cybersecurity-maturity-model-certification) - [NIST AI Risk Management Framework](#-nist-ai-risk-management-framework) - [SWIFT Customer Security Programme (CSP)](#-swift-customer-security-programme-csp) - [Australian Information Security Manual (ISM)](#-australian-information-security-manual-ism) - [EU NIS2 Directive](#-eu-nis2-directive) - [CCPA/CPRA California Privacy](#-ccpacpra-california-privacy) - [ITAR — International Traffic in Arms Regulations](#-itar--international-traffic-in-arms-regulations) - [LGPD — Brasiliens Allgemeines Datenschutzgesetz](#-lgpd--brazils-general-data-protection-law) - [CSRD — EU Corporate Sustainability Reporting Directive](#-csrd--eu-corporate-sustainability-reporting-directive) - [CIS Controls v8 — CIS Top 18 Cyber Hygiene](#-cis-controls-v8--cis-top-18-cyber-hygiene) - [EAR — Export Administration Regulations](#-ear--export-administration-regulations) - [NIST SP 800-53 — Security and Privacy Controls for Federal Systems](#-nist-sp-800-53--security-and-privacy-controls-for-federal-systems) - [EU AI Act — Regulation (EU) 2024/1689](#-eu-ai-act--regulation-eu-20241689) - [Section 508 — US Federal ICT Accessibility](#-section-508--us-federal-ict-accessibility) - [WCAG — Web Content Accessibility Guidelines](#-wcag--web-content-accessibility-guidelines) - [NZISM — New Zealand Information Security Manual](#-nzism--new-zealand-information-security-manual) - [Vietnam PDPL — Law on Personal Data Protection](#-vietnam-pdpl--law-on-personal-data-protection) - [EU CRA — Cyber Resilience Act](#-eu-cra--cyber-resilience-act) - [Saudi-Arabien GRC — Country Compliance Advisor](#-saudi-arabia-grc--country-compliance-advisor) - [VAE GRC — Country Compliance Advisor](#-uae-grc--country-compliance-advisor) - [TISAX — Trusted Information Security Assessment Exchange](#-tisax--trusted-information-security-assessment-exchange) - [TPRM — Third-Party Risk Management](#-tprm--third-party-risk-management) - [Cyber Essentials / CE Plus — UK Baseline Certification](#-cyber-essentials--ce-plus--uk-baseline-certification) - [SOX ITGC — IT General Controls for SOX 404](#-sox-itgc--it-general-controls-for-sox-404) - [Mögliche Anwendungsfälle](#potential-use-cases) - [Wie man einen Skill installiert](#how-to-install-a-skill) - [Installation über den Claude Code Marketplace](#install-via-claude-code-marketplace) - [Skill-Evaluierung](#skill-evaluation) - [Kundenstimmen](#customer-testimonials) - [Support](#support) - [Autor](#author) - [Haftungsausschluss](#disclaimer) --- ## Was sind Claude Skills? Claude Skills sind installierbare Wissenspakete, die Claudes Fähigkeiten für bestimmte Domänen erweitern. Ein Skill ist eine `.skill`-Datei — ein gebündeltes Archiv, das eine `SKILL.md`-Instruktionsdatei und optionales Referenzmaterial enthält — die Sie einmal in Claude hochladen und in allen Ihren Konversationen verwenden. Nach der Installation aktiviert sich ein Skill **automatisch**, wenn Ihre Konversation sein Themengebiet berührt. Sie müssen ihn nicht namentlich aufrufen oder spezielle Befehle verwenden. Claude wird für die Dauer Ihrer Sitzung einfach zu einem tiefergehenden Experten in dieser Domäne. **Skills sind ideal, wenn Sie benötigen:** - Konsistente Antworten auf Expertenniveau zu einem spezialisierten Thema - Ausgaben, die nach professionellen oder regulatorischen Standards formatiert sind (z. B. auditfähige Control-Narrative, Policy-Vorlagen mit den richtigen Klauseln) - Domänenwissen, das über allgemeines LLM-Training hinausgeht — etwa zu wissen, welche spezifischen NIST 800-53 Controls auf ein gegebenes Szenario zutreffen oder welche DSGVO-Artikel internationale Datenübermittlungen regeln **Wie Skills unter der Haube funktionieren:** Jede `.skill`-Datei enthält eine primäre `SKILL.md`, die in Claudes Kontext geladen wird, wenn der Skill ausgelöst wird, plus Referenzdateien, die bei Bedarf für tiefergehende Unterthemen geladen werden. Dieses Muster der „progressiven Offenlegung" hält die Kontextnutzung effizient, während umfassendes Wissen bei Bedarf verfügbar wird. <div style="position:relative;padding-bottom:56.25%;height:0;overflow:hidden;max-width:100%;"> <iframe width="560" height="315" src="https://www.youtube-nocookie.com/embed/-IBLNR0N2vE" title="Claude Skills for GRC Demo" frameborder="0" allow="accelerometer; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen loading="lazy" sandbox="allow-scripts allow-same-origin"></iframe> </div> --- ## Für wen ist das gedacht? Diese Skills sind für Fachleute konzipiert, die im Bereich Informationssicherheit, Datenschutz und regulatorische Compliance arbeiten — sei es in Organisationen, die eine Zertifizierung anstreben, in Entwicklungsteams, die konforme Systeme erstellen, oder in Beratungen, die Kunden unterstützen. **Security- & Compliance-Teams** nutzen diese Skills, um Gap-Analysen zu beschleunigen, erste Policy-Entwürfe zu erstellen, Controls zu kartieren und Nachweispakete vorzubereiten — wodurch wochenlange Referenzarbeit auf Minuten reduziert wird. **Softwareentwickler & Ingenieure** nutzen sie, um zu verstehen, welche Controls ihre Systeme implementieren müssen, um Code und Architektur auf Compliance-Probleme zu prüfen und um umsetzbare technische Anleitungen zu erhalten, die an spezifische regulatorische Anforderungen geknüpft sind. **Juristen, Datenschutz- & GRC-Fachleute** nutzen sie, um regulatorische Dokumente zu entwerfen (DPAs, BAAs, Datenschutzhinweise), Kundenfragen mit präzisen regulatorischen Zitaten zu beantworten und über Framework-Anforderungen auf dem Laufenden zu bleiben. **Gesundheitsorganisationen** nutzen den HIPAA-Skill, um Systeme zu bewerten, erforderliche Hinweise und Vereinbarungen zu erstellen und Mitarbeiter zu ihren Pflichten zu schulen — ohne für jede Frage einen Compliance-Berater zu benötigen. **Cloud-Service-Provider**, die Bundesverträge anstreben, nutzen den FedRAMP-Skill, um den ATO-Prozess zu navigieren, SSP-Narrative zu verfassen, POA&Ms zu verwalten und sich auf 3PAO-Bewertungen vorzubereiten. **Startups und KMU** nutzen diese Skills, um zu verstehen, was ein gegebenes Framework von ihnen verlangt, ihre Compliance-Programme abzugrenzen und Ergebnisse in Expertenqualität ohne ein großes internes Team zu erhalten. --- ## Die Skills <a id="-iso-27001"></a> ### 1. <img src="https://assets.kitploit.com/production/public/readmes/13360/1b8e916266811181ecf8f041e2b8125f8ada099ad5879a2426c790712b9320af.jpg" alt="ISO 27001" height="20" style="vertical-align:middle;object-fit:contain;"> ISO 27001 **Datei:** `ISO 27001 - Claude Skill/iso27001.skill` Der ISO 27001-Skill macht Claude zu einem Experten für ISO 27001 Lead Auditing und ISMS-Implementierungsberatung. Er deckt sowohl **ISO 27001:2013** (114 Controls, 14 Domänen) als auch **ISO 27001:2022** (93 Controls, 4 Themen) ab und verwendet standardmäßig die aktuelle Version von 2022. **Was er tut:** - Führt strukturierte **Gap-Analysen** gegen die verbindlichen Klauseln (4–10) und alle Annex-A-Controls durch - Erstellt vollständige, auditfähige **Policy-Dokumente** mit Dokumentenkontrollblöcken, Scope-Statements und Klausel-zu-Control-Zuordnungen - Bietet Schritt-für-Schritt-**Anleitungen zur Control-Implementierung** für jedes Annex-A-Control - Erstellt **Risikoregister** und **Risikobehandlungspläne** nach der Methodik Wahrscheinlichkeit × Auswirkung - Erstellt **Statement-of-Applicability-(SoA)**-Vorlagen, die alle 93 Controls abdecken - Begleitet den **Übergang 2013 → 2022** und erklärt die 11 neuen Controls und Zuordnungsänderungen **Auslösephrasen:** `ISO 27001`, `ISMS`, `Annex A`, `Statement of Applicability`, `SoA`, `gap analysis`, `risk register`, `certification readiness`, `internal audit` --- <a id="-soc-2"></a> ### 2. <img src="https://assets.kitploit.com/production/public/readmes/13360/83496193c7dd515316dc418567519579495687aff85d44542bde7b8cc358a6a1.jpg" alt="SOC 2" height="20" style="vertical-align:middle;object-fit:contain;"> SOC 2 **Datei:** `SOC 2 - Claude Skill/soc2.skill` Der SOC 2-Skill macht Claude zu einem Experten für SOC-2-Compliance-Beratung auf Grundlage der **AICPA 2017 Trust Services Criteria (TSC) mit den 2022 Revised Points of Focus**. Er deckt alle fünf TSC ab: Security (CC1–CC9), Availability (A1), Confidentiality (C1), Processing Integrity (PI1) und Privacy (P1–P8). **Was er tut:** - Führt **Gap-Analysen** über die im Geltungsbereich liegenden TSC-Kriterien mit 🔴/🟡/🟢-Statusbewertungen und Sanierungs-Roadmaps durch - Entwirft alle **12 zentralen SOC-2-Policies** (Information Security, Access Control, Incident Response, Change Management, Risk Assessment, Vendor Management, BCP/DR und weitere) - Dokumentiert **Controls** in auditorgerechtem Format: Control-ID, TSC-Kriterium, Typ, Verantwortlicher, Häufigkeit, Nachweis und Testverfahren - Erstellt **Nachweis-Checklisten**, die jedem Kriterium zugeordnet sind, mit Sampling-Anleitung für Type-1- vs. Type-2-Audits - Behandelt **Vendor-Risiko**: Tiering, Sicherheitsfragebögen mit 32 Fragen, Überprüfung von SOC-2-Berichten, CUEC-Tracking und vertragliche Anforderungen - Passt seinen Ton an — in einfacher Sprache für SOC-2-Teams, die es zum ersten Mal machen, technische AICPA-codierte Ausgabe für Praktiker und Auditoren **Auslösephrasen:** `SOC 2`, `Trust Services Criteria`, `TSC`, `CC6`, `Type 1`, `Type 2`, `AICPA`, `audit readiness`, `control statement`, `evidence` --- <a id="-fedramp"></a> ### 3. <img src="https://raw.githubusercontent.com/sushegaad/claude-skills-governance-risk-and-compliance/HEAD/assets/Logos/fedramp.svg" alt="FedRAMP" height="20" style="vertical-align:middle;object-fit:contain;"> FedRAMP [US] **Datei:** `FedRamp - Claude Skill/fedramp.skill` Der FedRAMP-Skill macht Claude zu einem sachkundigen FedRAMP-Berater, der den vollständigen Autorisierungslebenszyklus für Cloud Service Provider (CSPs) unter **NIST SP 800-53 Rev 5** und dem neuen **CR26 (FedRAMP Consolidated Rules for 2026)**-Framework abdeckt. Aktuell Stand August 2026 — CR26 ist final (verbindlich ab 1. Januar 2027) mit Zertifizierungsklassen A–D (A = Pilot/Übergang, B = LI-SaaS/Low, C = Moderate, D = High), Klassen-Pipelines, die im August 2026 öffnen, FedRAMP 20x als primärem Weg, Ready am 28. Juli 2026 eingestellt (Legacy FedRAMP Ready) und dem OSCAL-Mandat vom 30. September 2026 für neue Autorisierungen. **Was er tut:** - Führt **Readiness- und Gap-Bewertungen** anhand einer Checkliste mit über 75 Punkten durch, zugeordnet zu den CR26-Zertifizierungsklassen (A/B/C/D) - Begleitet die Erstellung von **ATO-Dokumentation**: System Security Plans (SSP), POA&Ms (mit korrekten SLAs: Critical=15d, High=30d, Moderate=90d, Low=365d), SAPs, SARs und allen Anhängen (A–Q) - **Kartiert NIST 800-53 Rev 5 Controls** über alle 20 Control-Familien; berät zum FedRAMP-20x-Ansatz der kontinuierlichen Autorisierung - Bietet **Cloud-Architektur-Anleitung** für AWS GovCloud, Azure Government und Google Cloud Government - Unterstützt **Continuous-Monitoring-(ConMon)**-Pflichten: monatliche Liefergegenstände, POA&M-SLA-Management, Abweichungsanträge - Berät zur **OSCAL-Readiness** für die verbindliche Einreichungsfrist am 30. September 2026 **Auslösephrasen:** `FedRAMP`, `ATO`, `SSP`, `POA&M`, `3PAO`, `NIST 800-53`, `ConMon`, `AWS GovCloud`, `Azure Government`, `CR26`, `FedRAMP 20x`, `OSCAL`, `Certification Class` --- <a id="-gdpr"></a> ### 4. 🇪🇺 DSGVO [EU] **Datei:** `GDPR - Claude Skill/gdpr-compliance.skill` Der DSGVO-Skill macht Claude zu einem Experten für DSGVO-Compliance, der technische und rechtliche Perspektiven verbindet. Er deckt die vollständige **EU-DSGVO** ab, mit Hinweisen zur **UK GDPR (DPA 2018)**, wo die Regeln abweichen, und passt seinen Ton automatisch an — technisch für Entwickler, rechtlich präzise für Compliance- und Datenschutzfachleute. **Was er tut:** - **Prüft Code, APIs, Datenbankschemata und Architekturen** auf DSGVO-Verstöße und erstellt nach Schweregrad abgestufte Feststellungen (🔴/🟡/🟢), die bestimmten DSGVO-Artikeln zugeordnet sind - **Entwirft Compliance-Dokumente** aus integrierten Vorlagen: Datenschutzhinweise (Art. 13/14), Auftragsverarbeitungsverträge (Art. 28), Cookie-/Consent-Banner, DPIAs (Art. 35), Datenaufbewahrungsrichtlinien und Verfahren für Betroffenenrechte - **Beantwortet Compliance-Fragen** mit maßgeblichen Artikelzitaten — jede Antwort beginnt mit dem maßgeblichen Artikel, dann Ausnahmen, dann praktische Implikationen - **Überprüft Datenflüsse und PII-Handling** über sechs Dimensionen (was, warum, wo, wer, wie lange, wie geschützt) und prüft die Übereinstimmung mit den RoPA-Anforderungen - Deckt alle zentralen DSGVO-Bereiche ab: Rechtsgrundlage, Einwilligung, Betroffenenrechte (Art. 15–22), internationale Übermittlungen (Art. 44–49), Reaktion auf Datenschutzverletzungen (Art. 32–34), besondere Kategorien personenbezogener Daten (Art. 9–10) und Sanktionen (Art. 77–84) **Auslösephrasen:** `GDPR`, `data protection`, `privacy`, `personal data`, `DPA`, `DPIA`, `lawful basis`, `data subject rights`, `consent`, `RoPA`, `Schrems II`, `ICO`, `EDPB` --- <a id="-hipaa"></a> ### 5. <img src="https://assets.kitploit.com/production/public/readmes/13360/1f1742cb6d5aac9160ceff87d2649d8946b0fb1e5657fc893991c5bea33b0e39.png" alt="HIPAA" height="20" style="vertical-align:middle;object-fit:contain;"> HIPAA [US] **Datei:** `HIPAA - Claude Skill/hipaa-compliance.skill` Der HIPAA-Skill macht Claude zu einem sachkundigen HIPAA-Compliance-Berater, der die **Privacy Rule, Security Rule und Breach Notification Rule** abdeckt (45 CFR Parts 160 und 164, in der durch HITECH geänderten Fassung). Er dient sowohl technischen Teams, die Systeme mit ePHI-Verarbeitung erstellen, als auch Compliance-/Rechtsteams, die organisatorische Pflichten verwalten. **Was er tut:** - **Überprüft Dokumente, Systeme und Architekturen** auf HIPAA-Compliance und erstellt strukturierte Feststellungen mit CFR-Zitaten, Risikostufen (High / Medium / Low) und Sanierungsschritten - **Erstellt HIPAA-konforme Dokumente** aus neun gebrauchsfertigen Vorlagen: Notice of Privacy Practices (NPP), Business Associate Agreements (BAA), Autorisierungsformulare, Workforce Training Acknowledgments, Security Incident Reports, Risk Analysis Templates und weitere — alle mit Inline-CFR-Zitaten - **Berät zu technischen Safeguards** für moderne Cloud-Umgebungen (AWS, Azure, GCP), FHIR-APIs, Mobile/BYOD und DevOps-Pipelines — und deckt alle 54 Implementation Specifications der Security Rule ab (Required und Addressable) - **Erklärt HIPAA in einfacher Sprache** für jedes Publikum — von Entwicklern, die Verschlüsselungsanleitung benötigen, bis zu allgemeinem Personal, das lernt, was als PHI gilt - **Begleitet die Reaktion auf Datenschutzverletzungen** anhand der 4-Faktoren-Risikobewertung, Benachrichtigungsfristen, HHS-Meldepflichten und Szenario-für-Szenario-Anleitung **Auslösephrasen:** `HIPAA`, `PHI`, `ePHI`, `covered entity`, `business associate`, `BAA`, `NPP`, `breach notification`, `minimum necessary`, `Privacy Rule`, `Security Rule` --- <a id="-nist-csf"></a> ### 6. <img src="https://assets.kitploit.com/production/public/readmes/13360/fba4d5c506ea7fcdc93306f04418b0eaf2a7dc0b8ba9e77ac0164e657dc7aaff.jpg" alt="NIST CSF" height="20" style="vertical-align:middle;object-fit:contain;"> NIST CSF **Datei:** `NIST Cybersecurity framework - Claude Skill/NIST Cybersecurity.skill` Der NIST-CSF-Skill macht Claude zu einem Experten für das NIST Cybersecurity Framework, der sowohl **CSF 2.0** (Februar 2024) als auch **CSF 1.1** (April 2018) abdeckt und standardmäßig das aktuelle CSF 2.0 verwendet. Er deckt alle sechs Funktionen ab — **Govern, Identify, Protect, Detect, Respond, Recover** — einschließlich der in CSF 2.0 neu eingeführten Govern-Funktion. **Was er tut:** - Führt strukturierte **Gap-Bewertungen** über alle sechs CSF-2.0-Funktionen, -Kategorien und -Subkategorien durch - Erstellt **Organisational Profiles** — Current und Target — abgestimmt auf Geschäftskontext, Risikotoleranz und regulatorische Pflichten - Bewertet **Implementation Tiers** (1–4) über drei Dimensionen und bietet gezielte Weiterentwicklungsanleitung - Erstellt **priorisierte Implementierungs-Roadmaps** mit phasenweisen 30/60/90-Tage- und strategischen Maßnahmen - **Kartiert CSF-Subkategorien** zu NIST SP 800-53, ISO 27001:2022 und CIS Controls v8 - Erstellt **Policies, die auf CSF-Funktionen abgestimmt sind** — Governance-Policy, Incident Response, Datensicherheit, Access Control und weitere - Begleitet die **Migration CSF 1.1 → CSF 2.0** mit einer detaillierten Subkategorie-Zuordnung und Migrations-Checkliste **Auslösephrasen:** `NIST CSF`, `Cybersecurity Framework`, `CSF 2.0`, `Govern function`, `GV.SC`, `ID.AM`, `PR.AA`, `DE.CM`, `RS.MA`, `RC.RP`, `cybersecurity profile`, `implementation tiers`, `CSF gap assessment` --- <a id="-pci-dss"></a> ### 7. <img src="https://assets.kitploit.com/production/public/readmes/13360/9651b451d683651828153371df9dd17bf1a54db3a375de14d65d714ee6e5814a.png" alt="PCI DSS" height="20" style="vertical-align:middle;object-fit:contain;"> PCI DSS **Datei:** `PCI Compliance - Claude Skill/PCI-Compliance.skill` Der PCI-DSS-Skill macht Claude zu einem Experten für PCI-DSS-Compliance-Beratung, der **PCI DSS v4.0.1** (Juni 2024 — aktuelle Version) abdeckt, einschließlich aller Anforderungen, die am 31. März 2025 verbindlich wurden. Er deckt alle 12 Anforderungen, alle 8 SAQ-Typen, Händler- und Service-Provider-Stufen sowie die wichtigsten Änderungen von v4.0 gegenüber v3.2.1 ab. **Was er tut:** - **Bestimmt den Geltungsbereich der Cardholder Data Environment (CDE)** — identifiziert, was im Geltungsbereich liegt, bewertet Netzwerksegmentierung und empfiehlt Scope-Reduzierung durch Tokenisierung oder P2PE - **Wählt den korrekten SAQ-Typ** — führt durch den Entscheidungsbaum für SAQ A, A-EP, B, B-IP, C, C-VT, P2PE und D mit Begründung - Führt strukturierte **Gap-Bewertungen** über alle 12 Anforderungen mit QSA-Nachweisanforderungen und häufigen Lücken durch - Bietet **Anleitung zur Control-Implementierung** für jede PCI-DSS-Sub-Anforderung — was zu implementieren ist, benötigte Nachweise und häufige Fallstricke - Erstellt **PCI-DSS-konforme Policies** — Incident Response, Access Control, Kryptografie, Patch-Management, Datenaufbewahrung und weitere - Begleitet die **Migration v3.2.1 → v4.0.1** einschließlich neuer Anforderungen für MFA-Erweiterung, Integrität von Zahlungsseiten-Skripten (Req 6.4.3), Phishing-Schutz (Req 5.4.1) und automatisierte Log-Überprüfung (Req 10.4.1.1) - Erklärt **Defined vs. Customised Approach** und wann eine Targeted Risk Analysis (TRA) zu verwenden ist **Auslösephrasen:** `PCI DSS`, `PCI compliance`, `cardholder data`, `CDE`, `SAQ`, `ROC`, `QSA`, `ASV scan`, `PAN`, `tokenisation`, `P2PE`, `merchant level`, `payment page`, `Req 8.4.2`, `Req 6.4.3` --- <a id="-tsa-cybersecurity"></a> ### 8. 🚨 TSA Cybersecurity [US] **Datei:** `TSA Compliance - Claude Skill/TSA-Compliance.skill` Die TSA-Cybersecurity-Skill macht Claude zu einem Expertenberater für TSA-Cybersecurity-Richtlinien für **kritische Verkehrsinfrastruktur**. Sie deckt alle aktuellen TSA-Sicherheitsdirektiven-Serien ab — **SD Pipeline-2021-01G**, **SD Pipeline-2021-02F**, **SD 1580-21-01E** (Schienengüterverkehr) und **SD 1582-21-01E** (Nahverkehr/Personenschienenverkehr) — sowie den **NPRM vom November 2024**, der vorschlägt, diese Direktiven als dauerhafte Bundesvorschriften zu formalisieren. > **Hinweis zu SSI:** TSA-Sicherheitsdirektiven sind als **Sensitive Security Information (SSI)** gemäß 49 CFR Part 1520 eingestuft. Diese Skill basiert auf öffentlich verfügbaren Zusammenfassungen, Federal-Register-Bekanntmachungen und DHS/CISA-Veröffentlichungen — nicht auf dem klassifizierten vollständigen Direktivtext. Betroffene Unternehmen erhalten die tatsächliche Direktive direkt von der TSA. **Was sie leistet:** - **Bestimmt die Anwendbarkeit** — welche Direktiven-Serie für Ihre Organisation gilt (Pipeline, Schienengüterverkehr, Nahverkehr oder Bus) und was das für Ihre Compliance-Pflichten bedeutet - Führt strukturierte **Gap-Assessments** über die vier technischen Domänen durch: IT/OT-Netzwerksegmentierung, Zugriffskontrollen (MFA), kontinuierliche Überwachung und Patch-Management - **Entwirft Dokumente für das Cyber Risk Management Program (CRMP)**: Cybersecurity Implementation Plan (CIP/COIP), Incident Response Plan (IRP), Architecture Design Review (ADR) und Cybersecurity Assessment Plan (CAP) - Unterstützt bei der **OT/ICS-spezifischen Implementierung** — Data Diodes, Jump Server für Legacy-HMIs, passive Monitoring-Tools (Claroty, Dragos, Nozomi), OT-Patch-Lebenszyklus mit Herstellerkoordination - Erläutert die **24-Stunden-Meldepflichten an CISA** bei Vorfällen: was darunter fällt, wie gemeldet wird, Beispielformulierungen für die Erstmeldung und die Überschneidung mit CIRCIA - Berät zum **jährlichen IRP-Testing** — mindestens zwei Ziele, Testszenarien, Dokumentationsanforderungen und After-Action-Review-Prozess - Erläutert die **Auswirkungen des NPRM 2024**: Ausrichtung an NIST CSF 2.0, CISA-CPG-Baseline, vorgeschlagene COIP-Struktur und was sich ändert, wenn die Regel finalisiert wird **Trigger-Phrasen:** `TSA Security Directive`, `SD Pipeline-2021`, `SD 1580-21-01`, `SD 1582-21-01`, `TSA cybersecurity`, `Critical Cyber Systems`, `CCS`, `Cybersecurity Coordinator`, `Cybersecurity Implementation Plan`, `CIP`, `CRMP`, `IRP testing`, `Architecture Design Review`, `ADR`, `CAP`, `CISA 24-hour reporting`, `OT segmentation TSA`, `pipeline cybersecurity`, `rail cybersecurity directive`, `transit cybersecurity`, `TSA NPRM 2024` --- <a id="-iso-42001-ai-management-system"></a> ### 9. <img src="https://assets.kitploit.com/production/public/readmes/13360/94d64c693a5b55286e94f7b665a252f7981d797b4b7e7779f19ab215a3a3ee47.webp" alt="ISO 42001" height="20" style="vertical-align:middle;object-fit:contain;"> ISO 42001 AI-Managementsystem **Datei:** `ISO 42001 - Claude Skill/ISO-42001.skill` Die ISO-42001-Skill macht Claude zu einem Expertenberater für **ISO/IEC 42001:2023** AI-Managementsysteme (AIMS) — den weltweit ersten internationalen Standard für AI-Governance. Sie dient sowohl **AI-Anbietern** (Organisationen, die AI entwickeln oder einsetzen) als auch **AI-Nutzern** (Organisationen, die KI von Drittanbietern integrieren) und deckt den gesamten Zertifizierungslebenszyklus von der Gap-Analyse bis zur Audit-Bereitschaft für Stage 2 ab. **Was sie leistet:** - Führt strukturierte **Gap-Assessments** über alle obligatorischen Klauseln (4–10) und alle **38 Annex-A-Controls** (Domänen A.2–A.10) mit 🔴/🟡/🟢-Status, Nachweisanforderungen und einem phasierten Remediation-Fahrplan durch - Begleitet die obligatorische **AI System Impact Assessment (AISIA)** Schritt für Schritt — Identifizierung betroffener Personengruppen, Bewertung von Auswirkungsdimensionen (Schweregrad, Umkehrbarkeit, Reichweite, menschliche Aufsicht), Klassifizierung des Auswirkungsgrads (Niedrig/Mittel/Hoch) und Bestimmung verhältnismäßiger Kontrollanforderungen - Führt **AI-Risikobewertungen** über alle Risikokategorien durch: Modellrisiken (Bias, Drift, Halluzination, adversarial attacks), Datenrisiken (Qualität, Poisoning, Datenschutz in Trainingsdaten), operationelle Risiken (Scope Creep, menschliche Überabhängigkeit) und Lieferkettenrisiken (Drittanbieter-Modellrisiko, API-Abhängigkeiten) - Erstellt eine vollständige **Statement of Applicability (SoA)** über alle 38 Annex-A-Controls (A.2.2–A.10.4) mit Anwendbarkeitsentscheidungen, Begründungen und Implementierungsstatus - Entwirft alle zentralen **AIMS-Richtlinien** — AI Policy, AI Risk Management Policy, AI Acceptable Use Policy, Data Governance for AI Policy, AI Incident Management Policy, AI System Lifecycle Policy und AI Supplier Management Policy — jeweils mit Dokumentenkontrollblöcken und Klauselverweisen - Erstellt **Audit-Checklisten für Stage 1 und Stage 2** mit RAG-Status, Nachweisanforderungen pro Klausel und typischen Prüferschwerpunkten - **Mappt ISO 42001 auf den EU AI Act** — richtet AISIA an der Fundamental Rights Impact Assessment (FRIA) für Hochrisiko-KI-Systeme aus; mappt Annex-A-Controls auf die technischen Anforderungen des EU AI Act - **Integriert ISO 42001 mit ISO 27001** für Organisationen, die ein einheitliches ISMS + AIMS aufbauen **Trigger-Phrasen:** `ISO 42001`, `ISO/IEC 42001`, `AI Management System`, `AIMS`, `AISIA`, `AI System Impact Assessment`, `responsible AI standard`, `AI governance standard`, `Annex A AI controls`, `AI risk assessment ISO`, `Statement of Applicability AI`, `AI policy ISO`, `AI certification`, `AI lifecycle controls`, `AI supplier management ISO`, `EU AI Act management system`, `NIST AI RMF ISO mapping`, `AI bias controls`, `AI transparency standard`, `AI incident management ISO` --- <a id="-iso-27701-privacy-information-management"></a> ### 10. <img src="https://assets.kitploit.com/production/public/readmes/13360/b05ef92cf5653e4c65e5e6ff9b54aad12fa9ffd3cbf4c65c09e8324f6e5db463.png" alt="ISO 27701" height="20" style="vertical-align:middle;object-fit:contain;"> ISO 27701 Privacy Information Management **Datei:** `ISO 27701 - Claude Skill/iso27701.skill` Die ISO-27701-Skill macht Claude zu einem Expertenberater für **ISO/IEC 27701:2025** Privacy Information Management Systeme (PIMS) — und deckt den gesamten Lebenszyklus von der Gap-Analyse bis zur Zertifizierung ab. Sie behandelt sowohl **ISO 27701:2025** (die neue eigenständige Ausgabe) als auch **ISO 27701:2019** (die ältere ISO-27001-Erweiterung) und deckt sowohl **PII-Controller** als auch **PII-Processor** ab. **Was sie leistet:** - Führt strukturierte **Gap-Analysen** über alle obligatorischen HLS-Klauseln (4–10) und alle 78 Annex-A-Controls durch — 31 für PII-Controller (A.1), 18 für PII-Processor (A.2) und 29 gemeinsame Sicherheits-Controls (A.3) - Erstellt vollständige, auditfähige **PIMS-Richtliniendokumente** — Privacy Policy, Records of Processing Activities (RoPA), Data Subject Rights Procedure, Privacy by Design Procedure, Data Processing Agreements (DPAs) und mehr - Erstellt **Datenschutz-Risikoregister** mit Fokus auf Schäden für PII-Betroffene, löst DPIAs für Hochrisikoverarbeitungen aus und erstellt Risikobehandlungspläne - Erstellt **Statements of Applicability (SoA)**, zugeschnitten auf die Rolle der Organisation (Controller, Processor oder beides), mit Anwendbarkeitsentscheidungen und Begründung - Bietet **Implementierungsanleitungen Control für Control** für jedes A.1-, A.2- und A.3-Control — mit Zweck, Implementierungsschritten, Auditnachweisen und typischen Fallstricken - Begleitet **Übergänge von 2019 → 2025** mit einer vollständigen Control-Mapping-Tabelle, Gap-Analyse-Checkliste und empfohlenem Zeitplan bis zur Frist im Oktober 2028 - **Mappt ISO 27701 auf die DSGVO** Artikel für Artikel, plus CCPA/CPRA, LGPD, PIPEDA, PDPA (Singapur/Thailand) und UK GDPR **Trigger-Phrasen:** `ISO 27701`, `PIMS`, `privacy information management`, `PII controller`, `PII processor`, `privacy risk assessment`, `DPIA`, `data subject rights`, `records of processing activities`, `RoPA`, `privacy by design`, `data processing agreement`, `DPA`, `GDPR alignment ISO 27701`, `ISO 27701:2025`, `ISO 27701:2019`, `27701 transition`, `standalone PIMS`, `Annex A controller controls`, `Annex A processor controls` --- <a id="-dora-digital-operational-resilience"></a> ### 11. <img src="https://assets.kitploit.com/production/public/readmes/13360/d66c899f9e9c7cda51daceb14583af82e75aca1f0c7e9359e53f89ac6b47cac6.png" alt="DORA" height="20" style="vertical-align:middle;object-fit:contain;"> DORA [EU] — Digitale operationale Resilienz **Datei:** `DORA - Claude Skill/dora.skill` Die DORA-Skill macht Claude zu einem Expertenberater für die **Verordnung (EU) 2022/2554** (den Digital Operational Resilience Act) — die zentrale IKT-Verordnung für EU-Finanzunternehmen seit dem 17. Januar 2025. Sie kodiert alle 64 DORA-Artikel, alle 12 angenommenen RTS/ITS und bietet präzise Anleitungen auf Artikel-Ebene für jeden Compliance-Workflow. Sie trennt DORA ausdrücklich von NIS2, den alten EBA-IKT-Leitlinien und ISO 27001 — eine häufige Quelle von Verwechslungen in allgemeinen LLM-Antworten. **Was sie leistet:** - Führt strukturierte **DORA-Gap-Analysen** über alle vier Säulen durch: IKT-Risikomanagementrahmen (Kapitel II, Art. 5–16), Incident-Management (Kapitel III, Art. 17–23), Resilienztests / TLPT (Kapitel IV, Art. 24–27) und IKT-Drittanbieterrisiko (Kapitel V, Art. 28–44) - Unterstützt bei der **Klassifizierung IKT-bezogener Vorfälle** anhand der Kriterien aus Art. 18 und der Wesentlichkeitsschwellen in CDR (EU) 2024/1772, mit einem vollständigen Entscheidungsbaum für schwerwiegend vs. nicht schwerwiegend - Erstellt **dreistufige Vorfallmeldeprozesse** gemäß Art. 19 und CDR (EU) 2025/301 — Erstmeldung (4 Std.), Zwischenmeldung (72 Std.), Abschlussmeldung (1 Monat) — einschließlich der Inhaltsanforderungen für jede Stufe --- [Read more](https://github.com/sushegaad/claude-skills-governance-risk-and-compliance)
