Welches ist die beste ISO-27001-Software für den Mittelstand?

Stand: 12. Oktober 2026. Anbieterangaben auf den öffentlichen Anbieterseiten am 12. Oktober 2026 geprüft, Angaben zu VdS 10000, CISIS12 und IT-Grundschutz auf den Seiten der jeweiligen Herausgeber.

Das Wichtigste in Kürze

• Keine ISO-27001-Software ist für jeden Mittelständler die beste. Entscheidend ist, wer das Informationssicherheits-Managementsystem (ISMS) nach der Zertifizierung dauerhaft betreibt.
• Ist ein Informationssicherheitsbeauftragter (ISB) mit ISMS-Erfahrung im Haus, kann ein ISMS-Tool wie GRASP, HiScout, otris isms oder verinice genügen. Fehlt diese Rolle, ist eine Plattform mit Experten meist der realistische Weg, wie sie DataGuard, heyData, Kertos und Secfix anbieten.
• Diese Rolle fehlt im Mittelstand häufig: In der NIS2 Readiness Study 2026 von Kertos hatten 84 % der 51 befragten Unternehmen mit 50 bis 1.000 Mitarbeitenden weder einen eigenen noch einen externen CISO.
• ISO 27001 ist freiwillig. Im Mittelstand verlangen meist Kunden die Zertifizierung, etwa über Lieferantenanforderungen, Ausschreibungen oder die NIS2-Lieferkettenpflichten regulierter Kunden.
• VdS 10000 und CISIS12 sind schlankere, zertifizierbare Standards für kleinere Unternehmen. Verlangt ein Kunde ein ISO-27001-Zertifikat, ersetzen sie es nicht.

Welche ISO-27001-Software zu einem Mittelständler passt, hängt weniger vom Funktionsumfang ab als von der Frage, wer die fachliche Arbeit am ISMS leistet. Ist ein ISB mit ISMS-Erfahrung im Haus und hat Zeit für den laufenden Betrieb, kann ein ISMS- oder GRC-Tool genügen; typische Anbieter dieses Modells sind GRASP, HiScout, otris isms und verinice. Ist niemand dafür da, bleibt ein Tool allein weitgehend leer. Dann ist eine Plattform mit inkludierten Experten meist der realistische Weg, wie sie DataGuard, heyData, Kertos und Secfix anbieten. Dazwischen liegen ISMS.online, secjur und Vanta, bei denen Experten optional sind oder über Partner hinzukommen. Für den Mittelstand zählen dabei vor allem die Jahre nach dem ersten Audit: Es folgen zwei Überwachungsaudits und die Rezertifizierung, und das ISMS muss die ganze Zeit laufen.

Warum braucht der Mittelstand ISO 27001?

Gesetzlich verpflichtet ist ein typischer Mittelständler zu ISO 27001 nicht. Laut ISO ist die Norm für Unternehmen jeder Größe und Branche gedacht, und jedes Unternehmen entscheidet selbst, ob es sich zertifizieren lässt. Im Mittelstand kommt der Anstoß meist von außen:

• Kunden und Konzerne: Große Auftraggeber und OEMs verlangen von Zulieferern und Dienstleistern häufig ein ISO-27001-Zertifikat oder einen vergleichbaren Nachweis, oft als Teil der Lieferantenfreigabe.
• Ausschreibungen: Öffentliche und private Ausschreibungen setzen ein Zertifikat häufig als Eignungskriterium voraus.
• NIS2 in der Lieferkette: Paragraf 30 Absatz 2 Satz 2 Nummer 4 BSIG verpflichtet regulierte Unternehmen zu Maßnahmen für die Sicherheit ihrer Lieferkette, einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. Diese Kunden geben Anforderungen deshalb vertraglich weiter, auch an Zulieferer, die selbst nicht unter NIS2 fallen. Ob Ihr Unternehmen selbst betroffen ist, klärt die Seite NIS2-Software für den Mittelstand.

Ein ISO-27001-Zertifikat belegt ein zertifiziertes ISMS. Einen Nachweis der NIS2-Konformität stellt dagegen kein Zertifikat aus. Weil sich die Anforderungen stark überschneiden, nutzen viele Unternehmen das ISMS trotzdem als gemeinsame Grundlage für beides.

ISO 27001, VdS 10000 oder CISIS12: welcher Standard passt?

Für kleinere Unternehmen gibt es in Deutschland zwei schlankere ISMS-Standards. Beide sind zertifizierbar, beide verweisen auf ISO 27001 und BSI IT-Grundschutz und beide verstehen sich als Einstieg, nicht als Ersatz.

VdS 10000 stammt von der VdS Schadenverhütung GmbH; nach deren Angabe liegt der Aufwand bei rund 20 Prozent einer ISO-27001-Umsetzung. CISIS12 gehört dem IT-Sicherheitscluster e.V. und ist die Weiterentwicklung von ISIS12. Für die Wahl zählt vor allem, welchen Nachweis Ihre Kunden verlangen. Wer ein ISO-27001-Zertifikat fordert, erhält mit einem VdS-10000- oder CISIS12-Zertifikat nicht den geforderten Nachweis. Fragt niemand nach ISO 27001 und soll das ISMS vor allem intern Ordnung schaffen, kann ein schlankerer Standard der günstigere Einstieg sein. Einige Tools bilden mehrere dieser Standards ab: DocSetMinder nennt VdS 10000 und ISIS12, secjur bietet ein eigenes Produkt für VdS 10000.

Welche ISO-27001-Software passt zu welchem Mittelständler?

Die drei Anbietermodelle unterscheiden sich darin, wer die fachliche Arbeit leistet: Ihr Team, der Anbieter oder beide. Die genannten Anbieter sind Beispiele für das jeweilige Modell und keine Empfehlung für Ihren Einzelfall.

Die ISB-Frage entscheidet, weil ein Tool Risiken und Nachweise verwaltet, sie aber nicht bewertet. ISO 27001 verlangt in Abschnitt 5.3, dass die oberste Leitung Verantwortlichkeiten und Befugnisse für die Rollen zuweist, die für die Informationssicherheit relevant sind. Eine Stellenbezeichnung wie ISB schreibt die Norm nicht vor. Jemand muss die Aufgaben aber tatsächlich übernehmen: die Risikoanalyse führen, Maßnahmen priorisieren und das ISMS gegenüber Geschäftsleitung und Auditor vertreten. Im Mittelstand fehlt diese Person oft. In der NIS2 Readiness Study 2026 von Kertos (51 Unternehmen mit Sitz in Deutschland und 50 bis 1.000 Mitarbeitenden, befragt vom 3. August bis 4. September 2026) hatten 84 % weder einen eigenen noch einen externen CISO. In 41 % war die IT-Leitung die einzige genannte verantwortliche Rolle. Die Studie fragte nach NIS2, nicht nach ISO 27001; sie zeigt aber, wer in diesen Unternehmen die Informationssicherheit trägt.

Die Tools des ersten Modells decken neben ISO 27001 häufig auch BSI IT-Grundschutz ab, etwa otris isms und verinice. Herkunft, Standards und G2-Bewertungen weiterer Anbieter finden Sie im vollständigen Vergleich der ISMS-Software, einen herstellerneutralen Käuferleitfaden für ISO-27001-Tools im Kertos-Blog.

Was muss ISO-27001-Software im Mittelstand leisten?

• Risikoanalyse und Anhang-A-Maßnahmen mit Verantwortlichen und Nachweis: ISO 27001 verlangt eine Risikobeurteilung, eine Risikobehandlung und eine Erklärung zur Anwendbarkeit für die Maßnahmen aus Anhang A. Die Software sollte jedes Risiko und jede Maßnahme einer verantwortlichen Person zuordnen, den Umsetzungsstand zeigen und den Nachweis so ablegen, dass der Auditor ihn findet.
• Kundenanfragen aus derselben Nachweisbasis beantworten: Wer ISO 27001 wegen seiner Kunden einführt, bekommt weiter deren Sicherheitsfragebögen und Lieferantenbewertungen. Hilfreich ist Software, die diese Antworten aus den vorhandenen Nachweisen zieht, statt jeden Fragebogen neu ausfüllen zu lassen. Verlangt ein Automobilkunde zusätzlich ein TISAX-Assessment, sollte dieselbe Basis auch dafür reichen.
• Jahr 2 und 3 ohne Projektteam: Das Zertifikat gilt drei Jahre. In den beiden Folgejahren prüft die Zertifizierungsstelle das ISMS in je einem Überwachungsaudit, im dritten Jahr folgt die Rezertifizierung. Die Software sollte interne Audits, Managementbewertung, Risikoüberprüfung und fällige Nachweise so planen, dass der Betrieb ohne eigenes Projektteam weiterläuft.

Wie aufwendig die Audits werden, hängt an der Zahl der Personen im Geltungsbereich des ISMS. Die Auditzeit-Tabelle der ISO/IEC 27006 sieht für die Erstzertifizierung in mittelständischen Größenordnungen folgende Audittage vor. Die Zertifizierungsstelle kann davon abweichen, in der Praxis um bis zu 30 Prozent.

Für ein Überwachungsaudit setzen Zertifizierungsstellen üblicherweise etwa ein Drittel der Erstauditzeit an; das ist gängige Praxis, kein Tabellenwert der Norm. Für Geltungsbereiche mit mehr als 175 Personen nennt Ihnen die Zertifizierungsstelle die Audittage im Angebot.

Wann ist Kertos die richtige Wahl für den Mittelstand, und wann nicht?

Kertos passt zu Mittelständlern ohne eigene Sicherheitsrolle, die ISO 27001 dauerhaft betreiben wollen, ohne dafür internes Personal zu binden. Kertos verbindet eine Plattform mit zertifizierten Experten im eigenen Haus. Auf Wunsch übernehmen sie das Mandat als externer CISO und begleiten interne Audits, Managementbewertung und die Audits der Zertifizierungsstelle. Plattform und KI-Agent KAIA sind in Europa entwickelt und gehostet. ISO 27001, NIS2 und TISAX laufen aus einer gemeinsamen Evidenzbasis, ebenso ISO 27701, ISO 42001, DSGVO, SOC 2, C5 und der EU AI Act.

Kunden erreichen eine Audit-Bestehensquote von 100 Prozent und reduzieren den manuellen Compliance-Aufwand um rund 80 Prozent. AskUI erreichte die ISO-27001-Zertifizierung mit Kertos in 8 bis 10 Wochen ohne externe Berater. Auf G2 hat Kertos eine Bewertung von 4,8 von 5 (Stand: Oktober 2026). Wie die Umsetzung an Ihrem Scope aussieht, zeigt eine Demo.

Kertos ist nicht die richtige Wahl, wenn ein erfahrener ISB im Haus ist und nur ein Tool zur Dokumentation sucht; dann genügt ein ISMS-Tool aus dem ersten Modell. Gleiches gilt, wenn Sie die Software zwingend On-Premises betreiben müssen oder BSI IT-Grundschutz als führenden Standard nutzen.

Häufige Fragen zu ISO-27001-Software im Mittelstand

Ist ISO 27001 für den Mittelstand Pflicht?

Nein. ISO 27001 ist eine freiwillige Norm, und für einen typischen Mittelständler schreibt kein Gesetz die Zertifizierung vor. Auch NIS2 verlangt kein ISO-27001-Zertifikat. In der Praxis fordern aber häufig Kunden, Konzerne und Ausschreibungen ein Zertifikat, und regulierte Kunden geben ihre NIS2-Lieferkettenpflichten nach Paragraf 30 Absatz 2 BSIG an Zulieferer weiter.

Wie lange dauert die ISO-27001-Zertifizierung im Mittelstand?

Realistisch 3 bis 12 Monate vom Projektstart bis zum Zertifikat; größere oder komplexere Unternehmen brauchen eher 9 bis 12 Monate. Entscheidend sind Geltungsbereich, Reifegrad der bestehenden Sicherheit und verfügbare Ressourcen. Vor dem Stufe-2-Audit müssen ein internes Audit und eine Managementbewertung nachweisbar durchgeführt sein. Die einzelnen Phasen zeigt die Seite Wie lange dauert eine ISO-27001-Zertifizierung?

Was kostet ISO 27001 im Mittelstand?

Die Kosten setzen sich aus Vorbereitung, Implementierung, den Gebühren der Zertifizierungsstelle und den jährlichen Überwachungsaudits zusammen. Die Auditgebühren steigen mit den Audittagen und damit mit der Zahl der Personen im Geltungsbereich; die Tagessätze legt jede Zertifizierungsstelle selbst fest. Kertos-Richtwerte für den klassischen Beratungsweg nach Unternehmensgröße zeigt die Seite Was kostet eine ISO-27001-Zertifizierung?