Wie lange dauert die Einrichtung?

Der technische Teil ist an einem Nachmittag erledigt: Mandant anlegen, Nutzer einladen, Framework aktivieren, Verantwortliche eintragen. Was Zeit kostet, ist das Befüllen — also die Frage, welche Nachweise bei Ihnen schon existieren und welche erst entstehen müssen. Realistisch für eine Erstzertifizierung nach ISO 27001: drei bis sechs Monate bis zur Auditreife, wenn jemand im Haus die Sache wirklich betreibt. Wer das nebenher macht, braucht neun bis zwölf.

Womit fange ich am ersten Tag an?

Mit dem Geltungsbereich, nicht mit den Maßnahmen. Legen Sie fest, welche Standorte, Systeme und Prozesse dazugehören und welche ausdrücklich nicht. Jede Stunde, die Sie hier investieren, sparen Sie später dreifach — ein zu weit gefasster Geltungsbereich ist der häufigste Grund, warum Projekte sich hinziehen. Danach: Verantwortliche je Themenblock eintragen, dann die Bestandsaufnahme. Erst dann Maßnahmen.

Wen sollte ich einladen?

Weniger, als Sie denken. Eine verantwortliche Person je Themenblock reicht; alle anderen bekommen Aufgaben zugewiesen und brauchen keinen ständigen Zugang. Die Basic-Edition enthält fünf interne Nutzer, Professional zehn, Enterprise nach Vereinbarung.

Gibt es Single Sign-on über unseren Identitätsanbieter?

Nein. Eine Anmeldung über SAML oder OIDC gibt es derzeit nicht; der Zugang läuft über eigene Konten in Sightadel. Wenn Single Sign-on für Sie Voraussetzung ist, sagen Sie uns das bitte vor dem Testzugang — dann können wir einschätzen, ob und wann das für Sie in Frage kommt, statt Sie später damit zu überraschen.

Was kostet das zweite Regelwerk?

Dauerhaft 5 % weniger, wenn das erste gebuchte Regelwerk ISO 27001 oder ISO 9001 ist. Dazu kommen Laufzeitrabatte: 5 % bei einem Jahr, 8 % bei zwei Jahren mit Vorauszahlung. Der eigentliche Gewinn beim zweiten Regelwerk liegt aber nicht im Rabatt, sondern darin, dass ein großer Teil der Nachweise bereits liegt. Mehr dazu im Abschnitt zur Mehrfachnutzung.

Welche Rollen gibt es?

Sechs, und sie unterscheiden ausdrücklich zwischen intern und extern: Admin (Owner) — verwaltet Mandant, Nutzer und Abonnements. Consultant, intern — arbeitet inhaltlich über alle Regelwerke. Contributor, intern — bearbeitet die ihm zugewiesenen Punkte. Viewer — liest mit, ohne zu ändern. Consultant, extern — für Beraterinnen und Berater, die Sie hinzuziehen. Auditor — immer extern, ausschließlich lesend. Die Trennung zwischen internem und externem Consultant ist kein Detail: Im Audit muss erkennbar sein, wer zu Ihrer Organisation gehört und wer nicht.

Können wir ein eigenes Regelwerk abbilden?

Ja. Basic enthält ein eigenes Regelwerk, Professional drei, Enterprise beliebig viele. Das ist der Weg für Konzernvorgaben, Kundenanforderungen aus Verträgen oder Branchenstandards, für die es kein fertiges Modul gibt.

Gibt es ein Trust Center für unsere Kunden?

Ja. Sie stellen dort zusammen, was Kunden und Interessenten ohnehin anfragen — Zertifikate, Testate, Angaben zum Hosting, Unterauftragsverarbeiter — und verweisen darauf, statt jedes Mal denselben Anhang zu verschicken. Der Nutzen zeigt sich beim dritten Kundenfragebogen: Was im Trust Center steht, muss im Fragebogen nicht mehr recherchiert werden.

Was ist die Erklärung zur Anwendbarkeit und warum ist sie so wichtig?

Die Erklärung zur Anwendbarkeit — im Englischen Statement of Applicability — ist das einzige Dokument, das die Norm namentlich als Pflicht nennt und das der Auditor vor allen anderen sehen will. Für jede der 93 Maßnahmen steht darin: anwendbar oder nicht, mit Begründung, und wenn anwendbar, der Verweis auf die Umsetzung. Eine Maßnahme auszuschließen ist erlaubt. Sie ohne Begründung auszuschließen ist eine Abweichung.

Müssen wir eine formale Risikoanalyse machen?

Ja, und sie muss wiederholbar sein. Die Norm schreibt keine Methode vor, verlangt aber, dass dieselben Eingaben zu vergleichbaren Ergebnissen führen. Eine Bewertung nach Bauchgefühl durch wechselnde Personen erfüllt das nicht. Die Reihenfolge ist übrigens umgekehrt, als die meisten anfangen: erst Risiken, dann Maßnahmen, dann die Erklärung zur Anwendbarkeit. Wer mit Anhang A beginnt, begründet hinterher rückwärts.

Ist der Normtext in Sightadel enthalten?

Nein, und das darf er auch nicht sein. ISO-Normen sind urheberrechtlich geschützt und werden einzeln lizenziert — über Beuth beziehungsweise DIN Media in Deutschland oder direkt über die ISO. Sightadel enthält die Struktur, die Prüfpunkte, die Nachweisführung und unsere eigenen Erläuterungen, nicht den Wortlaut der Norm. Sie brauchen also mindestens ein Exemplar der Norm im Haus. Das gilt für jede Plattform, auch für die, die das nicht dazusagen.

Wie viele Dokumente brauchen wir für ISO 27001?

Weniger, als Vorlagenpakete suggerieren. Die Norm verlangt namentlich eine überschaubare Zahl dokumentierter Informationen — Geltungsbereich, Politik, Risikomethodik, Risikobehandlungsplan, Erklärung zur Anwendbarkeit, Kompetenznachweise, Auditprogramm und -ergebnisse, Managementbewertung, Abweichungen und Korrekturmaßnahmen. Alles Weitere ist dann nötig, wenn Sie ohne es nicht belegen können, dass eine Maßnahme wirkt. Eine Richtlinie, die niemand liest, ist kein Nachweis, sondern Ballast.

Lassen sich ISO 9001 und ISO 27001 zusammen betreiben?

Ja, und das ist der eigentliche Grund, beides in einem Werkzeug zu führen. Beide Normen folgen derselben Grundstruktur: Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung, Verbesserung. Praktisch heißt das: ein Dokumentenlenkungsverfahren, ein internes Auditprogramm, eine Managementbewertung, ein Verfahren für Korrekturmaßnahmen — und nicht jeweils zwei. Ein kombiniertes Audit ist bei vielen Zertifizierungsstellen möglich und spart Audittage.

Müssen wir alle Prozesse aufschreiben?

Nein. ISO 9001:2015 verlangt keinen Prozesskatalog und kein Qualitätsmanagement-Handbuch — beides stammt aus älteren Fassungen und hält sich hartnäckig. Verlangt ist, dass Sie Ihre Prozesse kennen, steuern und ihre Wirksamkeit messen. Wo eine Beschreibung fehlt und das Ergebnis trotzdem stimmt, ist das kein Befund. Wo sie fehlt und deshalb Fehler wiederkehren, schon.

Fällt unsere Arztpraxis unter NIS2?

In aller Regel nicht. Die Schwellen liegen bei 50 Beschäftigten oder 10 Mio. Euro Umsatz; eine Einzel- oder kleine Gemeinschaftspraxis liegt darunter. Verbindlich ist dort die IT-Sicherheitsrichtlinie nach § 75b SGB V — die gilt für jede Praxis, unabhängig von der Größe, und verlangt unter anderem ausdrücklich eine Firewall. Indirekt kann NIS2 Sie dennoch erreichen: Wer an ein Klinikum, ein Labor oder ein MVZ angebunden ist, das selbst unter die Pflicht fällt, bekommt Anforderungen über dessen Lieferkette.

Welche Meldefristen gelten?

Drei, und alle laufen ab dem Zeitpunkt der Kenntnisnahme. Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats. Dauert der Vorfall zum Ende der Monatsfrist noch an, geben Sie zunächst einen Fortschrittsbericht ab. Der häufigste Fehler ist nicht die verpasste Frist, sondern der nicht festgehaltene Startzeitpunkt. Notieren Sie Datum und Uhrzeit der Kenntnisnahme, bevor Sie irgendetwas anderes tun.

Was bedeutet NIS2 für die Geschäftsführung persönlich?

Die Leitung muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und sich schulen lassen. Diese Pflicht ist nicht delegierbar, und sie ist mit persönlicher Verantwortlichkeit verbunden. Praktisch heißt das: Es braucht einen Geschäftsführungsbeschluss mit Datum und Unterschrift, nicht eine E-Mail mit „passt so“. In unserer NIS2-Checkliste gibt es dafür ein eigenes Blatt zum Ausdrucken.

Gibt es ein NIS2-Zertifikat?

Nein. NIS2 ist keine zertifizierbare Norm, sondern eine Pflicht mit Aufsicht. Sie weisen die Umsetzung gegenüber der zuständigen Behörde nach, nicht gegenüber einer Zertifizierungsstelle. Deshalb ist die Nachweisführung hier wichtiger als bei ISO: Es gibt kein Zertifikat, das Sie vorzeigen können — nur Ihre Dokumentation. Wer Ihnen ein „NIS2-Zertifikat“ verkauft, verkauft Ihnen ein Stück Papier ohne rechtliche Wirkung.

Aus sieben Bereichen: IKT-Risikomanagement, Behandlung und Meldung IKT-bezogener Vorfälle, Testen der digitalen operationalen Resilienz, Management des IKT-Drittparteien-Risikos, Informationsregister, Informationsaustausch und Beaufsichtigung kritischer Drittdienstleister. Unsere DORA-Checkliste zerlegt das in 50 Anforderungen mit Artikelbezug, erwartetem Nachweis und Status.

Welche Meldefristen gelten bei DORA?

Bei einem schwerwiegenden IKT-bezogenen Vorfall: erste Meldung spätestens vier Stunden nach der Einstufung als schwerwiegend und in keinem Fall später als 24 Stunden nach Kenntnisnahme. Zwischenmeldung binnen 72 Stunden, Abschlussmeldung binnen eines Monats. Der Unterschied zu NIS2 liegt im Startpunkt: DORA knüpft die erste Frist an die Einstufung, NIS2 an die Kenntnisnahme. Wer beides betreibt, sollte das im Vorfallprozess sauber trennen.

Müssen wir bedrohungsgeleitete Penetrationstests durchführen?

Nur ein Teil der Unternehmen. Bedrohungsgeleitete Penetrationstests nach dem TIBER-EU-Rahmen sind für bestimmte, von der Aufsicht benannte Finanzunternehmen vorgesehen, mindestens alle drei Jahre, wobei jeder dritte Test von einem externen Anbieter durchzuführen ist. Alle übrigen brauchen ein Testprogramm, aber kein TLPT: Schwachstellenbewertungen, Netzwerksicherheitsbewertungen, Quelltextprüfungen, Penetrationstests im üblichen Sinn.

Was ist das Informationsregister?

Ein vollständiges Verzeichnis aller vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen, auf Ebene des Einzelunternehmens und der Gruppe. Es geht regelmäßig an die Aufsicht, üblicher Stichtag ist der 31. Dezember des Vorjahres. Das ist erfahrungsgemäß der Punkt, an dem Projekte ins Stocken geraten: Die geforderten Felder stehen in keinem Vertragsordner, sondern müssen aus Verträgen, Einkauf und Betrieb zusammengetragen werden.

Ist SOC 2 dasselbe wie ISO 27001?

Nein, und die Unterschiede sind größer, als Vergleichstabellen nahelegen. ISO 27001 ist eine Norm mit Zertifikat einer akkreditierten Stelle. SOC 2 ist ein Prüfungsbericht einer Wirtschaftsprüfungsgesellschaft nach US-amerikanischen Standards — kein Zertifikat, sondern ein Bericht, den Sie an Kunden weitergeben. Typ I beschreibt die Eignung der Kontrollen zu einem Stichtag, Typ II ihre Wirksamkeit über einen Zeitraum, üblich sind drei bis zwölf Monate. Für europäische Kunden zählt meist ISO 27001, für US-Kunden meist SOC 2.

Was ist BSI C5 und brauchen wir es?

Der Kriterienkatalog des BSI für Cloud-Dienste. Er wird nicht zertifiziert, sondern testiert: Ein Wirtschaftsprüfer prüft nach ISAE 3000 und stellt ein Testat aus, wahlweise zu einem Stichtag oder über einen Zeitraum. Gebraucht wird es fast ausschließlich von Cloud-Anbietern, die an die öffentliche Hand oder an regulierte Kunden in Deutschland liefern. Wenn Sie niemand danach fragt, brauchen Sie es nicht.

Deckt ISO 27001 die DSGVO mit ab?

Teilweise, und die Lücke ist die interessante Hälfte. ISO 27001 sichert Informationen unabhängig davon, wessen Daten es sind. Die DSGVO fragt nach Rechtsgrundlage, Zweckbindung, Datenminimierung, Betroffenenrechten, Verarbeitungsverzeichnis und Datenschutz-Folgenabschätzung. Die technischen und organisatorischen Maßnahmen nach Artikel 32 überschneiden sich stark mit Anhang A. Alles, was mit Rechtmäßigkeit und Rechten der Betroffenen zu tun hat, findet in ISO 27001 keine Entsprechung.

Wofür ist NIST CSF 2.0 gut, wenn wir in Europa sitzen?

Als Ordnungsrahmen, nicht als Zertifizierungsziel. Die sechs Funktionen — Govern, Identify, Protect, Detect, Respond, Recover — geben eine Sprache, in der sich Reifegrad gegenüber Geschäftsleitung und Aufsichtsrat darstellen lässt, ohne dass man ISO-Kapitel vorlesen muss. Nützlich ist er außerdem gegenüber US-Kunden und Versicherern, die danach fragen. Ein Zertifikat gibt es nicht.

Und wenn wir KI einsetzen — ISO 42001?

ISO/IEC 42001 ist die Managementsystemnorm für künstliche Intelligenz, aufgebaut wie ISO 27001 und zertifizierbar. Wer bereits ein ISMS betreibt, kann Führung, Risikoprozess, interne Audits und Managementbewertung weitgehend wiederverwenden. Sie ersetzt nicht die Pflichten aus der KI-Verordnung der EU, hilft aber, sie strukturiert zu erfüllen.

Wie aktuell müssen Nachweise sein?

So aktuell wie der Zyklus, den Sie selbst festgelegt haben. Wenn Ihre Richtlinie eine jährliche Überprüfung der Zugriffsrechte vorsieht und die letzte liegt 18 Monate zurück, ist das eine Abweichung — nicht weil die Norm 12 Monate verlangt, sondern weil Sie es getan haben. Deshalb die unbequeme Empfehlung: Setzen Sie Zyklen, die Sie halten können. Halbjährlich klingt gründlicher und wird im zweiten Jahr zur Fehlerquelle.

Manche Nachweise sind vertraulich. Muss der Auditor alles sehen?

Er muss die Wirksamkeit beurteilen können, nicht jedes Detail lesen. Bei personenbezogenen oder besonders schutzwürdigen Inhalten sind geschwärzte Auszüge, Stichproben oder Einsichtnahme am Bildschirm ohne Kopie üblich und akzeptiert. Bestehen Sie darauf, dass der Umgang damit vor dem Audit geklärt wird, nicht im Auditraum.

Wie viel Speicher brauchen wir für Nachweise?

Weniger, als man denkt, sofern Sie Verweise statt Kopien führen. Basic enthält 1 GB, Professional 10 GB, Enterprise 100 GB. Wer jeden Screenshot in voller Auflösung ablegt, kommt schneller an die Grenze als jemand, der auf das Ticketsystem verlinkt.

Wie funktioniert das konkret?

Ein Nachweis wird einmal abgelegt und an alle Anforderungen gehängt, die er bedient — über Regelwerksgrenzen hinweg. Eine Änderung wirkt sich auf alle verknüpften Anforderungen aus; läuft der Nachweis ab, läuft er überall ab. Der Unterschied zur Tabellenlösung zeigt sich nicht beim Anlegen, sondern ein Jahr später: Dort liegt derselbe Nachweis in drei Ständen, hier in einem.

Wie groß ist die Überschneidung wirklich?

Das hängt vom Paar ab, und seriös lässt sich das nur mit Ihren Daten sagen. Grobe Erfahrungswerte: ISO 27001 zu NIS2 überschneidet sich stark auf der technischen und organisatorischen Seite; ISO 27001 zu SOC 2 ebenfalls; ISO 27001 zur DSGVO nur dort, wo es um Artikel 32 geht. Wir nennen bewusst keine Prozentzahl. Wer Ihnen sagt, zwei Regelwerke überschnitten sich zu 80 %, hat entweder Ihren Geltungsbereich nicht gesehen oder zählt Anforderungen statt Aufwand.

Was lässt sich gerade nicht übertragen?

Alles, was an eine bestimmte Rechtsfolge oder an ein bestimmtes Verfahren gebunden ist. Die Meldefristen von NIS2 und DORA sind nicht identisch. Der Geschäftsführungsbeschluss nach NIS2 ersetzt keine Managementbewertung nach ISO 27001. Das DORA-Informationsregister hat keine Entsprechung in ISO 27001. Genau diese Reste sind der Grund, warum eine reine Zuordnungstabelle nicht reicht.

In welcher Reihenfolge sollten wir Regelwerke angehen?

Mit dem breitesten zuerst, wenn Sie die Wahl haben. ISO 27001 trägt am meisten in andere Regelwerke hinein, weil Managementsystem und Maßnahmenkatalog beide gebraucht werden. Danach ist das zweite Regelwerk überwiegend Ergänzung statt Neuaufbau. Wenn eine Frist drückt, gewinnt die Frist. NIS2 und DORA fragen nicht, ob Sie vorher ISO gemacht haben.

Zertifiziert uns Sightadel?

Nein. Sightadel ist Software für die Vorbereitung und die Aufrechterhaltung — wir zertifizieren nicht und führen keine Zertifizierungsaudits durch. Das Zertifikat stellt eine akkreditierte Zertifizierungsstelle nach einem Audit aus. Sie wählen die Zertifizierungsstelle frei. Sie können eine eigene beauftragen oder eine aus unserem Partnernetz ansprechen; die Stellen in diesem Netz arbeiten unabhängig von uns, und wir erhalten für eine Vermittlung keine Gegenleistung, die ihr Urteil beeinflussen könnte. Diese Trennung ist keine Zurückhaltung, sondern Grundlage: Nach ISO/IEC 17021 muss eine Zertifizierungsstelle unparteiisch sein und darf dieselbe Organisation nicht beraten und zertifizieren. Wer Software, Beratung und Zertifikat aus einer Hand anbietet, schafft einen Interessenkonflikt, der am Ende Ihr Zertifikat angreifbar macht.

Bekommt unser Auditor einen eigenen Zugang?

Ja. Es gibt eine eigene Auditor-Rolle, ausschließlich lesend und immer extern — ein interner Nutzer kann sie nicht bekommen. Das erspart den Versand von Nachweisordnern per E-Mail und macht nachvollziehbar, was der Auditor gesehen hat. Für hinzugezogene Beraterinnen und Berater gibt es eine getrennte Rolle, damit im Audit nicht verschwimmt, wer geprüft und wer mitgearbeitet hat.

Wie läuft ein Zertifizierungsaudit ab?

In zwei Stufen. Stufe 1 ist im Kern eine Dokumentenprüfung: Geltungsbereich, Politik, Risikomethodik, Erklärung zur Anwendbarkeit, Auditprogramm. Stufe 2 prüft die Wirksamkeit vor Ort oder per Fernzugriff, mit Stichproben und Gesprächen. Danach folgen zwei Überwachungsaudits in den Folgejahren und im dritten Jahr die Rezertifizierung. Der Zyklus läuft drei Jahre.

Wie viele Audittage müssen wir einplanen?

Das richtet sich nach Beschäftigtenzahl und Komplexität und wird von der Zertifizierungsstelle nach ISO/IEC 27006 hergeleitet. Größenordnung für die Erstzertifizierung nach ISO 27001: etwa fünf Tage bei bis zu zehn Beschäftigten, rund acht bis zehn bei 50, zwölf bis vierzehn bei mittleren dreistelligen Zahlen. Überwachungsaudits liegen bei ungefähr einem Drittel, die Rezertifizierung bei etwa zwei Dritteln der Erstauditzeit. Seit der Fassung von 2024 ist die Herleitung stärker risikobasiert — die Zahlen sind Orientierung, kein Anspruch.

Können wir das interne Audit selbst machen?

Ja, solange die auditierende Person ihren eigenen Arbeitsbereich nicht prüft. Unabhängigkeit heißt hier Objektivität, nicht Externität. In kleinen Organisationen auditieren sich Bereiche gegenseitig; wenn das nicht geht, ist ein externer interner Auditor der übliche Weg.

Wie erfahren wir von Änderungen an Normen und Gesetzen?

Auf drei Wegen: als Meldung im Dashboard, im Newsletter und in der News-Rubrik auf sightadel.com. Die Dashboard-Meldung ist dabei die gezielteste — sie erscheint nur zu den Regelwerken, für die Sie ein Abonnement haben, und nicht zu allen anderen. Gemeldet wird jeweils, was sich geändert hat, was das für Ihre Prüfpunkte bedeutet und bis wann etwas zu tun ist.

FAQ

Die Fragen, die uns wirklich gestellt werden.

Sortiert nach Thema, beantwortet ohne Umweg. Wo wir etwas nicht wissen oder wo es auf Ihren Fall ankommt, steht das auch so da — eine FAQ, die nur bestätigt, was der Vertrieb sagt, hilft niemandem.

Registrierung und Onboarding

Ja. Es gibt einen Testzugang über 14 Tage, angefragt über das Kontaktformular auf sightadel.com. Zahlungsdaten sind dafür nicht nötig.

Plattform, Editionen und Rollen

Je Regelwerk. Sie buchen ISO 27001, NIS2 oder DORA einzeln, jeweils in einer von drei Editionen. Die Editionen unterscheiden sich in Kapazität und Reaktionszeit — interne Nutzer, Nachweisspeicher, überwachte Assets, Lieferanten, Support — nicht im inhaltlichen Umfang des Regelwerks.

Das heißt konkret: Anforderungen, Nachweisstruktur und Audit-Export sind in Basic dieselben wie in Enterprise.

Einrichtung ISO/IEC 27001

Zwei Dinge, die gern verwechselt werden. Erstens die Kapitel 4 bis 10: ein Managementsystem mit Kontext, Führung, Planung, Betrieb, Bewertung und Verbesserung. Zweitens Anhang A: 93 Maßnahmen in vier Themenfeldern — organisatorisch, personenbezogen, physisch, technologisch.

Auditoren scheitern Organisationen selten an Anhang A. Sie scheitern an Kapitel 9 und 10: interne Audits, Managementbewertung, Korrekturmaßnahmen. Das ist der Teil, den man nicht kaufen kann.

Einrichtung ISO 9001

Das entscheidet fast immer der Kunde, nicht die Norm. ISO 9001 ist branchenneutral und wird von Dienstleistern genauso zertifiziert wie von Herstellern. Der übliche Auslöser ist eine Ausschreibung oder ein Rahmenvertrag, in dem das Zertifikat als Zugangsvoraussetzung steht.

Einrichtung NIS2

Die Prüfung hat zwei Stufen. Erstens der Sektor: Fällt Ihre Tätigkeit unter die Liste der Einrichtungsarten? Zweitens die Größe: ab 50 Beschäftigten oder 10 Mio. Euro Jahresumsatz gelten Sie als wichtige Einrichtung, ab 250 Beschäftigten oder 50 Mio. Euro als besonders wichtige.

Unabhängig von der Größe greift die Pflicht bei bestimmten Einrichtungen — etwa Betreibern kritischer Anlagen und Anbietern bestimmter digitaler Dienste. Unsere NIS2-Checkliste enthält ein Blatt, das die Einstufung berechnet.

Einrichtung DORA

Für Finanzunternehmen in der EU im weiten Sinn — Banken, Versicherer, Wertpapierfirmen, Zahlungsdienstleister, Kryptowerte-Dienstleister und weitere — sowie für kritische IKT-Drittdienstleister, die diese beliefern. Die Verordnung gilt unmittelbar, seit dem 17. Januar 2025, ohne nationalen Umsetzungsakt.

Wenn Sie Software oder Betrieb für Finanzunternehmen liefern, treffen Sie die Anforderungen über den Vertrag, auch wenn Sie selbst kein Finanzunternehmen sind.

Weitere Regelwerke

ISO/IEC 27001, ISO 9001, NIS2, DORA, SOC 2, NIST CSF 2.0, BSI C5, DSGVO und HACCP, dazu eigene Regelwerke. Für Arztpraxen gibt es ein eigenes Nachweispaket zu § 75b SGB V.

Nachweise und Dokumente

Alles, woraus ein Dritter erkennen kann, dass etwas tatsächlich getan wurde — und zwar mit Datum und Urheber. Ein Protokoll, ein Screenshot einer Einstellung, eine Freigabe im Ticketsystem, ein unterschriebenes Blatt, ein Auszug aus einem Log.

Was kein Nachweis ist: eine Richtlinie, die etwas vorschreibt. Die belegt die Absicht, nicht die Umsetzung. Der häufigste Befund im Erstaudit ist genau diese Verwechslung.

Ein Nachweis, mehrere Regelwerke

Dass derselbe Sachverhalt in mehreren Regelwerken abgefragt wird und Sie ihn genau einmal belegen. Zugriffsverwaltung steht in ISO 27001 Anhang A, in NIS2 Maßnahme 9, in DORA im IKT-Risikomanagement und in SOC 2 unter den gemeinsamen Kriterien. Das ist vier Mal dieselbe Frage.

Wer je Regelwerk einen eigenen Ordner führt, pflegt denselben Nachweis mehrfach — und hat ihn nach einem Jahr in drei verschiedenen Ständen.

Audit und Zertifizierung

Nein. ISO-Normen sind internationale Normen, und ein Zertifikat nach ISO/IEC 27001 oder ISO 9001 wird weltweit anerkannt, sofern die ausstellende Zertifizierungsstelle akkreditiert ist und die Akkreditierungsstelle dem multilateralen Abkommen des International Accreditation Forum angehört. In Deutschland ist das die DAkkS.

Rein europäisch sind nur die Rechtsakte: NIS2, DORA, die DSGVO und die KI-Verordnung. Auch die treffen Anbieter außerhalb der EU, sobald sie in die EU liefern oder Daten von Personen in der EU verarbeiten. Umgekehrt sind SOC 2 und NIST US-amerikanisch geprägt und werden weltweit nachgefragt.

Kurz: Die Norm ist global, die Pflicht ist regional.

Laufender Betrieb und Normänderungen

Die Arbeit, die den Ausschlag gibt. Ein Zertifikat ist eine Momentaufnahme mit drei Jahren Gültigkeit und zwei Überwachungsaudits dazwischen. Zwischen den Audits laufen Zyklen weiter: Zugriffsüberprüfungen, Lieferantenbewertungen, Schulungen, Tests der Wiederherstellung, Managementbewertung.

Der klassische Fehler ist die Pause nach dem Erstaudit. Im ersten Überwachungsaudit fällt sie auf, weil Nachweise für elf Monate fehlen.

Sicherheit, Hosting und Datenschutz

In Deutschland, bei unserem Hoster creoline. Entwicklung, Betrieb und Support sitzen ebenfalls hier. Kein Umweg über Rechenzentren außerhalb, kein Zugriff nach fremdem Recht.

Das ist für einen Teil unserer Kunden der Grund, überhaupt mit uns zu sprechen — und für alle anderen zumindest eine Frage weniger im Lieferantenfragebogen.

Preise, Vertrag und Abrechnung

Je Regelwerk und Edition. ISO 27001 beginnt bei 9.000 € im Jahr in der Basic-Edition, NIS2 und DORA bei 4.500 €, ISO 9001 bei 3.800 €, BSI C5 und DSGVO bei 2.400 €, HACCP bei 1.800 €. Professional liegt 30 % darüber, Enterprise 60 %. Alle Preise netto.

Die vollständige Liste samt Editionsvergleich gibt es als PDF im Ressourcen-Bereich.

Ihre Frage steht nicht dabei? Schreiben Sie uns — Fragen, die zweimal kommen, landen hier, mit Antwort.

Demo vereinbaren