Die Fragen, die uns wirklich gestellt werden.

Ja. Es gibt einen Testzugang über 14 Tage mit vollem Zugriff, angefragt über das Kontaktformular. Zahlungsdaten sind dafür nicht nötig.

Was Sie in der Testphase anlegen, geht nahtlos in den bezahlten Plan über. Wählen Sie keinen Plan, endet der Test automatisch.

Der technische Teil ist an einem Nachmittag erledigt: Mandant anlegen, Nutzer einladen, Framework aktivieren, Verantwortliche eintragen. Was Zeit kostet, ist das Befüllen – also die Frage, welche Nachweise bei Ihnen schon existieren und welche erst entstehen müssen.

Realistisch für eine Erstzertifizierung nach ISO 27001: drei bis sechs Monate bis zur Auditreife, wenn jemand im Haus die Sache wirklich betreibt. Wer das nebenher macht, braucht neun bis zwölf.

Mit dem Geltungsbereich, nicht mit den Maßnahmen. Legen Sie fest, welche Standorte, Systeme und Prozesse dazugehören und welche ausdrücklich nicht. Jede Stunde, die Sie hier investieren, sparen Sie später dreifach – ein zu weit gefasster Geltungsbereich ist der häufigste Grund, warum Projekte sich hinziehen.

Danach: Verantwortliche je Themenblock eintragen, dann die Bestandsaufnahme. Erst dann Maßnahmen.

Weniger, als Sie denken. Eine verantwortliche Person je Themenblock reicht; alle anderen bekommen Aufgaben zugewiesen und brauchen keinen ständigen Zugang. Die Basic-Edition enthält fünf interne Nutzer, Professional zehn, Enterprise nach Vereinbarung.

Nein. Eine Anmeldung über SAML oder OIDC gibt es derzeit nicht; der Zugang läuft über eigene Konten in Sightadel.

Wenn Single Sign-on für Sie Voraussetzung ist, sagen Sie uns das bitte vor dem Testzugang – dann können wir einschätzen, ob und wann das für Sie in Frage kommt, statt Sie später damit zu überraschen.

Ja, und das ist der übliche Fall. Vorhandene Excel-Tabellen und Word-Dokumente importieren Sie direkt; Richtlinien, Verfahrensanweisungen und Nachweise werden den passenden Anforderungen zugeordnet.

Was dabei fast immer auffällt: In der Tabelle stehen Zustände, die seit Monaten nicht mehr stimmen. Das ist kein Argument gegen den Umzug, sondern der Grund dafür.

Je Regelwerk. Sie buchen ISO 27001, NIS2 oder DORA einzeln, jeweils in einer von drei Editionen. Die Editionen unterscheiden sich in Kapazität und Reaktionszeit – interne Nutzer, Nachweisspeicher, überwachte Assets, Lieferanten, Support – nicht im inhaltlichen Umfang des Regelwerks.

Das heißt konkret: Anforderungen, Nachweisstruktur und Audit-Export sind in Basic dieselben wie in Enterprise.

Ist ISO 27001 oder ISO 9001 in Ihrer Lizenz, kostet jedes andere Regelwerk dauerhaft 5 % weniger als laut Preisliste. ISO 27001 und ISO 9001 selbst sind davon ausgenommen. Dazu kommen Rabatte für Vorauszahlung. Die genauen Konditionen und einen Rechner finden Sie auf unserer Preisseite.

Der eigentliche Gewinn beim zweiten Regelwerk liegt aber nicht im Rabatt, sondern darin, dass ein großer Teil der Nachweise bereits liegt. Mehr dazu im Abschnitt zur Mehrfachnutzung.

Sechs, und sie unterscheiden ausdrücklich zwischen intern und extern:

Admin (Owner) – verwaltet Mandant, Nutzer und Abonnements.

Consultant, intern – arbeitet inhaltlich über alle Regelwerke.

Contributor, intern – bearbeitet die ihm zugewiesenen Punkte.

Viewer – liest mit, ohne zu ändern.

Consultant, extern – für Beraterinnen und Berater, die Sie hinzuziehen.

Auditor – immer extern; liest, kommentiert, bearbeitet nach Freigabe, löscht nie.

Die Trennung zwischen internem und externem Consultant ist kein Detail: Im Audit muss erkennbar sein, wer zu Ihrer Organisation gehört und wer nicht.

Ja. Basic enthält ein eigenes Regelwerk, Professional drei, Enterprise beliebig viele. Das ist der Weg für Konzernvorgaben, Kundenanforderungen aus Verträgen oder Branchenstandards, für die es kein fertiges Modul gibt.

Ja. Sie stellen dort zusammen, was Kunden und Interessenten ohnehin anfragen – Zertifikate, Testate, Angaben zum Hosting, Unterauftragsverarbeiter – und verweisen darauf, statt jedes Mal denselben Anhang zu verschicken.

Der Nutzen zeigt sich beim dritten Kundenfragebogen: Was im Trust Center steht, muss im Fragebogen nicht mehr recherchiert werden.

Nicht vollständig, und das ist Absicht. Für jede Anforderung gibt es Vorlagen, auf Ihre Branche zugeschnitten. Die KI hilft beim Formulieren und schlägt Texte vor, Sie entscheiden.

Was Ihr Unternehmen ausmacht – Ziele, Risiken, Verantwortungen –, beschreiben Sie selbst. Sonst erfüllt die Norm ihren Zweck nicht, und im Audit fällt es auf.

Sie fragen direkt am Prüfpunkt. Bei wichtigen Fragen und verzwickten Fällen antworten echte Beraterinnen und Berater mit Audit-Erfahrung, nicht ein Ticketsystem.

Wenn Sie eine eigene Beratung hinzuziehen, bekommt sie im Konto eine eigene, externe Rolle.

Der Schwerpunkt liegt auf der Nachweisführung selbst, nicht auf einer langen Liste vorgefertigter Anbindungen. Wenn eine bestimmte Schnittstelle für Sie entscheidend ist, sprechen Sie uns vor dem Testzugang darauf an.

Und eine Einordnung, die in Anbietervergleichen gern fehlt: Automatisch erhobene Nachweise ersetzen keine Entscheidung. Ein Werkzeug kann belegen, dass Verschlüsselung aktiv ist – ob sie angemessen ist, entscheiden immer noch Sie, und genau das fragt der Auditor.

Ja, nach Absprache. Ganz spezifische Anforderungen, die der Standard nicht abdeckt, setzen wir als individuelle Anpassung um. Umfang und Kosten klären wir vorher mit Ihnen in einem Angebot. Mehr dazu auf der Seite Individuelle Anpassungen.

Deutsch und Englisch. Die Arbeitsmittel im Ressourcen-Bereich – Checklisten, Nachweispakete, Leitfäden – gibt es zusätzlich in Französisch, Spanisch und Portugiesisch, europäisch wie brasilianisch.

Am Dashboard: Compliance-Fortschritt je Framework, offene Aufgaben mit Frist und ablaufende Nachweise. Nützlich ist dabei weniger die Gesamtzahl als die Richtung: Was ist seit dem letzten Monat abgelaufen, und wer kümmert sich darum.

Zwei Dinge, die gern verwechselt werden. Erstens die Kapitel 4 bis 10: ein Managementsystem mit Kontext, Führung, Planung, Betrieb, Bewertung und Verbesserung. Zweitens Anhang A: 93 Maßnahmen in vier Themenfeldern – organisatorisch, personenbezogen, physisch, technologisch.

Auditoren scheitern Organisationen selten an Anhang A. Sie scheitern an Kapitel 9 und 10: interne Audits, Managementbewertung, Korrekturmaßnahmen. Das ist der Teil, den man nicht kaufen kann.

Die Erklärung zur Anwendbarkeit – im Englischen Statement of Applicability – ist das einzige Dokument, das die Norm namentlich als Pflicht nennt und das der Auditor vor allen anderen sehen will. Für jede der 93 Maßnahmen steht darin: anwendbar oder nicht, mit Begründung, und wenn anwendbar, der Verweis auf die Umsetzung.

Eine Maßnahme auszuschließen ist erlaubt. Sie ohne Begründung auszuschließen ist eine Abweichung.

Ja, und sie muss wiederholbar sein. Die Norm schreibt keine Methode vor, verlangt aber, dass dieselben Eingaben zu vergleichbaren Ergebnissen führen. Eine Bewertung nach Bauchgefühl durch wechselnde Personen erfüllt das nicht.

Die Reihenfolge ist übrigens umgekehrt, als die meisten anfangen: erst Risiken, dann Maßnahmen, dann die Erklärung zur Anwendbarkeit. Wer mit Anhang A beginnt, begründet hinterher rückwärts.

Nein, und das darf er auch nicht sein. ISO-Normen sind urheberrechtlich geschützt und werden einzeln lizenziert – über Beuth beziehungsweise DIN Media in Deutschland oder direkt über die ISO. Sightadel enthält die Struktur, die Prüfpunkte, die Nachweisführung und unsere eigenen Erläuterungen, nicht den Wortlaut der Norm.

Sie brauchen also mindestens ein Exemplar der Norm im Haus. Das gilt für jede Plattform, auch für die, die das nicht dazusagen.

Weniger, als Vorlagenpakete suggerieren. Die Norm verlangt namentlich eine überschaubare Zahl dokumentierter Informationen – Geltungsbereich, Politik, Risikomethodik, Risikobehandlungsplan, Erklärung zur Anwendbarkeit, Kompetenznachweise, Auditprogramm und -ergebnisse, Managementbewertung, Abweichungen und Korrekturmaßnahmen.

Alles Weitere ist dann nötig, wenn Sie ohne es nicht belegen können, dass eine Maßnahme wirkt. Eine Richtlinie, die niemand liest, ist kein Nachweis, sondern Ballast.

Das entscheidet fast immer der Kunde, nicht die Norm. ISO 9001 ist branchenneutral und wird von Dienstleistern genauso zertifiziert wie von Herstellern. Der übliche Auslöser ist eine Ausschreibung oder ein Rahmenvertrag, in dem das Zertifikat als Zugangsvoraussetzung steht.

Ja, und das ist der eigentliche Grund, beides in einem Werkzeug zu führen. Beide Normen folgen derselben Grundstruktur: Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung, Verbesserung.

Praktisch heißt das: ein Dokumentenlenkungsverfahren, ein internes Auditprogramm, eine Managementbewertung, ein Verfahren für Korrekturmaßnahmen – und nicht jeweils zwei. Ein kombiniertes Audit ist bei vielen Zertifizierungsstellen möglich und spart Audittage.

Nein. ISO 9001:2015 verlangt keinen Prozesskatalog und kein Qualitätsmanagement-Handbuch – beides stammt aus älteren Fassungen und hält sich hartnäckig. Verlangt ist, dass Sie Ihre Prozesse kennen, steuern und ihre Wirksamkeit messen.

Wo eine Beschreibung fehlt und das Ergebnis trotzdem stimmt, ist das kein Befund. Wo sie fehlt und deshalb Fehler wiederkehren, schon.

Die Prüfung hat zwei Stufen. Erstens der Sektor: Fällt Ihre Tätigkeit unter die Liste der Einrichtungsarten? Zweitens die Größe: Ab 50 Beschäftigten oder 10 Mio. Euro Jahresumsatz gelten Sie als wichtige Einrichtung, ab 250 Beschäftigten oder 50 Mio. Euro als besonders wichtige.

Unabhängig von der Größe greift die Pflicht bei bestimmten Einrichtungen – etwa Betreibern kritischer Anlagen und Anbietern bestimmter digitaler Dienste. Unsere NIS2-Checkliste enthält ein Blatt, das die Einstufung berechnet.

In aller Regel nicht. Die Schwellen liegen bei 50 Beschäftigten oder 10 Mio. Euro Umsatz; eine Einzel- oder kleine Gemeinschaftspraxis liegt darunter. Verbindlich ist dort die IT-Sicherheitsrichtlinie nach § 390 SGB V (früher § 75b) – die gilt für jede Praxis, unabhängig von der Größe, und verlangt unter anderem ausdrücklich eine Firewall.

Indirekt kann NIS2 Sie dennoch erreichen: Wer an ein Klinikum, ein Labor oder ein MVZ angebunden ist, das selbst unter die Pflicht fällt, bekommt Anforderungen über dessen Lieferkette.

Drei, und alle laufen ab dem Zeitpunkt der Kenntnisnahme. Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats. Dauert der Vorfall zum Ende der Monatsfrist noch an, geben Sie zunächst einen Fortschrittsbericht ab.

Der häufigste Fehler ist nicht die verpasste Frist, sondern der nicht festgehaltene Startzeitpunkt. Notieren Sie Datum und Uhrzeit der Kenntnisnahme, bevor Sie irgendetwas anderes tun.

Die Leitung muss die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und sich schulen lassen. Aufgaben kann sie verteilen, die Verantwortung bleibt aber bei ihr und ist mit persönlicher Haftung verbunden.

Praktisch heißt das: Es braucht einen Geschäftsführungsbeschluss mit Datum und Unterschrift, nicht eine E-Mail mit „passt so". In unserer NIS2-Checkliste gibt es dafür ein eigenes Blatt zum Ausdrucken.

Nein. NIS2 ist keine zertifizierbare Norm, sondern eine Pflicht mit Aufsicht. Sie weisen die Umsetzung gegenüber der zuständigen Behörde nach, nicht gegenüber einer Zertifizierungsstelle.

Deshalb ist die Nachweisführung hier wichtiger als bei ISO: Es gibt kein Zertifikat, das Sie vorzeigen können – nur Ihre Dokumentation. Wer Ihnen ein „NIS2-Zertifikat" verkauft, verkauft Ihnen ein Stück Papier ohne rechtliche Wirkung.

Für Finanzunternehmen in der EU im weiten Sinn – Banken, Versicherer, Wertpapierfirmen, Zahlungsdienstleister, Kryptowerte-Dienstleister und weitere – sowie für kritische IKT-Drittdienstleister, die diese beliefern. Die Verordnung gilt unmittelbar, seit dem 17. Januar 2025, ohne nationalen Umsetzungsakt.

Wenn Sie Software oder Betrieb für Finanzunternehmen liefern, treffen Sie die Anforderungen über den Vertrag, auch wenn Sie selbst kein Finanzunternehmen sind.

Aus sieben Bereichen: IKT-Risikomanagement, Behandlung und Meldung IKT-bezogener Vorfälle, Testen der digitalen operationalen Resilienz, Management des IKT-Drittparteien-Risikos, Informationsregister, Informationsaustausch und Beaufsichtigung kritischer Drittdienstleister.

Unsere DORA-Checkliste zerlegt das in 50 Anforderungen mit Artikelbezug, erwartetem Nachweis und Status.

Bei einem schwerwiegenden IKT-bezogenen Vorfall: erste Meldung spätestens vier Stunden nach der Einstufung als schwerwiegend und in keinem Fall später als 24 Stunden nach Kenntnisnahme. Zwischenmeldung binnen 72 Stunden, Abschlussmeldung binnen eines Monats.

Der Unterschied zu NIS2 liegt im Startpunkt: DORA knüpft die erste Frist an die Einstufung, NIS2 an die Kenntnisnahme. Wer beides betreibt, sollte das im Vorfallprozess sauber trennen.

Nur ein Teil der Unternehmen. Bedrohungsgeleitete Penetrationstests nach dem TIBER-EU-Rahmen sind für bestimmte, von der Aufsicht benannte Finanzunternehmen vorgesehen, mindestens alle drei Jahre, wobei jeder dritte Test von einem externen Anbieter durchzuführen ist.

Alle übrigen brauchen ein Testprogramm, aber kein TLPT: Schwachstellenbewertungen, Netzwerksicherheitsbewertungen, Quelltextprüfungen, Penetrationstests im üblichen Sinn.

Ein vollständiges Verzeichnis aller vertraglichen Vereinbarungen über die Nutzung von IKT-Dienstleistungen, auf Ebene des Einzelunternehmens und der Gruppe. Es geht regelmäßig an die Aufsicht, üblicher Stichtag ist der 31. Dezember des Vorjahres.

Das ist erfahrungsgemäß der Punkt, an dem Projekte ins Stocken geraten: Die geforderten Felder stehen in keinem Vertragsordner, sondern müssen aus Verträgen, Einkauf und Betrieb zusammengetragen werden.

ISO 27001, ISO 9001, ISO 42001, NIS2, DORA, DSGVO, EU AI Act, BSI C5, SOC 2, NIST CSF 2.0, § 390 SGB V für Arzt- und Zahnarztpraxen und HACCP, dazu eigene Regelwerke.

Nein, und die Unterschiede sind größer, als Vergleichstabellen nahelegen. ISO 27001 ist eine Norm mit Zertifikat einer akkreditierten Stelle. SOC 2 ist ein Prüfungsbericht einer Wirtschaftsprüfungsgesellschaft nach US-amerikanischen Standards – kein Zertifikat, sondern ein Bericht, den Sie an Kunden weitergeben.

Typ I beschreibt die Eignung der Kontrollen zu einem Stichtag, Typ II ihre Wirksamkeit über einen Zeitraum, üblich sind drei bis zwölf Monate. Für europäische Kunden zählt meist ISO 27001, für US-Kunden meist SOC 2.

Der Kriterienkatalog des BSI für Cloud-Dienste. Er wird nicht zertifiziert, sondern testiert: Ein Wirtschaftsprüfer prüft nach ISAE 3000 und stellt ein Testat aus, wahlweise zu einem Stichtag oder über einen Zeitraum.

Gebraucht wird es fast ausschließlich von Cloud-Anbietern, die an die öffentliche Hand oder an regulierte Kunden in Deutschland liefern. Wenn Sie niemand danach fragt, brauchen Sie es nicht.

Teilweise, und die Lücke ist die interessante Hälfte. ISO 27001 sichert Informationen unabhängig davon, wessen Daten es sind. Die DSGVO fragt nach Rechtsgrundlage, Zweckbindung, Datenminimierung, Betroffenenrechten, Verarbeitungsverzeichnis und Datenschutz-Folgenabschätzung.

Die technischen und organisatorischen Maßnahmen nach Artikel 32 überschneiden sich stark mit Anhang A. Alles, was mit Rechtmäßigkeit und Rechten der Betroffenen zu tun hat, findet in ISO 27001 keine Entsprechung.

Als Ordnungsrahmen, nicht als Zertifizierungsziel. Die sechs Funktionen – Govern, Identify, Protect, Detect, Respond, Recover – geben eine Sprache, in der sich Reifegrad gegenüber Geschäftsleitung und Aufsichtsrat darstellen lässt, ohne dass man ISO-Kapitel vorlesen muss.

Nützlich ist er außerdem gegenüber US-Kunden und Versicherern, die danach fragen. Ein Zertifikat gibt es nicht.

ISO 42001 ist die Managementsystemnorm für künstliche Intelligenz, aufgebaut wie ISO 27001 und zertifizierbar. Wer bereits ein ISMS betreibt, kann Führung, Risikoprozess, interne Audits und Managementbewertung weitgehend wiederverwenden.

Sie ersetzt nicht die Pflichten aus der KI-Verordnung der EU, hilft aber, sie strukturiert zu erfüllen.

Alles, woraus ein Dritter erkennen kann, dass etwas tatsächlich getan wurde – und zwar mit Datum und Urheber. Ein Protokoll, ein Screenshot einer Einstellung, eine Freigabe im Ticketsystem, ein unterschriebenes Blatt, ein Auszug aus einem Log.

Was kein Nachweis ist: eine Richtlinie, die etwas vorschreibt. Die belegt die Absicht, nicht die Umsetzung. Der häufigste Befund im Erstaudit ist genau diese Verwechslung.

So aktuell wie der Zyklus, den Sie selbst festgelegt haben. Wenn Ihre Richtlinie eine jährliche Überprüfung der Zugriffsrechte vorsieht und die letzte liegt 18 Monate zurück, ist das eine Abweichung – nicht weil die Norm 12 Monate verlangt, sondern weil Sie es getan haben.

Deshalb die unbequeme Empfehlung: Setzen Sie Zyklen, die Sie halten können. Halbjährlich klingt gründlicher und wird im zweiten Jahr zur Fehlerquelle.

Er muss die Wirksamkeit beurteilen können, nicht jedes Detail lesen. Bei personenbezogenen oder besonders schutzwürdigen Inhalten sind geschwärzte Auszüge, Stichproben oder Einsichtnahme am Bildschirm ohne Kopie üblich und akzeptiert.

Bestehen Sie darauf, dass der Umgang damit vor dem Audit geklärt wird, nicht im Auditraum.

Weniger, als man denkt, sofern Sie Verweise statt Kopien führen. Basic enthält 1 GB, Professional 10 GB, Enterprise 100 GB. Wer jeden Screenshot in voller Auflösung ablegt, kommt schneller an die Grenze als jemand, der auf das Ticketsystem verlinkt.

Dass derselbe Sachverhalt in mehreren Regelwerken abgefragt wird und Sie ihn genau einmal belegen. Zugriffsverwaltung steht in ISO 27001 Anhang A, in NIS2 Maßnahme 9, in DORA im IKT-Risikomanagement und in SOC 2 unter den gemeinsamen Kriterien. Das ist vier Mal dieselbe Frage.

Wer je Regelwerk einen eigenen Ordner führt, pflegt denselben Nachweis mehrfach – und hat ihn nach einem Jahr in drei verschiedenen Ständen.

Ein Nachweis wird einmal abgelegt und an alle Anforderungen gehängt, die er bedient – über Regelwerksgrenzen hinweg. Eine Änderung wirkt sich auf alle verknüpften Anforderungen aus; läuft der Nachweis ab, läuft er überall ab.

Der Unterschied zur Tabellenlösung zeigt sich nicht beim Anlegen, sondern ein Jahr später: Dort liegt derselbe Nachweis in drei Ständen, hier in einem.

Das hängt vom Paar ab, und seriös lässt sich das nur mit Ihren Daten sagen. Grobe Erfahrungswerte: ISO 27001 zu NIS2 überschneidet sich stark auf der technischen und organisatorischen Seite; ISO 27001 zu SOC 2 ebenfalls; ISO 27001 zur DSGVO nur dort, wo es um Artikel 32 geht.

Wir nennen bewusst keine Prozentzahl. Wer Ihnen sagt, zwei Regelwerke überschnitten sich zu 80 %, hat entweder Ihren Geltungsbereich nicht gesehen oder zählt Anforderungen statt Aufwand.

Alles, was an eine bestimmte Rechtsfolge oder an ein bestimmtes Verfahren gebunden ist. Die Meldefristen von NIS2 und DORA sind nicht identisch. Der Geschäftsführungsbeschluss nach NIS2 ersetzt keine Managementbewertung nach ISO 27001. Das DORA-Informationsregister hat keine Entsprechung in ISO 27001.

Genau diese Reste sind der Grund, warum eine reine Zuordnungstabelle nicht reicht.

Mit dem breitesten zuerst, wenn Sie die Wahl haben. ISO 27001 trägt am meisten in andere Regelwerke hinein, weil Managementsystem und Maßnahmenkatalog beide gebraucht werden. Danach ist das zweite Regelwerk überwiegend Ergänzung statt Neuaufbau.

Wenn eine Frist drückt, gewinnt die Frist. NIS2 und DORA fragen nicht, ob Sie vorher ISO gemacht haben.

Nein. ISO-Normen sind internationale Normen, und ein Zertifikat nach ISO 27001 oder ISO 9001 wird weltweit anerkannt, sofern die ausstellende Zertifizierungsstelle akkreditiert ist und die Akkreditierungsstelle dem multilateralen Abkommen des International Accreditation Forum angehört. In Deutschland ist das die DAkkS.

Rein europäisch sind nur die Rechtsakte: NIS2, DORA, die DSGVO und die KI-Verordnung. Auch die treffen Anbieter außerhalb der EU, sobald sie in die EU liefern oder Daten von Personen in der EU verarbeiten. Umgekehrt sind SOC 2 und NIST US-amerikanisch geprägt und werden weltweit nachgefragt.

Kurz: Die Norm ist global, die Pflicht ist regional.

Nein. Sightadel ist Software für die Vorbereitung und die Aufrechterhaltung – wir zertifizieren nicht und führen keine Zertifizierungsaudits durch. Das Zertifikat stellt eine akkreditierte Zertifizierungsstelle nach einem Audit aus.

Sie wählen die Zertifizierungsstelle frei. Sie können eine eigene beauftragen oder eine aus unserem unabhängigen Partnernetz ansprechen. Für Audits fließt keine Provision – weder an uns noch an die Partner.

Diese Trennung ist keine Zurückhaltung, sondern Grundlage: Nach ISO 17021 muss eine Zertifizierungsstelle unparteiisch sein und darf dieselbe Organisation nicht beraten und zertifizieren. Wer Software, Beratung und Zertifikat aus einer Hand anbietet, schafft einen Interessenkonflikt, der am Ende Ihr Zertifikat angreifbar macht.

Ja. Es gibt eine eigene Auditor-Rolle, immer extern – ein interner Nutzer kann sie nicht bekommen. Der Auditor liest und kommentiert, legt nach Ihrer Freigabe Einträge an oder bearbeitet sie und kann nichts löschen. Das erspart den Versand von Nachweisordnern per E-Mail und macht nachvollziehbar, was der Auditor gesehen hat.

Für hinzugezogene Beraterinnen und Berater gibt es eine getrennte Rolle, damit im Audit nicht verschwimmt, wer geprüft und wer mitgearbeitet hat.

In zwei Stufen. Stufe 1 ist im Kern eine Dokumentenprüfung: Geltungsbereich, Politik, Risikomethodik, Erklärung zur Anwendbarkeit, Auditprogramm. Stufe 2 prüft die Wirksamkeit vor Ort oder per Fernzugriff, mit Stichproben und Gesprächen.

Danach folgen zwei Überwachungsaudits in den Folgejahren und im dritten Jahr die Rezertifizierung. Der Zyklus läuft drei Jahre.

Das richtet sich nach Beschäftigtenzahl und Komplexität und wird von der Zertifizierungsstelle nach ISO 27006 hergeleitet. Größenordnung für die Erstzertifizierung nach ISO 27001: etwa fünf Tage bei bis zu zehn Beschäftigten, rund acht bis zehn bei 50, zwölf bis vierzehn bei mittleren dreistelligen Zahlen.

Überwachungsaudits liegen bei ungefähr einem Drittel, die Rezertifizierung bei etwa zwei Dritteln der Erstauditzeit. Seit der Fassung von 2024 ist die Herleitung stärker risikobasiert – die Zahlen sind Orientierung, kein Anspruch.

Ja, solange die auditierende Person ihren eigenen Arbeitsbereich nicht prüft. Unabhängigkeit heißt hier Objektivität, nicht Externität. In kleinen Organisationen auditieren sich Bereiche gegenseitig; wenn das nicht geht, ist ein externer interner Auditor der übliche Weg.

Die Arbeit, die den Ausschlag gibt. Ein Zertifikat ist eine Momentaufnahme mit drei Jahren Gültigkeit und zwei Überwachungsaudits dazwischen. Zwischen den Audits laufen Zyklen weiter: Zugriffsüberprüfungen, Lieferantenbewertungen, Schulungen, Tests der Wiederherstellung, Managementbewertung.

Der klassische Fehler ist die Pause nach dem Erstaudit. Im ersten Überwachungsaudit fällt sie auf, weil Nachweise für elf Monate fehlen.

Auf drei Wegen: als Meldung im Dashboard, im Newsletter und in der News-Rubrik auf sightadel.com. Die Dashboard-Meldung ist dabei die gezielteste – sie erscheint nur zu den Regelwerken, für die Sie ein Abonnement haben, und nicht zu allen anderen.

Gemeldet wird jeweils, was sich geändert hat, was das für Ihre Prüfpunkte bedeutet und bis wann etwas zu tun ist.

Nein. Neue Fassungen der abgebildeten Regelwerke stehen im laufenden Abonnement ohne Aufpreis zur Verfügung. Bei einem Wechsel wie von ISO 27001:2013 auf 2022 bekommen Sie die neue Struktur und die Zuordnung der bisherigen Nachweise dazu.

Die Umstellung selbst bleibt Arbeit – aber es ist nicht Ihre Aufgabe, dafür noch einmal zu bezahlen.

Das legt das International Accreditation Forum je Norm fest, üblich sind drei Jahre ab Veröffentlichung. Nach Ablauf verlieren Zertifikate der alten Fassung ihre Gültigkeit, unabhängig davon, wann Ihr eigener Zyklus endet.

Praktisch heißt das: Die Umstellung gehört in ein reguläres Überwachungs- oder Rezertifizierungsaudit, nicht in ein Sonderaudit kurz vor Fristende.

In Deutschland. Entwicklung, Betrieb und Support sitzen ebenfalls hier. Kein Umweg über Rechenzentren außerhalb, kein Zugriff nach fremdem Recht.

Das ist für einen Teil unserer Kunden der Grund, überhaupt mit uns zu sprechen – und für alle anderen zumindest eine Frage weniger im Lieferantenfragebogen.

Ja. Sightadel verarbeitet in Ihrem Auftrag personenbezogene Daten – Nutzerkonten, Verantwortlichkeiten, gelegentlich Inhalte in Nachweisen. Der Vertrag nach Artikel 28 DSGVO gehört zum Vertragswerk, samt Verzeichnis der Unterauftragsverarbeiter.

Ja. Nachweise, Prüfpunkte und Status lassen sich exportieren – das ist Voraussetzung dafür, dass ein Auditor damit arbeiten kann, und Ihre Absicherung gegen Abhängigkeit vom Anbieter.

Fragen Sie das übrigens jeden Anbieter, auch uns, und lassen Sie es sich zeigen statt zusagen.

Halten Sie vor jedem Audit einen aktuellen Export bereit. Das ist kein Misstrauen gegen uns, sondern dieselbe Vorsorge, die Sie in Ihrem Wiederherstellungsplan von sich selbst verlangen.

Die neonotu GmbH, die Sightadel entwickelt und betreibt, ist nach ISO 9001 und ISO 27001 zertifiziert. Wir verarbeiten Daten nach der DSGVO und erfüllen die Anforderungen der DORA an IKT-Drittdienstleister.

Unser eigenes Managementsystem führen wir in Sightadel – das ist die ehrlichste Prüfung, die ein solches Werkzeug bestehen kann.

Lizenziert wird je Regelwerk und Edition (Basic, Professional, Enterprise) mit einem festen Monatspreis. Alle Preise und einen Rechner finden Sie auf unserer Preisseite.

Es gibt Rabatte für mehrere Frameworks und Vorauszahlung. Die Konditionen und den Editionsvergleich finden Sie ebenfalls auf unserer Preisseite.

Die Verträge laufen mindestens ein Jahr. Zahlen können Sie monatlich oder jährlich: Für Vorauszahlung gibt es Rabatte; die Konditionen finden Sie auf unserer Preisseite.

Nein. Die Zertifizierungsstelle rechnet getrennt und direkt mit Ihnen ab, und sie muss das auch, weil sie unabhängig sein muss. Wir erhalten dafür keine Provision. Zur Größenordnung in Deutschland: Erstzertifizierung nach ISO 27001 grob 9.000 bis 13.000 € bei bis zu 50 Beschäftigten, 15.000 bis 22.000 € bis 250 (Kosten der Zertifizierungsstelle, nicht von Sightadel). Überwachungsaudits liegen deutlich darunter.

Diese Spannen sind Marktbeobachtung, kein Angebot – holen Sie zwei bis drei Angebote ein, die Unterschiede sind erheblich.

Sie exportieren Ihre Nachweise und Ihren Stand. Was Sie mitnehmen, ist Ihre Arbeit.

Uns ist lieber, Sie gehen mit Ihren Daten, als dass Sie aus Sorge um die Daten bleiben.