Compliance-Automatisierung: Was ISMS-Software bei ISO 27001 und NIS2 leistet – und was nicht

In vielen mittelständischen Unternehmen mit 50 bis 500 Beschäftigten hängt die Informationssicherheit an jemandem, der eigentlich den IT-Betrieb verantwortet:

Am Admin, der zusätzlich Informationssicherheitsbeauftragter ist.

Oder an der IT-Leitung, die nebenher das ISO-27001-Zertifikat am Laufen hält.

Seit NIS2 gilt, wird es für viele Betriebe enger, etwa in Energie, Gesundheit, Logistik, Maschinenbau oder bei digitalen Diensten: Laut BSI „NIS-2 in Zahlen“ haben sich bereits 20.141 Unternehmen und Organisationen registriert, 1.272 Erstmeldungen sind eingegangen.

Bist du in dieser Rolle, musst du Maßnahmen und Nachweise jetzt belegbar führen.

Compliance-Automatisierung kann dir dabei Routinearbeit abnehmen – Entscheidungen und Sicherheitswissen ersetzt sie nicht.

Bild von Markus Winkler auf Pexels

Wer das Problem hat – und warum es jetzt drückt

Seit mehr als 20 Jahren erklären wir bei Windows Tweaks Windows und Microsoft-Dienste. Für diesen Beitrag wollten wir wissen, wo Compliance-Arbeit im Alltag wirklich hakt, und haben dafür die öffentlichen Angaben von sechs Anbietern selbst ausgewertet.

Das Thema landet selten bei einer eigenen Abteilung. Oft ist es der Admin mit Zusatzrolle: Er wurde neben dem IT-Betrieb zum Informationssicherheitsbeauftragten benannt. Oder die IT-Leitung, die nebenher das Zertifikat am Leben halten soll.

Dazu kommen die Fragen der anderen: Die Geschäftsführung will wissen, ob das Audit besteht. Datenschutz und Compliance fragen nach denselben Nachweisen, nur in anderer Form.

Das Problem ist selten die Anforderung selbst, sondern die Pflege.

Typische Anzeichen:

• Die Risikoliste liegt in einer Excel-Datei.
• Die Nachweise verteilen sich auf drei Ordner.
• Kurz vor dem Überwachungsaudit beginnt die Suche.
• Dieselbe Maßnahme steht für ISO 27001 und NIS2 doppelt in der Dokumentation.

Oft fehlt sogar die Grundlage. Laut Eurostat (Erhebung 2024, Deutschland) hatten bei Unternehmen mit 50 bis 249 Beschäftigten nur 63 Prozent schriftliche Regeln zur IKT-Sicherheit. 57 Prozent führten regelmäßig eine Risikobewertung durch.

Die technischen Grundlagen für Microsoft 365 und Windows behandeln wir in einer eigenen ISO-27001-Checkliste; hier geht es um die Werkzeugwahl.

Ein realitätsnahes Beispiel:

Ein Zulieferer mit 120 Beschäftigten hat 2025 sein ISO-27001-Zertifikat erhalten. Der Systemadministrator betreut nebenher das Informationssicherheits-Managementsystem (ISMS). Als der Hauptkunde NIS2-Nachweise verlangt und zugleich das Überwachungsaudit ansteht, fehlt der Überblick:

Welche Maßnahme erfüllt welche Anforderung, und wann wurde der letzte Nachweis geprüft?

Statt sofort eine Plattform zu wählen, beschreibt er zuerst die drei Abläufe, die ihn am meisten Zeit kosten.

Was bedeutet Compliance-Automatisierung?

Compliance-Automatisierung heißt: Anforderungen, Sicherheitskontrollen, Verantwortliche und Nachweise in einer Software zu verknüpfen. Eine ISMS-Software zeigt dann etwa, welcher Kontrolle ein Beleg dient, wer zuständig ist und wann zuletzt geprüft wurde. Anders als eine Dokumentenablage begleitet sie den laufenden Prozess.

Was Software übernimmt – und was nicht

Sie kann Richtlinien und Nachweise zentral verwalten, Anforderungen mehrerer Regelwerke denselben Kontrollen zuordnen und Risiken mit Maßnahmen verknüpfen.

Ein automatisch erfasster Status ist aber noch kein Sicherheitsurteil. Geltungsbereich, Risikobewertung, die Auswahl angemessener Maßnahmen und die Akzeptanz von Restrisiken bleiben Aufgaben des Unternehmens. Sinnvoll ist deshalb eine Lösung, die Änderungen protokolliert, Verantwortlichkeiten sichtbar macht und eine fachliche Freigabe von Nachweisen verlangt.

Wenn Microsoft 365 und Windows die Nachweise liefern

In vielen Unternehmen entstehen wichtige Nachweise ohnehin in Microsoft 365 und auf Windows-Geräten: ob alle Konten per MFA geschützt sind (Entra ID), ob Notebooks verschlüsselt und aktuell sind (Intune, BitLocker) und wer wann auf Daten zugegriffen hat (Audit-Protokoll in Microsoft Purview). Eine ISMS-Software kann solche Belege über Schnittstellen abrufen oder als Export übernehmen. Frag im Test deshalb konkret:

• Welche Dienste lassen sich anbinden, und wie oft aktualisieren sich die Daten?
• Was passiert, wenn eine Verbindung ausfällt oder sich Berechtigungen ändern?
• Lassen sich Nachweise auch per Export hochladen, wo es keine Schnittstelle gibt?

ISO 27001: Controls, Risiken und die Erklärung zur Anwendbarkeit

ISO/IEC 27001:2022 beschreibt ein Informationssicherheits-Managementsystem (ISMS). Annex A umfasst 93 Controls (Sicherheitsmaßnahmen) in vier Themenbereichen; sie dienen als Referenz für die Auswahl von Maßnahmen.

Zentral ist das Statement of Applicability (Erklärung zur Anwendbarkeit): Dort hältst du fest, welche Controls relevant sind, wie sie behandelt werden und warum andere entfallen.

NIS2: Pflichten strukturieren, nicht abgeben

Bei NIS2 unterstützt Software vor allem die Organisation der Risikomanagementmaßnahmen, von Verantwortlichkeiten und Belegen. In Deutschland gilt das NIS2UmsuCG seit dem 6. Dezember 2025. NIS2 ist keine Zertifizierung. Ein ISO-27001-ISMS liefert eine gute Grundlage, ersetzt aber weder Registrierung noch Meldeprozess bei erheblichen Sicherheitsvorfällen oder die Verantwortung der Leitung.

Warum Grundschutz++ das Thema verändert: Das BSI schreibt auf seiner Grundschutz++-Seite:

Checklisten können zukünftig automatisiert und angepasst auf den jeweiligen Anwendungsfall aus den Anforderungen des Anwenderkatalogs-Grundschutz++ erzeugt werden.

BSI, Grundschutz++

Die Anforderungen stellt das BSI seit dem 29. September 2025 maschinenlesbar (OSCAL) bereit. Eine praktische Prüffrage an jede Software lautet daher: Kann sie solche Kataloge importieren und auf Maßnahmen abbilden?

Worauf du bei der Auswahl achten solltest

Eine lange Funktionsliste sagt wenig über die Arbeitsersparnis. Besser ist ein Praxistest: Ordne einer relevanten Kontrolle einen Verantwortlichen und einen Nachweis zu, ändere dann eine Anforderung und prüfe, was automatisch passiert und wo du manuell nachpflegen musst. Auch die Compliance-Automatisierung im Überblick lässt sich besser beurteilen, wenn du deine ISMS-Prozesse vorher klar beschrieben hast.

• Automatisierungsgrad: Werden Nachweise nur abgelegt oder auch Maßnahmen zugeordnet, Aufgaben ausgelöst und Änderungen protokolliert?
• Standardabdeckung: Lassen sich ISO 27001, NIS2 und weitere Regelwerke gemeinsam abbilden?
• Hosting und Datenstandort: Wo liegen Richtlinien, Risikodaten und Nachweise, und wer darf zugreifen?
• Integrationen: Welche Systeme liefern Daten, und bleiben Herkunft, Aktualität und mögliche Ausfälle nachvollziehbar?
• Support: Gibt es bei fachlichen oder technischen Fragen geeignete Unterstützung?
• Preis-Transparenz: Ist klar, welche Nutzer, Module, Standards, Integrationen oder Supportleistungen im Preis enthalten sind?

Unsere Auswertung: Was sechs Anbieter öffentlich angeben

Wir haben die offiziellen Websites von sechs Anbietern geprüft und ihre Angaben in der Struktur eines Prüfrasters zusammengestellt. Die Reihenfolge ist keine Rangfolge.

Laut Anbieterangaben, Stand 8. Oktober 2026. „Nicht angegeben“ heißt: auf den abrufbaren offiziellen Seiten nicht gefunden. „Standards“ nennt ISO 27001 und NIS2 sowie weitere Regelwerke, soweit wir sie erfasst haben.

Standards und Hosting

Besonderheit, Test und Einstieg

Eine Spalte „Automatisierungsgrad“ fehlt bewusst: Wie weit eine Software Aufgaben tatsächlich auslöst und Nachweise zuordnet, lässt sich nur im eigenen Praxistest prüfen.

Methodik: Gelesen haben wir die offiziellen Seiten der Anbieter zu Produkt, Standards und Hosting. Als „genannt“ zählt nur, was im Text einer offiziellen Anbieterseite steht. Drata fehlt, weil die Website für automatisierte Abrufe gesperrt war; das sagt nichts über das Produkt. Nicht geprüft haben wir Verträge, Zertifikate, Funktionstiefe und individuelle Angebote.

Was auffällt:

• Hosting in Deutschland oder der EU: Vier der sechs Anbieter nennen ausdrücklich einen deutschen oder europäischen Standort (SECJUR, OPUS i, Secfix, Vanta).
• Fachliche Begleitung ist verbreitet: Alle sechs Anbieter nennen Beratung, Experten, Schulung oder ein Partnernetz. Frag im Test, in welchem Umfang diese Unterstützung zum Einstieg gehört.
• verinice im Wandel: Laut Hersteller endet der Verkauf der klassischen Open-Source-Version am 31. Dezember 2026; Neukunden verweist verinice auf Cloud oder On-Premise.

Wer mehrere Regelwerke in einer Plattform bearbeiten und bei Bedarf Fachleute hinzuziehen möchte, findet etwa bei SECJUR diese Kombination. Eine Software ist aber keine Zertifizierungsstelle. Für jeden Anbieter gilt derselbe Praxistest: Lässt sich eine Anforderung einer Maßnahme zuordnen, der zugehörige Nachweis aktuell halten und der Vorgang später nachvollziehbar vorlegen?

FAQ: Compliance-Automatisierung, ISMS-Software und ISO 27001 kurz erklärt

Fazit

Compliance-Automatisierung lohnt sich dort, wo Anforderungen, Maßnahmen und Nachweise dauerhaft aktuell bleiben müssen. Erfasse zuerst Prozesse, Zuständigkeiten und Nachweislücken, und teste dann mit einem realen Fall, ob eine Lösung Pflegeaufwand senkt. Die technische Basis für Microsoft 365 und Windows beschreibt unsere ISO-27001-Checkliste. Die Verantwortung für wirksame Informationssicherheit bleibt auch mit Software beim Unternehmen.