Die Sicherheitsplattform von Cybervize wächst mit Ihnen mit, vom eigentümergeführten Mittelständler bis zum Konzern. Fünf Module teilen Datenbasis, Berechtigungsmodell und Audit-Trail: ein durchgängiger Informationsfluss statt Insellösungen.
Kostenlose Demo buchen
Vom Geschäftsprozess über Asset, Risiko, Maßnahme, Kontrolle und Richtlinie bis zum Sicherheitsprozess ist jedes Element verknüpft. Nachweise entstehen im laufenden Betrieb, und jede Kausalkette lässt sich bis zur Anforderung zurückverfolgen.
Was die KI übernimmt
OdySecure leitet ab, was bei Ihnen tatsächlich gilt: aus Ihren Dokumenten und Ihrer Organisationsstruktur, in sechs Stufen, jede als Vorschlag, den ein Mensch annimmt.
Ihre Unterlagen werden gelesen und in prüfbare Aussagen zerlegt.
Standorte, Systeme und Abhängigkeiten werden als Organisationsgraph erkannt.
Aus Infrastruktur und Pflichten entstehen Risiken, nicht aus einer Vorlage.
Zu jedem Risiko die Maßnahmen, die es kleiner machen.
Die Maßnahmen werden auf die Controls Ihrer Rahmenwerke abgebildet, mehrere zugleich.
Am Ende steht ein Richtlinienvorschlag, abgeleitet aus Ihrem Haus statt aus einer Schablone. Erst Ihre Freigabe macht ihn zur verbindlichen Richtlinie.
Jede Stufe erzeugt Vorschläge, keine Fakten. Sie nehmen sie einzeln an oder je Stufe gesammelt, Sie halten den Lauf an, setzen ihn fort oder machen ihn rückgängig. Richtlinien tragen eine Attestierung, wer sie freigegeben hat. Guardrails und die Vier-Augen-Trennung gelten für die KI wie für Ihre Mitarbeitenden.
Stammgesellschaft, Werke in mehreren Ländern, Niederlassung und die Organisationseinheiten darunter. Jede Ebene trägt eigene Assets, Risiken und Nachweise. Aus der Software, nicht nachgebaut.
Die Meldeprozedur bei einem Datenschutzvorfall, als Ablauf in der Software: vier Schritte, jeder mit dem, was zu tun ist, samt der 72-Stunden-Frist aus Artikel 33 DSGVO. Nicht nachgebaut.
Wer ein ISMS-Tool sucht, vergleicht meist drei Kategorien: einzelne ISMS-Software (nur ISO 27001), Excel-/SharePoint-Eigenbau und große GRC-Suites. OdySecure gehört in keine dieser Kategorien. Hier die vier Dimensionen, in denen der Unterschied messbar wird.
Klassisch wird ISMS in einem Tool, BCM in einem zweiten, TPRM in einem dritten, Assessments in Excel oder einem vierten und Awareness in einem fünften geführt. Fünf Datenmodelle, fünf Berechtigungsmodelle, fünf Audit-Trails. Daten werden manuell synchronisiert oder gar nicht.
ISMS, BCM, TPRM, Assessment und Awareness teilen eine Datenbasis. Aus Assessment-Lücken legen Sie Maßnahmen per Klick an, BIA-Daten validieren BCM-Pläne, kritische Lieferanten im TPRM erzeugen BCM-Bedrohungsszenarien, Schulungsquoten decken den Sicherheitsprozess für Sensibilisierung ab. Ein Audit-Trail, ein Berechtigungsmodell, ein Reportingstand.
Wenn ein neuer Standard wie DIN SPEC 27076 dazukommt, dauert es bei klassischen ISMS-Tools Monate, bis der Anbieter den Katalog einpflegt. Bis dahin Excel.
OSCAL-Import (das offizielle NIST-Format für Sicherheitskataloge) erlaubt, neue Standards in Minuten einzulesen. BSI IT-Grundschutz, NIST SP 800-53, IEC 62443, DIN SPEC 27076 sind bereits da. Eigene Kataloge lassen sich importieren oder direkt in der Plattform anlegen.
Wo der KI-Pfad vom Hersteller gesetzt ist, steht nicht zur Wahl, wohin die Daten fließen.
Drei Betriebsmodi: Sovereign (selbst betriebene LLMs in Deutschland, keine externe Datenweitergabe), BYOK (Kunde nutzt eigene OpenAI/Anthropic/Azure-Keys unter eigenem Vertrag) oder Managed. Drei Modi, drei Datenfluss-Logiken, jeder pro Mandant einstellbar.
Klassische ISMS-Tools sind Software-Produkte, deren Hersteller die regulatorische Tiefe einkaufen oder von Beratern lizenzieren.
Die Plattform codifiziert die vCISO-Methodik aus 25 Jahren Beratungspraxis (PwC Partner, Deloitte Direktor). Entstanden in 14-monatiger Partnerschaft mit dem CISPA-Inkubator (Helmholtz-Zentrum für Informationssicherheit), gefördert vom BMFTR-Programm StartupSecure. ISO 27001 Lead Auditor, BSI IT-Grundschutz Auditor, BS 25999 Lead Auditor sind die Quelle, nicht das Beratungsbudget.
Diese Sektion vergleicht typische Tool-Architektur-Muster, keine namentlich genannten Anbieter. Eine anbieterspezifische Gegenüberstellung mit Ihrem aktuellen Tool machen wir im Erstgespräch.
Sie stehen noch vor der Frage, welcher Weg überhaupt passt? Die vier Wege zu ISO 27001 im Vergleich
Informationssicherheits-Management nach ISO 27001. Organisationsstruktur, BIA, Incident Management mit Meldepflichten (DSGVO 72h, NIS-2, KRITIS), Asset-Inventar mit Abhängigkeitsgraph, duale Risikobewertung, Maßnahmensteuerung, Controls und Statement of Applicability.
Mehr zum ISMS-Modul →Fragebogen-basierte Sicherheitsbewertungen gegen beliebige Standards. OSCAL-Import (BSI Grundschutz, NIST SP 800-53, IEC 62443) oder eigene Standards direkt in der Plattform angelegt, Multi-Standort-Kampagnen, automatisiertes Scoring, revisionssichere Snapshots und automatisch generierte Reports (PDF, Excel, PowerPoint).
Mehr zum Assessment-Modul →Business Continuity Management nach ISO 22301. Kontinuitätspläne mit RTO-Validierung gegen BIA-Daten, Bedrohungsszenarien, Gap-Analyse, BCM-Tests (Tabletop bis Volltest), Compliance Score und Management Reviews mit automatisch befüllten KPIs.
Mehr zum BCM-Modul →Third-Party Risk Management für Lieferanten und Dienstleister. Automatische Kritikalitätsbewertung, Vertragsregister mit 19 EBA-Pflichtfeldern, Subunternehmer-Ketten, Due Diligence, Konzentrationsrisiko, Exit-Strategien und Cross-App Impact-Analyse. Vertragsregister und Exit-Strategien folgen dem Aufsichtsrecht: DORA gilt seit dem 17. Januar 2025, das EBA-Konsultationspapier CP/2025/12 ist ein Entwurf und setzt darauf auf. Die Kritikalitätsbewertung trägt auch außerhalb der Finanzaufsicht, weil ISO 22301 Lieferanten und Partner als Abhängigkeit der zeitkritischen Tätigkeiten führt und in die Kontinuitätslösungen einbezieht.
Mehr zum TPRM-Modul →Security-Awareness mit Auditnachweis. Belegschaftsregister per Dateiimport, mit Vorschau vor dem Schreiben, Schulungen in fünf Sprachen mit firmenspezifischem Zuschnitt und Prüfung vor der Freigabe, Phishing-Simulation mit Meldequote und sofortiger Nachschulung, Richtlinien-Kenntnisnahme sowie Evidenz-Export für ISO 27001 A.6.3 und NIS-2 Artikel 20.
Mehr zum Awareness-Modul →Keine Insellösungen. Definierte Schnittstellen zwischen allen Modulen.
Lücken werden per Klick zu Maßnahmen
BIA-Daten validieren BCM-Pläne. Testfehler erzeugen Maßnahmen
Lieferanten-Risiken verknüpft mit Assets und Incidents
Kritische Lieferanten erzeugen Bedrohungsszenarien
Plattform-Basis für alle Module
Strikte Datenisolierung. Berater arbeiten mandantenübergreifend, ohne Daten zu vermischen.
Modullizenz, Rollen, Attribute und Entity-Scoping. 16 vordefinierte Rollen. Default-Deny.
Segregation of Duties bei Freigaben, Snapshots, Risikoakzeptanzen und Maßnahmenabschlüssen.
Aktionen werden protokolliert: wer, wann, was, von welcher IP. CSV-Export für Auditoren.
60 Minuten, live mit Demo-Daten.
Weil klassische GRC-Tools Compliance zur Ankreuzübung machen, statt sie im operativen Betrieb zu verankern.
Cybervize entstand 2021 mit einer klaren These: Informationssicherheits-Beratung liefert dann den größten Wert, wenn die passende Plattform mitkommt. Gegründet wurde die Cybervize Consulting GmbH 2021 aus 25 Jahren Erfahrung ihres Gründers in Cyber Security und Informationssicherheit mit Stationen als Partner bei PwC und Direktor bei Deloitte. Ziel war von Anfang an, Informationssicherheit für Unternehmen wirtschaftlicher umzusetzen als mit den klassischen Methoden der Beratung.
Klassische GRC-Tools stellen meist nur Fragen, die irgendjemand in der IT beantworten muss. So wird Compliance zu einer Ankreuzübung neben dem Tagesgeschäft, ohne dass sie wirtschaftlich im operativen Betrieb verankert ist. OdySecure wurde gebaut, um genau diese Trennung aufzuheben: Compliance-Anforderungen werden in die laufenden Sicherheits- und IT-Prozesse eingewoben, Evidenzen entstehen im operativen Betrieb, und operative Prozesse sind von vornherein konform. Die Entwicklung wurde durch das Programm StartupSecure der Bundesregierung gefördert und entstand in einer 14-monatigen Partnerschaft mit dem CISPA-Inkubator, dem Helmholtz-Zentrum für Informationssicherheit.
Heute besteht Cybervize aus zwei eigenständigen Gesellschaften: die Cybervize Consulting GmbH übernimmt vCISO- und Interim-CISO-Mandate, die Cybervize Operations GmbH lizenziert die Plattform an Mittelstand und Konzern. Die Beratung war zuerst da und trägt die Plattform; die Plattform ist das bleibende Produkt, das aus der Beratung entstanden ist.
Der Name OdySecure stammt aus einem vom Bund geförderten Forschungsprojekt: „Effektives Management von Cybersicherheit in KMU durch Automatisierung“, gefördert über das Programm StartUpSecure des Bundesministeriums für Forschung, Technologie und Raumfahrt. Aus diesem Vorhaben ist die Software hervorgegangen, die heute lizenziert wird.
Eine Norm wählen Sie, eine regulatorische Vorgabe gilt für Sie. Die Plattform führt beides als Katalog: 50 Rahmenwerke, ISO 27001 als gemeinsame Sprache.
ISO 27001 ist die gemeinsame Sprache der Plattform. Weitere Standards werden per Crosswalk darauf abgebildet, soweit sich ihre Anforderungen fachlich abbilden lassen: eine einmal umgesetzte Kontrolle bedient dann mehrere Rahmenwerke gleichzeitig und reduziert Doppelpflege. Pflichten, die sich nicht als Kontrolle abbilden lassen, werden eigenständig geführt. Jeder aktivierte Standard erhält eine eigene Anwendbarkeitserklärung und Reifegrad-Sicht, wahlweise als Zertifizierungsziel oder als Referenz-Abbildung. Neue Standards werden als Datensatz eingebunden, nicht als Sonderentwicklung: Katalog laden, Zuordnung pflegen, aktivieren.
Warum existiert diese Maßnahme, und welche Standards deckt sie ab?
Funktioniert die Maßnahme tatsächlich, und wie verändert sie das Risiko?
Beide Ketten teilen dieselben Objekte auf der Plattform, und der Wirkungskreis ist ein Regelkreis: Nachweise, Tests und Messdaten verändern die Wirksamkeitsbewertung und damit das Restrisiko, und das Restrisiko löst bei Bedarf neue Maßnahmen aus. Fällt ein Nachweis aus, ist sichtbar, welche Anforderungen und welche Risiken daran hängen.
kuratierte Zuordnungen verbinden ISO 27001, NIS-2 und BSI IT-Grundschutz im Kern-Crosswalk. Jede einzelne ist von einem Sicherheitsexperten geprüft und typisiert: gleichwertig, teilabdeckend oder verwandt. KI-Vorschläge bleiben als solche gekennzeichnet, bis ein Sicherheitsexperte sie geprüft hat.
Fünf Management-Fragen, die jede Geschäftsführung gegenüber Aufsichtsrat, Wirtschaftsprüfer und Versicherer parat haben sollte. Die Plattform liefert sie als Knopfdruck-Antwort, nicht als IT-Übersetzungsleistung.
Investitions-Priorisierung anhand quantifizierter Risiken. Risiko-Top-10 mit Mitigation-Status und Budget-Annotation, sortiert nach Geschäftsauswirkung. Welche Reihenfolge daraus wird, entscheiden Sie.
Reports mit Audit-Trail, ISO-27001-/NIS-2-Status und sektor-spezifischen Nachweisen (DORA, IEC 62443, TISAX), auf Knopfdruck aus dem gepflegten Bestand statt aus Handarbeit. Exportierbar als PDF, Excel und PowerPoint. Jede Aussage ist mit Zeitstempel, Bearbeiter und Quelle dokumentiert.
Risiko-Register mit Status, Eigentümer, Fälligkeit und Trend über 12 Monate. Akzeptierte Risiken sind dokumentiert begründet, offene Risiken haben Eigentümer und Termin, überfällige Risiken sind als solche gekennzeichnet. Keine versteckten Risiko-Listen mehr.
Maßnahmen-Tracking mit Budget-Annotation pro Maßnahme. Sie sehen, welche Mittel für welche Risikoreduktion freigegeben sind, was bereits ausgegeben wurde und welche Maßnahmen ohne Budget hängen.
RACI-Modell mit klaren Eigentümer-Rollen pro Kontrolle und Maßnahme. Sie können vor jeder Aufsichtsratssitzung sagen, wer welche Maßnahme verantwortet, statt bei der nächsten Eskalation zu suchen.
Vom ersten Risiko-Check bis zum bestandenen Audit: Der Weg mit Cybervize hat fünf Stationen, und Sie steigen dort ein, wo Sie stehen. Mit oder ohne eigenen CISO.
Was in welcher Reihenfolge passiert, und wer es macht
Wie lange das dauert, hängt an Ihrem Geltungsbereich, und wir nennen dafür keine Wochenzahl, die wir nicht belegen können. Was Sie vorher wissen können: Der Reifegrad-Check gibt Ihnen in fünf Minuten eine erste Ampel, ohne Anmeldung.
Die KI, die ihre Quellen nennt und Nein sagt, wenn Daten oder Leserecht fehlen. Fragen werden auditfest protokolliert.
Die KI-Schicht ist kein fünftes Modul. Sie nutzt denselben Plattformkern wie Ihre Mitarbeitenden: Rollenmodell, RBAC in vier Schichten, Vier-Augen-Regeln und Audit-Trail gelten für KI-Agenten unverändert. Deshalb kann der OdySecure Navigator aus verbundenen Daten antworten, und deshalb handeln Agenten nur innerhalb der Grenzen, die auch für Menschen gelten.
Fragen wie „Was sind unsere größten Risiken?“ oder „Sind wir audit-bereit?“ beantwortet der Assistent aus den echten Daten Ihres Mandanten: rund 25 geprüfte Abfragen, jede Antwort mit Quelle und Kennzahl, streng nach Leserecht. Gibt es keine Daten oder fehlt das Leserecht, sagt er genau das.
KI als Mitarbeiter: eigenes Konto, Rollen, sichtbarer KI-Agent-Ausweis. Vorschlagen ist der Standard, Handeln gilt nur für eng abgesteckte Felder und braucht eine Vier-Augen-Freigabe.
Wir suchen Unternehmen, die die KI-Agenten als Design-Partner mitgestalten: zum Design-Partner-Programm.
Ein allgemeiner Chatbot mit Dokumenten-Upload beantwortet Fragen aus dem, was man ihm gerade gibt: ohne Leserechte, ohne aktuelle Zahlen, ohne Protokoll. Eine KI-Checkbox neben einem GRC-Formular macht aus Fragebögen keine verbundenen Daten. Und ein Beratungsbericht ist am Tag der Übergabe so aktuell wie nie wieder. Der OdySecure Navigator antwortet aus den verbundenen, aktuellen Daten Ihres Mandanten: mit Quelle und Kennzahl, streng nach Leserecht, revisionssicher protokolliert, im Standardmodus auf einem lokal in Deutschland betriebenen Modell. Rät er nicht, sagt er es: „keine Daten“ ist eine andere Antwort als „kein Leserecht“.
60 Minuten, live mit Demo-Daten.
Hosting der Plattform und die Verarbeitung Ihrer Daten darin ausschließlich in Rechenzentren in Deutschland, bei einem europäischen Anbieter ohne US-Mutterkonzern, der nach derzeitiger Rechtslage nicht dem US CLOUD Act unterliegt.
Drei Betriebsmodi für die KI-Verarbeitung, jeder mit eigener Datenfluss-Logik. Sovereign Mode: selbst betriebenes LLM in Deutschland, keine Datenweitergabe an externe Modellanbieter. BYOK Mode: kundeneigene API-Keys (OpenAI, Azure, Anthropic, Ollama), Datenverarbeitung gemäß Kundenvertrag mit dem jeweiligen Modellanbieter. Managed Mode: von Cybervize betriebene Variante mit definierter Datenresidenz.
DSGVO-konform mit JSON-Datenexport, der seine Grenzen selbst ausweist, Anonymisierung und terminierter Datenlöschung.
Die Wissensbasis, aus der der OdySecure Navigator allgemeine Fachfragen beantwortet, ist öffentlich nachlesbar:
Mitgliedschaften, Programme und Partnerschaften
Im Juli 2026 hat ein Schwarm von KI-Agenten die Plattform Hugging Face kompromittiert, laut METR ohne menschliche Steuerung des Angriffs. Warum wir genau darin den Anfang des besten Jahrzehnts der Cybersicherheit sehen.
Der NIS-2-Meldeprozess scheitert nicht an fehlender Dokumentation, sondern daran, dass er unter Stress nicht funktioniert. Was mittelständische Unternehmen jetzt tun müssen.
Die Zeit zwischen Schwachstelle und Exploit schrumpft auf 5 Tage. Warum manuelle Prozesse nicht mehr mit automatisierten Angriffen mithalten können.
Erfahrene Sicherheitsführung auf C-Level, 2 bis 6 Tage im Monat, mit der Plattform als Arbeitsgerät.
Mehr erfahrenSofortige Sicherheitsexpertise für Übergangsphasen und kritische Projekte.
Mehr erfahrenStrategie, Compliance und operative Sicherheit für den Mittelstand.
Mehr erfahren