ISO 27001 und NIS2: Berater, Software oder KI-Agenten?

Wenn ein Unternehmen entscheidet, dass es ISO 27001 braucht, oder feststellt, dass NIS2 gilt, lautet die nächste Frage: Wer macht die Arbeit? Lange gab es zwei Antworten. Eine Beratung beauftragen oder Compliance-Software kaufen und es selbst machen. Inzwischen gibt es eine dritte: KI-Agenten, die den Großteil der Arbeit vorbereiten, mit einem Compliance Engineer an der Seite. Alle drei Wege können zum Zertifikat führen. Sie unterscheiden sich darin, wer was tut, was nach dem Projekt bleibt und wie viel Zeit es Sie kostet.

Wir bieten die dritte Variante selbst an. Wir haben versucht, die anderen beiden fair zu beschreiben, einschließlich der Fälle, in denen sie die bessere Wahl sind.

Das Wichtigste in Kürze

• Entscheidend ist, wer die Arbeit macht, und wer sie nach dem Audit weiter macht.
• Berater bringen Urteilsvermögen und Erfahrung mit. Die Dokumente, die sie schreiben, muss danach trotzdem jemand betreiben.
• Compliance-Software ordnet die Arbeit, lässt aber das meiste Schreiben, Zuordnen und Entscheiden bei Ihrem Team.
• KI-Agenten bereiten die wiederkehrende Arbeit vor und halten sie aktuell. Menschen geben Entscheidungen frei, und ein Engineer hilft bei der Auditvorbereitung.
• Das Audit selbst bleibt immer unabhängig. Das ISO-27001-Zertifikat stellt eine akkreditierte Zertifizierungsstelle aus, egal welches Modell Sie wählen.

Weg 1: eine Beratung

Ein guter Berater bringt etwas mit, das kein Werkzeug ersetzt: jahrelange Erfahrung damit, wie andere Unternehmen dasselbe Problem gelöst haben, und das Urteil, welche Risiken zählen. Er leitet Workshops, schreibt die Richtlinien und die Risikobeurteilung, erstellt die Erklärung zur Anwendbarkeit und sitzt im Audit neben Ihnen.

Die Grenzen zeigen sich nach dem Projekt. Die Dokumente beschreiben Ihr Unternehmen an dem Tag, an dem sie geschrieben wurden. Wenn Mitarbeiter gehen, Systeme sich ändern oder ein zweites Framework dazukommt, muss jemand sie aktualisieren. Ist das wieder der Berater, wiederholen sich die Kosten. Ist es Ihr Team, übernimmt es Dokumente, die es nicht selbst geschrieben hat. Eine einmalige Gap-Analyse hat dasselbe Problem: Sie ist eine Momentaufnahme, die ab dem Tag der Übergabe veraltet.

Weg 2: Compliance-Software

Compliance-Plattformen geben Struktur. Sie bringen Kontrollbibliotheken, Vorlagen für Richtlinien, Aufgabenlisten und Anbindungen mit, die Nachweise aus Ihren Cloud- und Identitätssystemen ziehen. Für ein Team, das weiß, was es tut, ist diese Struktur eine echte Hilfe.

Die Arbeit selbst bleibt größtenteils bei Ihnen. Vorlagen müssen angepasst, Kontrollen Ihren Systemen zugeordnet, Risiken bewertet und Lücken in den Nachweisen verfolgt werden. Unsere Erfahrung als ehemalige CISOs und GRC-Manager ist: Software spart die meiste Zeit beim Sammeln von Nachweisen und die wenigste bei allem, was Nachdenken erfordert. Teams ohne eigene Compliance-Verantwortliche bezahlen deshalb oft zusätzlich einen Berater.

Weg 3: KI-Agenten mit Compliance Engineer

Agenten ändern, wer die Arbeit vorbereitet. Statt einer Vorlage entwirft ein Agent die Richtlinie aus dem tatsächlichen Aufbau Ihres Unternehmens. Statt einer Checkliste ordnet er jede Anforderung Ihren Kontrollen zu und kennzeichnet sie als erfüllt, teilweise erfüllt oder fehlend. Er sammelt Nachweise nach Zeitplan aus Ihren Systemen und führt jede Woche ein Gap Audit durch statt einmal im Jahr.

Menschen behalten, was Urteilsvermögen braucht: Risikoakzeptanz, Entscheidungen zum Geltungsbereich, die Freigabe jeder Richtlinie. Ein Compliance Engineer hilft bei der Auditvorbereitung, und eine akkreditierte Zertifizierungsstelle führt das Audit durch. Was nach dem Zertifikat bleibt, ist ein Programm, das weiterläuft.

So vergleichen Sie die drei

Stellen Sie jedem Angebot dieselben Fragen:

• Wer schreibt die erste Fassung von Richtlinien, Risikobeurteilung und Erklärung zur Anwendbarkeit?
• Wer hält sie aktuell, wenn sich das Unternehmen ändert?
• Wie oft werden Lücken gefunden: einmal vor dem Audit oder laufend?
• Was passiert beim zweiten Framework? Ist es ein neues Projekt oder eine Erweiterung desselben Control-Sets?
• Wer begleitet die Auditvorbereitung, und wer führt das Audit durch?
• Was muss Ihr Team wissen, damit das Modell funktioniert?

Seien Sie vorsichtig bei Versprechen über feste Prozentzahlen beim Einsparen, wenn nicht erklärt wird, woher sie kommen. Hilfreich ist die Frage, wer welche Aufgabe trägt, und die Antwort ist von Unternehmen zu Unternehmen verschieden.

Wann ein Berater besser passt

Es gibt Situationen, in denen wir einen Berater empfehlen würden, allein oder zusätzlich zu jedem Werkzeug:

• Eine komplexe Rechtsfrage, etwa eine strittige NIS2-Einstufung oder eine Auseinandersetzung mit der Aufsicht.
• Ein tiefgreifender organisatorischer Umbau, bei dem das Sicherheitsprogramm Teil einer größeren Neuordnung ist.
• Spezielle technische Arbeit, etwa Penetrationstests oder die Bewertung der physischen Sicherheit für den TISAX®-Prototypenschutz.
• Ein Team, das das Handwerk lernen will und die Zeit hat, es mit einem Experten durchzuarbeiten.

Für die wiederkehrende Arbeit eines Sicherheitsprogramms, also Dokumente schreiben und aktualisieren, Frameworks zuordnen, Nachweise sammeln und Lücken finden, bereiten Agenten heute gut vor, und sie hören nicht auf, wenn das Projekt endet.

Der erste Schritt

Schreiben Sie auf, welche Frameworks Sie in den nächsten zwei Jahren brauchen, welche Mitarbeiter Sie haben und wie viel ihrer Zeit Compliance beanspruchen darf. Lassen Sie sich dann von jedem Angebot an Ihrem eigenen Unternehmen zeigen, wie der erste Monat und das zweite Jahr aussehen. Am deutlichsten unterscheiden sich die Modelle im zweiten Jahr.

Unsere Seite zu den KI-Agenten zeigt, was jeder Agent tut, und So funktioniert GetTeddy erklärt das Modell dahinter.