Die Cybervize-Plattform ist eine Lösung, die mit Ihnen mitwächst, vom eigentümergeführten Mittelständler bis zum Konzern. Fünf Module teilen Datenbasis, Berechtigungsmodell und Audit-Trail: ein durchgängiger Informationsfluss statt Insellösungen.
Kostenlose Demo buchen
Vom Geschäftsprozess über Asset, Risiko, Maßnahme, Prozess und Kontrolle bis zur Richtlinie ist jedes Element verknüpft. Nachweise entstehen im laufenden Betrieb, und jede Kausalkette lässt sich bis zur Anforderung zurückverfolgen.
Wer ein ISMS-Tool sucht, vergleicht meist drei Kategorien: einzelne ISMS-Software (nur ISO 27001), Excel-/SharePoint-Eigenbau und große GRC-Suites. Die Cybervize-Plattform ist keine davon. Hier die vier Dimensionen, in denen sie sich messbar unterscheidet.
Klassisch wird ISMS in einem Tool, BCM in einem zweiten, TPRM in einem dritten, Assessments in Excel oder einem vierten und Awareness in einem fünften geführt. Fünf Datenmodelle, fünf Berechtigungsmodelle, fünf Audit-Trails. Daten werden manuell synchronisiert oder gar nicht.
ISMS, BCM, TPRM, Assessment und Awareness teilen eine Datenbasis. Assessment-Lücken erzeugen automatisch ISMS-Maßnahmen, BIA-Daten validieren BCM-Pläne, kritische Lieferanten im TPRM erzeugen BCM-Bedrohungsszenarien, Schulungsquoten decken den Sicherheitsprozess für Sensibilisierung ab. Ein Audit-Trail, ein Berechtigungsmodell, ein Reportingstand.
Wenn ein neuer Standard wie DIN SPEC 27076 dazukommt, dauert es bei klassischen ISMS-Tools Monate, bis der Anbieter den Katalog einpflegt. Bis dahin Excel.
OSCAL-Import (das offizielle NIST-Format für Sicherheitskataloge) erlaubt, neue Standards in Minuten einzulesen. BSI IT-Grundschutz, NIST SP 800-53, IEC 62443, DIN SPEC 27076 sind bereits da. Eigene Kataloge lassen sich importieren oder direkt in der Plattform anlegen.
Wo der KI-Pfad vom Hersteller gesetzt ist, steht nicht zur Wahl, wohin die Daten fließen.
Drei Betriebsmodi: Sovereign (selbst betriebene LLMs in Deutschland, keine externe Datenweitergabe), BYOK (Kunde nutzt eigene OpenAI/Anthropic/Azure-Keys unter eigenem Vertrag) oder Managed. Drei Modi, drei Datenfluss-Logiken, jeder pro Mandant einstellbar.
Klassische ISMS-Tools sind Software-Produkte, deren Hersteller die regulatorische Tiefe einkaufen oder von Beratern lizenzieren.
Die Plattform codifiziert die vCISO-Methodik aus 25 Jahren Beratungspraxis (PwC Partner, Deloitte Direktor). Entstanden in 14-monatiger Partnerschaft mit dem CISPA-Inkubator (Helmholtz-Zentrum für Informationssicherheit), gefördert vom BMFTR-Programm StartupSecure. ISO 27001 Lead Auditor, BSI IT-Grundschutz Auditor, BS 25999 Lead Auditor sind die Quelle, nicht das Beratungsbudget.
Diese Sektion vergleicht typische Tool-Architektur-Muster, keine namentlich genannten Anbieter. Eine anbieterspezifische Gegenüberstellung mit Ihrem aktuellen Tool machen wir im Erstgespräch.
Informationssicherheits-Management nach ISO 27001. Organisationsstruktur, BIA, Incident Management mit Meldepflichten (DSGVO 72h, NIS-2, KRITIS), Asset-Inventar mit Abhängigkeitsgraph, duale Risikobewertung, Maßnahmensteuerung, Controls und Statement of Applicability.
Mehr zum ISMS-Modul →Fragebogen-basierte Sicherheitsbewertungen gegen beliebige Standards. OSCAL-Import (BSI Grundschutz, NIST SP 800-53, IEC 62443) oder eigene Standards direkt in der Plattform angelegt, Multi-Standort-Kampagnen, automatisiertes Scoring, revisionssichere Snapshots und automatisch generierte Reports (PDF, Excel, PowerPoint).
Mehr zum Assessment-Modul →Business Continuity Management nach ISO 22301. Kontinuitätspläne mit RTO-Validierung gegen BIA-Daten, Bedrohungsszenarien, Gap-Analyse, BCM-Tests (Tabletop bis Volltest), Compliance Score und Management Reviews mit automatisch befüllten KPIs.
Mehr zum BCM-Modul →Third-Party Risk Management für Lieferanten und Dienstleister, bis hin zur Erfüllung der strengen EBA-Richtlinien. Automatische Kritikalitätsbewertung, Vertragsregister mit 19 EBA-Pflichtfeldern, Subunternehmer-Ketten, Due Diligence, Konzentrationsrisiko, Exit-Strategien und Cross-App Impact-Analyse.
Mehr zum TPRM-Modul →Security-Awareness mit Auditnachweis. Belegschaftsregister mit Abgleich aus dem Personalsystem, Schulungen in fünf Sprachen mit firmenspezifischem Zuschnitt und Prüfung vor der Freigabe, Phishing-Simulation mit Meldequote und sofortiger Nachschulung, Richtlinien-Kenntnisnahme sowie Evidenz-Export für ISO 27001 A.6.3 und NIS-2 Artikel 20.
Mehr zum Awareness-Modul →Keine Insellösungen. Definierte Schnittstellen zwischen allen Modulen.
Lücken erzeugen automatisch Maßnahmen
BIA-Daten validieren BCM-Pläne. Testfehler erzeugen Maßnahmen
Lieferanten-Risiken verknüpft mit Assets und Incidents
Kritische Lieferanten erzeugen Bedrohungsszenarien
Plattform-Basis für alle Module
Strikte Datenisolierung. Berater arbeiten mandantenübergreifend, ohne Daten zu vermischen.
Modullizenz, Rollen, Attribute und Entity-Scoping. 16 vordefinierte Rollen. Default-Deny.
Segregation of Duties bei Freigaben, Snapshots, Risikoakzeptanzen und Maßnahmenabschlüssen.
Jede Aktion protokolliert. Wer, wann, was, von welcher IP. CSV-Export für Auditoren.
30 Minuten, live an Demo-Daten.
Eine Norm wählen Sie, eine regulatorische Vorgabe gilt für Sie. Die Plattform führt beides als Katalog: mehr als 50 Rahmenwerke, ISO 27001 als gemeinsame Sprache.
ISO 27001 ist die gemeinsame Sprache der Plattform. Weitere Standards werden per Crosswalk darauf abgebildet, soweit sich ihre Anforderungen fachlich abbilden lassen: eine einmal umgesetzte Kontrolle bedient dann mehrere Rahmenwerke gleichzeitig und reduziert Doppelpflege. Pflichten, die sich nicht als Kontrolle abbilden lassen, werden eigenständig geführt. Jeder aktivierte Standard erhält eine eigene Anwendbarkeitserklärung und Reifegrad-Sicht, wahlweise als Zertifizierungsziel oder als Referenz-Abbildung. Neue Standards werden als Datensatz eingebunden, nicht als Sonderentwicklung: Katalog laden, Zuordnung pflegen, aktivieren.
Warum existiert diese Maßnahme, und welche Standards deckt sie ab?
Funktioniert die Maßnahme tatsächlich, und wie verändert sie das Risiko?
Beide Ketten teilen dieselben Objekte auf der Plattform, und der Wirkungskreis ist ein Regelkreis: Nachweise, Tests und Messdaten verändern die Wirksamkeitsbewertung und damit das Restrisiko, und das Restrisiko löst bei Bedarf neue Maßnahmen aus. Fällt ein Nachweis aus, ist sichtbar, welche Anforderungen und welche Risiken daran hängen.
kuratierte Zuordnungen verbinden ISO 27001, NIS-2 und BSI IT-Grundschutz im Kern-Crosswalk. Jede einzelne ist von einem Sicherheitsexperten geprüft und typisiert: gleichwertig, teilabdeckend oder verwandt. KI-Vorschläge bleiben als solche gekennzeichnet, bis ein Sicherheitsexperte sie geprüft hat.
Fünf Management-Fragen, die jede Geschäftsführung gegenüber Aufsichtsrat, Wirtschaftsprüfer und Versicherer parat haben sollte. Die Plattform liefert sie als Knopfdruck-Antwort, nicht als IT-Übersetzungsleistung.
Investitions-Priorisierung anhand quantifizierter Risiken. Risiko-Top-10 mit Mitigation-Status und Budget-Annotation, sortiert nach Geschäftsauswirkung. Sie wissen, welche 20 Prozent der Maßnahmen 80 Prozent der Risikoreduktion bringen.
Knopfdruck-Reports mit Audit-Trail, ISO-27001-/NIS-2-Status, sektor-spezifischen Nachweisen (DORA, IEC 62443, TISAX). Exportierbar als PDF, Excel und PowerPoint. Jede Aussage ist mit Zeitstempel, Bearbeiter und Quelle dokumentiert.
Risiko-Register mit Status, Eigentümer, Fälligkeit und Trend über 12 Monate. Akzeptierte Risiken sind dokumentiert begründet, offene Risiken haben Eigentümer und Termin, überfällige Risiken sind als solche gekennzeichnet. Keine versteckten Risiko-Listen mehr.
Maßnahmen-Tracking mit Budget-Annotation pro Maßnahme. Sie sehen, welche Mittel für welche Risikoreduktion freigegeben sind, was bereits ausgegeben wurde und welche Maßnahmen ohne Budget hängen.
RACI-Modell mit klaren Eigentümer-Rollen pro Kontrolle und Maßnahme. Sie können vor jeder Aufsichtsratssitzung sagen, wer welche Maßnahme verantwortet, statt bei der nächsten Eskalation zu suchen.
Vom ersten Risiko-Check bis zum bestandenen Audit: Der Weg mit Cybervize hat fünf Stationen, und Sie steigen dort ein, wo Sie stehen. Mit oder ohne eigenen CISO.
Den Weg ansehen: 5 StationenDie KI, die ihre Quellen nennt und Nein sagt, wenn Daten oder Leserecht fehlen. Jede Frage auditfest protokolliert.
Die KI-Schicht ist kein fünftes Modul. Sie nutzt denselben Plattformkern wie Ihre Mitarbeitenden: Rollenmodell, RBAC in vier Schichten, Vier-Augen-Regeln und Audit-Trail gelten für KI-Agenten unverändert. Deshalb kann der Cybervize Navigator aus verbundenen Daten antworten, und deshalb handeln Agenten nur innerhalb der Grenzen, die auch für Menschen gelten.
Fragen wie „Was sind unsere größten Risiken?“ oder „Sind wir audit-bereit?“ beantwortet der Assistent aus den echten Daten Ihres Mandanten: rund 25 geprüfte Abfragen, jede Antwort mit Quelle und Kennzahl, streng nach Leserecht. Gibt es keine Daten oder fehlt das Leserecht, sagt er genau das.
KI als Mitarbeiter: eigenes Konto, Rollen, sichtbarer KI-Agent-Ausweis. Vorschlagen ist der Standard, Handeln gilt nur für eng abgesteckte Felder und braucht eine Vier-Augen-Freigabe.
Wir suchen Unternehmen, die die KI-Agenten als Design-Partner mitgestalten: zum Design-Partner-Programm.
Ein allgemeiner Chatbot mit Dokumenten-Upload beantwortet Fragen aus dem, was man ihm gerade gibt: ohne Leserechte, ohne aktuelle Zahlen, ohne Protokoll. Eine KI-Checkbox neben einem GRC-Formular macht aus Fragebögen keine verbundenen Daten. Und ein Beratungsbericht ist am Tag der Übergabe so aktuell wie nie wieder. Der Cybervize Navigator antwortet aus den verbundenen, aktuellen Daten Ihres Mandanten: mit Quelle und Kennzahl, streng nach Leserecht, revisionssicher protokolliert, auf einem lokal in Deutschland betriebenen Modell. Rät er nicht, sagt er es: „keine Daten“ ist eine andere Antwort als „kein Leserecht“.
30 Minuten, live an Demo-Daten.
Hosting und Datenverarbeitung ausschließlich in Rechenzentren in Deutschland, bei einem europäischen Anbieter, der nicht unter den US CLOUD Act fällt.
Drei Betriebsmodi für die KI-Verarbeitung, jeder mit eigener Datenfluss-Logik. Sovereign Mode: selbst betriebenes LLM in Deutschland, keine Datenweitergabe an externe Modellanbieter. BYOK Mode: kundeneigene API-Keys (OpenAI, Azure, Anthropic, Ollama), Datenverarbeitung gemäß Kundenvertrag mit dem jeweiligen Modellanbieter. Managed Mode: von Cybervize betriebene Variante mit definierter Datenresidenz.
DSGVO-konform mit vollständigem Datenexport, Anonymisierung und terminierter Datenlöschung.
Weil klassische GRC-Tools Compliance zur Ankreuzübung machen, statt sie im operativen Betrieb zu verankern.
Cybervize entstand 2021 mit einer klaren These: Informationssicherheits-Beratung liefert dann den größten Wert, wenn die passende Plattform mitkommt. Gegründet wurde die Cybervize Consulting GmbH 2021 aus 25 Jahren Erfahrung ihres Gründers in Cyber Security und Informationssicherheit mit Stationen als Partner bei PwC und Direktor bei Deloitte. Ziel war von Anfang an, Informationssicherheit für Unternehmen wirtschaftlicher umzusetzen als mit den klassischen Methoden der Beratung.
Klassische GRC-Tools stellen meist nur Fragen, die irgendjemand in der IT beantworten muss. So wird Compliance zu einer Ankreuzübung neben dem Tagesgeschäft, ohne dass sie wirtschaftlich im operativen Betrieb verankert ist. Die Cybervize-Plattform wurde gebaut, um genau diese Trennung aufzuheben: Compliance-Anforderungen werden in die laufenden Sicherheits- und IT-Prozesse eingewoben, Evidenzen entstehen im operativen Betrieb, und operative Prozesse sind von vornherein konform. Die Entwicklung wurde durch das Programm StartupSecure der Bundesregierung gefördert und entstand in einer 14-monatigen Partnerschaft mit dem CISPA-Inkubator, dem Helmholtz-Zentrum für Informationssicherheit.
Heute besteht Cybervize aus zwei eigenständigen Gesellschaften: die Cybervize Consulting GmbH übernimmt vCISO- und Interim-CISO-Mandate, die Cybervize Operations GmbH lizenziert die Plattform an Mittelstand und Konzern. Die Beratung war zuerst da und trägt die Plattform; die Plattform ist das bleibende Produkt, das aus der Beratung entstanden ist.
Die Wissensbasis, aus der der Cybervize Navigator allgemeine Fachfragen beantwortet, ist öffentlich nachlesbar:
Mitgliedschaften, Programme und Partnerschaften
Der NIS-2-Meldeprozess scheitert nicht an fehlender Dokumentation, sondern daran, dass er unter Stress nicht funktioniert. Was mittelständische Unternehmen jetzt tun müssen.
Die Zeit zwischen Schwachstelle und Exploit schrumpft auf 5 Tage. Warum manuelle Prozesse nicht mehr mit automatisierten Angriffen mithalten können.
Der Cyber-Security-Markt ist voll von Versprechen. Was Substanz von Marketing trennt, ist ein Track Record, den man nicht faken kann. Warum wir 25 Jahre Prüf- und Umsetzungspraxis zur Plattform gemacht haben, nicht umgekehrt.
Erfahrene Sicherheitsführung auf C-Level, 2 bis 6 Tage im Monat, mit der Plattform als Arbeitsgerät.
Mehr erfahrenSofortige Sicherheitsexpertise für Übergangsphasen und kritische Projekte.
Mehr erfahrenStrategie, Compliance und operative Sicherheit für den Mittelstand.
Mehr erfahren