Passgenaue Lösungen für Startups und Scale-ups
Junge Unternehmen wachsen über Kunden, die größer sind als sie selbst. Diese Kunden prüfen, wie Sie mit Daten umgehen, bevor sie unterschreiben. Sightadel hilft, früh eine schlanke Grundlage nach ISO 27001 aufzubauen, die mit dem Unternehmen mitwächst und später auch SOC 2 oder NIS2 trägt.
Ausgangslage
In den ersten Jahren zählt jede Stunde für Produkt und Vertrieb. Informationssicherheit läuft nebenher, oft gut, aber selten aufgeschrieben. Zugänge, Datensicherung und Verschlüsselung sind eingerichtet, doch niemand könnte auf Anhieb belegen, wer wann was geprüft hat.
Das ändert sich mit dem ersten großen Kunden. Der Einkauf schickt einen Sicherheitsfragebogen, die Rechtsabteilung einen Vertrag zur Auftragsverarbeitung, die IT will ein Zertifikat sehen. In einer Finanzierungsrunde fragen Investoren in der Due Diligence nach denselben Themen.
Wer früh beginnt, hat es leichter. Ein kleines Team mit wenigen Systemen lässt sich schnell beschreiben, und gute Gewohnheiten entstehen, bevor sich schlechte festsetzen. Wächst das Unternehmen, wächst das ISMS mit, statt später mühsam nachgebaut zu werden.
Warum jetzt
Der Abschluss hängt an einem Zertifikat oder einem ausgefüllten Fragebogen. Ohne Nachweis verzögert sich der Vertrag oder geht an einen Wettbewerber.
Investoren prüfen Informationssicherheit und Datenschutz in der Due Diligence. Belegte Antworten sparen Zeit und Nachfragen.
Kunden in den USA fragen meist nach einem SOC-2-Bericht. Wer ISO 27001 bereits aufgebaut hat, nutzt einen großen Teil der Kontrollen dafür.
Mit jeder neuen Person kommen Zugänge, Geräte und Werkzeuge dazu. Ohne Regeln für Onboarding und Offboarding verliert man schnell den Überblick.
Banken, Versicherer und NIS2-pflichtige Unternehmen müssen ihre Dienstleister bewerten. Auch ein kleines Softwareunternehmen bekommt diese Anforderungen über den Vertrag.
Ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz und Bilanzsumme kann NIS2 direkt gelten, etwa für Cloud-Anbieter oder Managed Service Provider. Wer schnell wächst, sollte das im Blick behalten.
Relevante Frameworks
In eigenen Worten zusammengefasst, keine Rechtsberatung. Maßgeblich ist der Originaltext in der geltenden Fassung.
Der übliche Nachweis im europäischen Markt. Ein kleiner, klar abgegrenzter Geltungsbereich, etwa ein Produkt und seine Umgebung, macht den Einstieg überschaubar. Das Zertifikat einer akkreditierten Stelle gilt drei Jahre, mit jährlichen Überwachungsaudits.
Zum Framework →Gefragt, sobald Kunden in den USA dazukommen. Type I beschreibt die Gestaltung der Kontrollen zu einem Stichtag, Type II ihre Wirksamkeit über einen Zeitraum. Den Bericht erstellt eine CPA-Firma.
Zum Framework →Gilt ab dem ersten Kunden mit personenbezogenen Daten. Wer im Auftrag verarbeitet, braucht Verträge nach Art. 28 DSGVO, eine Liste der Unterauftragsverarbeiter und beschriebene technische und organisatorische Maßnahmen.
Zum Framework →Für junge Unternehmen meist noch kein direktes Thema, weil die Größenschwellen nicht erreicht sind. Für einzelne Dienste gilt das BSIG aber unabhängig von der Größe. Kommen die Anforderungen über Kunden, reicht oft ein ISMS nach ISO 27001 als Antwort.
Zum Framework →Für Unternehmen, deren Produkt auf KI beruht. Kunden und Investoren fragen, wie Modelle ausgewählt, Daten genutzt und Risiken bewertet werden. ISO 42001 hat dieselbe Struktur wie ISO 27001.
Zum Framework →Empfohlene Reihenfolge
Welche Kunden wollen Sie gewinnen, und welchen Nachweis verlangen sie? Meist ist das ISO 27001, für US-Kunden SOC 2. Den Datenschutz brauchen Sie in jedem Fall.
Ein Produkt, seine Umgebungen und die Menschen, die daran arbeiten. Ein enger, sauber begründeter Geltungsbereich lässt sich später erweitern.
Vieles läuft bereits: Code-Reviews, Backups, Mehr-Faktor-Anmeldung. Es braucht eine kurze Richtlinie und einen Beleg mit Datum. Was fehlt, wird zur Aufgabe.
Zugriffsprüfungen, Onboarding, Offboarding und Änderungen brauchen regelmäßig Belege. Wer erst kurz vor dem Audit sammelt, hat Lücken.
Das ISO-Zertifikat erteilt eine akkreditierte Zertifizierungsstelle. Danach zeigen Sie Zertifikat, Maßnahmen und Unterauftragnehmer im Trust Center, statt jeden Fragebogen neu zu beantworten.
Schwerpunkt
Ein ISMS für zehn Personen sieht anders aus als eines für zweihundert. Diese Punkte helfen, dass Sie es nicht zweimal bauen.
Ein Produkt und ein Standort sind ein guter Anfang. Kommen Produkte, Standorte oder Gesellschaften dazu, erweitern Sie den Geltungsbereich, statt neu zu beginnen.
SOC 2, NIS2 oder ISO 42001 nutzen die Nachweise, die Sie für ISO 27001 schon führen. Neu ist nur, was das weitere Framework zusätzlich verlangt.
Investoren fragen nach Richtlinien, Risiken, Vorfällen und Lieferanten. Mit einem gepflegten ISMS stellen Sie die Unterlagen zusammen, ohne eine Sonderschicht einzulegen.
Entwicklerinnen und Entwickler arbeiten als Contributor nur an ihren Aufgaben und laden dort Belege hoch. Eine Anbindung an Entwicklungswerkzeuge gibt es nicht.
So hilft Sightadel
ISO 27001 und SOC 2 werden Kontrolle für Kontrolle durchgearbeitet, mit Erklärung und Antwortoptionen. Wo sich Anforderungen decken, hängt ein Nachweis an beiden Frameworks.
Mehr erfahren →Richtlinien beginnen mit einer Vorlage statt mit einem leeren Dokument. Die KI hilft beim Formulieren aus Ihren Angaben, Entscheidungen der Leitung bleiben markiert.
Mehr erfahren →Belege tragen Datum, Version und Ablaufdatum. Wiederkehrende Kontrollen laufen als Zyklus, Sightadel erinnert vor dem Termin.
Mehr erfahren →Eine eigene Seite mit Zertifikaten, freigegebenen Dokumenten, Sicherheitsmaßnahmen und Unterauftragnehmern. Der Vertrieb verweist darauf, statt jeden Fragebogen einzeln zu beantworten.
Mehr erfahren →Cloud-Plattform, E-Mail-Versand, Monitoring und Support-Werkzeuge stehen mit Risiko und Nachweisen in einer Liste. Daraus speist sich die Liste der Unterauftragnehmer im Trust Center.
Mehr erfahren →Sightadel prüft die von außen sichtbare Angriffsfläche Ihrer Domains. Genau diese Sicht nutzen auch Kunden, wenn sie Sie bewerten.
Mehr erfahren →Aufwand und Dauer
Die Spannen sind Erfahrungswerte, keine Zusage. Den größten Einfluss haben die Größe des Geltungsbereichs, die Zahl der eingesetzten Dienste und wie viel Zeit das Team neben der Produktarbeit aufbringt.
Was Sie lizenzieren · typisch Basic
Ein junges Unternehmen mit einem Produkt startet typischerweise mit ISO 27001 und DSGVO in der Edition Basic. Sie umfasst fünf Nutzer und zehn Lieferanten. Lizenz für ISO 27001: ab 750 € im Monat. Weil ISO 27001 dabei ist, kosten DSGVO und später SOC 2 dauerhaft weniger. Wächst das Team oder die Zahl der Dienste, wechseln Sie zu Professional.
Lizenz je Framework, Mindestlaufzeit ein Jahr, monatlich oder jährlich zahlbar. Alle Preise, Rabatte und einen Rechner finden Sie auf der Preisseite. Kosten einer Zertifizierungs- oder Prüfstelle kommen getrennt hinzu.
Fragen und Antworten
Mehr im FAQ oder direkt über unser Kontaktformular.
Die Norm schreibt keine Mindestgröße vor. Für ein kleines Team fällt das ISMS schlanker aus: weniger Systeme, weniger Rollen, kürzere Richtlinien. Entscheidend ist, dass Sie die Anforderungen für Ihren Geltungsbereich erfüllen und belegen.
Mit dem Nachweis, den Ihre wichtigsten Kunden verlangen. In Europa ist das meist ISO 27001, in den USA SOC 2. Wer beide Märkte im Blick hat, beginnt oft mit ISO 27001 und nutzt die Nachweise später für SOC 2.
Bevor ein Kunde einen festen Termin setzt. Bis zur Auditreife vergehen auch bei einem kleinen Team einige Monate. Wer früher beginnt, verhandelt nicht unter Zeitdruck.
Solange Sie die Größenschwellen nicht erreichen, meist nicht direkt. Ausnahmen gibt es für einzelne Dienste, die unabhängig von der Größe erfasst sind. Die Anforderungen erreichen Sie aber über Kunden, die selbst erfasst sind. Die Einordnung im Einzelfall klären Sie mit Ihrer Beratung.
Häufig Richtlinien, Zugriffsregeln, Vorfälle der letzten Jahre, Datenschutz, Unterauftragnehmer und bestehende Zertifikate. Mit einem gepflegten ISMS liegen diese Unterlagen an einer Stelle.
Sie erweitern Geltungsbereich, Nutzer und Lieferanten und wechseln bei Bedarf in eine größere Edition. Die vorhandenen Nachweise und Aufgaben bleiben erhalten.
14 Tage, voller Zugriff, keine Zahlungsdaten. Was Sie anlegen, bleibt im bezahlten Plan erhalten.
