Welche DSMS- und ISMS-Tools eignen sich für Konzerne mit mehreren Tochtergesellschaften?

Stand: 23. Oktober 2026. BSIG, BDSG, DSGVO und die Empfehlung 2003/361/EG am 23. Oktober 2026 im Gesetzestext geprüft, ISO/IEC 17021-1 in der Fassung von 2015.

Das Wichtigste in Kürze

• Ein ISO-27001-Zertifikat gilt für den Geltungsbereich, der darauf steht, nicht für die Unternehmensgruppe. Eine Tochtergesellschaft außerhalb dieses Geltungsbereichs ist nicht zertifiziert, auch wenn die Muttergesellschaft es ist.
• Für die NIS2-Schwellenwerte zählen nach Paragraf 28 Absatz 4 BSIG grundsätzlich auch Mitarbeitende, Umsatz und Bilanzsumme von Partner- und verbundenen Unternehmen. Eine kleine Tochtergesellschaft kann so allein durch die Gruppe betroffen sein, außer sie betreibt ihre IT unabhängig von ihr.
• Im Datenschutz gibt es kein Konzernprivileg. Jede Gesellschaft ist eigener Verantwortlicher, in aller Regel mit eigenem Verzeichnis von Verarbeitungstätigkeiten; einen gemeinsamen Datenschutzbeauftragten erlaubt Artikel 37 Absatz 2 DSGVO.
• Ein Tool für mehrere Gesellschaften muss Daten je Gesellschaft trennen, Gruppenvorgaben vererben, Nachweise je Gesellschaft führen und für die Konzernleitung zusammenfassen. Welches Anbietermodell passt, hängt davon ab, wie viele eigenständige Geltungsbereiche Sie betreiben.

Welches Tool für Informationssicherheits-Managementsystem (ISMS) und Datenschutz-Managementsystem (DSMS) zu einer Unternehmensgruppe passt, entscheidet weniger der Funktionsumfang als die Struktur: Betreiben Sie ein ISMS mit einem gemeinsamen Geltungsbereich für mehrere Gesellschaften oder mehrere eigenständige Managementsysteme? Bei einem gemeinsamen Geltungsbereich und wenigen Gesellschaften genügt meist eine Plattform, die Risiken, Dokumente, Systeme und Verarbeitungstätigkeiten jeder Gesellschaft zuordnet und danach filtert. Haben viele Gesellschaften eigene Zertifikate, eigene Administratoren und getrennte Datenbestände, brauchen Sie ein Tool mit echter Mandantentrennung, Vererbung von Gruppenvorgaben und konsolidiertem Reporting; das ist meist eine Enterprise-GRC-Suite mit eigenem GRC-Team. Im Datenschutz gilt in beiden Fällen: Die Pflichten liegen bei jeder Gesellschaft einzeln, auch wenn ein Tool sie zentral abbildet.

Deckt das Zertifikat der Muttergesellschaft die Tochtergesellschaften ab?

Nur wenn sie im Geltungsbereich stehen. ISO 27001 verlangt in Abschnitt 4.3, dass das Unternehmen den Anwendungsbereich seines ISMS festlegt und dokumentiert. Die Zertifizierungsstelle auditiert genau diesen Bereich. Nach ISO/IEC 17021-1, Abschnitt 8.2.2, nennt das Zertifikat den Namen und Standort jedes zertifizierten Kunden sowie den Geltungsbereich der Zertifizierung; bei Zertifizierungen mit mehreren Standorten den Hauptsitz und die Standorte im Geltungsbereich. Was dort nicht steht, ist nicht zertifiziert, gleich wie die Gruppe ihr Zertifikat vermarktet.

Für Einkauf und Lieferantenbewertung heißt das: Lassen Sie sich nicht nur das Zertifikat zeigen, sondern lesen Sie den Geltungsbereich. Er sollte die Gesellschaft, den Standort und die Leistung nennen, die Sie beziehen. Für Ihre eigene Gruppe heißt es: Ob eine Tochtergesellschaft in den gemeinsamen Geltungsbereich aufgenommen wird oder ein eigenes Zertifikat erhält, entscheiden Sie vor dem Audit, nicht danach.

Braucht jede Tochtergesellschaft ein eigenes ISMS?

Nein. Ein ISMS kann mehrere Gesellschaften abdecken, wenn sie im Geltungsbereich stehen und das Managementsystem zentral gesteuert wird. Mehrere eigenständige ISMS sind sinnvoll, wenn Tochtergesellschaften eigene IT, eigene Kunden mit eigenen Zertifikatsanforderungen oder eine Geschäftsführung mit eigener Verantwortung haben. Die gesetzlichen Pflichten folgen dagegen nicht der Struktur Ihres ISMS, sondern der jeweiligen Regel:

Ein gemeinsames ISMS spart deshalb Arbeit bei Richtlinien, Risikomethodik und Maßnahmen, nicht aber bei den Pflichten, die an der einzelnen Gesellschaft hängen. Wie Sie mehrere Frameworks aus einer Nachweisbasis bedienen, zeigt die Seite Compliance-Plattform für mehrere Frameworks.

Fällt eine Tochtergesellschaft wegen der Konzernzahlen unter NIS2?

Das ist möglich, wenn sie in einem Sektor der Anlage 1 oder 2 BSIG tätig ist. Paragraf 28 Absatz 4 BSIG wendet für Mitarbeiterzahl, Jahresumsatz und Jahresbilanzsumme die Empfehlung 2003/361/EG an. Nach Artikel 6 ihres Anhangs werden die Daten eines Unternehmens mit Partner- oder verbundenen Unternehmen auf Grundlage der konsolidierten Abschlüsse ermittelt; verbundene Unternehmen zählen voll, Partnerunternehmen anteilig. Eine Tochtergesellschaft mit 30 Mitarbeitenden in einem Sektor der Anlage 1 oder 2 BSIG kann so die Schwelle von 50 Mitarbeitenden überschreiten, obwohl sie allein darunter liegt.

Zwei deutsche Besonderheiten verändern das Ergebnis:

• Unabhängige IT: Die Daten von Partner- und verbundenen Unternehmen werden nicht hinzugerechnet, wenn das Unternehmen mit Blick auf Beschaffenheit und Betrieb seiner IT-Systeme, Komponenten und Prozesse rechtlich, wirtschaftlich und tatsächlich unabhängig von ihnen ist. Eine Tochtergesellschaft, die die IT der Gruppe nutzt, kann sich darauf kaum berufen.
• Öffentliche Beteiligung: Paragraf 28 Absatz 4 BSIG nimmt Artikel 3 Absatz 4 des Anhangs aus. Diese Regel schließt den KMU-Status aus, wenn öffentliche Stellen 25 Prozent oder mehr des Kapitals oder der Stimmrechte kontrollieren. Eine solche Beteiligung allein bringt ein Unternehmen nach dem BSIG also nicht über die Schwelle.

Für die Einordnung jeder Gesellschaft hilft die NIS-2-Betroffenheitsprüfung des BSI; ihr Ergebnis ist laut BSI rechtlich nicht bindend. Welche Pflichten und welches Anbietermodell für mittelgroße Gesellschaften passen, zeigt die Seite NIS2-Software für den Mittelstand.

Gibt es im Datenschutz ein Konzernprivileg?

Nein. Die DSGVO kennt die Unternehmensgruppe (Artikel 4 Nummer 19), behandelt aber jede Gesellschaft als eigenen Verantwortlichen. Jede Gesellschaft braucht für ihre Verarbeitungen eine Rechtsgrundlage, auch für Übermittlungen an die Muttergesellschaft oder an Schwestergesellschaften, und führt in aller Regel ein eigenes Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30. Erwägungsgrund 48 erkennt lediglich an, dass Gesellschaften einer Gruppe ein berechtigtes Interesse haben können, personenbezogene Daten innerhalb der Gruppe für interne Verwaltungszwecke zu übermitteln. Das ist eine Hilfe bei der Abwägung, keine Freistellung. Verarbeitet eine Gesellschaft Daten im Auftrag einer anderen, etwa eine zentrale IT- oder Personalgesellschaft, braucht es einen Vertrag nach Artikel 28; entscheiden beide gemeinsam über Zwecke und Mittel, eine Vereinbarung nach Artikel 26.

Auch die Pflicht zur Benennung eines Datenschutzbeauftragten hängt an der einzelnen Gesellschaft. Nach Paragraf 38 Absatz 1 BDSG benennen Verantwortliche einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Die Schwelle bezieht sich auf den einzelnen Verantwortlichen, nicht auf die Gruppe. Die Föderale Modernisierungsagenda vom 4. Dezember 2025 kündigt an, dass der Bund bis Ende 2026 eine Aufhebung von Paragraf 38 Absatz 1 BDSG einbringen will; geltendes Recht ist die Schwelle von 20 Personen am 23. Oktober 2026 weiterhin.

Welche Anbieter unterstützen mehrere Mandanten?

Die Anbieter unterscheiden sich weniger darin, ob sie mehrere Gesellschaften abbilden, als darin, wie weit die Trennung reicht und wer die fachliche Arbeit leistet. Vier Anbietermodelle decken den Markt ab. Die Modelle sind Kategorien und keine Bewertung einzelner Anbieter; wie weit ein Produkt reicht, prüfen Sie in der Demo.

Wer im Haus ein erfahrenes ISMS-Team hat, findet Herkunft, Standards und G2-Bewertungen einzelner Tools im Vergleich der ISMS-Software.

Was muss ein DSMS- und ISMS-Tool für mehrere Gesellschaften können?

Vier Fähigkeiten unterscheiden die Anbieter in der Praxis. Fragen Sie in der Demo konkret nach, statt sich auf das Wort „mandantenfähig“ zu verlassen; es wird für sehr unterschiedliche Umsetzungen verwendet.

Nicht jede Gruppe braucht alle vier. Teilen sich drei Gesellschaften einen Geltungsbereich und eine IT, reichen Zuordnung und Filter je Gesellschaft. Betreiben zehn Gesellschaften eigene Zertifikate, werden Vererbung und konsolidiertes Reporting zur Voraussetzung.

Was kostet ein konzernweites ISMS?

Die Auditkosten hängen vor allem an der Zahl der Personen im Geltungsbereich und an der Zahl der Geltungsbereiche, nicht an der Zahl der Gesellschaften. Die Auditzeit-Tabelle der ISO/IEC 27006 sieht für die Erstzertifizierung folgende Audittage vor. Die Zertifizierungsstelle kann davon abweichen, in der Praxis um bis zu 30 Prozent.

Daraus folgt ein Strukturvorteil: Zwei getrennte Geltungsbereiche mit je 60 Personen kommen nach dieser Tabelle zusammen auf 20 Audittage, ein gemeinsamer Geltungsbereich mit 120 Personen auf 12. Jeder Audittag wird zum Tagessatz der Zertifizierungsstelle abgerechnet und der Unterschied wiederholt sich in jedem Überwachungsaudit, für das Zertifizierungsstellen üblicherweise etwa ein Drittel der Erstauditzeit ansetzen. Bei mehreren Standorten kann die Zertifizierungsstelle nach ISO/IEC 17021-1, Abschnitt 9.1.5, ein Stichprobenprogramm festlegen, statt jeden Standort vollständig zu prüfen, sofern die Standorte gleichartige Tätigkeiten ausüben. Die Tabelle setzt sich für größere Geltungsbereiche fort; die konkreten Audittage nennt die Zertifizierungsstelle im Angebot.

Zu den Auditgebühren kommen Vorbereitung, Implementierung und Tool. Kertos-Richtwerte für den klassischen Beratungsweg bis 200 Mitarbeitende zeigt die Seite Was kostet eine ISO-27001-Zertifizierung?

Wann passt Kertos zu einer Unternehmensgruppe?

Kertos passt zu Gruppen mit wenigen Gesellschaften, die ein gemeinsames ISMS mit einem Geltungsbereich betreiben und dafür keine eigene Compliance-Abteilung aufbauen wollen. Mit dem Multi-Entity-Management steuern Sie Compliance für mehrere Rechtseinheiten, Tochtergesellschaften oder Geschäftsbereiche aus einem Account. Jede Gesellschaft hat eigene Stammdaten und eigene Rollen wie Informationssicherheitsbeauftragter oder Datenschutzbeauftragter. Risiken, Dokumente, Systeme, Dienstleister, Assets und Verarbeitungstätigkeiten lassen sich einer Gesellschaft oder der ganzen Gruppe zuordnen und danach filtern. Das Multi-Entity-Management ist in den Paketen Pro und Premium enthalten und im Paket Essential als Zusatzmodul buchbar.

Kertos verbindet die Plattform mit zertifizierten Experten im eigenen Haus. Plattform und KI-Agent KAIA sind in Europa entwickelt und gehostet. ISO 27001, NIS2 und DSGVO laufen aus einer gemeinsamen Nachweisbasis, ebenso ISO 27701, ISO 42001, TISAX, SOC 2, C5 und die EU-KI-Verordnung. Kunden erreichen eine Audit-Bestehensquote von 100 Prozent und reduzieren den manuellen Compliance-Aufwand um rund 80 Prozent. Auf G2 hat Kertos eine Bewertung von 4,8 von 5 (Stand: Oktober 2026). Wie Ihre Gruppenstruktur in der Plattform aussieht, zeigt eine Demo.

Wann ist Kertos nicht die richtige Wahl?

Kertos ist nicht die richtige Wahl, wenn Ihre Gruppe getrennte Mandanten mit Datenisolation je Gesellschaft oder eigene Administratoren je Gesellschaft braucht. Gleiches gilt, wenn viele Gesellschaften eigenständige Zertifikate betreiben und Gruppenmaßnahmen mit eigenem Nachweis je Gesellschaft vererbt werden sollen oder wenn die Konzernleitung ein konsolidiertes Dashboard über alle Gesellschaften erwartet. Dafür ist eine Enterprise-GRC-Suite mit eigenem GRC-Team der passendere Weg. Ein Mandat als externer Datenschutzbeauftragter oder externer CISO gilt bei Kertos zunächst für eine Gesellschaft; ob es weitere Gesellschaften abdeckt, klären die Experten vorab mit Ihnen.

Häufige Fragen zu ISMS und DSMS im Konzern

Darf ein Konzern einen gemeinsamen Datenschutzbeauftragten benennen?

Ja. Nach Artikel 37 Absatz 2 DSGVO darf eine Unternehmensgruppe einen gemeinsamen Datenschutzbeauftragten ernennen, sofern er von jeder Niederlassung aus leicht erreicht werden kann. Benannt wird er von jeder verpflichteten Gesellschaft und jede veröffentlicht seine Kontaktdaten und teilt sie ihrer Aufsichtsbehörde mit (Artikel 37 Absatz 7). Ein gemeinsamer Datenschutzbeauftragter bündelt die Aufgabe, nicht die Verantwortung; diese bleibt bei jeder Gesellschaft. Wie sich die Modelle für externe Datenschutzbeauftragte unterscheiden, zeigt der Anbietervergleich externer Datenschutzbeauftragter.

Ist ein ISO-27001-Zertifikat der Gruppe ein Nachweis für NIS2?

Nein, aber eine gute Grundlage. Ein ISO-27001-Zertifikat belegt ein zertifiziertes ISMS für seinen Geltungsbereich. Einen Nachweis der NIS2-Konformität stellt kein Zertifikat aus und die NIS2-Pflichten treffen jede betroffene Einrichtung selbst. Weil sich die Anforderungen stark überschneiden, nutzen viele Gruppen ein gemeinsames ISMS trotzdem als Basis für beides. Wie das für mittelgroße Gesellschaften aussieht, zeigt die Seite ISO-27001-Software für den Mittelstand.