Wer zum ersten Mal Software für Informationssicherheit und Compliance auswählt, vergleicht meist Funktionslisten. Die sehen bei fast allen Anbietern ähnlich aus. Die Unterschiede zeigen sich erst im Alltag: wenn ein zweites Regelwerk dazukommt, wenn der Auditor Unterlagen sehen will oder wenn ein Nachweis abläuft. Die folgenden zehn Kriterien helfen, solche Unterschiede vor dem Kauf zu erkennen.
Ein Hinweis vorab: Sightadel ist selbst eine solche Software. Wir haben die Kriterien deshalb so formuliert, dass Sie sie bei jedem Anbieter gleich anwenden können.
Zuerst die Frage: Brauchen Sie überhaupt eine Plattform?
Nicht jedes Unternehmen braucht eine spezialisierte Plattform. Eine gut geführte Dokumentenablage mit klarer Ordnerstruktur und einer Tabelle für Maßnahmen reicht oft aus, wenn diese Punkte zutreffen:
- Sie setzen genau ein Regelwerk um, und ein zweites ist nicht absehbar.
- Eine oder zwei Personen pflegen alles, und beide bleiben voraussichtlich an Bord.
- Kunden fragen selten nach Nachweisen, Fragebögen sind die Ausnahme.
- Es gibt keine Lieferanten, deren Sicherheit Sie regelmäßig bewerten müssen.
Eine Plattform lohnt sich, sobald mehrere Regelwerke zusammenkommen, mehrere Abteilungen zuarbeiten oder Nachweise regelmäßig erneuert werden müssen. Dann wird die Pflege von Tabellen schnell aufwendiger als die Software.
Die zehn Kriterien
1. Regelwerke heute und in zwei Jahren
Klären Sie, welche Regelwerke Sie jetzt brauchen und welche absehbar dazukommen, etwa NIS2 nach ISO 27001 oder DORA für einen Kunden aus der Finanzbranche. Prüfen Sie auch, ob sich eigene Anforderungen abbilden lassen, zum Beispiel Konzernrichtlinien oder die Vorgaben eines Großkunden.
2. Ein Nachweis für mehrere Anforderungen
Viele Anforderungen überschneiden sich. Eine gute Software legt einen Nachweis einmal ab und ordnet ihn allen passenden Anforderungen zu. Wer für jedes Regelwerk eine Kopie anlegt, hat bald unterschiedliche Stände.
3. Nachweise mit Ablaufdatum
Ein Wiederherstellungstest oder eine Schulungsliste gilt nicht ewig. Fragen Sie nach Versionen, Gültigkeitsdatum und einer Erinnerung vor Ablauf. Eine reine Dateiablage leistet das nicht.
4. Anleitung statt leerer Vorlagen
Fragen Sie, wie die Software durch eine Anforderung führt. Eine Liste mit 93 Maßnahmen und einem Upload-Feld je Zeile hilft wenig, wenn niemand weiß, was gemeint ist. Die Entscheidungen, etwa zu Risiken und Zielen, müssen trotzdem bei Ihnen bleiben.
5. Rollen und Berechtigungen
Wer darf was sehen und ändern? Wichtig sind eigene Rollen für externe Berater und für den Auditor. Ein Lesezugang für den Auditor spart den Versand von Dateien per Mail.
6. Lieferanten bewerten
NIS2, DORA und ISO 27001 verlangen, Risiken in der Lieferkette zu berücksichtigen. Prüfen Sie, ob sich Lieferanten nach Risiko bewerten lassen und ob Änderungen an dieser Bewertung festgehalten werden.
7. Nachvollziehbarkeit
Jede Änderung an einer Maßnahme oder einem Nachweis sollte mit Person und Zeitpunkt protokolliert sein. Im Audit ist das oft eine der ersten Fragen.
8. Bericht für die Geschäftsleitung
Die Leitung muss den Stand verstehen, ohne sich durch Kontrolllisten zu klicken. Gefragt ist eine Übersicht, die Fortschritt, offene Punkte und Fristen zeigt.
9. Integrationen, aber mit Maß
Anbindungen an Ticketsysteme oder Cloud-Konten sparen Arbeit, wenn Sie diese Systeme wirklich nutzen. Fragen Sie nach den Anbindungen, die Sie heute brauchen. Eine lange Liste von Logos sagt wenig darüber, ob die eine Anbindung, auf die es Ihnen ankommt, gut funktioniert.
10. Datenstandort, Ausstieg und Gesamtkosten
Fragen Sie, wo die Daten liegen, wer die Server betreibt und wie Sie Ihre Daten wieder herausbekommen. Bei den Kosten zählt nicht nur die Lizenz. Rechnen Sie Einführung, Schulung und die interne Zeit für die Pflege mit ein, und prüfen Sie, wie sich der Preis ändert, wenn ein Regelwerk dazukommt.
Die Bewertungsmatrix
Gewichten Sie die Kriterien nach Ihrer Lage, bevor Sie Anbieter ansehen. Sonst gewinnt der Anbieter mit der besten Präsentation. Vergeben Sie ein Gewicht von 1 (nebensächlich) bis 3 (entscheidend), bewerten Sie dann jeden Anbieter von 0 (fehlt) bis 3 (voll erfüllt) und multiplizieren Sie beide Werte.
| Kriterium | Gewicht | Anbieter A | Anbieter B | Anbieter C |
|---|---|---|---|---|
| 1. Regelwerke heute und in zwei Jahren | ||||
| 2. Ein Nachweis für mehrere Anforderungen | ||||
| 3. Nachweise mit Ablaufdatum | ||||
| 4. Anleitung statt leerer Vorlagen | ||||
| 5. Rollen und Berechtigungen | ||||
| 6. Lieferanten bewerten | ||||
| 7. Nachvollziehbarkeit | ||||
| 8. Bericht für die Geschäftsleitung | ||||
| 9. Integrationen | ||||
| 10. Datenstandort, Ausstieg, Gesamtkosten | ||||
| Summe |
Lassen Sie sich die drei wichtigsten Kriterien in einer Demo am eigenen Beispiel zeigen statt an vorbereiteten Daten. Ein Testzugang, in den Sie einen echten Nachweis aus Ihrem Haus laden, sagt mehr als jede Folie.
Wie Sightadel die Kriterien angeht
- ISO 27001, NIS2, DORA, DSGVO, ISO 9001, BSI C5 und weitere Regelwerke sind hinterlegt. Eigene Frameworks lassen sich anlegen.
- Nachweise werden einmal abgelegt und mehreren Frameworks zugeordnet, mit Version, Gültigkeitsdatum und Erinnerung.
- Lieferanten werden nach inhärentem Risiko und Restrisiko bewertet.
- Aktionspläne haben eine verantwortliche Person und eine Frist, jede Änderung ist protokolliert.
- Auditoren und Berater arbeiten mit eigenen Rollen im Konto mit.
- Sightadel wird in Deutschland entwickelt und gehostet. Ihre Daten lassen sich exportieren.
Einen Überblick über weitere Anbieter finden Sie in unserem Anbietervergleich. Sie können Sightadel 14 Tage kostenlos testen oder eine Demo vereinbaren.
Stand: 13. Oktober 2026 · Keine Rechtsberatung. Maßgeblich sind Norm bzw. Gesetz in der geltenden Fassung.
