Welche ISMS-Software passt zu Ihrem Unternehmen?

Das Wichtigste in Kürze

• Der Begriff „ISMS-Software" bezeichnet zwei getrennte Märkte: GRC- und IT-Grundschutz-Werkzeuge für öffentliche Auftraggeber, Konzerne und Betreiber kritischer Anlagen sowie Compliance-Automatisierung für Unternehmen auf dem Weg zur ISO-27001-Zertifizierung. Wer die Gruppe falsch wählt, vergleicht anschließend die falschen Produkte.
• Drei Fragen entscheiden die Vorauswahl: Muss die Lösung on-premise laufen, ist BSI IT-Grundschutz der führende Standard und gibt es intern eine Person, die das ISMS fachlich verantwortet?
• Eine ISO-27001-Erstzertifizierung kostet marktüblich 23.000 bis 49.000 Euro (unter 50 Mitarbeitende) beziehungsweise 37.000 bis 80.000 Euro (50 bis 200 Mitarbeitende) im ersten Jahr. Die Softwarelizenz ist darin selten der größte Posten.
• Veröffentlichte Anbieterpreise sind nicht vergleichbar, weil fast keiner angibt, ob Vorbereitung, Implementierung und die Gebühren der Zertifizierungsstelle enthalten sind. Sie sind es in aller Regel nicht.

Ordnen Sie zunächst Ihren eigenen Fall ein und erst dann die Anbieter. Benötigen Sie BSI IT-Grundschutz, einen On-Premises-Betrieb oder eine Struktur für Behörden, Kommunen und Konzerneinheiten, gehört Ihre Auswahl in die GRC-Gruppe. Geht es wiederum um eine ISO-27001-Zertifizierung, automatisierte Nachweise und Integrationen in Ihre Systeme, gehört sie in die Automatisierungsgruppe. Beide firmieren unter demselben Suchbegriff, lösen jedoch unterschiedliche Aufgaben und lassen sich nicht sinnvoll gegeneinander bewerten.

Welche zwei Arten von ISMS-Software gibt es?

Welcher Anbieter gehört in welche Gruppe?

Grundlage sind ausschließlich die öffentlichen Websites der Anbieter, geprüft am 18. August 2026. Die Tabelle ist alphabetisch sortiert und bewertet keine Marktstellung. Engere Gegenüberstellungen finden Sie unter Compliance-Management-Software im Vergleich und NIS2-Software im Vergleich.

Wie bewerten Nutzer die Anbieter auf G2?

Nutzerbewertungen bilden Reputation ab, keine geprüften Produkteigenschaften, und die Stichproben unterscheiden sich um zwei Größenordnungen. Lesen Sie die Tabelle deshalb zusammen mit der Zahl der Bewertungen und nicht allein nach der Sternzahl.

Stand 18. August 2026, alphabetisch sortiert. Bemerkenswert ist weniger die Rangfolge als die Lücke: keiner der drei Anbieter aus der GRC-Gruppe führt ein G2-Profil. G2 bildet den SaaS-Markt ab, nicht den deutschen GRC-Markt. Wer seine Auswahl auf Bewertungsportale stützt, sieht die halbe Anbieterlandschaft nicht. Auf OMR Reviews, das den DACH-Markt abdeckt, steht Kertos bei 4,9 von 5 aus 21 Bewertungen und trägt dort das Abzeichen „Leader GRC Tools Q3/26".

Drei Kundenstimmen zu Kertos aus G2, im englischen Original:

Was kostet ISMS-Software wirklich?

Der Lizenzpreis ist nur einer von mehreren Kostenblöcken. Die folgende Aufstellung normalisiert die Gesamtkosten einer ISO-27001-Erstzertifizierung in Deutschland und zeigt, welche Positionen in Anbieterpreisen fehlen.

Marktübliche Benchmarks für beraterbegleitete Projekte, Stand August 2026, keine Preise von Kertos. Die Gebühren der Zertifizierungsstelle senkt kein Anbieter, reduzierbar sind Vorbereitung und Implementierung. Details unter ISO-27001-Zertifizierung Kosten.

Wer setzt das ISMS um, die Software oder Ihr Team?

Diese Frage entscheidet häufiger über den Projekterfolg als der Funktionsumfang. GRC-Werkzeuge setzen voraus, dass eine qualifizierte Person Risikoanalyse, Maßnahmenauswahl und Auditvorbereitung verantwortet. Automatisierungsplattformen senken diesen Bedarf, ersetzen ihn allerdings nur, wenn der Anbieter qualifizierte Fachleute mitliefert. Klären Sie daher vor der Auswahl, ob Sie eine interne Rolle besetzen, Beratungstage einkaufen oder ein Mandat vergeben. Dies verschiebt nämlich die Gesamtkosten stärker als jede Lizenzentscheidung.

Wann ist Kertos nicht die richtige Wahl?

Kertos passt nicht, wenn Sie die Software zwingend on-premise betreiben müssen, denn Kertos wird ausschließlich als SaaS auf europäischer Infrastruktur betrieben. Ebenso wenig passt Kertos, wenn BSI IT-Grundschutz Ihr führender Standard ist oder wenn Sie als Behörde, Kommune oder Betreiber kritischer Anlagen eine quelloffene, souverän betriebene Lösung benötigen. In diesen Fällen sind die Werkzeuge der GRC-Gruppe die sachlich richtige Wahl. Auch PCI DSS und NIST CSF deckt Kertos nicht ab. Wenn Sie bereits eine erfahrene Informationssicherheitsfunktion im Haus haben und ausschließlich ein Dokumentationswerkzeug suchen, zahlen Sie bei Kertos für Expertenleistung, die Sie nicht abrufen.

Wie ordnet sich Kertos ein?

Kertos gehört in die Automatisierungsgruppe und kombiniert die agentische Plattform KAIA mit zertifizierten Experten, die externe CISO- und DSB-Mandate übernehmen. Der Ansatz zielt auf Unternehmen ohne eigene ISMS-Funktion: AskUI erreichte die ISO-27001-Zertifizierung in 8 bis 10 Wochen ohne externe Berater. Kunden berichten rund 80 Prozent weniger manuellen Compliance-Aufwand und bis zu 60 Prozent geringere Kosten als mit klassischer Beratung, bei 100 Prozent Audit-Erfolgsquote und 98 Prozent Kundenzufriedenheit. Kertos wird in Deutschland entwickelt und auf europäischer Infrastruktur betrieben.