Pharma (Top-10 Global) · 10 Monate (Gap Analysis bis NIS2-Konformität)
Herausforderung
Ein globaler Pharma-Konzern mit 200+ Softwareprodukten und 35.000 Open Source Dependencies musste bis zur NIS2-Deadline nachweisbare Supply-Chain-Security und automatisierte Compliance-Evidenz liefern. Bisheriger Stand: manuelle Excel-Tracking, keine SBOM-Pipeline, kein zentrales Vulnerability Management. BaFin und EMA erwarteten automatisierte Nachweise.
Unser Vorgehen
1
Security Gap Analysis
Strukturierte Gap-Analyse gegen NIS2, ISO 27001 und EMA Annex 11. 147 Findings priorisiert, Risk Registry aufgebaut.
2
SBOM Pipeline & Vulnerability Gating
Syft für SBOM-Generation in jeder CI-Pipeline. Grype für Vulnerability Scanning. Sigstore für Attestation. Automatische Build-Blockade bei Critical CVEs.
3
Evidence Automation Dashboard
Zentrales Compliance-Dashboard mit Echtzeit-Status aller 200+ Produkte: SBOM-Coverage, Vulnerability Score, Patch-SLA-Compliance, Audit-Export auf Knopfdruck.
4
Continuous Compliance & Policy-as-Code
OPA/Kyverno Policies für Kubernetes Admission Control. Drift Detection für Security Baselines. Monatliche Security Posture Reports automatisiert.
Ergebnisse
200+ Produkte mit automatisierter SBOM-Pipeline
35.000 Dependencies kontinuierlich gescannt
NIS2-konform 4 Monate vor Deadline
Audit-Report-Erstellung: 6 Wochen → 15 Minuten
Zero Critical CVEs in Production >30 Tage
200+
Produkte
35k
Dependencies
15 min
Audit Report
NIS2
Vor Deadline
"Vorher wussten wir nicht einmal, welche Open Source Libraries in unseren Produkten stecken. Heute haben wir Echtzeit-Transparenz über 35.000 Dependencies."
