isms-builder v1.37.5.3
自托管的信息安全管理体系 — ISO 27001、NIS2、GDPR/DSGVO、BSI IT-Grundschutz
ISMS Builder
自托管信息安全管理体系——开源，无需云服务
📖 Wiki — Docker-Image-Nutzung & Umgebungsvariablen, Architektur & Module, FAQ, Mitwirken (DE/EN)
⚠️ 安全警告：传播恶意软件的虚假仓库和副本
ISMS Builder 没有打包的“发布版本”、安装程序或可下载的 ZIP 文件——唯一 合法来源是本仓库，直接从 GitHub 克隆或下载的纯 源代码。我们已知至少有一个冒充本项目的恶意仓库 （虚假 README、虚假的“下载”按钮链接到一个伪装成截图的 ZIP 文件，其中包含 Windows 恶意软件加载器——
.cmd→.exe→ Lua-DLL 载荷链）。请勿从本仓库以外的任何地方下载或运行任何 “isms_builder” ZIP/安装程序/exe 文件。 如果您发现冒充本项目的可疑仓库或网站，请提交 issue 或 discussion，以便我们将其标记。
状态：活跃开发中——尚未成为成品。 核心模块已可运行并投入使用，但部分功能尚不完整， 平台仍在成长中。非常欢迎贡献、反馈和真实环境 测试——这正是本项目开源的原因。
🛡️ 相关项目：NIS2 Quick-Check—— 一个免费、独立的 NIS2 自检工具（10 个领域 × 5 个问题，覆盖全部 27 个欧盟成员国、全部 24 种 欧盟官方语言）。完全在浏览器中运行，无后端，无需安装。它不属于 ISMS Builder，使用 ISMS Builder 也不需要它——只是一个用于快速初步定位的配套工具。
什么是 ISMS Builder？
ISMS Builder 是一个用于管理信息安全管理体系（ISMS）的自托管 Web 平台。 它覆盖完整的合规生命周期——从策略编写到审计证据——适用于 ISO 27001:2022、NIS2、GDPR/DSGVO、BSI IT-Grundschutz 及其他框架。
无云服务。无 SaaS 费用。您的数据留在您自己的服务器上。
专为需要真正 ISMS 工具但又不想承担五位数供应商合同的中小企业、IT 团队和顾问而设计。
预期用途与范围
本项目最初是作为单个 ISMS 从业者的实用工具而起步，并由此发展壮大。它 开源是因为这项工作可能对他人有用——而不是因为它是一个伪装的商业产品。 明确说明这一点有助于您判断它是否适合您的情况。
它的构建目标。 一个小型 ISMS 团队——往往只有一个人，有时是几个人——负责编写和维护管理体系的文档：方针、风险、资产、控制措施、证据。需要账号的人数预计会保持很少。触达大量受众无需账号即可实现：方针确认以基于令牌的链接发送，因此接收者无需登录即可阅读并确认文档，也不会出现在任何用户列表中。
它对您的要求。 ISMS Builder 是自托管的，由此产生的一切都由您负责：部署、TLS、加固、备份、更新、访问控制，以及您在其中存储的任何数据的数据保护义务。该项目提供合理的默认配置，而非托管服务。
它不是什么。 没有托管 SaaS 产品，没有商业支持合同，也没有服务级别协议。它不是多租户托管产品。它不会让您获得任何标准的认证，也不是法律建议——它帮助您组织和举证相关工作，但评估仍由您和您的审核员负责。
谁在维护它。 一个人，在全职工作之余维护。问题和讨论会被阅读并答复，通常在几天内；安全报告会被优先处理。欢迎功能请求，它们确实会影响路线图，但要在有限的晚间时间里相互竞争。如果您的组织依赖固定时间表或保证响应，诚实的建议是选择商业供应商——这并不是回避该项目的理由，只是要现实地做规划的理由。
截图
| 登录 | 仪表板 |
|---|---|
 |  |
| 适用性声明 | 风险管理 |
|---|---|
 | |
| GDPR 与数据保护 | 资产管理 |
|---|---|
 |  |
| 指南与文档 | 报告 |
|---|---|
 |  |
| 措施登记册 | 某项控制措施的措施 |
|---|---|
 |  |
运行
npm start并打开https://localhost:3000，在本地浏览完整的演示数据集。
功能概览
| 模块 | 描述 | 标准 |
|---|---|---|
| 策略管理 | 模板 CRUD、版本控制、生命周期（草稿 → 审查 → 批准 → 归档）、空间层级、附件 | ISO 27001 §5 |
| 适用性声明 | 跨 5 个框架（BSI IT-Grundschutz、EU NIS2、EUCS、EU AI Act、CRA）的 147 项内置控制，加上您自行导入的 ISO 27001 / 9000 / 9001 控制（从不随附）、内联编辑、差距分析、交叉映射 | ISO 27001 A / BSI / NIS2 / EUCS / EUAI / ISO 9001 / CRA |
| 措施登记册 | 一个登记册用于风险处置、审计发现行动、治理措施和 TOM——责任人、截止日期、状态、证据；可分配给 SoA 控制、发现和风险；显示在 SoA、风险、发现、治理和 GDPR 中，从早期版本自动升级（文档） | ISO 27001 §6.1.3 / GDPR Art. 32 |
| 风险管理 | 风险登记册、处置计划（保存在措施登记册中）、审计员角色 | ISO 27001 §6.1 |
| 安全目标 | 带进度条的 KPI 跟踪、日历集成 | ISO 27001 §6.2 |
| GDPR 与隐私 | VVT、AV 合同、DSFA、TOM、DSAR 队列、72 小时计时器、带电子邮件警报的删除日志 | DSGVO Art. 13–35 |
| 资产管理 | 资产登记册、可编辑的资产类型、带依赖继承的保护目标（CIA + 真实性）、分类级别、EoL 跟踪 | ISO 27001 A.5.9–5.12 |
| BCM / BCP | 业务影响分析、连续性计划、演练 | ISO 27001 A.5.29–5.30 / NIS2 |
| 培训记录 | 培训目录、完成跟踪、证书上传 | ISO 27001 A.6.3 |
| 供应商管理 | 供应商登记册、审计安排、风险评估 | ISO 27001 A.5.19–5.22 |
| 法律与合同 | 合同、NDA、隐私政策、到期日历 | |
| 事件收件箱 | CISO 收件箱 + 公开报告表单（无需登录） | NIS2 / BSI |
| 治理 | 管理评审、会议纪要、治理措施（保存在措施登记册中） | ISO 27001 §9.3 |
| 报告 | 合规矩阵（控制 × 实体）、差距报告、审查周期、CSV 导出 | |
| 审计发现 | 发现登记册（IST→SOLL→风险→建议）、行动计划、严重性/状态跟踪、FIND-YYYY-NNNN 编号 | ISO 27001 §9.2 |
| 审计管理 | 带检查清单的审计、从不符合项创建发现、年度审计计划（季度计划、审批）、日历和仪表板集成、CSV/PDF 导出 | ISO 27001 §9.2, ISO 19011 |
| 策略确认 | 向员工可验证地分发策略并确认理解、集中审计证据（文档） | ISO 27001 7.3, A.6.3 |
| NIS2 | Art. 21 治理检查清单（30 项）和 Art. 23 报告截止日期及自动警报 | NIS2 Art. 21 / 23 |
| 日历 | 一个日历用于跨模块的截止日期：措施、风险处置、审计、审查、合同、培训、截止日期 | |
| 指南 | 内置手册和知识库（模块指南、角色指南、自有文档）带搜索，支持五种语言 | |
| 移动应用（Android） | 独立的 Android 应用，可离线工作，拥有自己的数据集，并通过 Wi-Fi 或文件包与服务器同步：同步账户及按模块权限、通过二维码设置、模板、SoA、风险、资产、发现和指南（只读）；需要 STORAGE_BACKEND=json（文档）。尚未公开发布：如果您想提前试用，请通过项目网站联系我们 | |
| 可追溯性 | 每条记录都链接到 SoA 控制 + 策略文档——双向 | |
| 语义搜索 | 通过 Ollama（nomic-embed-text）的本地 AI 搜索，带关键词回退 | |
| 多实体 | 公司结构树、按实体的控制和策略适用性 | |
| 多语言 UI 与演示数据 | 完整的 UI、演示内容和模块文档支持 🇩🇪 DE / 🇬🇧 EN / 🇫🇷 FR / 🇳🇱 NL / 🇭🇺 HU；管理员可控制可用语言 |
⚠ 重要提示：ISO 控制项需要由管理员手动安装
ISO 27001:2022、ISO 9000:2015 和 ISO 9001:2015 是由国际标准化组织（ISO，© ISO）发布的受版权保护的标准。控制项定义 （标题、描述、要求文本）不包含在本软件中，且不得 在没有有效 ISO 许可证的情况下再分发。
这在实践中意味着什么： ISO 27001、ISO 9000 和 ISO 9001 的 SoA 模块发布时不包含控制项内容。 管理员必须手动导入控制项，这些框架才能使用：
- 从 iso.org 或授权的国家机构获取该标准的授权副本
- 准备一个包含控制项定义的 JSON 文件（格式记录在
scripts/import-iso-controls.sh中） - 运行导入脚本：
bash scripts/import-iso-controls.sh path/to/iso-controls.json - 重启 ISMS Builder 服务器
开箱即用的框架（无需 ISO 许可证）： BSI IT-Grundschutz、EU NIS2、EUCS、EU AI Act 和 CRA 基于公开可用的 欧盟立法和德国联邦出版物，已完全预装。