In 4 Tagen bauen IT-Verantwortliche und Engineering-Teams eine reproduzierbare Toolchain für die fünf wichtigsten Cyber- Regulierungen: ISMS-Risiko-Engine, Annex-A-Controls als YAML, NIS-2-Incident-Playbooks im EU-CSIRT-Format, CRA-Vulnerability-CI mit SBOM und eine Audit-Evidence-Pipeline. Output: ein versioniertes Take-Home-Repo, das Ihre Organisation am nächsten Tag produktiv einsetzt.
Stack: Terraform · Ansible · GitLab CI · HashiCorp Vault · Open Policy Agent · Trivy / Syft · Dependency-Track · OpenSearch
Wolfgang Zeiler ist Senior Engineer und ISMS-Practitioner mit 25+ Jahren Erfahrung an der Schnittstelle zwischen ISO/IEC 27001, NIS-2 und Cyber-Engineering. Mehrere Kunden hat er zu ISO/IEC-27001- und TISAX-Zertifizierungen geführt — unter anderem Innerio, SVI Austria, BENNING, Haberkorn und Collini.
Sein Stil ist hands-on und template-basiert: „Analytisch denken, klar kommunizieren, dabei immer den Menschen im Blick — nicht nur die Sprache der Normen sprechen, sondern auch die der Kunden." Genau diese Brücke zwischen Regelwerk und Implementierung trägt diesen Workshop.
Wolfgang aktiviert Spezialist:innen aus dem SMARTIS-Netzwerk je nach Bedarf: Penetration-Tester:innen für die CRA-Sektion, Netzwerk-Engineers für das Incident-Response-Lab. Am Tag 4 stellt tablegray einen Co-Trainer für die Plattform-Pflichten (DSA & DMA) — dort ist die Recht-×-Technik-Brücke besonders ausgeprägt.
Jeder Lauf hat damit ein klar definiertes Trainer-Pärchen, das die Bandbreite vom ISMS-Foundations-Tag bis zur Plattform-Regulierung abdeckt.
Die FFG Skills Schecks 2026 fördern externe Weiterbildung österreichischer KMU mit 50 % der Kosten — max. 5.000 € pro Skills-Scheck, max. 5 Schecks pro Unternehmen. ISO/IEC 27001 ist als ISMS-Implementierungs-Workshop ein anerkannter FFG-Förderschwerpunkt („Digitale Technologien & IT-Anwendungen / IT-Sicherheit, Programmierung"). Wichtig: NIS-2-, DSA- und CRA-Inhalte sind NUR förderfähig, wenn es um deren Implementierung in IT-Systemen geht. Genau das ist hier in jeder Stunde der Fall.
Einreichung im offiziellen FFG-Portal eCall innerhalb von 4 Wochen vor Workshop-Beginn. Bei Bedarf nutzen Sie förderantrag.at als Service-Partner. Laufende Einreichung bis 15.12.2026.
crosswalk.yaml (ISO Annex A ↔ NIS-2 ↔ CRA)
· ENISA-NIS-2-Maturity-Baseline.
Repo-Output: risk-engine/, asset-inventory/, controls/crosswalk.yaml
8 UE
controls/iso27001-annex-a.yaml, policies-as-code/
8 UE
incident-response/, vulnerability-handling/, supply-chain/
8 UE
dsa-transparency/, dma-interop/, audit-evidence/
8 UE
Ein lauffähiges, versioniertes GitLab-Repo in der eigenen Organisation der Teilnehmenden. Sechs Sektionen, die am Workshop-Tag entstehen und am nächsten Tag produktiv einsetzbar sind — gegen jede der fünf adressierten Cyber-Regulierungen.
$ tree tablegray-smartis-regulatorik-toolkit/ ├── risk-engine/ │ ├── risk-register.yaml │ ├── threat-catalog.yaml │ └── populate-from-cloud.py ├── asset-inventory/ │ ├── terraform/ # AWS+Azure+GCP │ ├── ansible/ # On-Prem │ └── inventory-schema.json ├── controls/ │ ├── iso27001-annex-a.yaml │ ├── nis2-art21-mapping.yaml │ ├── cra-annex-i-mapping.yaml │ └── crosswalk.yaml ├── policies-as-code/ │ ├── access-control.rego │ ├── encryption-defaults.tf │ └── backup-restore.yaml ├── incident-response/ │ ├── nis2-meldevorlage.json │ ├── playbook-fruehwarnung-24h.md │ └── playbook-meldung-72h.md ├── vulnerability-handling/ │ ├── ci-pipeline-sbom.yml │ ├── dependency-track.tf │ └── triage-workflow.md ├── supply-chain/ │ ├── sigstore-cosign-sign.yml │ └── reproducible-build.dockerfile ├── dsa-transparency/ │ ├── report-generator.py │ └── notice-and-action-api/ ├── dma-interop/ │ └── data-portability-api/ ├── audit-evidence/ │ ├── collector.py │ ├── retention-policy.yaml │ └── evidence-store.tf └── README.md
Voraussetzungen: Git, Linux-CLI, Docker, Grundverständnis Cloud (AWS/Azure/GCP) und Infrastructure-as-Code. YAML-Komfort reicht für 80 % der Übungen — volle Programmiererfahrung ist ein Plus, aber nicht zwingend.
Jede:r Teilnehmende bekommt 24 Stunden vor Workshop-Beginn Zugang zu einer Hetzner-Cloud-Lab-Umgebung (Deutschland):
Take-Home-Repo bleibt dauerhaft in Ihrer GitLab-Org. Quartals-Updates über das tablegray-/SMARTIS-Curriculum-Repo.
Curriculum, Hands-on-Labs und Vortrag verantwortet Wolfgang Zeiler (SMARTIS e.U.) als Senior Engineer und ISMS-Practitioner. Co-Trainer aus dem SMARTIS-Netzwerk je nach Bedarf.
tablegray stellt Lab-Infrastruktur, Marken-Akquise, das Curriculum-Update-Repo — und einen Co-Trainer am Tag 4 für die Plattform-Pflichten (DSA / DMA), wo die Recht-×-Technik-Brücke besonders dicht ist.
Formaler Anbieter und Aussteller der Teilnahmebestätigung ist die yT Betriebs GmbH (yourTARGET), Graz — NÖcert-zertifiziert und im österreichweiten Ö-Cert-System als gleichwertig anerkannt. Damit ist die FFG-Skills-Schecks-Förderfähigkeit gegeben.
Wenn Ihr Team statt ISMS / NIS-2 / CRA in KI-Datenflüsse, Privacy-Engineering, Bias-Tests und DSGVO-Betroffenenrechte investiert, gibt's das parallel laufende 4-Tages-Programm:
Zu den AI-Act-Praxistagen →Wenn Sie nur an einem Tag den Microservice für Auskunft, Berichtigung, Löschung und Portabilität bauen wollen — ohne den größeren ISMS-/NIS-2-Bogen.
Zum DSAR-Workshop →