ISMS Software
für ISO 27001

ISO/IEC 27001 ist die international anerkannte Norm für Informationssicherheits-Managementsysteme (ISMS). Sie legt fest, wie eine Organisation Informationssicherheit systematisch plant, umsetzt, überwacht und verbessert — mit der Risikobewertung als Kern und den 93 Controls aus Anhang A als Maßnahmenkatalog; Umsetzungshinweise dazu gibt ISO/IEC 27002:2022. Die aktuelle Fassung ist ISO/IEC 27001:2022.

Eine ISMS Software bildet die Bestandteile eines Informationssicherheits-Managementsystems in einem Datenmodell ab — Scope, Assets, Anforderungen, Risiken, Controls und Nachweise — und verknüpft sie miteinander. Statt Tabellen und Dokumente von Hand konsistent zu halten, pflegen Sie jedes Objekt einmal, und Berichte wie das Statement of Applicability entstehen aus den Daten.

Mindestens: die Anforderungen der ISO/IEC 27001:2022 und die Annex-A-Controls mit Umsetzungsstatus, eine Asset-Struktur mit Abhängigkeiten, Risikoanalyse und Risikobehandlung mit konfigurierbarer Risikomatrix, Maßnahmen mit Verantwortlichen und Fristen, Nachweise am Objekt, das Statement of Applicability, Berichte für Management-Review und Audit — und Schnittstellen zu den Systemen, in denen Ihre Assets und Aufgaben schon liegen.

Ja. Die Anforderungen der ISO/IEC 27001:2022 und die 93 Controls aus Annex A der Norm sind als Katalog enthalten — mit Umsetzungshinweisen aus ISO/IEC 27002:2022 — und werden auf Ihrem Asset-Baum bewertet. Erscheint eine neue Normversion, wird der Katalog aktualisiert; vorhandene Bewertungen und Nachweise wandern mit.

Ja. Die SoA entsteht auf Basis der Anforderungen und Controls: Für jedes Control werden Anwendbarkeit, Begründung und Umsetzungsstatus dokumentiert, und der Bericht wird daraus erzeugt — beim Erstaudit wie vor jedem Überwachungsaudit, ohne die Erklärung neu zu schreiben.

Gefährdungen werden je Asset identifiziert — aus Standard- oder eigenen Bedrohungskatalogen — und in einer konfigurierbaren Risikomatrix bewertet. Für jedes Risiko werden Behandlungsoption und Maßnahmen festgelegt; Brutto- und Restrisiko lassen sich über die Zeit verfolgen, und der Risikobehandlungsplan wird als Bericht erzeugt.

Ja — als Leitfaden, nicht als Zertifizierungsnorm: ISO/IEC 27005 beschreibt den Prozess des Informationssicherheits-Risikomanagements, den ISO/IEC 27001 fordert. Complaica bildet diesen Prozess ab: Risiken werden je Asset identifiziert, analysiert und bewertet, für jedes Risiko werden Behandlungsoption, Controls und Maßnahmen festgelegt, und das Restrisiko bleibt mit Asset, Risiko und Nachweisen verknüpft. Eine Zertifizierung nach ISO/IEC 27005 gibt es nicht; die Ergebnisse fließen in Risikobehandlungsplan und SoA für das ISO 27001-Audit ein.

Ja. Complaica importiert und exportiert Daten von und nach Excel, über die REST API und aus anderen ISMS-Tools; die Migration Ihrer Daten ist kostenlos und wird von unseren Spezialisten begleitet. So bewerten Sie das Tool an Ihrem eigenen Datenbestand statt an Demo-Daten.

Ja. TISAX, BSI IT-Grundschutz, NIS2, DSGVO, ISO 22301 und weitere Normen werden auf demselben Scope-Modell bewertet und nutzen dieselben Assets, Risiken, Maßnahmen und Nachweise. Was für ISO 27001 dokumentiert ist, zählt für die anderen Standards mit.

Ja, beides. Die SaaS-Variante wird in Deutschland gehostet; On-Premises betreiben Sie Complaica in Ihrer eigenen Infrastruktur. Die Lizenz kostet in beiden Fällen dasselbe.

Über die REST API Asset-Management- und CMDB-Systeme wie i-doit, GLPI, FNT Command u. a. sowie Jira, SAP und Microsoft Azure. Anwendungsdaten stehen über Data Marts für externe Analyse- und Reporting-Systeme bereit, und über MCP lässt sich ein KI-Assistent anbinden.

Die Nachweise liegen am Objekt, das sie belegen, und die Berichte — SoA, Risikobehandlungsplan, Umsetzungsstatus — werden aus dem aktuellen Datenbestand erzeugt. Dashboards zeigen den Stand vor dem Audit, externen Auditoren kann gezielter Zugriff gegeben werden. Weil derselbe Datenbestand weiterläuft, werden Überwachungsaudits und die Rezertifizierung nach drei Jahren aus dem laufenden Betrieb heraus vorbereitet. Die Zertifizierung selbst nimmt eine unabhängige Zertifizierungsstelle vor.

Für jede Organisation, die vertrauliche Informationen verarbeitet und das gegenüber Kunden, Partnern oder Aufsichtsbehörden nachweisen will — unabhängig von Größe und Branche. Besonders verbreitet ist sie bei IT- und Cloud-Dienstleistern, Zulieferern regulierter Branchen, Betreibern kritischer Infrastrukturen und Unternehmen, die NIS2 oder TISAX gegenüberstehen: Ein ISMS nach ISO 27001 deckt einen großen Teil dieser Anforderungen mit ab.

Gesetzlich vorgeschrieben ist sie nicht. Verpflichtend wird sie in der Praxis über Verträge und Ausschreibungen — viele Kunden verlangen das Zertifikat als Nachweis — sowie indirekt über Regularien wie NIS2, KRITIS oder DORA, die ein ISMS fordern; ISO 27001 ist der übliche Weg, dieses ISMS nachweisbar zu betreiben.

Die Kosten setzen sich aus drei Teilen zusammen: dem Aufwand für Aufbau und Betrieb des ISMS (interne Zeit, Beratung, Software), dem Zertifizierungsaudit durch eine akkreditierte Stelle und den jährlichen Überwachungsaudits. Sie hängen vor allem von der Größe des Scopes, der Zahl der Standorte und dem Reifegrad Ihrer bestehenden Prozesse ab. Complaica senkt den ersten Teil: Die vorbereiteten Inhalte, die aus den Daten erzeugten Nachweise und die KI-Integration sparen den Großteil der Dokumentationsarbeit. Eine Preisliste schicken wir Ihnen auf Anfrage zu.

Typisch sind drei bis zwölf Monate vom Start bis zum Zertifikat — je nach Scope, vorhandener Dokumentation und verfügbaren Ressourcen. Mit vorbereiteten Inhalten und Beratung liegen kleinere Organisationen am unteren Ende. Das Zertifikat gilt drei Jahre, mit jährlichen Überwachungsaudits und anschließender Rezertifizierung — Complaica hält den Datenbestand dafür durchgehend aktuell.