ISMS-Software im Vergleich: die vier Wege zu ISO 27001
Wer ein ISMS aufbaut oder ablösen will, wählt meist zwischen vier Wegen: Excel und SharePoint im Eigenbau, ein Einzeltool nur für ISO 27001, eine große GRC-Suite oder ein Berater-Stundenmodell. Jede trägt in einer bestimmten Lage, und jede hat einen Punkt, an dem sie bricht. Diese Seite vergleicht die vier Wege ohne Verkaufsbrille und nennt die Fragen, die Sie vor der Entscheidung klären sollten.
Die vier Wege, ehrlich verglichen
Für jeden Weg dieselben drei Fragen: Wofür trägt er, wo bricht er, und was kostet der Wechsel, wenn er bricht?
Excel und SharePoint im Eigenbau
Wofür er trägt
Für die Erstzertifizierung mit kleinem Scope ist der Eigenbau ein legitimer Start: volle Kontrolle, keine Lizenzkosten, keine Einführungshürde. Auditoren akzeptieren saubere Tabellen.
Wo er bricht
Die Kosten kommen im Betrieb. Versionsstände, Verantwortliche, Wiedervorlagen und der Nachweis, wer wann was entschieden hat, sind Handarbeit und bleiben es. Ab dem zweiten Standort oder der zweiten Gesellschaft wird aus Pflege Archäologie, und jedes Überwachungsaudit kostet erneut ähnlichen Vorbereitungsaufwand.
Wechselkosten später
Statt eines Datenmodells gibt es Dokumente. Eine spätere Migration gleicht darum eher einem Neuaufbau, und Historie lässt sich oft nur teilweise mitnehmen.
Einzeltool nur für ISO 27001
Wofür er trägt
Geführte Struktur, vorgedachter Katalog, schneller Start. Wer genau eine Norm betreiben will und sonst nichts, findet hier oft den kürzesten Weg zum Zertifikat.
Wo er bricht
Wächst der Pflichtenkreis, stößt der Zuschnitt an Grenzen: BCM wird ein zweites Werkzeug, Lieferantenrisiko ein drittes, Awareness ein viertes, und sektorale Kataloge warten darauf, dass der Hersteller sie einpflegt. Die Datenbasis zerfällt in Inseln, die per Hand synchron gehalten werden.
Wechselkosten später
Export je Insel, Zuordnung per Hand. Der Wechsel ist machbar, aber jede Insel wandert einzeln.
Große GRC-Suite
Wofür er trägt
Für Konzerne mit eigenem GRC-Team und konzernweit gesetzten Prozessen sind Suiten gebaut: tiefe Workflows und Rollenmodelle für große Organisationen.
Wo er bricht
Einführung und Betrieb sind auf ein eigenes Fachteam ausgelegt, und der Mittelstand bezahlt schnell Komplexität, die er nicht nutzt. Ein bekanntes Risiko: Das eigentliche ISMS lebt nach der Einführung doch wieder in Excel, weil die Suite für den Alltag zu schwer ist.
Wechselkosten später
Hoch: Suiten sind strategische Bindungen mit langem Horizont. Wer geht, plant ein eigenes Projekt.
Berater-Stundenmodell
Wofür er trägt
Punktuelle Expertise, wo sie fehlt: Audit-Vorbereitung, Gap-Analyse, schwierige Einzelfragen. Gute Beratung beschleunigt jede der anderen Optionen.
Wo er bricht
Als Dauerbetriebsmodell bleiben es offene Stunden ohne besetzte Funktion: Beraten wird, wenn eine Frage anliegt, aber zwischen zwei Terminen führt niemand das ISMS. Nachweise entstehen im Projekt statt im laufenden Betrieb, und das Stundenbudget lässt sich schwer im Voraus planen.
Wechselkosten später
Hängt davon ab, wo die Ergebnisse liegen. Liegen Dokumente und Entscheidungen in Ihrem Haus, baut jeder andere Weg darauf auf.
Wo Cybervize in diesem Vergleich steht
Zwei Wege: Ohne eigenen CISO besetzt das vCISO-Mandat ab 3.600 €/Monat die Funktion und liefert den Nachweis, die Plattform ist enthalten. Mit eigenem CISO lizenzieren Sie OdySecure. In beiden Fällen laufen die Module auf einer Datenbasis und sind für den laufenden Betrieb gebaut, nicht für das einmalige Audit.
ISMS, BCM, Assessment, TPRM und Awareness teilen eine Datenbasis: Aus Assessment-Lücken legen Sie Maßnahmen per Klick an, BIA-Daten validieren Kontinuitätspläne, Schulungsquoten werden Audit-Evidenz.
50 Rahmenwerke als Katalog hinterlegt, von ISO 27001 über BSI Grundschutz++ bis zu sektoralen Vorgaben. Neue Kataloge kommen per OSCAL-Import oder werden direkt in der Plattform angelegt, ohne auf den Hersteller zu warten.
Betrieb in Deutschland. Die KI-Schicht läuft wahlweise souverän auf eigens betriebenen Modellen, mit Ihren eigenen Schlüsseln oder gemanagt: drei Betriebsmodi, pro Mandant einstellbar.
Mehrere Standorte und Gesellschaften auf einer Datenbasis, mit Standortvergleich und konsolidiertem Nachweis. Self-Assessments entlasten Werke bei Audits, auch nach IEC 62443.
Lizenz je Modul zum festen Jahrespreis. Gezählt werden digital angebundene Personen, kein Named-User-Limit. Die Einstiegspreise je Stufe stehen offen auf der Preisseite.
Ohne eigenen CISO besetzen wir die Funktion im vCISO-Mandat: Ein Senior-CISO führt ISMS und Nachweis und arbeitet dafür mit OdySecure. Die Plattform ist im Mandat enthalten, der Preis ist ein fester Monatsbetrag statt offener Stunden.
Diese Fragen trennen die Optionen schneller als jede Feature-Liste. Stellen Sie sie jedem Anbieter, auch uns.
1.Woher kommt der Kontrollkatalog, und wie kommen neue Standards hinein?
Eingekaufte Kataloge veralten mit dem Vertragszyklus des Herstellers. Entscheidend ist, ob Sie neue oder eigene Kataloge selbst einlesen können, etwa über OSCAL, das offizielle NIST-Format.
2.Trägt das Werkzeug mehrere Standorte und Gesellschaften auf einer Datenbasis?
Mandanten, Werke und Tochtergesellschaften nachträglich einzuziehen gehört zu den teuersten Umbauten. Wer heute einen Standort hat und morgen zwei, sollte die Frage heute stellen.
3.Entstehen Nachweise im laufenden Betrieb, oder werden sie fürs Audit zusammengesucht?
Das ist der Unterschied zwischen einem ISMS und einem Ordner. Wenn Maßnahmen, Risiken und Schulungen laufend Audit-Evidenz erzeugen, schrumpft die Vorbereitung vor jedem Audit deutlich.
4.Wo laufen Daten und KI, und unter wessen Kontrolle?
Manche Werkzeuge leiten Compliance-Daten durch externe Modellanbieter außerhalb Europas. Klären Sie Datenresidenz, Betriebsmodell und ob sich der KI-Datenfluss pro Mandant steuern lässt.
5.Wie ist der Preis gebaut: Lizenz mit klarer Metrik oder offene Stunden?
Vergleichbar wird es erst mit der Metrik. Fragen Sie, was gezählt wird, was bei Wachstum passiert und ob Produktionsmitarbeitende ohne digitale Identität den Preis treiben.
6.Was kostet der Weg hinein, und was kostet der Weg heraus?
Einführung und Migration aus dem Bestand sind planbare Projekte. Der Export am Ende ist die ehrlichste Anbieterfrage: Wer Daten nur hineinlässt, hat einen Grund.
Wofür die Plattform gebaut ist, und wofür nicht
Dafür ist sie gebaut
Mittelstand und Konzern mit mehreren Pflichten gleichzeitig: ISO 27001 im Betrieb, dazu BCM, Lieferantenrisiko oder sektorale Vorgaben wie NIS-2 und DORA.
Häuser mit mehreren Standorten oder Gesellschaften, die einen konsolidierten Nachweis brauchen statt vier Insellösungen.
Produktionsunternehmen, die ihre Werke und OT-Umgebungen einbeziehen wollen, mit Self-Assessments statt Audit-Karawane.
Häuser mit eigenem CISO, die das ISMS selbst betreiben wollen: über die Lizenz, auf Wunsch mit Einführungsprojekt.
Dafür sind andere Wege besser
Sie brauchen genau ein Zertifikat für einen kleinen Scope und danach möglichst wenig Betrieb: Dann ist ein Einzeltool oder ein sauberer Eigenbau oft der schlankere Weg.
Ihr Konzern hat eine GRC-Suite strategisch und konzernweit gesetzt: Dann ist der Ersatz selten das richtige Projekt. Prüfenswert bleibt das Assessment-Modul als Ergänzung für Werks-Self-Assessments.
Sie suchen Sicherheitsführung statt Werkzeug: Dann ist das vCISO-Mandat der passende Weg. Wir besetzen die CISO-Funktion, die Plattform ist darin enthalten. Für Krisen und Vakanzen gibt es unseren Interim CISO.
Prüfen Sie beide Wege an Ihrem Fall
Mit eigenem Team zeigen wir OdySecure in der Demo, mit Ihren Standards und Standorten. Ohne eigenen CISO klären wir im Erstgespräch, wie das vCISO-Mandat Ihre Anforderungen abdeckt.
Eine seriöse Antwort beginnt nicht mit einer Zahl, sondern mit dem Modell: Einzeltools werden je Nutzer oder Paket lizenziert, GRC-Suiten kommen mit eigenem Einführungsprojekt, Stundenmodelle haben kein natürliches Ende. Entscheidend ist die Preismetrik: OdySecure wird je Modul zum festen Jahrespreis lizenziert, gezählt werden digital angebundene Personen, kein Named-User-Limit. Die Einstiegspreise je Stufe stehen offen auf der Preisseite. Wer keinen eigenen CISO hat, wählt das vCISO-Mandat ab 3.600 €/Monat, die Plattform ist darin enthalten.
Reicht Excel für ISO 27001?
Für die Erstzertifizierung mit kleinem Scope: ja. Auditoren akzeptieren saubere Tabellen, und für ein kleines Haus mit einem Standort ist der Eigenbau ein legitimer Start. Die Rechnung kommt im Betrieb: Versionsstände, Wiedervorlagen, Verantwortlichkeiten und die Nachweisführung über Jahre sind Handarbeit, und ab dem zweiten Standort oder der zweiten Pflicht neben ISO 27001 wächst der Aufwand schneller als das Team.
Was unterscheidet ISMS-Software von einer GRC-Suite?
Der Zuschnitt. ISMS-Software führt ein Managementsystem nach ISO 27001, eine GRC-Suite will Governance, Risk und Compliance eines Konzerns abbilden: mit entsprechender Einführungsdauer, Rollenkomplexität und eigenem Betriebsteam. Dazwischen steht der Plattform-Ansatz: mehrere Module auf einer Datenbasis, die Pflichten wie ISO 27001, BCM und Lieferantenrisiko zusammen führen, ohne die Einführungs- und Betriebslast einer Suite.
Wie kommen neue Standards und Kataloge in die Plattform?
Auf drei Wegen: 50 Rahmenwerke sind als Katalog hinterlegt, von ISO 27001 über BSI Grundschutz++ und IEC 62443 bis zu sektoralen Vorgaben. Neue Kataloge lassen sich per OSCAL-Import einlesen, dem offiziellen NIST-Format für Sicherheitskataloge. Und eigene Kataloge, etwa Konzernvorgaben, werden direkt in der Plattform angelegt und per Crosswalk mit ISO 27001 verbunden.
Deckt ISMS-Software auch NIS-2, DORA und BCM ab?
Ein Einzeltool für ISO 27001 in der Regel nicht, und genau daran zerbricht die Werkzeuglandschaft vieler Häuser. In OdySecure laufen ISO 27001, NIS-2, DORA, BCM und Lieferantenrisiko auf einer Datenbasis: Eine Maßnahme erfüllt mehrere Pflichten, und der Nachweis wird je Rahmenwerk ausgeleitet statt je Werkzeug neu geführt.
Wovon hängt die Einführungsdauer ab?
Weniger vom Werkzeug, als die Prospekte suggerieren, und mehr vom Scope: Anzahl der Standorte, Reife des Bestands und wie viel migriert werden muss. Bei OdySecure wird die Einführung je Ausbaustufe zugeschnitten. Mit eigenem Team übernehmen Sie den Betrieb, auf Wunsch mit Einführungsprojekt; im vCISO-Mandat führt Ihr vCISO die Einführung. Den konkreten Zuschnitt für Ihr Haus klären wir im ersten Gespräch.
