Governance für Browsererweiterungen im Kontext von NIS2, DORA und GDPR

Maria, CISO eines schnell wachsenden Fintech-Unternehmens, war überzeugt, dass die DORA-Vorprüfung gut verlief. Ihr Team hatte das IKT-Drittparteienregister, kritische SaaS-Verträge, Aufzeichnungen zur Lieferanten-Due-Diligence, Entscheidungen zur Risikoakzeptanz und das Berichtspaket für das Leitungsorgan vorbereitet.

Dann stellte der Prüfer eine Frage, auf die niemand vorbereitet war.

“Können Sie uns Ihren Governance-Prozess für Browsererweiterungen zeigen?”

Die Frage ergab sich aus einer Endpunktprüfung mit einem Finanzanalysten. Während einer Bildschirmfreigabe bemerkte der Prüfer eine Produktivitätserweiterung eines Drittanbieters im Browser des Analysten. Sie wirkte harmlos, aber eine kurze Recherche zeigte, dass der Entwickler drei Monate zuvor von einer Lieferkettenkompromittierung betroffen war. Die kompromittierte Erweiterung war genutzt worden, um Sitzungstoken großer SaaS-Plattformen abzuschöpfen.

Das Fintech hatte strenge Vorgaben gegen nicht autorisierte Software. Es verfügte über EDR, MFA, CASB, SaaS-Protokolle und ein an ISO/IEC 27001 ausgerichtetes ISMS. Aber niemand hatte den Browser als verwaltete Softwareplattform behandelt. Niemand hatte Erweiterungen inventarisiert. Niemand hatte ihre Berechtigungen genehmigt. Niemand hatte geprüft, ob Entwickler von Erweiterungen als Lieferanten zu behandeln sind. Niemand hatte Erweiterungsaktivitäten auf Nachweise für DORA, NIS2 oder GDPR abgebildet.

Ein einziges Browser-Add-on hatte aus einem scheinbar konformen Endpunkt eine mögliche Hintertür zu Finanzsystemen, Kundendaten und regulierten Workflows gemacht.

Das ist das Governance-Problem bei Browsererweiterungen im Jahr 2026. Der Browser ist längst nicht mehr nur ein Fenster ins Internet. Dort authentifizieren sich Mitarbeitende, genehmigen Zahlungen, greifen auf CRM-Datensätze zu, verarbeiten personenbezogene Daten, verwalten Cloud-Infrastruktur und interagieren mit kritischen SaaS-Plattformen. Erweiterungen sind keine kosmetischen Add-ons mehr. Sie sind Drittcode, der in der sensibelsten Ebene moderner Arbeit ausgeführt wird.

Für CISOs, Compliance-Verantwortliche, Datenschutzbeauftragte und IKT-Risikoverantwortliche liegen nicht gesteuerte Erweiterungen an der Schnittstelle von Endpunktsicherheit, Shadow IT, Lieferantenrisiko, Änderungsmanagement, Schwachstellenmanagement und datenschutzrechtlicher Rechenschaftspflicht. ISO/IEC 27001:2022 gibt Organisationen die Struktur, um dieses Risiko zu steuern. NIS2, DORA und GDPR erzeugen den regulatorischen Druck, dies nachzuweisen.

Browsererweiterungen sind Software, Lieferanten und Auftragsverarbeiter

Die meisten Organisationen haben bereits gelernt, Laptops, mobile Geräte, Server, SaaS-Anwendungen, Cloud-Infrastruktur und privilegierte Konten zu verwalten. Browsererweiterungen fallen häufig zwischen diese Programme.

Sicherheitsteams betrachten sie als Browsereinstellung. Die Beschaffung sieht sie nicht, weil kein Vertrag unterzeichnet wird. Die Rechtsabteilung sieht sie nicht, weil keine Anfrage zum Lieferanten-Onboarding eröffnet wird. Datenschutzteams sehen sie nicht, weil die Erweiterung von einem Benutzer installiert und nicht als offizielle Anwendung bereitgestellt wird. Dennoch kann die Erweiterung die Berechtigung anfordern, Daten auf allen Websites zu lesen und zu ändern, Inhalte der Zwischenablage aufzurufen, Seitenmetadaten zu erfassen, Downloads zu verwalten, Skripte einzuschleusen oder mit einem externen Backend zu kommunizieren.

Damit kann eine Browsererweiterung gleichzeitig Folgendes sein:

Der [ZB] Zenith Blueprint: Eine 30-Schritte-Roadmap für Auditoren erfasst das Kernproblem in seiner ISO/IEC 27002:2022-Anleitung zu Maßnahme 8.19. Er warnt: “Selbst wohlmeinende Mitarbeitende installieren möglicherweise Werkzeuge, um ‘die Arbeit schneller zu erledigen’ – eine Browsererweiterung, eine Code-Bibliothek, eine Dateiübertragungs-App –, ohne zu erkennen, dass sie damit gerade eine Hintertür, eine ungepatchte Abhängigkeit oder einen Vektor für Datenexfiltration eingeführt haben.”

Dieser Satz sollte als Risikohinweis auf Ebene des Leitungsorgans behandelt werden. Mitarbeitende, die riskante Erweiterungen installieren, versuchen in der Regel nicht, Sicherheitsvorgaben zu umgehen. Sie wollen ihre Produktivität verbessern. Das Governance-Versagen entsteht, wenn die Organisation keinen sicheren Prozess für Anfrage, Genehmigung, Bereitstellung und Überwachung bereitstellt.

Warum NIS2, DORA und GDPR diesen blinden Fleck dringlich machen

Risiken durch Browsererweiterungen bestehen seit Jahren, aber der regulatorische Kontext hat sich geändert. Im Jahr 2026 wird von Organisationen erwartet, dass sie nicht nur nachweisen, dass Kontrollen existieren, sondern auch, dass sie risikobasiert, integriert, überwacht und mit Nachweisen belegt sind.

NIS2 erhöht die Erwartungen an Cyberhygiene und Lieferkettensicherheit. DORA verpflichtet Finanzunternehmen, IKT-Risiken über interne und Drittparteienabhängigkeiten hinweg zu steuern. GDPR verlangt von Verantwortlichen und Auftragsverarbeitern, Sicherheit der Verarbeitung, Rechenschaftspflicht und Datenschutz durch Technikgestaltung nachzuweisen. Nicht gesteuerte Erweiterungen können alle drei Bereiche untergraben.

Die Lehre ist einfach. Eine Browsererweiterung ist nicht zu klein, um relevant zu sein. Wenn sie regulierte Daten, authentifizierte Sitzungen, Finanz-Workflows oder kritische SaaS-Services berühren kann, muss sie gesteuert werden.

ISO/IEC 27001:2022 als Betriebsmodell nutzen

ISO/IEC 27001:2022 ist für die Governance von Browsererweiterungen wirksam, weil kein separates Compliance-Silo erforderlich ist. Organisationen können bestehende ISMS-Prozesse auf die Browserebene ausweiten.

Das praktische Kontrollmodell basiert auf acht Maßnahmen aus Anhang A der ISO/IEC 27001:2022:

Der [ZC] Zenith Controls: Der Cross-Compliance-Leitfaden ist besonders nützlich, weil er erläutert, wie ISO/IEC 27001-Maßnahmen auditiert werden und wie sie Nachweise über mehrere Rahmenwerke hinweg unterstützen. Für Maßnahme 8.19 erklärt Zenith Controls: Der Cross-Compliance-Leitfaden, dass Prüfer “den Workflow nachvollziehen: von der Anfrage über den Test und die Genehmigung bis zur Implementierung”. Genau so sollte Governance für Erweiterungen gestaltet werden.

Wenn ein Prüfer eine Erweiterung findet, die nicht auf der genehmigten Liste steht, nicht in Änderungsaufzeichnungen dokumentiert ist und keiner Risikobeurteilung unterzogen wurde, ist das Problem nicht mehr nur eine Browsereinstellung. Es wird zum Nachweis einer schwachen Kontrolle der Softwareinstallation, schwacher Endpunkt-Governance und eines möglichen Versagens im Lieferantenrisikomanagement.

Schritt 1: Bestand an Erweiterungen ermitteln

Das erste Kontrollversagen in Marias Fintech war fehlende Transparenz. Ihr Team wusste nicht, welche Erweiterungen installiert waren, wer sie installiert hatte, welche Berechtigungen sie anforderten oder ob sie sich mit externen Services verbanden.

Die Ermittlung sollte alle verwalteten Browser, Profile, Benutzer, Geräte und Betriebssysteme umfassen. Sie sollte Name der Erweiterung, eindeutige Kennung, Version, Herausgeber, Installationsquelle, Berechtigungssatz, Installationsdatum, Aktualisierungsstatus, Benutzeranzahl, Geschäftsverantwortlichen sowie den Status als erzwungen installiert, benutzerinstalliert, per Sideloading installiert oder blockiert erfassen.

Maßnahme 8.1, Benutzerendgeräte, ist der Anker. Die Anleitung des Zenith Blueprint: Eine 30-Schritte-Roadmap für Auditoren zu Maßnahme 8.1 stellt fest, dass Benutzerendgeräte “gehärtet, überwacht und kontrolliert werden müssen”. Diese Anforderung umfasst den Browser unmittelbar, weil der Browser heute die primäre Benutzerschnittstelle für SaaS- und Cloud-Arbeit ist.

Maßnahme 5.23 gilt ebenfalls, wenn Erweiterungen eine Verbindung zu Cloud-Services herstellen. Zenith Blueprint: Eine 30-Schritte-Roadmap für Auditoren beschreibt diese Maßnahme als Reaktion auf Shadow IT, bei der Benutzer nicht freigegebene Services ohne Governance einsetzen. Eine Browsererweiterung, die Inhalte an ein unbekanntes gehostetes Backend sendet, ist ein Ereignis der Cloud-Service-Einführung, auch wenn niemand in der Beschaffung dies genehmigt hat.

Ein ausgereiftes Ermittlungsergebnis sollte jede Erweiterung einem von fünf Zuständen zuordnen:

Die Ermittlung darf kein einmaliges Projekt sein. Erweiterungen werden häufig aktualisiert, Herausgeber wechseln den Eigentümer, Berechtigungen erweitern sich, und Stores entfernen bösartige Pakete erst, nachdem Benutzer sie bereits installiert haben. Das Inventar muss kontinuierlich geführt oder zumindest so regelmäßig aktualisiert werden, dass es Schwachstellenmanagement und Auditnachweise unterstützt.

Schritt 2: Zulässige Nutzung ausdrücklich regeln

Sobald Erweiterungen sichtbar sind, müssen die Erwartungen an Benutzer klar sein. Viele Organisationen verfügen bereits über Richtlinienformulierungen, die Governance für Erweiterungen unterstützen können; sie müssen jedoch ausdrücklich auf den Browser angewendet werden.

[P-EPM] Endpoint-Schutz – Richtlinie zum Schutz vor Schadsoftware – KMU legt fest, dass Benutzer “keine nicht autorisierte Software oder Plugins installieren dürfen, die Risiken einführen können”. Dieser einzelne Satz gibt Sicherheitsteams eine belastbare Richtliniengrundlage, um Browsererweiterungen als kontrollierte Software zu behandeln.

[P03-AUP] P03 Richtlinie zur zulässigen Nutzung, auch als unternehmensweite Richtlinie zur zulässigen Nutzung bezeichnet, verbietet “Nicht genehmigte Werkzeuge: Installation oder Nutzung nicht autorisierter Software, Hardware, Cloud-Services oder Geräte”. Das ist die benutzerorientierte Grundlage. Sie macht Governance für Browsererweiterungen aus einer technischen Präferenz zu einer durchsetzbaren Verhaltens- und Compliance-Anforderung.

Eine belastbare Richtlinie für Browsererweiterungen sollte sechs praktische Fragen beantworten:

Es geht nicht darum, jede nützliche Erweiterung zu verbieten. Es geht darum, von implizitem Vertrauen zu ausdrücklicher Genehmigung zu wechseln. Einige Erweiterungen können sicher, notwendig und produktivitätsfördernd sein. Andere können unnötig, überprivilegiert, aufgegeben oder feindlich sein. Das Governance-Programm muss zwischen ihnen unterscheiden.

Schritt 3: Default-Deny mit Positivliste nach Ausnahme durchsetzen

Maßnahme 8.19, Installation von Software auf Betriebssystemen, ist die Maßnahme, die Richtlinien in den Betrieb überführt. Browsererweiterungen sollten nicht anders behandelt werden als andere Software, nur weil Benutzer sie über einen Browser-Store installieren.

Zenith Blueprint: Eine 30-Schritte-Roadmap für Auditoren ist in diesem Punkt eindeutig: “Keine Software wird installiert, sofern sie nicht begründet, autorisiert und abgesichert ist.” Für Browsererweiterungen bedeutet dies, Enterprise-Browser-Management, Endpunktverwaltung oder Werkzeuge zur Gerätekonfiguration zu nutzen, um Installationsregeln durchzusetzen.

Das belastbarste Modell ist Default-Deny mit Positivliste nach Ausnahme:

1. Alle Erweiterungen für verwaltete Browser standardmäßig blockieren.
2. Nur wesentliche, genehmigte Unternehmenserweiterungen zwangsinstallieren.
3. Eine Positivliste für genehmigte Erweiterungen nach Benutzergruppe, Abteilung oder Rolle pflegen.
4. Per Sideloading installierte Erweiterungen und nicht vertrauenswürdige Installationsquellen blockieren.
5. Verhindern, dass Benutzer Richtlinien durch Profilwechsel oder nicht verwaltete Browser umgehen.
6. Bereits installierte Erweiterungen entfernen, die nicht genehmigt sind.
7. Berechtigungen der Erweiterung und Herausgeberrisiko vor der Genehmigung prüfen.
8. Zugelassene, blockierte, entfernte und geänderte Erweiterungen protokollieren.

Einige Organisationen beginnen aufgrund betrieblicher Komplexität mit einem weicheren Modell. Sie inventarisieren zunächst, blockieren bekannte schädliche Erweiterungen und führen anschließend Positivlisten für Hochrisikogruppen wie Finanzen, Engineering, privilegierte Administratoren, Recht, Personalwesen und Kundensupport stufenweise ein. Das ist akzeptabel, wenn ein dokumentierter Fahrplan vorliegt. Nicht vertretbar ist eine dauerhafte Toleranz unbekannter Erweiterungsrisiken.

Schritt 4: Erweiterungen wie Lieferanten und Software risikobewerten

Eine Risikoprüfung für Browsererweiterungen sollte leichtgewichtig genug für die geschäftliche Akzeptanz, aber belastbar genug für Audits sein. Die Prüfung sollte Softwarerisiko, Lieferantenrisiko, Cloud-Risiko, Datenschutz und Schwachstellenmanagement kombinieren.

[P-TP] Richtlinie zur Lieferanten- und Drittparteiensicherheit schreibt vor, dass “alle neuen Lieferanten vor Vertragsabschluss eine dokumentierte Sicherheitsbewertung durchlaufen müssen”. Nicht jeder Entwickler einer Erweiterung wird einen vollständigen unternehmensweiten Lieferanten-Onboarding-Prozess benötigen, aber der Grundsatz des Lieferantenrisikos gilt dennoch. Wenn ein Entwickler Code-Aktualisierungen in Mitarbeiterbrowser ausrollen oder Organisationsdaten über einen Backend-Service verarbeiten kann, hat die Organisation eine Drittparteienabhängigkeit.

[P-ASR] Richtlinie zu Anforderungen an die Anwendungssicherheit – KMU verstärkt dieselbe Anforderung aus Softwaresicht: “Jedes Drittanbieterwerkzeug, Plugin oder jede externe Code-Bibliothek, die in einer Anwendung verwendet wird, muss erfasst und jährlich hinsichtlich Sicherheitsauswirkungen und Patch-Status überprüft werden.”

Nutzen Sie das folgende Risikomodell, um Entscheidungen zu standardisieren:

Eine Erweiterung mit hohem Risiko sollte nur genehmigt werden, wenn ein kritischer geschäftlicher Bedarf, dokumentierte kompensierende Kontrollen und eine Risikoakzeptanz durch die obere Führungsebene vorliegen. Beispiele für kompensierende Kontrollen sind die Beschränkung der Nutzung auf ein gehärtetes Browserprofil, die Einschränkung auf bestimmte URLs, das Blockieren der Dateneingabe in sensitive Anwendungen während der Aktivität, der Einsatz von DLP-Überwachung oder die Anforderung eines Lieferantenvertrags und eines Datenschutzanhangs.

Schritt 5: Datenschutz- und GDPR-Prüfung integrieren

Governance für Browsererweiterungen scheitert häufig, weil die Datenschutzprüfung von der Endpunkt-Werkzeuglandschaft getrennt ist. Dabei können viele Erweiterungen personenbezogene Daten sehen, die in SaaS-Anwendungen, HR-Systemen, Support-Tickets, CRM-Datensätzen, E-Mail, Analyseplattformen und Kollaborationstools angezeigt werden.

Nach GDPR Article 5(2) muss die Organisation Rechenschaftspflicht nachweisen. Nach Article 25 muss sie Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen umsetzen. Nach Article 32 muss sie geeignete technische und organisatorische Maßnahmen für die Sicherheit der Verarbeitung anwenden. Wenn eine Erweiterung personenbezogene Daten exfiltriert, kann das Ereignis zu einer Verletzung des Schutzes personenbezogener Daten nach Article 4(12) werden und eine Bewertung sowie möglicherweise Meldepflichten nach Article 33 auslösen.

Eine datenschutzbewusste Prüfung von Erweiterungen sollte fragen:

Nicht jede Erweiterung erfordert eine vollständige DPIA. Erweiterungen mit umfassendem Seitenzugriff, KI-Verarbeitung, Bildschirmaufzeichnung, E-Mail-Zugriff, CRM-Zugriff, Zugriff auf HR-Daten, Kundensupportdaten oder regulierte Finanzdaten sollten jedoch eine strukturierte Datenschutzbewertung auslösen.

Schritt 6: Für Audit und Incident Response protokollieren und überwachen

Ein Governance-Programm für Erweiterungen ohne Protokolle ist nicht auditierbar. Es schwächt außerdem die Incident Response, weil die Organisation nicht feststellen kann, wann eine Erweiterung installiert wurde, wer sie nutzte, welche Version vorhanden war, wann sich Berechtigungen änderten oder ob ein blockierter Installationsversuch stattfand.

[P-LM] Richtlinie zur Protokollierung und Überwachung – KMU nennt Protokolle für “Softwareinstallationen” als zentrale Governance-Anforderung. Die Installation einer Browsererweiterung ist ein Softwareinstallationsereignis und sollte entsprechend erfasst werden.

Mindestens sollten Protokolle Folgendes enthalten:

Diese Protokolle sollten in Überwachungsprozesse nach den Maßnahmen 8.15 und 8.16 einfließen. Abhängig vom Risiko können sie auch an ein SIEM, eine Endpunktplattform oder ein Repository für Compliance-Nachweise übergeben werden. Warnmeldungen sollten für blockierte Hochrisikoerweiterungen, plötzliche Spitzen bei Erweiterungsanfragen, Änderungen von Berechtigungen genehmigter Erweiterungen, Installationsversuche aus nicht offiziellen Quellen und Installationsversuche durch privilegierte Benutzer konfiguriert werden.

Überwachung ist auch ein Vorteil für NIS2 und DORA. Die Vorfallsmeldung nach NIS2 Article 23 hängt von frühzeitiger Erkennung und Auswirkungsbewertung ab. DORA verlangt robusten Umgang mit IKT-Vorfällen und Resilienznachweise. Die Bewertung von Datenschutzverletzungen nach GDPR hängt davon ab, zu wissen, was passiert ist, wann es passiert ist und welche Daten betroffen sein könnten.

Was der Prüfer sehen will

Ein Prüfer gibt sich selten mit einer Aussage wie “wir blockieren riskante Erweiterungen” zufrieden. Er will Nachweise für Governance sehen. Die Nachweise müssen Richtlinie, Risikobeurteilung, technische Durchsetzung, Überwachung und Rechenschaftspflicht des Managements verbinden.

An dieser Stelle wird Zenith Controls: Der Cross-Compliance-Leitfaden wertvoll. Er hilft Organisationen zu zeigen, wie eine einzelne Kontrollaktivität mehrere Compliance-Erwartungen unterstützt. Ein einzelner Genehmigungsworkflow für Browsererweiterungen kann ISO/IEC 27001 Maßnahme 8.19, NIS2-Cyberhygiene, DORA-IKT-Risikomanagement und GDPR-Rechenschaftspflicht unterstützen, wenn die Nachweise aufbewahrt und klar abgebildet werden.

Crosswalk: ISO/IEC 27001:2022 zu NIS2, DORA und GDPR

Ein praxisnaher Crosswalk hilft CISOs zu erklären, warum Governance für Browsererweiterungen keine technische Nischenkontrolle ist. Sie ist eine Compliance-Kontrolle mit breitem regulatorischem Nutzen.

Die DORA-Abbildung verdient besondere Aufmerksamkeit. Einige Prüfer und Assessoren verwenden bei der Prüfung der Governance von IKT-Änderungen COBIT-ähnliche Sprache. COBIT BAI06 wird allgemein als Managed IT Changes verstanden. Wenn Browsererweiterungen Software sind und ihre Installation die Benutzerrechenumgebung verändert, gehört die Installation von Erweiterungen in dieselbe gesteuerte Änderungslogik. Zenith Controls: Der Cross-Compliance-Leitfaden unterstützt diese Audit-Perspektive, indem er zeigt, wie Kontrollnachweise nach ISO/IEC 27001 über Compliance-Erwartungen hinweg wiederverwendet werden können.

Ein 90-Tage-Umsetzungsplan für Governance von Browsererweiterungen

Organisationen müssen nicht alles in einer einzigen Woche lösen. Ein praktikables Programm kann phasenweise aufgebaut werden, insbesondere wenn geschäftliche Unterbrechungen sorgfältig gesteuert werden müssen.

Für Hochrisikoorganisationen, insbesondere Finanzunternehmen unter DORA oder wesentliche und wichtige Einrichtungen unter NIS2, sollte die erste Durchsetzungsphase Benutzer mit Zugriff auf kritische Systeme, regulierte Daten, privilegierte Administrationskonsolen, Finanzplattformen, Kundensupport-Werkzeuge und Entwicklungsumgebungen priorisieren.

Die Botschaft an das Leitungsorgan

Governance für Browsererweiterungen sollte Führungskräften nicht als Projekt zur Browserhärtung präsentiert werden. Sie sollte als Kontrolle über nicht geprüften Drittcode in regulierten Workflows dargestellt werden.

Das Leitungsorgan und das Management müssen vier Punkte verstehen:

1. Der Browser ist heute eine zentrale Geschäftsplattform.
2. Erweiterungen können auf sensitive SaaS-Daten und authentifizierte Sitzungen zugreifen.
3. Nicht gesteuerte Erweiterungen erzeugen Lieferanten-, Datenschutz-, Vorfalls- und Resilienzrisiken.
4. ISO/IEC 27001:2022 bietet ein belastbares Kontrollmodell, das Nachweise für NIS2, DORA und GDPR unterstützt.

Diese Einordnung verschiebt die Diskussion weg von technischen Präferenzen hin zu operativer Resilienz. Sie unterstützt außerdem die Finanzierung von Enterprise-Browser-Management, Endpunktintegration, Überwachung, Datenschutzprüfung, Lieferanten-Triage und Automatisierung von Auditnachweisen.

Vom blinden Fleck zur strategischen Kontrolle

Marias Auditproblem wurde nicht dadurch verursacht, dass ein Analyst ein Produktivitätswerkzeug installiert hatte. Es wurde durch eine nicht gesteuerte Risikoklasse verursacht. Die Organisation hatte ein starkes Compliance-Programm rund um sichtbare Assets, sichtbare Anbieter, sichtbare SaaS-Plattformen und sichtbare Endpunkte aufgebaut, aber die Ebene der Browsererweiterungen blieb unsichtbar.

Diese Lücke ist inzwischen zu wichtig, um sie zu ignorieren.

Die Behebung ist nicht kompliziert, muss aber bewusst erfolgen. Behandeln Sie den Browser als Teil des Endpunkts. Behandeln Sie Erweiterungen als Software. Behandeln Sie Entwickler von Erweiterungen und Backends bei Relevanz als Lieferanten. Behandeln Sie Berechtigungen als Datenzugriff. Behandeln Sie Installation als Änderung. Behandeln Sie Protokolle als Compliance-Nachweise.

Ein belastbares Programm beginnt mit vier Maßnahmen:

1. Jede Erweiterung über verwaltete Browser und Endpunkte hinweg ermitteln.
2. Zulässige Nutzung und Default-Deny-Regeln mithilfe von Endpoint-Schutz – Richtlinie zum Schutz vor Schadsoftware – KMU, P03 Richtlinie zur zulässigen Nutzung und der unternehmensweiten Richtlinie zur zulässigen Nutzung definieren.
3. Erweiterungsanfragen anhand von Lieferanten-, Cloud-, Schwachstellen- und Datenschutzkriterien aus der Richtlinie zur Lieferanten- und Drittparteiensicherheit und der Richtlinie zu Anforderungen an die Anwendungssicherheit – KMU bewerten.
4. Installationsaktivitäten mit Browsermanagement, Protokollierung und Nachweispraktiken durchsetzen und überwachen, die an der Richtlinie zur Protokollierung und Überwachung – KMU ausgerichtet sind.

Für CISOs, die sich auf Audits nach NIS2, DORA, GDPR oder ISO/IEC 27001:2022 vorbereiten, ist Governance für Browsererweiterungen eine hochwertige Kontrollverbesserung, weil sie einen realen Angriffspfad schließt und zugleich wiederverwendbare Nachweise über mehrere Rahmenwerke hinweg erzeugt.

Um die Arbeit zu beschleunigen, laden Sie den Zenith Blueprint: Eine 30-Schritte-Roadmap für Auditoren herunter und bilden Sie Ihre Nachweise mit Zenith Controls: Der Cross-Compliance-Leitfaden ab. Wenn Sie Chaos bei Browsererweiterungen in ein auditbereites Governance-Programm überführen möchten, vereinbaren Sie eine Clarysec-Bewertung oder Demo und beginnen Sie mit einem praktischen Inventar, einer Risikoübersicht und einem 90-Tage-Kontrollplan.