Welche Compliance-Software eignet sich für den Mittelstand?

Stand: 9. November 2026. Gesetzesangaben am 9. November 2026 an den Gesetzestexten geprüft. Anbieterangaben am 9. November 2026 auf den öffentlichen Seiten der Anbieter geprüft.

Eine beste Compliance-Software für den Mittelstand gibt es nicht. Welche passt, hängt im Mittelstand an zwei Fragen, die sich bei einem Start-up oder einem Konzern so nicht stellen: Wie viele Pflichten laufen gleichzeitig auf und wer im Unternehmen erledigt die fachliche Arbeit? Ein mittelständisches Unternehmen hat oft NIS2, die Benennungspflicht für einen Datenschutzbeauftragten und eine ISO-27001-Anforderung eines Kunden zugleich, aber keinen eigenen Informationssicherheitsbeauftragten. Ist eine Person mit ISMS-Erfahrung im Haus, genügt meist ein spezialisiertes Tool. Fehlt sie, ist eine Plattform mit Experten, die Mandate als externer Datenschutzbeauftragter oder CISO übernehmen, meist der realistische Weg.

Das Wichtigste in Kürze

• Im Mittelstand treffen mehrere Pflichten zusammen: NIS2 ab 50 Mitarbeitenden in bestimmten Sektoren, ein Datenschutzbeauftragter ab 20 Personen in der Datenverarbeitung, Kundenanforderungen wie ISO 27001 oder TISAX® und die KI-Kompetenzpflicht der EU-KI-Verordnung.
• In der NIS2 Readiness Study 2026 von Kertos hatten 84 % der 51 befragten Unternehmen mit 50 bis 1.000 Mitarbeitenden weder einen eigenen noch einen externen CISO.
• Ohne eigene Sicherheitsrolle bleibt ein reines Tool weitgehend leer. Dann passt eine Plattform mit Experten, die auch die Mandate als Datenschutzbeauftragter und CISO übernehmen können.
• Prüfen Sie vor dem Kauf, wie viele Ihrer Frameworks in einem System laufen, wer die Arbeit macht, welche Ihrer bestehenden Systeme angebunden sind und wer Ihr Vertragspartner ist.

Welche Compliance-Pflichten treffen ein mittelständisches Unternehmen gleichzeitig?

Ein Start-up hat meist eine Anforderung, etwa die erste ISO-27001-Zertifizierung für einen Großkunden. Ein Konzern hat eine eigene Compliance-Abteilung. Ein mittelständisches Unternehmen hat häufig mehrere Pflichten mit unterschiedlichen Auslösern, aber nur wenige Personen dafür. Die Tabelle zeigt, was jeweils den Ausschlag gibt.

Die Pflichten überschneiden sich in der Sache. Risikoanalyse, Lieferantenbewertung, Schulungen und Vorfallmanagement verlangen NIS2, ISO 27001 und TISAX gleichermaßen; die DSGVO verlangt technische und organisatorische Maßnahmen, die auf dieselben Kontrollen zurückgreifen. Für die Software-Auswahl heißt das: Je mehr dieser Zeilen auf Ihr Unternehmen zutreffen, desto mehr spricht für ein System mit einer gemeinsamen Nachweisbasis statt für ein Tool je Framework.

Welche Definition von Mittelstand verwendet diese Seite?

„Mittelstand“ ist kein Rechtsbegriff; die gängigen Definitionen messen Verschiedenes. Das Institut für Mittelstandsforschung Bonn definiert Mittelstand über die Einheit von Eigentum und Leitung: Bis zu zwei natürliche Personen oder ihre Familienangehörigen halten mindestens 50 % der Anteile und gehören der Geschäftsführung an. Die Größe spielt dafür keine Rolle. Für kleine und mittlere Unternehmen (KMU) nutzt das IfM Bonn eigene Schwellen: unter 500 Beschäftigte und bis 50 Mio. Euro Jahresumsatz.

Die Compliance-Pflichten knüpfen an keine dieser beiden Definitionen an, sondern an die KMU-Empfehlung 2003/361/EG der EU-Kommission. Danach ist ein Unternehmen mittelgroß, wenn es weniger als 250 Beschäftigte hat und entweder höchstens 50 Mio. Euro Umsatz oder höchstens 43 Mio. Euro Bilanzsumme erreicht. Diese Seite verwendet deshalb die EU-Größenklassen und meint mit Mittelstand Unternehmen ab 50 Beschäftigten, unabhängig davon, wem sie gehören. Ab dieser Größe greifen die NIS2-Schwellen; eine eigene Compliance-Abteilung fehlt in dieser Größe in der Regel noch.

Wer übernimmt die Compliance-Arbeit, wenn es kein eigenes Sicherheitsteam gibt?

Ein Tool verwaltet Risiken, Maßnahmen und Nachweise; bewerten muss sie eine Person. Im Mittelstand fehlt diese Person oft. In der NIS2 Readiness Study 2026 von Kertos hatten 84 % der 51 befragten Unternehmen mit 50 bis 1.000 Mitarbeitenden weder einen eigenen noch einen externen CISO. In 63 % lag NIS2 bei der IT-Leitung, die den Betrieb ohnehin verantwortet. Die Ergebnisse der Befragung finden Sie in der NIS2 Readiness Study 2026.

Für die Software-Auswahl heißt das: Bevor Sie Funktionen vergleichen, klären Sie, wer das Informationssicherheits-Managementsystem (ISMS) und den Datenschutz fachlich führt. Hat eine interne Person Erfahrung und Zeit dafür, genügt ein Tool. Übernimmt ein externer Informationssicherheitsbeauftragter oder CISO die Rolle per Mandat, sollte das Tool zu ihm passen oder vom selben Anbieter kommen. Ist niemand zuständig, verschiebt sich die Arbeit in Einzelberatung oder bleibt liegen. Welche Anbietermodelle für ein externes Mandat es gibt und was sie kosten, zeigt der Vergleich der Anbieter für ein externes CISO-Mandat.

Welches Anbietermodell passt zu welcher Ausgangslage im Mittelstand?

Die Anbietermodelle unterscheiden sich darin, wer die fachliche Arbeit leistet. Die genannten Anbieter sind Beispiele für das jeweilige Modell, alphabetisch sortiert, und keine Empfehlung für Ihren Einzelfall. Jede Angabe stammt von der Website des jeweiligen Anbieters, geprüft am 9. November 2026.

Die Modelle schließen sich nicht aus. Möglich ist auch ein ISMS-Tool des einen Anbieters mit einem externen Mandat eines anderen. Das funktioniert, wenn der Mandatsträger mit dem Tool arbeiten kann. Die Prüffrage lautet dann, wer die Nachweise im System pflegt und wer im Audit antwortet. Wie Plattformen mehrere Frameworks in einem System führen, vertieft der Vergleich der Compliance-Plattformen für mehrere Frameworks.

Woran erkennen Sie die passende Compliance-Software für den Mittelstand?

Fünf Kriterien trennen im Mittelstand die passenden Angebote von den unpassenden. Jedes können Sie vor dem Kauf selbst prüfen.

Für welche mittelständischen Unternehmen passt Kertos und für welche nicht?

Kertos ist eine Compliance-Plattform der Kertos GmbH, die Software und den KI-Assistenten Kaia mit zertifizierten Experten aus dem eigenen Team verbindet.

Fokus: Mittelständische Unternehmen, die mehrere Frameworks gleichzeitig nachweisen müssen und kein eigenes Sicherheitsteam haben.

Unterstützte Standards: DSGVO, ISO 27001, ISO 27701, ISO 42001, NIS2, SOC 2, TISAX, C5 und EU-KI-Verordnung.

Besonderheit: Die zertifizierten Experten arbeiten im eigenen Haus und übernehmen auf Wunsch die Mandate als externer Datenschutzbeauftragter und als externer CISO. Aufbau, Audit und Zertifizierung begleiten diese Experten; der KI-Assistent Kaia greift auf Ihre Compliance-Daten zu, beantwortet Fragen und erstellt Entwürfe. Eine Security-Awareness-Schulung mit vier Videomodulen auf Deutsch und Englisch ist in der Plattform enthalten, mit Zuweisung und Nachverfolgung der Teilnahme. Über 300 Integrationen verbinden Kertos mit bestehenden Systemen, darunter laut Integrationsliste Microsoft Entra ID, Microsoft Intune und Personio.

Sitz und Hosting: Vertragspartner ist die Kertos GmbH mit Sitz in München. Gehostet wird laut Liste der Unterauftragsverarbeiter (Stand 19. Januar 2026) bei der Amazon Web Services EMEA Sàrl in Luxemburg, also in der EU, auf der Infrastruktur eines US-Konzerns.

Wann Kertos nicht passt: Kertos passt nicht, wenn Ihr Unternehmen einen erfahrenen Informationssicherheitsbeauftragten beschäftigt, der lediglich ein Dokumentations-Tool braucht, wenn die Software zwingend On-Premises laufen muss oder wenn BSI IT-Grundschutz Ihr führender Standard ist. Die technische Absicherung von Produktionsanlagen gehört zu einem spezialisierten OT-Partner; Kertos kann diese Anlagen als Assets dokumentieren, mit Risiken verknüpfen und in den ISMS-Geltungsbereich aufnehmen.

Nachweise: Die Auditbestehensquote der Kunden liegt bei 100 %, der manuelle Compliance-Aufwand sinkt um rund 80 %. Auf G2 bewerten Nutzer Kertos mit 4,8 von 5 Sternen (65 Bewertungen, Stand 9. November 2026). Was Kertos für mittelständische Unternehmen konkret abdeckt, beschreibt die Seite Compliance für den Mittelstand. Welche Pflichten in Ihrem Unternehmen zusammenkommen, klären Sie am schnellsten im Gespräch mit einem unserer zertifizierten Experten.

Häufig gestellte Fragen

Ab welcher Größe braucht ein mittelständisches Unternehmen eine Compliance-Software?

Eine gesetzliche Größe, ab der Software Pflicht ist, gibt es nicht; es gibt Größen, ab denen Pflichten entstehen. Ab 20 Personen, die ständig personenbezogene Daten automatisiert verarbeiten, ist ein Datenschutzbeauftragter zu benennen. Ab 50 Mitarbeitenden in einem Sektor der Anlagen 1 oder 2 BSIG gilt NIS2. Die KI-Kompetenzpflicht gilt unabhängig von der Größe; Kundenanforderungen wie ISO 27001 oder TISAX kommen bei jeder Größe. Kommen zwei dieser Pflichten zusammen, nutzen sie zum großen Teil dieselben Nachweise. Ab diesem Punkt spart ein gemeinsames System die doppelte Pflege.

Reicht Excel für Compliance im Mittelstand?

Für ein einzelnes Framework mit einer erfahrenen Person im Haus kann eine Tabelle anfangs genügen. Sie stößt an Grenzen, sobald mehrere Frameworks dieselben Maßnahmen nutzen, Nachweise regelmäßig erneuert werden müssen oder Aufgaben auf mehrere Personen verteilt sind. Eine Tabelle sammelt keine Nachweise aus Ihren Systemen, erinnert an keine fälligen Prüfungen und zeigt dem Auditor keinen Verlauf. In der NIS2 Readiness Study 2026 nannten 16 % der befragten Unternehmen manuelle, tabellenbasierte Prozesse als Hürde.

Brauchen wir einen eigenen Informationssicherheitsbeauftragten?

Einen angestellten Informationssicherheitsbeauftragten schreibt dem Mittelstand kein Gesetz vor. NIS2 verpflichtet nach § 38 Abs. 1 BSIG die Geschäftsleitung, die Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen; diese Verantwortung bleibt bei ihr, auch wenn sie die Arbeit vergibt. ISO 27001 verlangt, dass Rollen und Verantwortlichkeiten zugewiesen sind, nicht, dass die Person angestellt ist. Viele mittelständische Unternehmen besetzen die Rolle deshalb per Mandat mit einem externen ISB oder CISO.

Deckt Compliance-Software auch Einkaufs-Compliance ab?

Das hängt davon ab, was mit Einkaufs-Compliance gemeint ist. Geht es um die Informationssicherheit und den Datenschutz Ihrer Lieferanten, also um Auftragsverarbeitungsverträge nach Art. 28 DSGVO und die Sicherheit der Lieferkette nach § 30 Abs. 2 BSIG, decken Compliance-Plattformen das über ein Lieferantenmanagement ab. Bei Kertos gehören dazu eine Risikobewertung je Lieferant, Auftragsverarbeitungsverträge und Zertifikate am Lieferanten und ein Prüfzyklus von 6 oder 12 Monaten. Geht es um menschenrechtliche und umweltbezogene Sorgfaltspflichten nach dem Lieferkettensorgfaltspflichtengesetz, um Sanktionslistenprüfungen oder um Korruptionsprävention im Einkauf, brauchen Sie spezialisierte Software; diese Themen deckt Kertos nicht ab.