Was unterscheidet Kertos von anderen Compliance-Lösungen?

Stand: 8. Oktober 2026. Unternehmensangaben laut Impressum, Unterauftragsverarbeiter laut der öffentlichen Liste auf kertos.io, Kundenstimmen von G2.

Das Wichtigste in Kürze

• Kertos verbindet eine Compliance-Plattform, den KI-Agenten KAIA und zertifizierte Experten im eigenen Haus. Die meisten Anbieter verkaufen entweder Software, die Ihr Team selbst betreibt, oder Beratung, die mit dem Projekt endet.
• Je nach Paket unterstützt KAIA als virtueller CISO (Pro) oder ein benannter externer CISO begleitet das Unternehmen (Premium). Externe Datenschutzbeauftragte stellt Kertos ebenfalls. Die Verantwortung der Geschäftsleitung bleibt bestehen.
• Kertos ist eine deutsche GmbH mit Sitz in München und einem Büro in Berlin, gegründet 2021, von der Europäischen Union im Projekt EUPROFIT kofinanziert und selbst nach ISO 42001 zertifiziert.
• Eine Plattform deckt ISO 27001, ISO 27701, ISO 42001, SOC 2, TISAX, C5, DSGVO, NIS2 und den EU AI Act ab, mit mehr als 300 Integrationen.
• Kunden erreichen eine Audit-Bestehensquote von 100 Prozent und reduzieren den manuellen Compliance-Aufwand um rund 80 Prozent.

Kertos unterscheidet sich von den meisten Compliance-Lösungen durch das Modell, nicht durch einzelne Funktionen. Self-Service-Tools liefern Software, die Ihr Team selbst zum Laufen bringen muss. Klassische Beratung liefert Dokumente und endet mit dem Projekt. Kertos verbindet Plattform, KI-Agent und zertifizierte Experten, die im eigenen Haus angestellt sind, und hält die Compliance nach dem Audit laufend aktuell. Kunden kaufen damit keine Lizenz, sondern ein Ergebnis: die bestandene Zertifizierung und ihren Erhalt. Die folgenden Abschnitte zeigen, was das konkret bedeutet, für wen es passt und für wen nicht.

Welche drei Elemente kombiniert Kertos?

Kertos verbindet drei Bausteine, die andere Lösungen einzeln, aber selten gemeinsam aus einer Hand anbieten.

Element	Was es leistet
Compliance-Plattform	Eine Plattform für mehrere Frameworks mit mehr als 300 Integrationen, automatischer Nachweissammlung sowie Risiko-, Asset-, Lieferanten- und Richtlinienmanagement. Gemeinsame Kontrollen werden einmal gepflegt und mehreren Frameworks zugeordnet.
KI-Agent KAIA	KAIA erhebt den Ist-Zustand über die Integrationen, ordnet ihn den Anforderungen zu, schlägt Aufgaben vor und hält Nachweise aktuell.
Zertifizierte Experten	Fachleute für Informationssicherheit und Datenschutz, bei Kertos angestellt, begleiten Vorbereitung, Umsetzung und Audit und übernehmen auf Wunsch CISO- und DSB-Mandate.

„Kertos hilft uns mit einer organisierten und strukturierten Durchführung der ISO27001-Zertifizierung. Es definiert klare Aufgaben und bietet KI-gestützte Vorschläge, die auf unsere Unternehmensstruktur abgestimmt sind.“

Martin S., Agentic AI Engineer, Kleinunternehmen, G2

Wie unterscheidet sich Kertos von Self-Service-Tools, Beratung und anderen Plattformen?

Die Anbieter am Markt lassen sich vier Modellen zuordnen. Die Unterschiede liegen darin, wer die fachliche Arbeit leistet und was nach dem Audit passiert.

Kriterium	Self-Service-Tool	Klassische Beratung	Software mit Partnernetzwerk	Kertos
Wer leistet die fachliche Arbeit?	Ihr Team	Die Beratung, auf Tagessatzbasis	Ihr Team, mit Unterstützung externer Partner	Plattform, KAIA und angestellte Experten, je nach Paket mit wachsendem Anteil
Wo liegen Nachweise und Wissen?	in der Software	oft in Projektdokumenten und beim Berater	in der Software, teils beim Partner	in der Plattform und in Ihrem Team
Was passiert nach dem Audit?	Ihr Team pflegt weiter	das Projekt endet	Ihr Team pflegt weiter, Partner bei Bedarf	Nachweise bleiben laufend aktuell, Experten begleiten Überwachungsaudits und Rezertifizierung
CISO- und DSB-Rolle	nicht enthalten	als separates Mandat	über Partner	aus einer Hand, je nach Paket
Passt, wenn	ein erfahrenes Security-Team im Haus ist	ein einmaliges Projekt mit eigener Betriebsorganisation geplant ist	Know-how im Haus ist und Unterstützung nur punktuell gebraucht wird	keine interne Sicherheits- oder Datenschutzrolle besetzt ist oder mehrere Frameworks parallel laufen

Auch andere Anbieter verbinden Software mit Experten. Wenn Sie mehrere Anbieter dieses Modells vergleichen, fragen Sie drei Dinge konkret ab: ob die Experten beim Anbieter angestellt sind oder über Partner kommen, welche Frameworks die Plattform über gemeinsame Kontrollen abbildet und ob CISO- und DSB-Mandat aus einer Hand kommen. Eine Übersicht der Anbietermodelle für NIS2 zeigt die Seite zu NIS2-Software für den Mittelstand.

Für welche Unternehmen eignet sich Kertos?

Kertos arbeitet vor allem mit Start-ups, Scale-ups und mittelständischen Unternehmen in Europa, darunter SaaS-, Fintech- und Healthtech-Unternehmen. Entscheidend ist weniger die Branche als die Ausgangslage.

Ausgangslage	Was Kertos übernimmt
Enterprise-Kunden verlangen ein ISO-27001-Zertifikat oder einen SOC-2-Bericht, und intern verantwortet niemand Informationssicherheit	Aufbau des ISMS, Vorbereitung auf das Audit, je nach Paket mit virtuellem oder benanntem externem CISO
Mehrere Anforderungen laufen parallel, etwa ISO 27001, DSGVO und NIS2 oder TISAX für die Automobilindustrie	gemeinsame Kontrollen in einer Plattform, sodass jede Kontrolle nur einmal gepflegt wird
Das Unternehmen fällt unter NIS2 und hat keine eigene Sicherheitsorganisation	Einordnung, Umsetzung der Risikomanagementmaßnahmen und Aufbau der Meldekette, mit Experten statt eines reinen Tools
Das Unternehmen entwickelt oder nutzt KI-Systeme und braucht ISO 42001 oder eine Einordnung nach dem EU AI Act	KI-Inventar, Risikobewertung und Managementsystem nach ISO 42001, nach der Kertos selbst zertifiziert ist
Es braucht einen externen Datenschutzbeauftragten	Benennung als externer DSB und Datenschutzmanagement in derselben Plattform

Ein Beispiel: AskUI erreichte die ISO-27001-Zertifizierung mit Kertos in 8 bis 10 Wochen ohne externe Berater. Das ist ein Einzelfall und keine Zusage; wie lange ein Projekt dauert, hängt vom Reifegrad zu Beginn und vom Geltungsbereich ab.

Wie läuft ein Projekt mit Kertos ab?

Ein Projekt folgt fünf Schritten. Wie viel davon Ihr Team selbst übernimmt, hängt vom Paket ab.

• 1. Geltungsbereich und Anbindung: Sie legen mit den Experten fest, welche Frameworks und welche Unternehmensteile betroffen sind. Ihre Systeme werden über Integrationen angebunden, und KAIA erhebt den Ist-Zustand.
• 2. Bestandsaufnahme: Der Ist-Zustand wird mit den Anforderungen abgeglichen. Ergebnis ist eine priorisierte Liste offener Maßnahmen mit Verantwortlichen.
• 3. Umsetzung: Richtlinien entstehen aus Vorlagen, Risiken und Lieferanten werden bewertet, Schulungen laufen über die Plattform. Technische Maßnahmen wie Multi-Faktor-Authentifizierung oder Backups setzt Ihre IT um; die Experten prüfen die Umsetzung fachlich.
• 4. Audit: Das Zertifikat erteilt eine unabhängige Zertifizierungsstelle, nicht Kertos. Kertos bereitet die Nachweise auf und begleitet Sie durch das Audit.
• 5. Laufender Betrieb: Nachweise bleiben fortlaufend aktuell. Bei ISO 27001 folgen Überwachungsaudits in den beiden Folgejahren und im dritten Jahr die Rezertifizierung.

Paket	Was Kertos leistet	Was Ihr Team leistet
Essential	Plattform und KI-Agent KAIA	den größten Teil der fachlichen Arbeit
Pro	zusätzlich Expertenbegleitung; KAIA unterstützt als virtueller CISO	weniger fachliche Arbeit, Umsetzung im eigenen Haus
Premium	der größte Expertenanteil und ein benannter externer CISO	den kleinsten Anteil, vor allem Freigaben und technische Umsetzung

„Die persönliche Unterstützung während des Zertifizierungsprozesses.“

Verifizierter Benutzer in Computersoftware, Kleinunternehmen, G2, auf die Frage, was ihm am besten gefällt, aus dem Englischen übersetzt

Übernimmt Kertos auch die Rolle des CISO und des Datenschutzbeauftragten?

Ja, mit zwei Unterscheidungen. Für die Informationssicherheit unterstützt KAIA im Paket Pro als virtueller CISO, im Paket Premium begleitet ein benannter externer CISO das Unternehmen. Die Verantwortung für die Informationssicherheit bleibt bei der Geschäftsleitung; unter NIS2 etwa muss sie die Risikomanagementmaßnahmen nach § 38 BSIG umsetzen und ihre Umsetzung überwachen. Für den Datenschutz stellt Kertos einen externen Datenschutzbeauftragten nach Art. 37 DSGVO, der auch Ansprechpartner für die Aufsichtsbehörde ist. Verantwortlich für die Verarbeitung bleibt nach Art. 24 DSGVO das Unternehmen. In der Praxis bedeutet das einen festen Ansprechpartner statt eines Support-Tickets.

„Unser Hauptanliegen ist, uns keine Sorgen um unseren Datenschutz machen zu müssen, das löst Kertos perfekt für uns. Die Zusammenarbeit ist unkompliziert, und ich hatte jederzeit einen festen Ansprechpartner. Der Austausch mit dem gesamten Team fand auf Augenhöhe statt, was die Abstimmung sehr angenehm gemacht hat.“

Verifizierter Benutzer in Gesundheit, Wellness und Fitness, Kleinunternehmen, G2

Wo wurde Kertos entwickelt und von wem?

Kertos ist eine deutsche GmbH mit Sitz in München (Amtsgericht München, HRB 271165) und einem zweiten Büro in Berlin. Gegründet wurde das Unternehmen 2021 von Dr. Kilian Schmidt, Johannes Hussak und Alexander Prams, die es bis heute als Geschäftsführer leiten. Kertos beschäftigt mehr als 70 Mitarbeitende, betreut rund 400 Kunden und hat in einer Series-A-Finanzierung 14 Mio. Euro aufgenommen. Die Europäische Union kofinanziert Kertos im Projekt EUPROFIT. Die Plattform wurde für europäische Anforderungen wie DSGVO, NIS2, TISAX und C5 entwickelt, statt nachträglich aus einem SOC-2-Produkt für Europa erweitert zu werden. Kertos ist selbst nach ISO 42001 zertifiziert; die Nachweise stehen im Trust Center.

Wo liegen die Daten bei Kertos?

Vertragspartner ist die Kertos GmbH, ein Unternehmen mit Sitz in Deutschland. Für das Hosting nutzt Kertos Amazon Web Services über die AWS EMEA SARL mit Sitz in Luxemburg. Einige weitere Unterauftragsverarbeiter, etwa für Single Sign-on und Monitoring, sind US-Unternehmen. Alle stehen in der öffentlichen Liste der Unterauftragsverarbeiter. Diese Liste ist bei jedem Anbieter aussagekräftiger als die Angabe eines Serverstandorts: Ein Rechenzentrum in der EU sagt nur, wo Daten gespeichert werden, nicht, welche Unternehmen und Rechtsordnungen Zugriff haben könnten. Fragen Sie deshalb jeden Anbieter nach seinen Unterauftragsverarbeitern und deren Sitz.

Welche Ergebnisse erreichen Kertos-Kunden?

• 100 Prozent Audit-Bestehensquote über den gesamten Kundenstamm.
• Rund 80 Prozent weniger manueller Compliance-Aufwand gegenüber manueller oder beratungsgestützter Umsetzung. Der Ausgangswert unterscheidet sich je nach Unternehmen.
• AskUI erreichte die ISO-27001-Zertifizierung in 8 bis 10 Wochen ohne externe Berater.
• 4,8 von 5 Sternen auf G2 bei mehr als 60 Bewertungen (Stand: Oktober 2026).

Welche Frameworks und Integrationen deckt Kertos ab?

• Informationssicherheit: ISO 27001, SOC 2, TISAX, C5 und NIS2.
• Datenschutz: DSGVO und ISO 27701, mit Verzeichnis von Verarbeitungstätigkeiten, Datenschutz-Folgenabschätzung und Betroffenenanfragen.
• KI-Governance: ISO 42001 und der EU AI Act.
• Mehr als 300 Integrationen zu Tools wie Salesforce, Jira, GitHub und gängigen Cloud-Anbietern.
• Gemeinsame Kontrollen: Eine Kontrolle wird einmal gepflegt und allen passenden Frameworks zugeordnet, einschließlich der Nachweise für Überwachungs- und Rezertifizierungsaudits.

Wann ist Kertos nicht die richtige Wahl?

Kertos passt nicht zu jedem Unternehmen. In diesen Fällen ist ein anderes Modell besser:

• Sie suchen nur ein Self-Service-Tool: Wenn ein erfahrenes Security-Team im Haus ist und die fachliche Arbeit selbst übernehmen will, bezahlen Sie bei Kertos für Expertise, die Sie nicht brauchen.
• Sie brauchen vor allem technische Umsetzung: Netzsegmentierung, Härtung von OT-Anlagen oder Penetrationstests leistet ein Systemhaus oder eine IT-Sicherheitsberatung.
• Sie brauchen ISO 9001: Qualitätsmanagement deckt Kertos nicht ab.
• Sie müssen die Software On-Premises betreiben oder nutzen BSI IT-Grundschutz als führenden Standard.

Der Funktionsumfang ist außerdem groß, und das ist zu Beginn spürbar. Kunden berichten, dass die Plattform anfangs dicht wirkt und mit Unterstützung der Experten gut einzurichten ist. Ein Kunde merkt an, dass der Geräte-Scanner Linux-Geräte nicht unterstützt.

„Im ersten Moment ist die Platform etwas erschlagend und die Mehrwerte gehen nicht hervor - teilweise fehlt auch noch die ein oder andere Funktion.“

Verifizierter Benutzer in Gesundheit, Wellness und Fitness, Kleinunternehmen, G2

„Hilfreich wäre ein Framework für die Umsetzung von ISO 9001.“

Alexander W., Geschäftsführer, Kleinunternehmen, G2, aus dem Englischen übersetzt

„Könnte noch ein ganz kleinwenig übersichtlicher werden. Bisschen Overloaded.“

Laurin H., G2

Wie Kertos in Ihrem Fall aussehen würde, zeigt eine Demo.

Häufige Fragen zu Kertos

Was kostet Kertos?

Kertos bietet drei Pakete an: Essential, Pro und Premium. Sie unterscheiden sich darin, wie viel Arbeit Plattform, KAIA und Experten übernehmen und wie viel bei Ihrem Team bleibt. Der Preis richtet sich nach Paket, Frameworks und Unternehmensgröße. Ein Angebot erhalten Sie nach einer Demo.

Stellt Kertos selbst das Zertifikat aus?

Nein. Ein ISO-27001-Zertifikat erteilt eine unabhängige, akkreditierte Zertifizierungsstelle, einen SOC-2-Bericht eine zugelassene Prüfungsgesellschaft (CPA) und ein TISAX-Label ein zugelassener Prüfdienstleister. Kertos bereitet Ihr Unternehmen darauf vor, stellt die Nachweise zusammen und begleitet das Audit. Diese Trennung ist gewollt: Wer berät, darf nicht zugleich zertifizieren.

Kann man von einem anderen Compliance-Tool zu Kertos wechseln?

Ja. Vorhandene Richtlinien, Risikobewertungen und Nachweise müssen nicht neu entstehen; die Experten gleichen sie in der Bestandsaufnahme mit den Anforderungen ab. Ein bestehendes Zertifikat bleibt beim Wechsel gültig, weil es die Zertifizierungsstelle ausstellt und nicht der Tool-Anbieter. Sinnvoll ist ein Wechsel mit ausreichend Abstand zum nächsten Überwachungsaudit.

Wie lange dauert eine ISO-27001-Zertifizierung mit Kertos?

Das hängt vom Reifegrad zu Beginn und vom Geltungsbereich ab. AskUI erreichte die Zertifizierung mit Kertos in 8 bis 10 Wochen ohne externe Berater; das ist ein Einzelfall und keine Zusage. Die Auditdauer selbst legt die Zertifizierungsstelle fest, vor allem nach der Zahl der Personen im Geltungsbereich.

Ist Kertos selbst zertifiziert?

Ja. Kertos ist nach ISO 42001 für KI-Managementsysteme zertifiziert. Zertifikate, Unterauftragsverarbeiter und Sicherheitsdokumentation stehen im Trust Center unter trust.kertos.io.