47 Excel-Dateien und ein Login
„Zeig mir mal das ISMS-Tool.“ Dieser Satz fällt regelmäßig in Gesprächen mit Kunden. Die Antwort ist häufig ein SharePoint-Ordner mit 47 Excel-Dateien, und ein Login gibt es auch. Der Ordner zeigt zwei Lücken auf einmal: Niemand führt ihn, und nichts hält ihn zusammen.
Was ein ISMS-Tool von einer gut geordneten Ablage unterscheidet, haben wir im März im Praxistest beschrieben.
Wer NIS-2 umsetzen muss, trifft zwei Entscheidungen, die zusammengehören. Die erste lautet: Wer führt die Umsetzung im Tagesgeschäft, und wer weist sie nach? Die zweite betrifft das Werkzeug, mit dem diese Person arbeitet. Die erste bestimmt, welches Werkzeug passt. Das Werkzeug entscheidet, ob diese Person steuert oder Nachweise von Hand zusammenträgt.
Die Verantwortung hat das Gesetz vergeben: Sie liegt bei der Geschäftsleitung. Die Geschäftsleitung braucht jemanden, der die Arbeit führt. Das kann eine Person im Haus sein, ein Berater auf Stundenbasis oder eine besetzte Funktion.
Was das Gesetz verlangt, und was nicht
§ 38 Absatz 1 BSIG verpflichtet Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen, „die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen“. Verletzen sie diese Pflicht, haften sie ihrer Einrichtung nach Absatz 2 für einen schuldhaft verursachten Schaden nach den Regeln des Gesellschaftsrechts. Fehlt dort eine Haftungsregelung, haften sie nach dem BSIG selbst. Absatz 3 verlangt zudem, dass die Geschäftsleitung regelmäßig an Schulungen teilnimmt.
Was umzusetzen ist, steht in § 30 BSIG: „geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen“, konkretisiert in zehn Bereichen. Sie reichen von der Risikoanalyse über die Bewältigung von Sicherheitsvorfällen und die Sicherheit der Lieferkette bis zur Multi-Faktor-Authentifizierung. Die Einrichtung muss die Einhaltung dokumentieren.
Für erhebliche Sicherheitsvorfälle schreibt § 32 BSIG eine gestufte Meldung vor, beginnend mit einer frühen Erstmeldung, die unverzüglich und spätestens 24 Stunden nach Kenntniserlangung fällig ist. Wer sie im Ernstfall auslöst, muss vorher feststehen.
Eine CISO-Stelle verlangt NIS-2 nicht. Weder § 30 noch § 38 BSIG schreiben eine bestimmte Rolle vor. Verlangt sind Maßnahmen und ihre Dokumentation durch die Einrichtung. Die Geschäftsleitung muss die Maßnahmen umsetzen und ihre Umsetzung überwachen. Wir folgern daraus: Die Arbeit lässt sich übertragen, die Pflichten der Geschäftsleitung nicht. Wer die Arbeit übernimmt, ist eine Organisationsfrage. Ihre Antwort bestimmt, welche Software passt.
Sechs Wege zur Umsetzung
Die genannten Anbieter stehen als Beispiele, beschrieben nach ihrer eigenen Darstellung, Stand 14. Oktober 2026. Einen generell besten Weg sehen wir nicht, entscheidend ist die Ausgangslage. Die Wege können sich überschneiden. Die Anbieterbeispiele beziehen sich auf die jeweils beschriebenen Merkmale; zusätzliche Leistungen und die konkrete Aufgabenverteilung sind im jeweiligen Angebot zu prüfen.
Die sechs Wege auf einen Blick, jeder mit der Ausgangslage, in der er aus unserer Sicht passt:
- Eigenbau mit Excel und SharePoint: kleiner Geltungsbereich, eine Person im Haus kennt das Thema und bekommt Zeit dafür.
- Expertentool mit eigenem Team: Ein erfahrener Informationssicherheitsbeauftragter ist im Haus und sucht ein Werkzeug, das seiner Methodik folgt.
- Governance-Plattform: Ein Konzern hat ein eigenes GRC-Team, und die Plattform ist gesetzt.
- Plattform mit Assistenten oder Vorlagen: Jemand im Haus übernimmt die Umsetzung als Aufgabe und bekommt die Zeit dafür.
- Plattform mit Expertenhilfe oder Beratungsprojekt: Sie möchten Software und externe Fachunterstützung verbinden.
- Besetzte Funktion mit Werkzeug: Ein eigener CISO ist nicht benannt und soll es auch nicht werden.
Bei jedem Weg bleibt dieselbe Frage zu klären: Wer führt die Arbeit, und wer übernimmt, wenn diese Person wechselt?
1. Eigenbau mit Excel und SharePoint
Passt, wenn der Geltungsbereich klein ist und eine Person im Haus das Thema kennt und Zeit dafür bekommt. Für eine Erstzertifizierung nach ISO 27001 mit kleinem Scope ist ein sauber geführter Eigenbau ein legitimer Start.
Grenze: Wir würden beim Eigenbau besonders prüfen, wie Versionsstände, Wiedervorlagen und Entscheidungen nachvollziehbar bleiben, auch wenn Zuständige wechseln. Und wie eine Meldung nach § 32 aus den Dokumenten heraus rechtzeitig gelingt.
2. Expertentool mit eigenem Team
Hierher gehört etwa verinice, nach Herstellerangabe: „Das souveräne OpenSource-Tool für GRC, ISMS, DSMS und BCM“. verinice nennt unter anderem BSI IT-Grundschutz und ISO 27001. Ebenso die HiScout GRC-Software, die laut Hersteller in zahlreichen Bundes- und Landesbehörden sowie in der Privatwirtschaft verwendet wird. HiScout nennt IT-Grundschutz, BSI-Richtlinien und ISO-Normen.
Passt aus unserer Sicht, wenn ein erfahrener Informationssicherheitsbeauftragter im Haus ist und ein Werkzeug sucht, das seiner Methodik folgt.
Grenze: Wir würden vor der Auswahl klären, wer das Werkzeug fachlich betreut und bei einem Personalwechsel übernimmt.
3. Governance-Plattform
Ein Beispiel ist OneTrust. OneTrust bezeichnet sein Angebot als „AI-Ready Governance Platform“ und führt Tech Risk & Compliance als einen seiner Bereiche.
Passt aus unserer Sicht, wenn ein Konzern ein eigenes GRC-Team hat und die Plattform gesetzt ist. Dann prüfen wir zuerst, wie NIS-2 dort abgebildet werden kann.
Grenze: Soll eine Plattform allein für NIS-2 eingeführt werden, würden wir vorher klären, wer Einführung und laufende Betreuung übernimmt.
4. Plattform mit Assistenten oder Vorlagen als Arbeitshilfe
ISMS.online nennt als Merkmal „Vorgefertigte Richtlinien- und Kontrollvorlagen“. SECJUR nennt nach Herstellerangabe Assistenten: „Mit unseren intuitiven Assistenten navigieren Sie mühelos selbst durch den Compliance-Prozess.“ Einen zertifizierten Experten stellt SECJUR nach eigener Angabe auf Wunsch bereit.
Passt aus unserer Sicht, wenn jemand im Haus die Umsetzung als Aufgabe übernimmt und die Zeit dafür bekommt.
Grenze: Wir würden vor der Auswahl klären, wer die Umsetzung übernimmt und wer die Geschäftsleitung über Abweichungen informiert.
5. Plattform mit Expertenhilfe oder Beratungsprojekt
Diese Bauform verbindet Software mit Beratung. DataGuard beschreibt das eigene Modell so: „Automatisiert, wenn Sie es wollen, und Expertenhilfe, wenn Sie sie brauchen.“
Passt aus unserer Sicht, wenn Sie Software und externe Fachunterstützung verbinden möchten. Klären Sie beim jeweiligen Angebot, welche Aufgaben die Experten übernehmen, ob die Unterstützung projektbezogen oder laufend erfolgt und wer nach ihrem Ende weiterführt.
6. Besetzte Funktion mit Werkzeug
Ein externer CISO besetzt die Funktion dauerhaft als Mandat und arbeitet auf einer Plattform, auf der die Nachweise entstehen. So bieten wir es an.
Passt, wenn kein eigener CISO benannt ist oder werden soll. Dann braucht die Geschäftsleitung jemanden, der die Maßnahmen während der vereinbarten Mandatslaufzeit umsetzt, die Geschäftsleitung informiert und anstehende Audits vorbereitet.
Grenze: Ist ein eigener, fähiger CISO im Haus, wäre ein Mandat eine doppelte Besetzung. Für diesen Fall gibt es OdySecure als Lizenz allein.
Prüffragen aus Käufersicht
1. Wer führt die Umsetzung, und wer informiert die Geschäftsleitung? Lautet die Antwort „Sie selbst“, gehört die Arbeitszeit dafür in die Kalkulation.
2. Entstehen Nachweise laufend, oder werden sie vor dem Audit zusammengetragen? Die Dokumentationspflicht aus § 30 verstehen wir als laufende Aufgabe.
3. Sind alle zehn Bereiche aus § 30 Absatz 2 abgedeckt? Fragen Sie gezielt nach Lieferkette, Aufrechterhaltung des Betriebs und der Bewertung, ob die Maßnahmen wirken.
4. Wie läuft eine Meldung nach § 32? Wer entscheidet am Freitagabend, ob ein Vorfall erheblich ist, und wer veranlasst die unverzügliche Erstmeldung, spätestens 24 Stunden nach Kenntniserlangung?
5. Tragen mehrere Normen eine Datenbasis? Eine Maßnahme sollte ISO 27001 und NIS-2 zugleich dienen können, ohne doppelt gepflegt zu werden.
6. Wo liegen die Daten, und wer betreibt die Plattform? Fragen Sie nach Rechenzentrum, Betreiber und dem Weg, den Ihre Daten zu KI-Modellen nehmen.
7. Steht der Preis offen, und was ist enthalten? Vergleichbar wird ein Angebot erst, wenn klar ist, ob Begleitung im Preis steckt oder je Stunde hinzukommt.
8. Was passiert nach dem Audit? Die Pflichten aus § 30 gelten fortlaufend. Wer führt Risiken, Maßnahmen und Schulungen im zweiten Jahr weiter?
Sie möchten die acht Fragen für Ihr Haus durchgehen? Im Beratungsgespräch gehen wir sie in 45 Minuten gemeinsam an Ihrem Fall durch.
Was bleibt, wenn die externe Unterstützung endet?
Bei externer Unterstützung stellt sich die Frage, was bleibt, wenn sie endet. Für eine Übergabe würden wir prüfen, welche Entscheidungen dokumentiert sind und wer die Arbeit fortsetzt.
Im vCISO-Mandat bleibt die Funktion besetzt, solange das Mandat läuft. Ein Senior-CISO führt ISMS und Nachweis und arbeitet dafür mit OdySecure. Nach Ende des Mandats können Sie OdySecure mit einem internen CISO auf Grundlage einer gesonderten Plattformlizenz weiter nutzen. Für den Austritt gibt es einen JSON-Datenexport, der seine Grenzen selbst ausweist. Welche Daten exportiert werden und welche Einschränkungen bestehen, erläutern wir vor Vertragsschluss.
Ein dokumentierter Bestand erleichtert die Übergabe, persönliches Erfahrungswissen ersetzt er nicht. Eine Übergabe sollte deshalb auch klären, welches Wissen das nachfolgende Team braucht.
Wie wir es machen: zwei Wege
Ohne eigenen CISO besetzen wir die Funktion im vCISO-Mandat ab 3.600 €/Monat netto, im Einstieg mit rund zwei Tagen im Monat. Die Arbeit läuft auf OdySecure, der Sicherheitsplattform von Cybervize, die im Mandat enthalten ist. Der vCISO führt die Umsetzung der Informationssicherheitsmaßnahmen sowie ISMS und Nachweis und informiert die Geschäftsleitung. Die Pflichten bleiben bei der Einrichtung und ihrer Geschäftsleitung. Die Mindestlaufzeit beträgt sechs Monate, danach ist das Mandat monatlich kündbar.
Mit eigenem CISO lizenzieren Sie OdySecure allein, ab 12.900 € netto pro Jahr bei jährlicher Abrechnung in der Stufe Core. Senior-CISO-Begleitung ist darin nicht enthalten und lässt sich getrennt dazubuchen. Für eine Vakanz oder ein Audit unter Zeitdruck gibt es den Interim CISO, projektbezogen mit typisch 8.000 bis 15.000 € im Monat und ohne Plattformbindung. Alle Preise verstehen sich netto zuzüglich Umsatzsteuer.
OdySecure führt fünf Module auf einer Datenbasis: ISMS, BCM, Assessment, TPRM und Awareness.
50 Rahmenwerke sind als Katalog hinterlegt. Die Liste mit Katalogtiefe je Eintrag steht auf unserer Seite Standards und Regulatorik. Betrieben wird die Plattform in Rechenzentren in Deutschland bei OVHcloud. Sie steuert und weist nach. Angriffserkennung und den Schutz einzelner Systeme leistet sie nicht, dafür braucht es weiterhin Technik und Betrieb im Haus oder beim Dienstleister.
Referenz: Unterstützung bei der Einführung von NIS-2 im Energiesektor.
Wann wir nicht der richtige Weg sind
Bei einem eigenen, fähigen CISO halten wir ein Mandat für entbehrlich. Hat ein Konzern eine GRC-Suite konzernweit gesetzt, würden wir zuerst deren Nutzung für NIS-2 prüfen. Für eine Erstzertifizierung nach ISO 27001 mit kleinem Scope kommt nach unserer Einordnung auch ein sauber geführter Eigenbau als Start infrage.
Häufige Fragen
Schreibt NIS-2 einen CISO vor?
Nein. § 30 BSIG verlangt Risikomanagementmaßnahmen und ihre Dokumentation, § 38 BSIG verpflichtet die Geschäftsleitung, sie umzusetzen und die Umsetzung zu überwachen. Eine bestimmte Stelle schreibt das Gesetz nicht vor. Ein vCISO ist ein Weg, die Maßnahmen umzusetzen, keine gesetzliche Vorgabe.
Kann die Geschäftsleitung ihre Pflichten an einen vCISO abgeben?
Nein. Ein vCISO kann die operative Durchführung übernehmen, also die Umsetzung der Informationssicherheitsmaßnahmen. Die gesetzlichen Umsetzungs-, Überwachungs- und Schulungspflichten der Geschäftsleitung aus § 38 BSIG bleiben bestehen, ebenso die Pflichten der Einrichtung. Das ist unsere fachliche Einordnung; die rechtliche Bewertung im Einzelfall gehört zu einer Kanzlei.
Ist OdySecure im vCISO-Mandat enthalten?
Ja, im vCISO-Mandat von Cybervize ist OdySecure enthalten. Umgekehrt gilt das nicht: Die Lizenz allein enthält keine Senior-CISO-Begleitung.
Was kostet welcher Weg?
Unsere Preise stehen offen auf der Preisseite. Das vCISO-Mandat beginnt bei 3.600 €/Monat. OdySecure allein beginnt bei 12.900 € netto pro Jahr bei jährlicher Abrechnung in der Stufe Core. Der Interim CISO liegt typisch bei 8.000 bis 15.000 € im Monat. Für andere Anbieter gilt deren eigene Preisangabe. Vergleichen Sie, was jeweils enthalten ist, und rechnen Sie die eigene Arbeitszeit mit.
Was passiert mit unseren Daten, wenn das Mandat endet?
Nach Ende des Mandats können Sie OdySecure mit einem internen CISO auf Grundlage einer gesonderten Plattformlizenz weiter nutzen. Wer sie nicht weiter nutzt, bekommt einen JSON-Datenexport, der seine Grenzen selbst ausweist; nach Vertragsende folgt die terminierte Löschung. Welche Daten exportiert werden und welche Einschränkungen bestehen, erläutern wir vor Vertragsschluss.
Der nächste Schritt
Bleibt der SharePoint-Ordner vom Anfang. Die 47 Excel-Dateien zeigen, dass jemand angefangen hat. Was ihnen fehlt, ist jemand, der sie führt, und ein Werkzeug, das sie zusammenhält. Welcher der sechs Wege das für Ihr Haus leistet, hängt davon ab, wer die Arbeit heute trägt und wer sie morgen tragen soll. Darüber sprechen wir gern in einem unverbindlichen Beratungsgespräch von 45 Minuten an Ihrem Fall. Wer zuerst die Werkzeuge vergleichen will, findet die Wege auf unserer Seite ISMS-Software im Vergleich.