.svg)
Jedes Unternehmen, das mit Kertos arbeitet, startet auf derselben Grundlage und trifft dann eine wichtige Entscheidung: wie viel Managed Compliance es sich wünscht. Manche Teams haben bereits einen Informationssicherheitsbeauftragten oder einen Datenschutzbeauftragten im Haus und möchten die bestmögliche Engine hinter sich wissen. Andere wünschen sich zertifizierte Experten, die sie auf dem Weg zum ersten Audit direkt begleiten. Wieder andere geben die Rolle lieber vollständig ab, mit einem bestellten externen ISB oder externen Datenschutzbeauftragten von Kertos, der das Programm für sie führt.
Dieser Artikel zeigt, wie diese Entscheidung in der Praxis aussieht, für Informationssicherheit ebenso wie für Datenschutz. Er blickt außerdem nach vorn, denn die Art, wie europäische Unternehmen Compliance einkaufen, verändert sich gerade. Die drei Wege der Zusammenarbeit mit Kertos sind ein früher Ausblick auf eine Service-Kategorie, die Informationssicherheit und Datenschutz im kommenden Jahrzehnt prägen wird.
Was gleich bleibt, egal wie Sie mit Kertos arbeiten
Jeder Kertos-Kunde arbeitet auf derselben Plattform mit derselben Grundlage. Zwischen den drei Optionen ändert sich nur, wie persönlich unsere zertifizierten Experten eingebunden sind und wie viel Verantwortung für die tägliche Arbeit sie übernehmen.
Im Zentrum dieser Grundlage steht KAIA, unsere agentische KI. KAIA arbeitet als Virtual CISO und als Co-Pilot für den Datenschutz innerhalb der agentischen Compliance-Plattform. KAIA entwirft Richtlinien, mappt Controls über Frameworks wie ISO 27001, ISO 42001, NIS2, SOC 2, TISAX und C5, sammelt Nachweise aus Ihren verbundenen Tools und hält im Datenschutz Ihr Verzeichnis von Verarbeitungstätigkeiten, Ihre DSFAs und TOMs aktuell. Zusätzlich erhält jeder Kunde ein Onboarding, ein Trust Center, um den eigenen Sicherheitsstatus mit Kunden zu teilen, sowie Customer-Success-Support.
Diese gemeinsame Grundlage hat eine praktische Folge, die wichtiger ist, als sie auf den ersten Blick wirkt. Der Wechsel zu einer anderen Stufe bedeutet nie eine Migration in ein neues System. Ihre Controls, Ihre Nachweise, Ihr Risikoregister und Ihre gesamte Historie bleiben genau dort, wo sie sind. Es ändert sich nur, wer neben Ihnen sitzt und wie viel der Arbeit diese Person trägt. Jede Option baut auf der vorherigen auf, und Sie können jederzeit eine Stufe höher gehen, wenn sich Ihre Situation ändert.
Die drei Wege der Zusammenarbeit mit Kertos
Stellen Sie sich die drei Optionen als Regler für die Intensität der Zusammenarbeit vor. Am einen Ende führt Ihr Team, und Kertos stattet es aus. In der Mitte arbeiten zertifizierte Experten an der Seite Ihres Teams. Am anderen Ende übernimmt Kertos die tägliche Verantwortung über einen bestellten externen ISB oder externen Datenschutzbeauftragten, während Ihre Geschäftsführung das letzte Wort behält.
Option 1: Ihr Team führt, Kertos stattet aus
Diese Option passt zu Unternehmen, die Compliance-Know-how bereits im Haus haben: einen internen ISB, einen Information Security Manager oder einen internen Datenschutzbeauftragten. Diese Personen verantworten das Programm. Kertos liefert ihnen die Engine dafür. Ein begleitetes Kick-off und Onboarding richten die Plattform ein, und der Customer-Success-Support hilft bei allen Fragen, wie Sie das Beste aus ihr herausholen.
Der Mehrwert liegt in der Zeit. Ein erfahrener Sicherheitsverantwortlicher weiß, was die Anforderungen der Norm selbst verlangen. Was ihn meist ausbremst, ist die manuelle Arbeit drumherum: Nachweisen hinterherlaufen, Tabellen pflegen, Richtlinien für ein zweites Framework umschreiben. KAIA übernimmt diese Routinearbeit, damit Ihre interne Fachkraft ihre Zeit für echte Abwägungen nutzen kann.
Im Datenschutz gilt dieselbe Logik. Kertos wird zum Beschleuniger für Ihren internen Datenschutzbeauftragten, und KAIA übernimmt einen großen Teil der Dokumentation, die sonst viel von seiner Woche kostet. Compliance-Entscheidungen, Auslegung und Verantwortung bleiben vollständig bei Ihren Leuten.
Option 2: Zertifizierte Experten an Ihrer Seite
Die zweite Option ergänzt die Plattform um Menschen. Neben der Plattform und KAIA erhalten Sie Zugang zu zertifizierten Experten von Kertos, die Ihr Team von der Umsetzung bis zum Audit begleiten.
In der Informationssicherheit verantwortet Ihr Team das Programm weiterhin selbst, und die zertifizierten Experten sind die Kolleginnen und Kollegen, die Sie anrufen, wenn es darauf ankommt. Sie beantworten Fragen, sobald sie auftauchen, prüfen Ihr Vorgehen, bevor der Auditor kommt, unterstützen Sie bei einem Sicherheitsvorfall und berichten, wo Ihr Programm steht. Für ein Unternehmen, das seine erste ISO 27001 Zertifizierung vorbereitet, macht genau das oft den Unterschied, denn Sie wissen dann genau, was ein Auditor erwartet.
Im Datenschutz geht diese Option einen Schritt weiter. Kertos bestellt einen externen Datenschutzbeauftragten, der Ihre Pflichten nach der DSGVO übernimmt. Dazu gehören die Prüfung von Auftragsverarbeitungsverträgen, die Rolle als Ansprechpartner für die Aufsichtsbehörde, die Unterstützung bei einer Datenpanne und regelmäßige Berichte zum Stand Ihres Datenschutzprogramms. Ein externer Datenschutzbeauftragter ist ein anerkanntes Modell, und die Verordnung sieht es ausdrücklich vor: Nach Artikel 37 Absatz 6 kann der Datenschutzbeauftragte seine Aufgaben auf Grundlage eines Dienstleistungsvertrags erfüllen.
Viele wachsende Unternehmen wählen diesen Weg aus einem einfachen Grund. Die internen Kandidaten für die Rolle sind häufig CTO, HR-Leitung oder Geschäftsführung, und ihre bestehenden Aufgaben können einen Interessenkonflikt mit der unabhängigen Rolle des Datenschutzbeauftragten erzeugen.
Option 3: Kertos übernimmt die Führung
Die dritte Option kommt der vollständigen Übernahme am nächsten. In der Informationssicherheit bestellt Kertos einen externen ISB, der Ihre Compliance für Sie managt. Dieser zertifizierte Experte steuert den laufenden Betrieb Ihres ISMS, bereitet Risikoentscheidungen vor, gibt die strategische Richtung für die nächsten Schritte Ihres Programms vor, führt Sie durch die Audit-Vorbereitung und managt die Reaktion, wenn ein Vorfall eintritt.
Im Datenschutz wechselt Ihr externer Datenschutzbeauftragter von der Erfüllung der Pflichten zur proaktiven Betreuung. Diese Option ist für Umgebungen mit sensiblen Daten gedacht, etwa Gesundheitsdaten, große Mengen an Beschäftigtendaten oder komplexe internationale Datenflüsse. Ihr Datenschutzbeauftragter steht in regelmäßigem Austausch mit Ihrem Team, bringt strategische Beratung ein und erkennt Risiken, bevor sie bei Ihnen ankommen.
An dieser Stelle gehört ein ehrlicher Hinweis hin. Auch auf dieser Stufe bleibt Ihr Unternehmen in der Verantwortung. Die europäische Regulierung ist hier eindeutig. Die NIS2-Richtlinie verpflichtet zum Beispiel die Leitungsorgane, die Risikomanagementmaßnahmen im Bereich der Cybersicherheit zu billigen und ihre Umsetzung zu überwachen. Ihr externer ISB oder externer Datenschutzbeauftragter trägt die operative Last und berät Ihre Geschäftsführung, und Ihre Geschäftsführung trifft weiterhin die Entscheidungen und stellt die Zugänge und den Kontext bereit, die Ihr zertifizierter Experte braucht. Wenn Sie unter die NIS2-Compliance fallen, ist genau dieses Modell geteilter Verantwortung das, was das Gesetz erwartet.
Die drei Optionen im Überblick
Die Tabelle fasst zusammen, wie sich die Verantwortung zwischen den drei Optionen verschiebt. Plattform und KAIA sind in allen drei Optionen identisch.
So finden Sie die passende Stufe von Managed Compliance
Die passende Stufe hängt davon ab, wen Sie bereits im Haus haben, wie viel Zeit diese Personen tatsächlich haben und wie viel Verantwortung Sie abgeben möchten. Ein paar ehrliche Fragen klären das meist schnell.
- Wer verantwortet Compliance heute? Wenn Sie einen erfahrenen ISB oder Datenschutzbeauftragten mit freien Kapazitäten haben, bekommt diese Person mit der ersten Option die stärkste Unterstützung. Wenn noch niemand zuständig ist oder ein Gründer oder CTO das Thema nebenher betreut, sehen Sie sich die zweite oder dritte Option an.
- Wie viel Kapazität hat diese Person wirklich? Ein Sicherheitsverantwortlicher, der gleichzeitig den IT-Betrieb führt, spürt den Druck in der Audit-Phase. Zertifizierte Experten an seiner Seite nehmen ihm diesen Druck ab.
- Wie sensibel sind Ihre Daten? Unternehmen, die Gesundheitsdaten, Finanzdaten oder große Mengen personenbezogener Daten verarbeiten, profitieren von einem Datenschutzbeauftragten, der vorausdenkt. Die offiziellen Leitlinien zu Datenschutzbeauftragten erklären außerdem, warum Unabhängigkeit und die Vermeidung von Interessenkonflikten für diese Rolle so wichtig sind.
- Was kommt als Nächstes? Ein erster Enterprise-Kunde, der ein Zertifikat verlangt, ein zweites Framework, eine neue Regulierung, die Sie betrifft. Planen Sie für die Stufe, die Sie brauchen, wenn diese Veränderungen eintreten, und wachsen Sie dann hinein.
- Denken Sie daran, dass sich der Regler bewegen lässt. Weil jede Option auf der vorherigen aufbaut, können Sie dort starten, wo Sie heute stehen, und mit Ihrem Unternehmen mitwachsen, ohne das Tool zu wechseln oder Ihre Historie zu verlieren.
Von Software zu Ergebnissen: Wohin sich Managed Compliance entwickelt
Die drei Wege der Zusammenarbeit mit Kertos sind Ausdruck eines größeren Wandels. Unternehmen möchten zunehmend das Ergebnis einkaufen, nämlich compliant zu sein und compliant zu bleiben, und dafür einen verantwortlichen Partner haben, der es liefert. Diese Idee hat einen Namen, und wir erklären sie ausführlich in unserem Leitfaden zu Compliance as a Service.
Über weite Teile des letzten Jahrzehnts hatten Unternehmen zwei vertraute Wege. Sie konnten Compliance-Software kaufen und mit eigenen Leuten betreiben, was die Arbeit beschleunigte, die Umsetzung aber bei ihnen beließ. Oder sie konnten Beratung nach Stunden einkaufen, die wertvolles Fachwissen für ein einzelnes Audit-Projekt mitbrachte und danach weiterzog, mitsamt einem großen Teil des Wissens. Auf beiden Wegen trug der Kunde das Risiko, ob die Compliance auf Dauer hält.
Compliance as a Service verbindet eine agentische Plattform mit zertifizierten Experten und macht den Anbieter für das Ergebnis verantwortlich. Dadurch ändert sich die Frage, die sich ein Unternehmen stellt. Sie lautet dann: „Wie viel unserer Compliance möchten wir selbst verantworten, und wie viel soll ein Partner für uns übernehmen?“ Die drei Optionen bei Kertos sind unsere Antwort auf diese Frage, übersetzt in einen einfachen Regler für die Intensität der Zusammenarbeit.
Wir erwarten, dass sich das Gleichgewicht innerhalb dieses Modells weiter verschiebt. KAIA übernimmt bereits einen wachsenden Anteil der Routinearbeit, und dieser Anteil wird weiter steigen: neue regulatorische Anforderungen mappen, sobald sie entstehen, Cloud-Konfigurationen laufend prüfen, Sicherheitsfragebögen ausfüllen und Nachweise aktuell halten. Je mehr repetitive Aufgaben die Maschine übernimmt, desto mehr Zeit haben unsere zertifizierten Experten für die Arbeit, die einen Menschen braucht: Risikoentscheidungen, Audit-Strategie, Gespräche mit der Geschäftsführung und mit Aufsichtsbehörden.
Das verändert, wie sich Compliance für die Unternehmen anfühlt, mit denen wir arbeiten. Sie wird zu einem dauerhaften Zustand, der leise im Hintergrund des Geschäfts läuft, durch jeden Audit-Zyklus und jede neue Anforderung hindurch. Ihre Leute bleiben auf den Aufbau des Unternehmens fokussiert. Ihre Geschäftsführung behält Transparenz und Kontrolle. Und Sie wissen jeden Tag, dass Ihre Zertifizierungen und Ihre DSGVO-Pflichten in guten Händen sind. Das ist die Bedeutung von kontinuierlicher Compliance, und in diese Richtung entwickelt sich Managed Compliance in ganz Europa.
Häufige Fragen
Können wir die Art der Zusammenarbeit mit Kertos später ändern?
Ja. Jede Option baut auf der vorherigen auf, und alle Kunden nutzen dieselbe Plattform. Mit einer höheren Stufe kommen zertifizierte Experten oder ein bestellter externer ISB oder externer Datenschutzbeauftragter hinzu, während Ihre Daten, Controls und Nachweise an ihrem Platz bleiben.
Übernimmt ein externer ISB oder externer Datenschutzbeauftragter unsere rechtliche Verantwortung?
Ihr Unternehmen und seine Geschäftsführung bleiben nach DSGVO und NIS2 verantwortlich. Ein bestellter externer ISB oder externer Datenschutzbeauftragter von Kertos trägt die operative Arbeit, berät Ihre Geschäftsführung und vertritt Ihr Datenschutzprogramm gegenüber Behörden, wo die Rolle das vorsieht. Die finalen Entscheidungen trifft Ihre Geschäftsführung.
Welche Frameworks deckt Kertos ab?
In der Informationssicherheit unterstützt Kertos ISO 27001, ISO 42001, NIS2, SOC 2, TISAX und C5. Im Datenschutz deckt Kertos ISO 27701 und die DSGVO-Compliance ab, einschließlich Verzeichnis von Verarbeitungstätigkeiten, DSFAs und TOMs. Viele Kunden betreiben mehrere Frameworks parallel auf derselben Plattform.
Brauchen wir noch interne Ressourcen, wenn Kertos die Führung übernimmt?
Ja, allerdings deutlich weniger. Jemand auf Ihrer Seite muss Zugang zu Systemen geben, Kontext dazu liefern, wie Ihr Geschäft funktioniert, und die Entscheidungen treffen, die nur die Geschäftsführung treffen kann. Compliance ist ernsthafte Arbeit, und die besten Ergebnisse entstehen, wenn Ihr Team und Ihre zertifizierten Experten gemeinsam daran arbeiten.
Wo sollte ein Unternehmen starten, das neu im Thema Compliance ist?
Die meisten Unternehmen, die sich auf ihre erste Zertifizierung vorbereiten, starten mit zertifizierten Experten an ihrer Seite oder mit einem bestellten externen ISB, denn Begleitung in der Umsetzung spart Zeit und Unsicherheit vor dem Audit. Am einfachsten finden Sie Ihren Startpunkt in einem Gespräch mit unserem Team.
Finden Sie die Stufe, die zu Ihrem Team passt
Der richtige Weg der Zusammenarbeit mit einem Compliance-Partner ist der, der zu Ihrem Team, Ihren Daten und Ihren Plänen für das kommende Jahr passt. Ob Sie eine Engine für Ihre interne Fachkraft, zertifizierte Experten an Ihrer Seite oder einen externen ISB suchen, der das Programm für Sie führt: Die Plattform darunter bleibt dieselbe, und auch das Ziel bleibt dasselbe, nämlich kontinuierliche Compliance und die Ruhe, die damit einhergeht. Wenn Sie herausfinden möchten, welche Stufe zu Ihnen passt, buchen Sie ein Gespräch mit einem zertifizierten Experten von Kertos, und wir zeigen Ihnen den Weg von Ihrem heutigen Stand bis zu Ihrem nächsten Audit.
