OdySecure, das Agentic ISMS von CybervizeDie Sicherheitsplattform von Cybervize wächst mit Ihnen mit, vom eigentümergeführten Mittelständler bis zum Konzern. Fünf Module teilen Datenbasis, Berechtigungsmodell und Audit-Trail: ein durchgängiger Informationsfluss statt Insellösungen.
Was die KI übernimmt
OdySecure leitet ab, was bei Ihnen gilt: aus Ihren Dokumenten und Ihrer Organisationsstruktur, vom Geschäftsprozess bis zum Sicherheitsprozess, jede Station als Vorschlag, den ein Mensch annimmt.
Ihre Unterlagen werden gelesen und in prüfbare Aussagen zerlegt. Daraus entstehen die Geschäftsprozesse, um deren Schutz es geht.
Standorte, Systeme und Abhängigkeiten werden als Organisationsgraph erkannt und den Prozessen zugeordnet.
Aus Assets und Pflichten entstehen Risiken, nicht aus einer Vorlage.
Zu jedem Risiko die Maßnahmen, die es kleiner machen.
Die Maßnahmen werden auf die Kontrollen Ihrer Rahmenwerke abgebildet, mehrere zugleich.
Daraus entsteht ein Richtlinienvorschlag, abgeleitet aus Ihrem Haus statt aus einer Schablone. Erst Ihre Freigabe macht ihn zur verbindlichen Richtlinie.
Richtlinie und Maßnahmen gehen in den laufenden Betrieb: Aufgaben mit Termin und Verantwortlichem, die Nachweise entstehen bei der Umsetzung.
Jede Station erzeugt Vorschläge, keine Fakten. Sie nehmen sie einzeln an oder je Station gesammelt, Sie halten den Lauf an, setzen ihn fort oder machen ihn rückgängig. Bei jeder Richtlinie ist festgehalten, wer sie freigegeben hat. Guardrails und die Vier-Augen-Trennung gelten für die KI wie für Ihre Mitarbeitenden.
Stammgesellschaft, Werke in mehreren Ländern, Niederlassung und die Organisationseinheiten darunter. Jede Ebene trägt eigene Assets, Risiken und Nachweise. Aus der Software, nicht nachgebaut.
Informationssicherheits-Management nach ISO 27001. Organisationsstruktur, BIA, Incident Management mit Meldepflichten (DSGVO 72h, NIS-2, KRITIS), Asset-Inventar mit Abhängigkeitsgraph, duale Risikobewertung, Maßnahmensteuerung, Controls und Statement of Applicability.
Mehr zum ISMS-Modul →Fragebogen-basierte Sicherheitsbewertungen gegen beliebige Standards. OSCAL-Import (BSI Grundschutz++, NIST SP 800-53, IEC 62443) oder eigene Standards direkt in der Plattform angelegt, Multi-Standort-Kampagnen, automatisiertes Scoring, revisionssichere Snapshots und automatisch generierte Reports (PDF, Excel, PowerPoint).
Mehr zum Assessment-Modul →Business Continuity Management nach ISO 22301. Kontinuitätspläne mit RTO-Validierung gegen BIA-Daten, Bedrohungsszenarien, Gap-Analyse, BCM-Tests (Tabletop bis Volltest), Compliance Score und Management Reviews mit automatisch befüllten KPIs.
Mehr zum BCM-Modul →Third-Party Risk Management für Lieferanten und Dienstleister. Automatische Kritikalitätsbewertung, Vertragsregister mit 19 EBA-Pflichtfeldern, Subunternehmer-Ketten, Due Diligence, Konzentrationsrisiko, Exit-Strategien und Cross-App Impact-Analyse. Vertragsregister und Exit-Strategien folgen dem Aufsichtsrecht: DORA gilt seit dem 17. Januar 2025, das EBA-Konsultationspapier CP/2025/12 ist ein Entwurf und setzt darauf auf. Die Kritikalitätsbewertung trägt auch außerhalb der Finanzaufsicht, weil ISO 22301 Lieferanten und Partner als Abhängigkeit der zeitkritischen Tätigkeiten führt und in die Kontinuitätslösungen einbezieht.
Mehr zum TPRM-Modul →Security-Awareness mit Auditnachweis. Belegschaftsregister per Dateiimport, mit Vorschau vor dem Schreiben, Schulungen in fünf Sprachen mit firmenspezifischem Zuschnitt und Prüfung vor der Freigabe, Phishing-Simulation mit Meldequote und sofortiger Nachschulung, Richtlinien-Kenntnisnahme sowie Evidenz-Export für ISO 27001 A.6.3 und NIS-2 Artikel 20.
Mehr zum Awareness-Modul →Keine Insellösungen. Definierte Schnittstellen zwischen allen Modulen.
Lücken werden per Klick zu Maßnahmen
BIA-Daten validieren BCM-Pläne. Testfehler erzeugen Maßnahmen
Lieferanten-Risiken verknüpft mit Assets und Incidents
Kritische Lieferanten erzeugen Bedrohungsszenarien
Plattform-Basis für alle Module
Strikte Datenisolierung. Berater arbeiten mandantenübergreifend, ohne Daten zu vermischen.
Modullizenz, Rollen, Attribute und Entity-Scoping. 16 vordefinierte Rollen. Default-Deny.
Segregation of Duties bei Freigaben, Snapshots, Risikoakzeptanzen und Maßnahmenabschlüssen.
Aktionen werden protokolliert: wer, wann, was, von welcher IP. CSV-Export für Auditoren.
60 Minuten, live mit Demo-Daten.
Vom Anlass bis zum bestandenen Audit: Der Weg mit Cybervize hat fünf Stationen, und Sie steigen dort ein, wo Sie stehen. Mit oder ohne eigenen CISO.
Ohne eigenen CISO besetzen wir die Funktion im vCISO-Mandat, OdySecure ist darin enthalten. Zum vCISO-Mandat
Was in welcher Reihenfolge passiert, und wer es macht
Wie lange das dauert, hängt an Ihrem Geltungsbereich, und wir nennen dafür keine Wochenzahl, die wir nicht belegen können. Was Sie vorher wissen können: Der Reifegrad-Check gibt Ihnen in fünf Minuten eine erste Ampel, ohne Anmeldung.
Fragen Sie Ihr ISMS. Jede Antwort kommt mit Beleg. Ihre Fragen werden auditfest protokolliert.
Die KI-Schicht ist kein fünftes Modul. Sie nutzt denselben Plattformkern wie Ihre Mitarbeitenden: Rollenmodell, RBAC in vier Schichten, Vier-Augen-Regeln und Audit-Trail gelten für KI-Agenten unverändert. Deshalb kann der OdySecure Navigator aus verbundenen Daten antworten, und deshalb handeln Agenten nur innerhalb der Grenzen, die auch für Menschen gelten.
Fragen wie „Was sind unsere größten Risiken?“ oder „Sind wir audit-bereit?“ beantwortet der Assistent aus den echten Daten Ihres Mandanten: rund 25 geprüfte Abfragen, jede Antwort mit Quelle und Kennzahl, streng nach Leserecht. Gibt es keine Daten oder fehlt das Leserecht, sagt er genau das. Auf Ihre Anweisung erledigt er auch Aktionen im System, etwa eine Maßnahme mit einem Risiko verknüpfen oder eine Aufgabe anlegen. Ausgeführt wird erst, wenn Sie seinen Plan bestätigt haben, und nur mit Ihren Rechten.
KI als Mitarbeiter: eigenes Konto, Rollen, sichtbarer KI-Agent-Ausweis. Vorschlagen ist der Standard, Handeln gilt nur für eng abgesteckte Felder und braucht eine Vier-Augen-Freigabe. Im Design-Partner-Programm, noch nicht allgemein verfügbar.
Wir suchen Unternehmen, die die KI-Agenten als Design-Partner mitgestalten: zum Design-Partner-Programm.
Ein allgemeiner Chatbot mit Dokumenten-Upload beantwortet Fragen aus dem, was man ihm gerade gibt: ohne Leserechte, ohne aktuelle Zahlen, ohne Protokoll. Eine KI-Checkbox neben einem GRC-Formular macht aus Fragebögen keine verbundenen Daten. Der OdySecure Navigator antwortet aus den verbundenen, aktuellen Daten Ihres Mandanten: mit Quelle und Kennzahl, streng nach Leserecht, revisionssicher protokolliert, im Standardmodus auf einem lokal in Deutschland betriebenen Modell. Kann er nicht antworten, sagt er es: „keine Daten“ ist eine andere Antwort als „kein Leserecht“. Auf demselben laufenden Bestand arbeitet auch unser vCISO im Mandat.
60 Minuten, live mit Demo-Daten.
Vom Geschäftsprozess über Asset, Risiko, Maßnahme, Kontrolle und Richtlinie bis zum Sicherheitsprozess ist jedes Element verknüpft. Nachweise entstehen im laufenden Betrieb, und jede Kausalkette lässt sich bis zur Anforderung zurückverfolgen. Weil diese Elemente verknüpft sind, kann die KI mit ihnen arbeiten, und auch ein KI-Vorschlag lässt sich auf demselben Weg zurückverfolgen. Das macht die ISMS-Plattform OdySecure zu einem Agentic ISMS. Was ein Agentic ISMS ist
Die Meldeprozedur bei einem Datenschutzvorfall, als Ablauf in der Software: vier Schritte, jeder mit dem, was zu tun ist, samt der 72-Stunden-Frist aus Artikel 33 DSGVO. Nicht nachgebaut.
Wer ein ISMS-Tool sucht, vergleicht meist drei Kategorien: einzelne ISMS-Software (nur ISO 27001), Excel-/SharePoint-Eigenbau und große GRC-Suites. OdySecure gehört in keine dieser Kategorien. Hier die vier Dimensionen, in denen der Unterschied messbar wird.
Klassisch wird ISMS in einem Tool, BCM in einem zweiten, TPRM in einem dritten, Assessments in Excel oder einem vierten und Awareness in einem fünften geführt. Fünf Datenmodelle, fünf Berechtigungsmodelle, fünf Audit-Trails. Daten werden manuell synchronisiert oder gar nicht.
ISMS, BCM, TPRM, Assessment und Awareness teilen eine Datenbasis. Aus Assessment-Lücken legen Sie Maßnahmen per Klick an, BIA-Daten validieren BCM-Pläne, kritische Lieferanten im TPRM erzeugen BCM-Bedrohungsszenarien, Schulungsquoten decken den Sicherheitsprozess für Sensibilisierung ab. Ein Audit-Trail, ein Berechtigungsmodell, ein Reportingstand.
Wenn ein neuer Standard wie DIN SPEC 27076 dazukommt, dauert es bei klassischen ISMS-Tools Monate, bis der Anbieter den Katalog einpflegt. Bis dahin Excel.
OSCAL-Import (das offizielle NIST-Format für Sicherheitskataloge) erlaubt, neue Standards in Minuten einzulesen. BSI Grundschutz++, NIST SP 800-53, IEC 62443, DIN SPEC 27076 sind bereits da. Eigene Kataloge lassen sich importieren oder direkt in der Plattform anlegen.
Wo der KI-Pfad vom Hersteller gesetzt ist, steht nicht zur Wahl, wohin die Daten fließen.
Drei Betriebsmodi: Sovereign (selbst betriebene LLMs in Deutschland, keine externe Datenweitergabe), BYOK (Kunde nutzt eigene OpenAI/Anthropic/Azure-Keys unter eigenem Vertrag) oder Managed. Drei Modi, drei Datenfluss-Logiken, jeder pro Mandant einstellbar.
Klassische ISMS-Tools sind Software-Produkte, deren Hersteller die regulatorische Tiefe einkaufen oder von Beratern lizenzieren.
Die Plattform codifiziert die Methodik unserer vCISO-Mandate. Entstanden in 14-monatiger Partnerschaft mit dem CISPA-Inkubator (Helmholtz-Zentrum für Informationssicherheit), gefördert vom BMFTR-Programm StartupSecure. Im vCISO-Mandat arbeitet unser vCISO mit ihr.
Diese Sektion vergleicht typische Tool-Architektur-Muster, keine namentlich genannten Anbieter. Eine anbieterspezifische Gegenüberstellung mit Ihrem aktuellen Tool machen wir im Erstgespräch.
Sie stehen noch vor der Frage, welcher Weg überhaupt passt? Die vier Wege zu ISO 27001 im Vergleich
Weil klassische GRC-Tools Compliance zur Ankreuzübung machen, statt sie im operativen Betrieb zu verankern.
Cybervize entstand 2021 aus einer These: Informationssicherheits-Beratung liefert dann den größten Wert, wenn die passende Plattform mitkommt. Ziel war von Anfang an, Informationssicherheit so umzusetzen, dass sie im Betrieb nachweisbar bleibt.
Klassische GRC-Tools stellen meist nur Fragen, die irgendjemand in der IT beantworten muss. So wird Compliance zu einer Ankreuzübung neben dem Tagesgeschäft, ohne dass sie wirtschaftlich im operativen Betrieb verankert ist. OdySecure wurde gebaut, um genau diese Trennung aufzuheben: Compliance-Anforderungen werden in die laufenden Sicherheits- und IT-Prozesse eingewoben, Evidenzen entstehen im operativen Betrieb, und operative Prozesse sind von vornherein konform. Die Entwicklung wurde durch das Programm StartupSecure der Bundesregierung gefördert und entstand in einer 14-monatigen Partnerschaft mit dem CISPA-Inkubator, dem Helmholtz-Zentrum für Informationssicherheit.
Heute besteht Cybervize aus zwei eigenständigen Gesellschaften: die Cybervize Consulting GmbH übernimmt vCISO- und Interim-CISO-Mandate, die Cybervize Operations GmbH lizenziert die Plattform an Mittelstand und Konzern. Die Beratung war zuerst da, die Plattform ist ihr Werkzeug und der zweite Weg: Im vCISO-Mandat arbeitet unser vCISO mit OdySecure, Häuser mit eigenem CISO lizenzieren die Plattform allein.
Der Name OdySecure stammt aus einem vom Bund geförderten Forschungsprojekt: „Effektives Management von Cybersicherheit in KMU durch Automatisierung“, gefördert über das Programm StartUpSecure des Bundesministeriums für Forschung, Technologie und Raumfahrt. Aus diesem Vorhaben ist die Software hervorgegangen, die heute lizenziert wird.
Eine Norm wählen Sie, eine regulatorische Vorgabe gilt für Sie. Die Plattform führt beides als Katalog: 50 Rahmenwerke, ISO 27001 als gemeinsame Sprache.
ISO 27001 ist die gemeinsame Sprache der Plattform. Weitere Standards werden per Crosswalk darauf abgebildet, soweit sich ihre Anforderungen fachlich abbilden lassen: eine einmal umgesetzte Kontrolle bedient dann mehrere Rahmenwerke gleichzeitig und reduziert Doppelpflege. Pflichten, die sich nicht als Kontrolle abbilden lassen, werden eigenständig geführt. Jeder aktivierte Standard erhält eine eigene Anwendbarkeitserklärung und Reifegrad-Sicht, wahlweise als Zertifizierungsziel oder als Referenz-Abbildung. Neue Standards werden als Datensatz eingebunden, nicht als Sonderentwicklung: Katalog laden, Zuordnung pflegen, aktivieren.
Warum existiert diese Maßnahme, und welche Standards deckt sie ab?
Funktioniert die Maßnahme tatsächlich, und wie verändert sie das Risiko?
Beide Ketten teilen dieselben Objekte auf der Plattform, und der Wirkungskreis ist ein Regelkreis: Nachweise, Tests und Messdaten verändern die Wirksamkeitsbewertung und damit das Restrisiko, und das Restrisiko löst bei Bedarf neue Maßnahmen aus. Fällt ein Nachweis aus, ist sichtbar, welche Anforderungen und welche Risiken daran hängen.
kuratierte Zuordnungen bilden den Kern-Crosswalk, ausgehend von ISO 27001. Jede einzelne ist von einem Sicherheitsexperten geprüft und typisiert: gleichwertig, teilabdeckend oder verwandt. KI-Vorschläge bleiben als solche gekennzeichnet, bis ein Sicherheitsexperte sie geprüft hat.
Fünf Management-Fragen, die jede Geschäftsführung gegenüber Kunden, Prüfern und Versicherern parat haben sollte. Die Plattform liefert sie als Knopfdruck-Antwort, nicht als IT-Übersetzungsleistung.
Investitions-Priorisierung anhand quantifizierter Risiken. Risiko-Top-10 mit Mitigation-Status und Budget-Annotation, sortiert nach Geschäftsauswirkung. Welche Reihenfolge daraus wird, entscheiden Sie.
Reports mit Audit-Trail, ISO-27001-/NIS-2-Status und sektor-spezifischen Nachweisen (DORA, IEC 62443, TISAX), auf Knopfdruck aus dem gepflegten Bestand statt aus Handarbeit. Exportierbar als PDF, Excel und PowerPoint. Jede Aussage ist mit Zeitstempel, Bearbeiter und Quelle dokumentiert.
Risiko-Register mit Status, Eigentümer, Fälligkeit und Trend über 12 Monate. Akzeptierte Risiken sind dokumentiert begründet, offene Risiken haben Eigentümer und Termin, überfällige Risiken sind als solche gekennzeichnet. Keine versteckten Risiko-Listen mehr.
Maßnahmen-Tracking mit Budget-Annotation pro Maßnahme. Sie sehen, welche Mittel für welche Risikoreduktion freigegeben sind, was bereits ausgegeben wurde und welche Maßnahmen ohne Budget hängen.
RACI-Modell mit klaren Eigentümer-Rollen pro Kontrolle und Maßnahme. Vor jedem Audit können Sie sagen, wer welche Maßnahme verantwortet, statt bei der nächsten Eskalation zu suchen.
Hosting der Plattform und die Verarbeitung Ihrer Daten darin ausschließlich in Rechenzentren in Deutschland, bei einem europäischen Anbieter ohne US-Mutterkonzern, der nach derzeitiger Rechtslage nicht dem US CLOUD Act unterliegt.
Drei Betriebsmodi für die KI-Verarbeitung, jeder mit eigener Datenfluss-Logik. Sovereign Mode: selbst betriebenes LLM in Deutschland, keine Datenweitergabe an externe Modellanbieter. BYOK Mode: kundeneigene API-Keys (OpenAI, Azure, Anthropic, Ollama), Datenverarbeitung gemäß Kundenvertrag mit dem jeweiligen Modellanbieter. Managed Mode: von Cybervize betriebene Variante mit definierter Datenresidenz.
DSGVO-konform mit JSON-Datenexport, der seine Grenzen selbst ausweist, Anonymisierung und terminierter Datenlöschung.
Die Wissensbasis, aus der der OdySecure Navigator allgemeine Fachfragen beantwortet, ist öffentlich nachlesbar:
Mitgliedschaften, Programme und Partnerschaften
Jede Nacht greift eine KI eine Kopie unserer Plattform an. Die Technik steht heute jedem zur Verfügung, auch Angreifern. Fünf Regeln, wie Unternehmen ihre Software selbst mit KI angreifen lassen, ohne die Produktion zu gefährden.
Ein GRC-Tool, das Compliance allein über Fragebögen misst, bringt ein Unternehmen bei NIS-2 nicht weiter. Es erzeugt eine Vermutung von Sicherheit und gibt der IT einen Posten mehr. Warum das so ist, steht im BSI-Gesetz.
Im Juli 2026 hat ein Schwarm von KI-Agenten die Plattform Hugging Face kompromittiert, laut METR ohne menschliche Steuerung des Angriffs. Warum wir genau darin den Anfang des besten Jahrzehnts der Cybersicherheit sehen.
Erfahrene Sicherheitsführung auf C-Level, 2 bis 6 Tage im Monat, mit der Plattform als Arbeitsgerät.
Mehr erfahrenSofortige Sicherheitsexpertise für Übergangsphasen und kritische Projekte.
Mehr erfahrenStrategie, Compliance und operative Sicherheit für den Mittelstand.
Mehr erfahren