ISMS-Software im Vergleich: die vier Wege zu ISO 27001
Wer ein ISMS aufbaut oder ablösen will, wählt meist zwischen vier Wegen: Excel und SharePoint im Eigenbau, ein Einzeltool nur für ISO 27001, eine große GRC-Suite oder ein Berater-Stundenmodell. Jede trägt in einer bestimmten Lage, und jede hat einen Punkt, an dem sie bricht. Diese Seite vergleicht die vier Wege ohne Verkaufsbrille und nennt die Fragen, die Sie vor der Entscheidung klären sollten.
Die vier Wege, ehrlich verglichen
Für jeden Weg dieselben drei Fragen: Wofür trägt er, wo bricht er, und was kostet der Wechsel, wenn er bricht?
Excel und SharePoint im Eigenbau
Wofür er trägt
Für die Erstzertifizierung mit kleinem Scope ist der Eigenbau ein legitimer Start: volle Kontrolle, keine Lizenzkosten, keine Einführungshürde. Auditoren akzeptieren saubere Tabellen.
Wo er bricht
Die Kosten kommen im Betrieb. Versionsstände, Verantwortliche, Wiedervorlagen und der Nachweis, wer wann was entschieden hat, sind Handarbeit und bleiben es. Ab dem zweiten Standort oder der zweiten Gesellschaft wird aus Pflege Archäologie, und jedes Überwachungsaudit kostet erneut ähnlichen Vorbereitungsaufwand.
Wechselkosten später
Statt eines Datenmodells gibt es Dokumente. Eine spätere Migration gleicht darum eher einem Neuaufbau, und Historie lässt sich oft nur teilweise mitnehmen.
Einzeltool nur für ISO 27001
Wofür er trägt
Geführte Struktur, vorgedachter Katalog, schneller Start. Wer genau eine Norm betreiben will und sonst nichts, findet hier oft den kürzesten Weg zum Zertifikat.
Wo er bricht
Wächst der Pflichtenkreis, stößt der Zuschnitt an Grenzen: BCM wird ein zweites Werkzeug, Lieferantenrisiko ein drittes, Awareness ein viertes, und sektorale Kataloge warten darauf, dass der Hersteller sie einpflegt. Die Datenbasis zerfällt in Inseln, die per Hand synchron gehalten werden.
Wechselkosten später
Export je Insel, Zuordnung per Hand. Der Wechsel ist machbar, aber jede Insel wandert einzeln.
Große GRC-Suite
Wofür er trägt
Für Konzerne mit eigenem GRC-Team und konzernweit gesetzten Prozessen sind Suiten gebaut: tiefe Workflows und Rollenmodelle für große Organisationen.
Wo er bricht
Einführung und Betrieb sind auf ein eigenes Fachteam ausgelegt, und der Mittelstand bezahlt schnell Komplexität, die er nicht nutzt. Ein bekanntes Risiko: Das eigentliche ISMS lebt nach der Einführung doch wieder in Excel, weil die Suite für den Alltag zu schwer ist.
Wechselkosten später
Hoch: Suiten sind strategische Bindungen mit langem Horizont. Wer geht, plant ein eigenes Projekt.
Berater-Stundenmodell
Wofür er trägt
Punktuelle Expertise, wo sie fehlt: Audit-Vorbereitung, Gap-Analyse, schwierige Einzelfragen. Gute Beratung beschleunigt jede der anderen Optionen.
Wo er bricht
Als Dauerbetriebsmodell entstehen die Nachweise im Projekt statt im Betrieb: Der Bericht ist am Übergabetag aktuell und altert ab dann. Offene Stundenbudgets machen die Kosten unplanbar, und das Wissen über Ihr ISMS liegt außer Haus.
Wechselkosten später
Das Wissen muss zurück ins Haus. Ohne Werkzeug, das es aufnimmt, beginnt die Dokumentation von vorn.
Wo die Cybervize-Plattform in diesem Vergleich steht
Die Plattform ist der fünfte Weg: Module auf einer Datenbasis statt Inseln, gebaut für den Betrieb statt für das einmalige Audit.
ISMS, BCM, Assessment, TPRM und Awareness teilen eine Datenbasis: Assessment-Lücken erzeugen Maßnahmen, BIA-Daten validieren Kontinuitätspläne, Schulungsquoten werden Audit-Evidenz.
Mehr als 50 Rahmenwerke als Katalog hinterlegt, von ISO 27001 über BSI IT-Grundschutz bis zu sektoralen Vorgaben. Neue Kataloge kommen per OSCAL-Import oder werden direkt in der Plattform angelegt, ohne auf den Hersteller zu warten.
Betrieb in Deutschland. Die KI-Schicht läuft wahlweise souverän auf eigens betriebenen Modellen, mit Ihren eigenen Schlüsseln oder gemanagt: drei Betriebsmodi, pro Mandant einstellbar.
Mehrere Standorte und Gesellschaften auf einer Datenbasis, mit Standortvergleich und konsolidiertem Nachweis. Self-Assessments entlasten Werke bei Audits, auch nach IEC 62443.
Lizenz je Modul zum festen Jahrespreis. Gezählt werden digital angebundene Personen, kein Named-User-Limit. Die Einstiegspreise je Stufe stehen offen auf der Preisseite.
Senior-CISO-Begleitung ist zubuchbar, wenn im Haus keine CISO-Funktion besetzt ist. Sie ist eine Ergänzung zum Produkt, kein Stundenmodell als Dauerzustand.
Diese Fragen trennen die Optionen schneller als jede Feature-Liste. Stellen Sie sie jedem Anbieter, auch uns.
1.Woher kommt der Kontrollkatalog, und wie kommen neue Standards hinein?
Eingekaufte Kataloge veralten mit dem Vertragszyklus des Herstellers. Entscheidend ist, ob Sie neue oder eigene Kataloge selbst einlesen können, etwa über OSCAL, das offizielle NIST-Format.
2.Trägt das Werkzeug mehrere Standorte und Gesellschaften auf einer Datenbasis?
Mandanten, Werke und Tochtergesellschaften nachträglich einzuziehen gehört zu den teuersten Umbauten. Wer heute einen Standort hat und morgen zwei, sollte die Frage heute stellen.
3.Entstehen Nachweise im laufenden Betrieb, oder werden sie fürs Audit zusammengesucht?
Das ist der Unterschied zwischen einem ISMS und einem Ordner. Wenn Maßnahmen, Risiken und Schulungen laufend Audit-Evidenz erzeugen, schrumpft die Vorbereitung vor jedem Audit deutlich.
4.Wo laufen Daten und KI, und unter wessen Kontrolle?
Manche Werkzeuge leiten Compliance-Daten durch externe Modellanbieter außerhalb Europas. Klären Sie Datenresidenz, Betriebsmodell und ob sich der KI-Datenfluss pro Mandant steuern lässt.
5.Wie ist der Preis gebaut: Lizenz mit klarer Metrik oder offene Stunden?
Vergleichbar wird es erst mit der Metrik. Fragen Sie, was gezählt wird, was bei Wachstum passiert und ob Produktionsmitarbeitende ohne digitale Identität den Preis treiben.
6.Was kostet der Weg hinein, und was kostet der Weg heraus?
Einführung und Migration aus dem Bestand sind planbare Projekte. Der Export am Ende ist die ehrlichste Anbieterfrage: Wer Daten nur hineinlässt, hat einen Grund.
Wofür die Plattform gebaut ist, und wofür nicht
Dafür ist sie gebaut
Mittelstand und Konzern mit mehreren Pflichten gleichzeitig: ISO 27001 im Betrieb, dazu BCM, Lieferantenrisiko oder sektorale Vorgaben wie NIS-2 und DORA.
Häuser mit mehreren Standorten oder Gesellschaften, die einen konsolidierten Nachweis brauchen statt vier Insellösungen.
Produktionsunternehmen, die ihre Werke und OT-Umgebungen einbeziehen wollen, mit Self-Assessments statt Audit-Karawane.
Teams, die das ISMS selbst betreiben wollen: mit eigenem CISO über die Lizenz, ohne eigenen CISO mit zubuchbarer Senior-CISO-Begleitung.
Dafür sind andere Wege besser
Sie brauchen genau ein Zertifikat für einen kleinen Scope und danach möglichst wenig Betrieb: Dann ist ein Einzeltool oder ein sauberer Eigenbau oft der schlankere Weg.
Ihr Konzern hat eine GRC-Suite strategisch und konzernweit gesetzt: Dann ist der Ersatz selten das richtige Projekt. Prüfenswert bleibt das Assessment-Modul als Ergänzung für Werks-Self-Assessments.
Sie suchen ausschließlich punktuelle Beratung ohne Werkzeug: Dafür gibt es spezialisierte Beratungshäuser, und für Krisen und Vakanzen unseren Interim CISO.
Sehen Sie die Plattform gegen Ihre Anforderungen
In der Demo zeigen wir die Plattform an Ihrem Fall, mit Ihren Standards und Standorten. Danach wissen Sie, ob der fünfte Weg zu Ihrem Haus passt.
Eine seriöse Antwort beginnt nicht mit einer Zahl, sondern mit dem Modell: Einzeltools werden je Nutzer oder Paket lizenziert, GRC-Suiten kommen mit eigenem Einführungsprojekt, Stundenmodelle haben kein natürliches Ende. Entscheidend ist die Preismetrik: Die Cybervize-Plattform wird je Modul zum festen Jahrespreis lizenziert, gezählt werden digital angebundene Personen, kein Named-User-Limit. Die Einstiegspreise je Stufe stehen offen auf der Preisseite. Wer zusätzlich eine Sicherheitsführung braucht, bucht das vCISO-Paket ab 3.600 €/Monat, die Plattform ist darin enthalten.
Reicht Excel für ISO 27001?
Für die Erstzertifizierung mit kleinem Scope: ja. Auditoren akzeptieren saubere Tabellen, und für ein kleines Haus mit einem Standort ist der Eigenbau ein legitimer Start. Die Rechnung kommt im Betrieb: Versionsstände, Wiedervorlagen, Verantwortlichkeiten und die Nachweisführung über Jahre sind Handarbeit, und ab dem zweiten Standort oder der zweiten Pflicht neben ISO 27001 wächst der Aufwand schneller als das Team.
Was unterscheidet ISMS-Software von einer GRC-Suite?
Der Zuschnitt. ISMS-Software führt ein Managementsystem nach ISO 27001, eine GRC-Suite will Governance, Risk und Compliance eines Konzerns abbilden: mit entsprechender Einführungsdauer, Rollenkomplexität und eigenem Betriebsteam. Dazwischen steht der Plattform-Ansatz: mehrere Module auf einer Datenbasis, die Pflichten wie ISO 27001, BCM und Lieferantenrisiko zusammen führen, ohne die Einführungs- und Betriebslast einer Suite.
Wie kommen neue Standards und Kataloge in die Plattform?
Auf drei Wegen: Mehr als 50 Rahmenwerke sind als Katalog hinterlegt, von ISO 27001 über BSI IT-Grundschutz und IEC 62443 bis zu sektoralen Vorgaben. Neue Kataloge lassen sich per OSCAL-Import einlesen, dem offiziellen NIST-Format für Sicherheitskataloge. Und eigene Kataloge, etwa Konzernvorgaben, werden direkt in der Plattform angelegt und per Crosswalk mit ISO 27001 verbunden.
Deckt ISMS-Software auch NIS-2, DORA und BCM ab?
Ein Einzeltool für ISO 27001 in der Regel nicht, und genau daran zerbricht die Werkzeuglandschaft vieler Häuser. Auf der Cybervize-Plattform laufen ISO 27001, NIS-2, DORA, BCM und Lieferantenrisiko auf einer Datenbasis: Eine Maßnahme erfüllt mehrere Pflichten, und der Nachweis wird je Rahmenwerk ausgeleitet statt je Werkzeug neu geführt.
Wovon hängt die Einführungsdauer ab?
Weniger vom Werkzeug, als die Prospekte suggerieren, und mehr vom Scope: Anzahl der Standorte, Reife des Bestands und wie viel migriert werden muss. Bei der Cybervize-Plattform wird die Einführung je Ausbaustufe zugeschnitten, das eigene Team übernimmt den Betrieb, und ein Einführungsprojekt ist zubuchbar statt Pflicht. Den konkreten Zuschnitt für Ihr Haus klären wir im ersten Gespräch.
