Sie müssen ein ISMS aufbauen — und wissen nicht, wo anfangen?

Ein ISMS ist relevant, wenn (a) Sie als KRITIS-Betreiber oder als wesentliche/wichtige Einrichtung nach NIS2 betroffen sind, (b) ein Großkunde oder Behörde ein ISO-27001-Zertifikat verlangt, oder (c) Ihr Cyber-Versicherer Nachweise fordert. Im kostenlosen NIS2-Schnellcheck prüfen Sie Ihre Betroffenheit in 5 Minuten — ohne Anmeldung.

Bis 10 Mio. € für besonders wichtige und bis 7 Mio. € für wichtige Einrichtungen — und zwar für einen bestimmten Katalog von Verstößen. Die Prozentsätze (2 % bzw. 1,4 % des weltweiten Gesamtumsatzes) greifen erst ab 500 Mio. € Gesamtumsatz und treten dann an die Stelle des Festbetrags — nicht „je nachdem, was höher ist“; das ist der Mechanismus der DSGVO, nicht der des BSIG. Eine fehlende Registrierung ist mit bis zu 500.000 € bewehrt. Quelle: § 65 BSIG. Unabhängig davon haftet die Geschäftsleitung ihrer eigenen Einrichtung gegenüber (§ 38 Abs. 2 BSIG).

Eine feste Dauer sagen wir nicht zu: Sie hängt davon ab, was in Ihrer Firma schon steht und wie viel Zeit Sie hineinstecken. Der Fahrplan in Hugo zeigt in zwölf Schritten, was bis zum Audit fehlt, mit Leitlinie, Risikobeurteilung, Anwendbarkeitserklärung als PDF, internem Audit und Managementbewertung. Das Zertifikat vergibt eine unabhängige, bei der DAkkS akkreditierte Zertifizierungsstelle. Für sie erstellen Sie eine Nachweismappe und geben sie über einen Nur-Lese-Link frei: Der Link zeigt eine eingefrorene Fassung, läuft nach 7, 30 oder 90 Tagen ab und lässt sich jederzeit widerrufen.

Hugo führt durch die Unterlagen, die die Norm verlangt: Geltungsbereich, Leitlinie, Risikobeurteilung, Anwendbarkeitserklärung zu den 93 Maßnahmen aus Anhang A, internes Audit, Managementbewertung. Die Liste „Unterlagen, die das Audit sehen will“ zeigt je Normabschnitt, was in Hugo hinterlegt ist und was fehlt. Ob das genügt, entscheidet die Zertifizierungsstelle im Audit — das Zertifikat vergibt eine unabhängige, bei der DAkkS akkreditierte Stelle, nicht wir und nicht die Software.

Wenn Sie Hugo DSB nutzen und Ihr Verfahrensverzeichnis (VVT) dort gepflegt ist, kennt das System Ihre Software, Empfänger und Datenkategorien. Im ISMS schlagen wir daraus automatisch Assets vor, bewerten den Schutzbedarf nach BSI 200-2 (Art. 9-Daten = automatisch hoch) und übernehmen AVVs als Lieferanten-Risiken. Sie sparen die Doppelerfassung, die in vielen Tools üblich ist.

verinice (Open-Source-Backend, SerNet) und opus i (kronsoft) sind etablierte BSI-Grundschutz-Tools, sehr funktionstief, eher für Behörden und Großorganisationen optimiert. Sie sind exzellent, wenn Sie BSI-Grundschutz in voller Tiefe abbilden müssen. Wir sind anders aufgebaut: KMU-Schwerpunkt, Web-basiert, mit Bridge zum DSGVO-Modul. Wenn Sie nur klassischen BSI-Grundschutz brauchen, ist verinice oft die bessere Wahl. Wenn Sie DSGVO und ISMS gemeinsam abbilden möchten, sind wir geeignet.

Alle Mandanten-Daten (Asset-Register, Risiko-Register, Maßnahmen, Richtlinien, Sign-Off-Beweise) liegen ausschließlich auf Hetzner-Servern in den ISO-27001-zertifizierten Rechenzentren Falkenstein und Nürnberg. Übertragung per TLS verschlüsselt, Sicherungen clientseitig verschlüsselt. Subprozessoren-Übersicht: /subprozessoren/. Mit jedem Kunden schließen wir einen AVV nach Art. 28 DSGVO ab — AVV-Mustervertrag.

Ja, und das ist der typische Anwendungsfall. Combo-Pakete: DSB Pro + ISMS Pro = 549 €/Mo (statt 648 €, 15 % Rabatt) mit Code COMBO-DSB-ISMS-15. Für die volle Bandbreite (DSGVO + ISMS + Lieferketten-Compliance): Compliance-Suite 1.299 €/Mo (statt 1.697 €, 20 % Rabatt) mit Account Manager — Code COMBO-COMPLIANCE-SUITE-20. Compliance-Suite-Bundles haben 24-Monats-Mindestlaufzeit (siehe § 6 AGB).

Hugo ISMS und Compliance-Suite-Bundles haben eine 24-monatige Initial-Laufzeit (Kündigungsfrist 3 Monate zum Ende der Laufzeit). Die Mindestlaufzeit deckt das initiale Onboarding (Asset-Aufnahme, Schutzbedarfs-Analyse, Risiko-Bewertung) ab — Leistungen, die im Tarifpreis enthalten sind und sich über die Laufzeit amortisieren. Bei Vertragsende erhalten Sie alle Daten als Export (PDF, CSV, JSON) inklusive Statement of Applicability, Risiko-Register und Sign-Off-Nachweisen. Details: § 6 AGB.

Für die ISMS-Themen ist Jens Hagel (Mitgründer, 21+ Jahre IT-Unternehmer) Ihr direkter Kontakt — kein Account-Manager dazwischen. Bei datenschutzrechtlichen Fragen wechseln wir intern zu Nils Oehmichen (Geschäftsführer und externer DSB), beide arbeiten zusammen. Im Enterprise-Tarif ist Account-Manager + 2 h/Mo Beratung enthalten.

Ja — über Hugo Safe erledigen Sie im selben Login die jährlichen Pflicht-Unterweisungen im Arbeits- und Brandschutz (§ 12 ArbSchG, § 4 DGUV Vorschrift 1) — DGUV-konform als Blended Learning, mit Abschlusstest und revisionssicherem Nachweis-Dossier für die Berufsgenossenschaft. So bündeln Sie Informationssicherheit, Datenschutz und Arbeitsschutz auf einer Plattform.

Ja — über Hugo Learn schulen Sie Ihr Team zu Datenschutz, Phishing, Passwort-Hygiene und KI, mit Phishing-Simulation. Die Teilnahmenachweise legen Sie im Audit vor; ISO 27001 verlangt Sensibilisierung und Schulung in Anhang A.6.3.