Kurz gesagt
Eine ISMS-Software (Software für ein Informationssicherheits-Managementsystem) ist eine Anwendung, mit der Organisationen ihre Informationssicherheit nach einem Standard planen, umsetzen, prüfen und dokumentieren. Für die Auswahl zählen vor allem fünf Punkte:
- Passende Standards: ISO/IEC 27001, BSI IT-Grundschutz, NIS2-Pflichten, branchenspezifische Kataloge wie VDA ISA (Grundlage von TISAX) oder kommunale Kataloge.
- Erklärung zur Anwendbarkeit: Anwendbarkeit je Anforderung begründet, als datierte Fassung ablegbar.
- Verknüpfung: Anforderungen, Maßnahmen, Assets, Risiken und Nachweise beziehen sich aufeinander.
- Steuerung: Umsetzungsstand, offene Aufgaben, Fristen und veraltete Nachweise sind übersichtlich sichtbar.
- Betrieb und Vertrag: Datenstandort, Hosting-Varianten, Support-Zeiten, Preismodell und klare Regeln zum Datenexport beim Wechsel.
Eine allgemeingültig „beste“ ISMS-Software gibt es nicht. Welche passt, hängt vom Standard ab, den Sie umsetzen, von der Größe und Struktur Ihrer Organisation und davon, ob eine Zertifizierung, ein Testat oder eine gesetzliche Pflicht wie NIS2 den Anlass gibt.
Stand: Oktober 2026
Diese Auswahlhilfe gibt einen allgemeinen Überblick und ersetzt keine Rechts- oder Auditberatung im Einzelfall.
Welche Anforderungen eine ISMS-Software abdecken sollte
Die Übersicht ordnet typische Anforderungen der gängigen Standards den Funktionen zu, nach denen Sie bei einem Anbieter fragen können. Die BSIG-Angaben beziehen sich auf das BSI-Gesetz in der Fassung des NIS2-Umsetzungsgesetzes.
| Anforderung | Quelle | Was die Software leisten sollte |
|---|---|---|
| Risikobeurteilung und -behandlung | ISO/IEC 27001, Abschnitte 6.1.2, 6.1.3, 8.2 und 8.3 | Risikoanalysen mit Bewertung, Behandlung und Bezug auf Assets und Maßnahmen |
| Erklärung zur Anwendbarkeit | ISO/IEC 27001, Abschnitt 6.1.3 d) | Anwendbarkeit und Begründung je Control aus Anhang A, Umsetzungsstand, datierte Fassungen |
| Inventar der Werte (Assets) | ISO/IEC 27001, Anhang A 5.9 | Zentraler Bestand an Systemen und Werten mit Zuständigkeiten und Abhängigkeiten |
| Kompetenz und Bewusstsein | ISO/IEC 27001, Abschnitte 7.2 und 7.3 | Schulungen mit Teilnahmenachweis |
| Internes Audit | ISO/IEC 27001, Abschnitt 9.2 | Auditplanung, Prüflisten, Befunde und Aufgaben |
| Sicherheitsvorfälle | ISO/IEC 27001, Anhang A 5.24–5.28 | Erfassung, Bewertung, Maßnahmen, Lessons Learned |
| Strukturanalyse, Schutzbedarf, Modellierung, IT-Grundschutz-Check | BSI-Standard 200-2 | Modellierung der Bausteine am Zielobjekt, Ableitung des Schutzbedarfs, Dokumentation von Strukturanalyse, Modellierung und IT-Grundschutz-Check |
| Risikomanagementmaßnahmen | § 30 BSIG (NIS2) | Maßnahmen und deren Dokumentation zu den im Gesetz genannten Bereichen |
| Meldepflichten | § 32 BSIG (NIS2) | Für erhebliche Sicherheitsvorfälle: Erstmeldung (Frühwarnung) spätestens 24 Stunden und Meldung spätestens 72 Stunden nach Kenntniserlangung, Abschlussmeldung spätestens einen Monat nach der Meldung; Fristüberwachung |
| Schulung der Geschäftsleitung | § 38 BSIG (NIS2) | Schulungsangebot und Dokumentation der Teilnahme für Geschäftsleitungen |
| Informationssicherheits-Assessment | VDA ISA (TISAX) | Selbsteinschätzung anhand des Katalogs, Nachweise für das Assessment |
Eine ISMS-Software ersetzt weder die Zertifizierungsstelle noch den TISAX-Prüfdienstleister, und ihr Einsatz führt nicht von selbst zu einem Zertifikat oder Label. Sie kann die Arbeit strukturieren und die Nachweise bereithalten; ob diese genügen, beurteilt die prüfende Stelle.
14 Kriterien mit Prüffragen an den Anbieter
Die Liste der unterstützten Standards sagt noch wenig darüber aus, wie die Anforderungen in der täglichen Arbeit umgesetzt sind. Die Prüffragen helfen, das in einer Demo oder einer Testphase herauszufinden.
Standards und Steuerung
| Kriterium | Worauf Sie achten sollten | Prüffrage an den Anbieter |
|---|---|---|
| 1. Anforderungskataloge | Einsatzbereite Kataloge für die Standards, die Sie umsetzen; eigene Anforderungen ergänzbar | „Welche Kataloge sind enthalten, welche kosten extra, und wie ergänze ich eigene Kontrollen?“ |
| 2. Erklärung zur Anwendbarkeit | Begründeter Ausschluss nicht anwendbarer Anforderungen, Ablage datierter Fassungen | „Wie lege ich die SoA ab, die ich dem Auditor vorgelegt habe?“ |
| 3. Nachweise | Nachweise je Anforderung, Bestätigung durch die verantwortliche Person, Erinnerung bei Ablauf | „Was passiert, wenn ein Nachweis abläuft?“ |
| 4. Steuerungsansicht | Umsetzungsstand je Kategorie, offene Aufgaben und Fristen, Entwicklung über die Zeit | „Wie zeige ich der Geschäftsleitung den Stand des ISMS?“ |
| 5. Mehrere Standards | Eine Maßnahme kann Anforderungen aus verschiedenen Katalogen zugeordnet werden | „Wie vermeide ich doppelte Arbeit bei ISO 27001 und NIS2?“ |
Assets, Risiken und Vorfälle
| Kriterium | Worauf Sie achten sollten | Prüffrage an den Anbieter |
|---|---|---|
| 6. Asset-Bestand | Hierarchie, Abhängigkeiten, Zuständigkeiten, Kennzeichnung der NIS2-Relevanz | „Wie bilde ich ab, welche Anwendungen auf welchem Server laufen?“ |
| 7. Schutzbedarf | Schutzziele Vertraulichkeit, Integrität, Verfügbarkeit; Vererbung in der Regel nach dem Maximumprinzip, unter Berücksichtigung von Kumulations- und Verteilungseffekten | „Wie wird der Schutzbedarf von einer Anwendung auf die Infrastruktur übertragen?“ |
| 8. Risikoanalysen | Frei definierbare Bewertungsschemata, Bezug auf Assets und Maßnahmen | „Kann ich unsere bestehende Risikomatrix übernehmen?“ |
| 9. Vorfälle und Meldefristen | Meldevorlagen, Fristen als Status, Dokumentation des Meldezeitpunkts | „Woran erkenne ich, ob die Erstmeldung innerhalb von 24 Stunden erfolgt ist?“ |
| 10. Audits | Prüflisten, Befragte, Umsetzungsstatus, Aufgaben aus Befunden | „Wie führe ich ein internes Audit durch und wie dokumentiere ich die Befunde?“ |
Betrieb und Vertrag
| Kriterium | Worauf Sie achten sollten | Prüffrage an den Anbieter |
|---|---|---|
| 11. Rollen und Rechte | Benutzergruppen, Vertraulichkeitsstufen, persönliche Arbeitslisten für Fachverantwortliche | „Sieht ein Fachverantwortlicher nur die Anforderungen, für die er zuständig ist?“ |
| 12. Datenstandort und Hosting | Speicherort, Hosting-Varianten (Cloud, Private Cloud, On-Premises), Single Sign-On | „Wo liegen die Daten, und kann ich die Software in unserer eigenen Infrastruktur betreiben?“ |
| 13. Zertifizierungen | Unterscheiden Sie zwischen der Zertifizierung des Rechenzentrums und der des Anbieters selbst | „Welche Zertifikate gelten für das Rechenzentrum, welche für Ihr Unternehmen?“ |
| 14. Preis, Support und Export | Preisbildende Faktoren, Support- und Reaktionszeiten, Datenexport bei Vertragsende | „Wonach richtet sich der Preis, und in welchem Umfang und Format erhalte ich meine Daten, wenn ich kündige?“ |
Welche Kriterien je nach Anlass besonders zählen
ISO 27001-Zertifizierung. Im Mittelpunkt stehen die Erklärung zur Anwendbarkeit (Kriterium 2), Risikobeurteilung und -behandlung (Kriterium 8), Nachweise (Kriterium 3) und das interne Audit (Kriterium 10). Die Übergangsfrist für Zertifikate nach der Vorgängerfassung ISO/IEC 27001:2013 endete am 31. Oktober 2025; maßgeblich ist seither die Fassung ISO/IEC 27001:2022, deren Anhang A 93 Controls umfasst.
NIS2-Pflichten. Prüfen Sie zuerst, ob Ihre Organisation als besonders wichtige oder wichtige Einrichtung betroffen ist; der NIS2-Check gibt eine erste, unverbindliche Einschätzung. Für die Umsetzung zählen der Asset-Bestand (Kriterium 6), Meldevorlagen und Fristen (Kriterium 9) sowie die Dokumentation der Schulung der Geschäftsleitung. Ein ISMS nach ISO/IEC 27001 kann einen großen Teil der organisatorischen Anforderungen abdecken, ersetzt aber NIS2-spezifische Pflichten wie die Registrierung und die Meldungen an das BSI nicht.
BSI IT-Grundschutz. Wichtig sind die Modellierung der Bausteine an den Zielobjekten, das angestrebte Absicherungsniveau (etwa Basis- oder Standard-Absicherung), die Ableitung des Schutzbedarfs (Kriterium 7) und die Dokumentation von Strukturanalyse, Modellierung und IT-Grundschutz-Check nach BSI-Standard 200-2.
TISAX für Automobilzulieferer. Grundlage ist der VDA ISA-Katalog. Eine Software kann bei der Selbsteinschätzung helfen und die Nachweise für das Assessment bereithalten; das Assessment selbst führt ein von der ENX Association zugelassener Prüfdienstleister durch.
Kommunen und öffentliche Verwaltung. Gefragt sind häufig BSI IT-Grundschutz oder kommunale Kataloge, On-Premises- oder Private-Cloud-Betrieb, Behördenbegriffe und Barrierefreiheit.
Organisationen, die auch die DSGVO-Dokumentation führen. Systeme, Maßnahmen und Vorfälle betreffen Datenschutz und Informationssicherheit gleichermaßen. Die Kriterien für die Datenschutzseite beschreibt die Auswahlhilfe für DSGVO-Software.
Fünf Fehler bei der Auswahl
- Nach der Zahl der Standards entscheiden. Wichtiger ist, ob der Standard, den Sie tatsächlich umsetzen, in der aktuellen Fassung und in der benötigten Tiefe abgebildet ist.
- Die Erklärung zur Anwendbarkeit als Export betrachten. Auditoren fragen häufig nach dem Stand zu einem bestimmten Zeitpunkt. Prüfen Sie, ob Fassungen abgelegt werden.
- Fachverantwortliche nicht einplanen. Ein ISMS lebt davon, dass IT, Personal und Gebäudemanagement Nachweise liefern. Testen Sie, wie einfach das für sie ist.
- Den Ausstieg nicht prüfen. Klären Sie vor Vertragsschluss, in welchem Umfang und Format Sie Ihre Daten zurückerhalten.
- Mit allen Anforderungen gleichzeitig beginnen. Bewährt hat sich, mit Geltungsbereich, Assets und Risikobeurteilung zu starten; die Maßnahmen leiten sich daraus ab.
Wie preeco | informationssicherheit die Kriterien umsetzt
Damit Sie die Kriterien an einem konkreten Beispiel nachvollziehen können, zeigt die Tabelle, wie preeco | informationssicherheit sie umsetzt. Die Angaben stammen aus unserer Leistungsbeschreibung (Stand Oktober 2026); maßgeblich ist der vertraglich vereinbarte Leistungsumfang. Die Tabelle ist ein Beispiel und kein Vergleich mit anderen Anbietern; prüfen Sie jede Software, auch unsere, an Ihrem eigenen Geltungsbereich.
| Kriterium | Umsetzung in preeco | informationssicherheit |
|---|---|---|
| Anforderungskataloge | Einsatzbereite Kataloge, z. B. ISO/IEC 27001, BSI IT-Grundschutz mit wählbarem Schutzniveau und SiKoSH für die kommunale Informationssicherheit; eigene Anforderungen ergänzbar | |
| Erklärung zur Anwendbarkeit | Anwendbarkeit je Anforderung mit Begründung; Ausgabe als PDF und DOCX; „Fassung ablegen“ friert den Stand mit Datum und Verfasser:in unveränderlich ein | |
| Nachweise | Als Datei, Dokument oder Link, auch von externen Personen anforderbar; zählen erst nach Bestätigung durch die verantwortliche Person; auslaufende Nachweise lösen eine Überprüfung aus | |
| Steuerungsansicht | Cockpit mit Heatmap des Erfüllungsgrads je Kategorie, Kennzahl „Maßnahmen-Abdeckung“ (Anteil der anwendbaren Anforderungen mit mindestens einer verknüpften Maßnahme), Momentaufnahmen über die Zeit | |
| Mehrere Standards | Maßnahmen werden mit Anforderungen verknüpft, je Verknüpfung mit Umsetzungsgrad, Verantwortlichen und Frist | |
| Asset-Bestand | Hierarchische Assets mit Datenflüssen, Hosting, Verschlüsselung und NIS2-Relevanz | |
| Schutzbedarf | Schadensszenarien-Matrix nach dem Maximumprinzip unter Berücksichtigung des Kumulationseffekts, Vererbung über den Asset-Baum nach BSI-Standard 200-2; alternativ manuell oder KI-gestützt (KI-Vorschläge sind fachlich zu prüfen) | |
| Risikoanalysen | Als eigenes Modul lizenzierbar: frei definierbare Ereignisse, Schadensbewertungen und Risikostufen; Export mit grafischer Darstellung | |
| Vorfälle | Neun mitgelieferte Meldevorlagen, u. a. Frühwarnung, Meldung und Abschlussmeldung an das BSI (§ 32 BSIG); Status der Meldefrist je Meldung; ob eine Meldepflicht besteht, bewertet Ihre Organisation | |
| Audits | Als eigenes Modul lizenzierbar: eigene Auditkataloge; BSI IT-Grundschutz, CISIS12 und VDA ISA als optionale, kostenpflichtige Kataloge | |
| Schulungen | Als eigenes Modul lizenzierbar: Online-Schulungen mit Teilnahmebescheinigung, darunter eine Schulungsvorlage „NIS2-Schulung für die Geschäftsleitung“, deren Teilnahme sich dokumentieren lässt | |
| Hosting | Cloud, Private Cloud oder On-Premises (On-Premises ist mit erheblichem Aufwand verbunden und steht daher in der Regel nur im öffentlichen Bereich oder im Enterprise-Segment zur Verfügung); Cloud und Private Cloud in nach ISO/IEC 27001 zertifizierten Rechenzentren der Hetzner Online GmbH in Deutschland (Nürnberg, Off-Site-Backup in Falkenstein); SSO per SAML2 optional in Private Cloud und On-Premises | |
| Zertifizierungen | Der Rechenzentrumsbetreiber Hetzner Online GmbH ist nach ISO/IEC 27001 zertifiziert; die preeco GmbH selbst ist derzeit nicht ISO 27001-zertifiziert | |
| Preis, Support und Export | Individuelles Angebot nach Mitarbeiterzahl, Modulen und Hosting-Variante; Support Montag bis Freitag, 9 bis 17 Uhr außer an gesetzlichen Feiertagen, mit Reaktionszeiten je Hosting-Variante laut Leistungsbeschreibung (On-Premises nach Vereinbarung); Export von Dokumenten als PDF, von Berichten und Dokumentationen als DOCX und von Übersichtstabellen als XLSX; REST-API, je Team auf Anfrage freigeschaltet |
preeco | informationssicherheit und preeco | datenschutz teilen sich eine Plattform. Wer beide Produkte nutzt, wechselt per Schalter zwischen den Arbeitsumgebungen; datenschutzrelevante Assets erscheinen im Datenschutz als Datenverarbeitungssysteme.
FAQ
Häufige Fragen zur Auswahl von ISMS-Software
In Betracht kommt eine Software, die die Anforderungen der ISO/IEC 27001:2022 und die Controls aus Anhang A als Katalog mitbringt, eine Erklärung zur Anwendbarkeit mit datierten Fassungen erzeugt, Risiken, Maßnahmen und Assets verknüpft und Nachweise für das Audit bereithält. Ob eine Zertifizierung gelingt, hängt von der Umsetzung in Ihrer Organisation und vom Audit ab, nicht von der Software. Eine allgemeingültig beste Lösung gibt es nicht; testen Sie die engere Auswahl mit Ihrem eigenen Geltungsbereich.
Das BSI-Gesetz schreibt keine bestimmte Software vor. Besonders wichtige und wichtige Einrichtungen müssen jedoch unter anderem Risikomanagementmaßnahmen umsetzen und dokumentieren und erhebliche Sicherheitsvorfälle fristgerecht melden; ihre Geschäftsleitungen müssen regelmäßig an Schulungen teilnehmen. Eine ISMS-Software mit Asset-Bestand, Meldevorlagen und Fristüberwachung kann das erleichtern. Eine erste Einschätzung, ob Ihre Organisation betroffen ist, gibt der NIS2-Check.
Die Preise hängen meist von der Größe der Organisation, den gewählten Modulen oder Katalogen und der Hosting-Variante ab und werden häufig als Jahresabonnement abgerechnet. Fragen Sie, ob Kataloge wie BSI IT-Grundschutz oder VDA ISA zusätzlich kosten. preeco | informationssicherheit wird nach Mitarbeiterzahl, Modulen und Hosting-Variante individuell angeboten.
Eine Software kann die Selbsteinschätzung anhand des VDA ISA-Katalogs strukturieren und die Nachweise für das Assessment bereithalten. Das Assessment selbst führt ein von der ENX Association zugelassener Prüfdienstleister durch; das Ergebnis wird als TISAX-Label über die ENX-Plattform ausgewiesen. Die Software selbst führt weder zum Assessment-Ergebnis noch zu einem Label.
Für einen ersten Überblick kann eine Tabelle genügen. Schwierig wird es, wenn Anforderungen, Maßnahmen, Assets und Nachweise aufeinander verweisen, mehrere Personen zuliefern und der Stand zu einem bestimmten Zeitpunkt belegt werden muss. Eine Software kann diese Bezüge verknüpfen und an Überprüfungen und ablaufende Nachweise erinnern.
Das kann sinnvoll sein, weil Systeme, technische und organisatorische Maßnahmen und Vorfälle beide Bereiche betreffen. preeco | informationssicherheit und preeco | datenschutz teilen sich eine Plattform; wer beide nutzt, wechselt per Schalter zwischen den Arbeitsumgebungen.
Die Kriterien an Ihrem eigenen Geltungsbereich prüfen
In einem Termin von etwa 30 Minuten zeigen wir Ihnen, wie preeco | informationssicherheit die Kriterien umsetzt – für ISO 27001, BSI IT-Grundschutz oder NIS2.
Beratungstermin vereinbarenIst Ihre Organisation von NIS2 betroffen?
Der NIS2-Check gibt eine erste, unverbindliche Einschätzung in wenigen Minuten.
Zum NIS2-Check