Lösungen · Software- und IT-Dienstleister
Wer Software, Cloud-Dienste oder IT-Betrieb anbietet, wird vor jedem größeren Vertrag geprüft. Fragebögen, Zertifikate, Prüfberichte, Vertragsklauseln. Dazu kommt NIS2 für Cloud-Anbieter, Rechenzentren und Managed Service Provider. Sightadel führt durch ISO 27001, SOC 2 und BSI C5, hält die Nachweise über den Prüfzeitraum zusammen und zeigt Ihren Stand im Trust Center.
Ausgangslage
Für Software- und IT-Dienstleister ist Informationssicherheit Teil des Produkts. Kunden geben Ihnen Daten, Zugänge oder ganze Geschäftsprozesse. Bevor sie das tun, wollen sie wissen, wie Sie damit umgehen. Das zeigt sich im Vertrieb: Der Einkauf schickt einen Sicherheitsfragebogen mit hundert Fragen, die Rechtsabteilung verlangt Anlagen zum Vertrag, die IT des Kunden will Zertifikate und Berichte sehen.
Die Fragen sind fast immer dieselben, nur anders formuliert. Trotzdem beantworten viele Anbieter jeden Fragebogen von Hand, verteilt auf Entwicklung, Betrieb und Geschäftsführung. Das kostet Zeit, die im Produkt fehlt, und es entstehen widersprüchliche Antworten. Ein Zertifikat oder Prüfbericht verkürzt diese Runden, ersetzt sie aber nicht ganz.
Welcher Nachweis der richtige ist, hängt von den Kunden ab. Im deutschsprachigen und europäischen Markt ist ISO 27001 der übliche Maßstab. Kunden in den USA fragen nach SOC 2. Gesundheitswesen und öffentliche Hand erwarten von Cloud-Anbietern ein Testat nach BSI C5. Viele Anbieter brauchen mit der Zeit mehr als einen dieser Nachweise. Wer sie auf einer gemeinsamen Grundlage aufbaut, erledigt den größten Teil nur einmal.
Warum jetzt
Der Auftrag ist greifbar, aber der Einkauf verlangt ein Zertifikat oder einen Prüfbericht. Ohne Nachweis verzögert sich der Abschluss oder scheitert ganz. Der Termin steht oft schon im Angebot.
US-Kunden fragen fast immer nach einem SOC-2-Bericht. Ein ISO-Zertifikat wird oft anerkannt, beantwortet aber nicht alle Fragen der dortigen Sicherheitsabteilungen.
Öffentliche Auftraggeber und Leistungserbringer im Gesundheitswesen fragen bei Cloud-Diensten nach dem BSI C5. Für die Verarbeitung von Gesundheitsdaten in der Cloud ist ein aktuelles Testat Voraussetzung.
Cloud-Anbieter, Rechenzentren und Managed Service Provider gehören zu den Sektoren hoher Kritikalität im BSI-Gesetz. Ab mittlerer Größe sind sie wichtige, ab großer Größe besonders wichtige Einrichtungen.
Auch wer selbst nicht erfasst ist, bekommt die Anforderungen über die Kunden. Banken, Versicherer und NIS2-pflichtige Unternehmen müssen ihre Dienstleister bewerten und vertraglich binden.
Investoren und Käufer prüfen bei Softwareunternehmen die Informationssicherheit in der Due Diligence. Ein gepflegtes ISMS beantwortet diese Fragen ohne Sonderschicht.
Relevante Frameworks
In eigenen Worten zusammengefasst, keine Rechtsberatung. Maßgeblich ist der Originaltext in der geltenden Fassung.
Der Standard für Informationssicherheit im europäischen Markt und die gemeinsame Grundlage für alle weiteren Nachweise. Das Zertifikat einer akkreditierten Stelle gilt drei Jahre, mit jährlichen Überwachungsaudits. Für viele Anbieter das erste Ziel.
Zum Framework →Gefragt, sobald Kunden in den USA oder international aufgestellte Konzerne dazukommen. Type I beschreibt die Gestaltung der Kontrollen zu einem Stichtag, Type II ihre Wirksamkeit über einen Zeitraum. Den Bericht erstellt eine CPA-Firma. Mit bestehendem ISO-27001-ISMS ist ein großer Teil der Kontrollen schon umgesetzt.
Zum Framework →Für Cloud-Anbieter mit Kunden aus Gesundheitswesen, öffentlicher Hand oder regulierten Branchen. Seit Frühjahr 2026 gilt der C5:2026. Für Prüfzeiträume, die ab dem 1. Juni 2027 beginnen, ist nur noch die neue Fassung zulässig. Das Testat stellt ein Wirtschaftsprüfer nach ISAE 3000 aus.
Zum Framework →Anbieter von Cloud-Diensten und Rechenzentren gehören zur digitalen Infrastruktur, Managed Service Provider und Managed Security Service Provider zur Verwaltung von IKT-Diensten. Beide Sektoren stehen in Anlage 1 des BSIG. Online-Marktplätze, Suchmaschinen und soziale Netzwerke sind als Anbieter digitaler Dienste in Anlage 2 erfasst. Einzelne Dienste fallen unabhängig von der Größe darunter.
Zum Framework →Wer im Auftrag von Kunden personenbezogene Daten verarbeitet, ist Auftragsverarbeiter. Dazu gehören Verträge nach Art. 28 DSGVO, eine Liste der Unterauftragsverarbeiter, technische und organisatorische Maßnahmen und ein Ablauf für Datenpannen, der auch die Kunden rechtzeitig informiert.
Zum Framework →Für Anbieter, deren Produkt KI-Funktionen enthält. Kunden fragen zunehmend, wie Modelle ausgewählt, Daten genutzt und Risiken bewertet werden. Ein Managementsystem nach ISO/IEC 42001 baut auf derselben Struktur auf wie ISO 27001.
Zum Framework →Empfohlene Reihenfolge
Welche Kunden wollen Sie gewinnen, und was verlangen sie? Daraus folgt die Reihenfolge. Meist ist ISO 27001 der erste Schritt, SOC 2 oder C5 folgen. Parallel prüfen Sie, ob Ihr Betrieb unter NIS2 fällt.
Welches Produkt, welche Umgebungen, welche Standorte und welche Unterauftragnehmer gehören dazu? Für SOC 2 und C5 entsteht daraus die Systembeschreibung. Ein enger, sauber begründeter Geltungsbereich ist besser als ein breiter, der nicht gelebt wird.
Risikoanalyse, Richtlinien, Zugriffssteuerung, sichere Entwicklung, Änderungsmanagement, Protokollierung, Datensicherung und Vorfallbehandlung. Vieles läuft in Entwicklung und Betrieb längst und braucht nur einen Beleg mit Datum.
Für SOC 2 Type II und C5 Typ 2 zählt, dass Kontrollen über Monate wirksam waren. Zugriffsprüfungen, Onboarding, Offboarding und Änderungen brauchen fortlaufend Belege. Wer erst kurz vor der Prüfung sammelt, deckt den Zeitraum nicht ab.
Das ISO-Zertifikat erteilt eine akkreditierte Zertifizierungsstelle, den SOC-2-Bericht eine CPA-Firma, das C5-Testat ein Wirtschaftsprüfer. Prüfer erhalten in Sightadel einen eigenen Zugang ohne Löschrecht.
Zertifikate, freigegebene Richtlinien, Sicherheitsmaßnahmen und Unterauftragnehmer stehen auf einer eigenen Seite. Der Vertrieb verweist darauf, statt jeden Fragebogen von vorn zu beantworten.
Schwerpunkt
Sicherheitsfragebögen sind für Software- und IT-Dienstleister Teil des Vertriebs. Sie lassen sich nicht abschaffen, aber deutlich schneller beantworten.
Die Antworten auf typische Kundenfragen liegen bereits im ISMS: Wo stehen die Server, wer hat Zugriff, wie wird verschlüsselt, wie oft wird gesichert, wie werden Vorfälle gemeldet. Wenn diese Antworten einmal geprüft und belegt sind, muss sie niemand neu formulieren.
Im Trust Center zeigen Sie Zertifikate, Kurzfassungen von Richtlinien, Sicherheitsmaßnahmen und Unterauftragnehmer. Vertrauliches wie Prüfberichte oder Netzpläne geben Sie nur auf Anfrage frei.
Hosting, E-Mail-Versand, Monitoring, Support-Werkzeuge. Kunden wollen wissen, wer ihre Daten noch sieht. Das Modul Anbieter führt Ihre Unterauftragnehmer mit Bewertung und Nachweisen, das Trust Center zeigt die aktuelle Liste.
Manche Kunden schicken eigene Anforderungskataloge, die wiederkehren. Sie bilden sie als eigenes Framework ab, auch per Import aus Excel oder Word, und verknüpfen vorhandene Nachweise, statt neu zu suchen.
So hilft Sightadel
Eine eigene Seite mit Frameworks, freigegebenen Dokumenten, Sicherheitsmaßnahmen und Unterauftragnehmern. Der Einkauf Ihrer Kunden findet die Antworten selbst, statt auf einen ausgefüllten Fragebogen zu warten.
Mehr erfahren →ISO 27001, SOC 2 und C5 werden Kontrolle für Kontrolle durchgearbeitet. Wo sich Anforderungen decken, hängt ein Nachweis an mehreren Frameworks, etwa die Zugriffsprüfung an ISO 27001 und SOC 2 gleichzeitig.
Mehr erfahren →Belege tragen Datum, Version und Ablaufdatum. Wiederkehrende Kontrollen laufen als Zyklus, Sightadel erinnert, bevor ein Termin im Prüfzeitraum verstreicht.
Mehr erfahren →Hosting-Anbieter, Cloud-Plattformen und weitere Unterauftragnehmer werden mit Kritikalität, Fragebogen und Nachweisen samt Gültigkeitsdatum geführt. Daraus speist sich die Liste im Trust Center.
Mehr erfahren →Sightadel prüft die von außen sichtbare Angriffsfläche Ihrer Domains und zeigt jedes Problem mit Anleitung zur Behebung. Genau diese Sicht nutzen auch Kunden, wenn sie Sie von außen bewerten.
Mehr erfahren →Kundenspezifische Kataloge und interne Vorgaben legen Sie als eigenes Framework an. Bestehende Excel- und Word-Dateien lassen sich importieren.
Mehr erfahren →Blick von außen
Kaum ein Sicherheitsfragebogen kommt ohne die Frage aus, wie oft Sie Ihre Anwendungen auf Schwachstellen prüfen und wann der letzte Penetrationstest war. Gemeinsam mit veyrisk bieten wir die Prüfungen dazu an. Berichte und behobene Befunde legen Sie als Nachweis in Sightadel ab und geben sie bei Bedarf über das Trust Center frei.
Software-, Cloud- und Managed-Service-Anbieter
Die Prüfungen sind unabhängig von Ihrer Sightadel-Lizenz buchbar. Das Angebot erhalten Sie nach einem kurzen Gespräch.
Beratung anfragenAufwand und Dauer
Die Spannen sind Erfahrungswerte, keine Zusage. Den größten Einfluss haben die Größe des Geltungsbereichs, die Zahl der Unterauftragnehmer und wie viel Zeit Entwicklung und Betrieb neben der Produktarbeit aufbringen.
Was Sie lizenzieren · typisch Professional
Ein typischer SaaS-Anbieter mit Kunden in Europa und den USA führt ISO 27001 und SOC 2 in der Edition Professional. Sie umfasst zehn Nutzer, zehn Assets und 25 Lieferanten. Ist ISO 27001 dabei, gibt es auf SOC 2 einen dauerhaften Nachlass. Kleinere Teams mit einem Produkt kommen oft mit Basic aus. BSI C5 nehmen Sie hinzu, wenn Kunden es verlangen.
Lizenz je Framework, Mindestlaufzeit ein Jahr, monatlich oder jährlich zahlbar. Alle Preise, Rabatte und einen Rechner finden Sie auf der Preisseite. Kosten einer Zertifizierungs- oder Prüfstelle kommen getrennt hinzu.
Fragen und Antworten
Mehr im FAQ oder direkt über unser Kontaktformular.
Mit dem Nachweis, den Ihre wichtigsten Kunden verlangen. Für Kunden in Deutschland und Europa ist das meist ISO 27001, für Kunden in den USA SOC 2. Wer beide Märkte bedient, beginnt oft mit ISO 27001, weil das ISMS die Grundlage für SOC 2 bildet. In Sightadel nutzen beide Frameworks dieselben Nachweise.
Den Teil, den Sie verantworten. Rechenzentrum und physische Sicherheit deckt der Cloud-Anbieter mit seinen eigenen Zertifikaten und Berichten ab. Konfiguration, Zugriffe, Anwendungssicherheit, Datensicherung und Vorfallbehandlung liegen bei Ihnen. Die Nachweise des Anbieters legen Sie im Modul Anbieter ab und verweisen darauf.
Das hängt davon ab, wie Ihr Dienst einzuordnen ist und wie groß Ihr Unternehmen ist. Cloud-Computing-Dienste, Rechenzentren und Managed Services sind in Anlage 1 des BSIG genannt, Online-Marktplätze, Suchmaschinen und soziale Netzwerke in Anlage 2. Nicht jede Software als Dienst ist automatisch ein Cloud-Computing-Dienst im Sinne des Gesetzes. Die Einordnung ist eine Rechtsfrage für Ihre Beratung.
Ab mittlerer Größe sind Sie selbst erfasst, mit Registrierung beim BSI, Risikomanagement, Meldepflichten und Verantwortung der Geschäftsleitung. Besonders im Fokus stehen Ihre Zugänge zu Kundensystemen, denn ein Angriff auf Sie trifft viele Kunden zugleich. Zusätzlich verlangen Ihre Kunden Nachweise, weil sie ihre Lieferkette bewerten müssen.
Es nimmt die wiederkehrenden Fragen aus dem Prozess. Wie viel Zeit das spart, hängt von Ihren Kunden ab, eine pauschale Zahl nennen wir nicht. Erfahrungsgemäß bleiben einige individuelle Fragen. Die Standardfragen zu Zertifikaten, Hosting, Verschlüsselung und Unterauftragnehmern findet der Kunde selbst.
Das Testat bleibt gültig. Für Prüfzeiträume, die ab dem 1. Juni 2027 beginnen, ist nur noch der C5:2026 zulässig. Planen Sie die Delta-Arbeit rechtzeitig vor dem nächsten Prüfzeitraum ein. In Sightadel ordnen Sie bestehende Maßnahmen den neuen Kriterien zu und sehen, was neu oder verschärft ist.
Sie arbeiten als Contributor nur an ihren Aufgaben und laden dort Belege hoch, etwa einen Auszug aus der Pipeline oder ein Protokoll der Zugriffsprüfung. Eine Anbindung an Entwicklungswerkzeuge gibt es nicht. Wer mehr Überblick braucht, sieht im Dashboard den Stand aller Frameworks.
14 Tage, voller Zugriff, keine Zahlungsdaten. Was Sie anlegen, bleibt im bezahlten Plan erhalten.
