Das Zertifikat ist nicht das Projekt.

Bei solider Ausgangslage typischerweise sechs bis zwölf Monate vom Start bis zum bestandenen Stage-2-Audit. Die grössten Treiber sind Scope, Reifegrad der bestehenden IT und die Verfügbarkeit Ihrer Entscheider. Wer seinen Betrieb bereits sauber dokumentiert fährt (etwa mit ITM Starter), ist deutlich schneller — das halbe ISMS existiert dann schon. Eine belastbare Zahl für Ihr Unternehmen liefert das Gap-Assessment.

Ehrliche Antwort: Es hängt an drei Treibern — Scope (wie viel Unternehmen ist im Geltungsbereich), Reifegrad (wie viel existiert schon) und Anzahl der Normen. Deshalb starten wir mit dem Gap-Assessment zum Festpreis: Danach kennen Sie die Aufwandsschätzung für Ihren konkreten Fall, bevor Sie sich festlegen. Dazu kommen die Gebühren der Zertifizierungsstelle, die Sie direkt beauftragen. Pauschalpreise ins Blaue nennen wir nicht — die wären entweder zu hoch gegriffen oder unehrlich.

Die Kurzformel: Wer in einem der NIS2-Sektoren arbeitet (u. a. Gesundheit, Finanzen, IT-Dienste, verarbeitendes Gewerbe, digitale Dienste) und mindestens 50 Mitarbeitende oder über 10 Mio. € Umsatz hat, ist in der Regel direkt betroffen. Wichtig: Auch kleinere Unternehmen bekommen NIS2 als Zulieferer betroffener Firmen per Vertrag weitergereicht. Die belastbare Prüfung Ihres Einzelfalls gehört zum Gap-Assessment — oder als Ersteinschätzung zum kostenlosen Selbstcheck.

Sehr wahrscheinlich ja, wenn Sie Finanzunternehmen als Kunden haben. DORA verpflichtet nicht nur Banken, Versicherer und Vermögensverwalter, sondern zwingt sie, ihre IKT-Drittdienstleister vertraglich und faktisch zu kontrollieren — mit Auditrechten, Ausstiegsstrategien und Vorfallmeldewegen. Als Dienstleister brauchen Sie belastbare Nachweise, sonst werden Sie zum Vertragsrisiko Ihres Kunden.

Ja — genau dafür ist das Betreibermodell gebaut. ITM übernimmt Aufbau und laufenden Betrieb des Managementsystems; auf Ihrer Seite braucht es Entscheider (Management-Review, Risikoentscheidungen) und Prozess-Owner, die ihre Abläufe kennen. Was es nicht braucht: eine eigene IT- oder Compliance-Abteilung. Die Arbeit ab Monat vier — an der Selbstbau-Projekte scheitern — liegt bei uns.

Zunächst: Das Audit ist kein Alles-oder-nichts. Minor-Abweichungen sind normal und werden mit Korrekturfrist behoben. Eine Major-Abweichung — also ein Systemversagen — verhindern wir durch die internen Audits vorher: Wir prüfen Sie härter, als der Auditor es tut. In unseren Mandaten gilt: Wenn wir sagen, Sie sind Stage-2-bereit, dann sind Sie es. Fällt ein Audit dennoch durch, tragen wir die Nacharbeit im vereinbarten Rahmen mit.

Ein ISMS scheitert selten am Werkzeug und oft an der Pflege. Excel funktioniert bis etwa zur ersten Rezertifizierung — dann wird die Nachweisführung von Hand zur Fehlerquelle. Wir setzen auf schlanke, spezialisierte Werkzeuge für Risikoregister, Massnahmen und Nachweise und betreiben unser eigenes ISMS mit denselben Tools, die wir Ihnen einrichten. Entscheidend ist: Das Werkzeug muss zur Firmengrösse passen, nicht zum Prospekt des Herstellers.

Nein — bewusst und grundsätzlich nicht. Zertifikate stellt ausschliesslich eine unabhängige, akkreditierte Zertifizierungsstelle aus, die Sie direkt beauftragen. ITM baut Ihr System, bereitet Sie vor und sitzt im Audit an Ihrer Seite — aber Beratung und Zertifizierung müssen getrennt bleiben, sonst ist das Zertifikat nichts wert. Anbieter, die beides aus einer Hand versprechen, verkaufen einen Interessenkonflikt.

Ja, und das ist der Normalfall bei MedTech- und Fertigungsbetrieben. Die ISO-Managementnormen teilen sich die gleiche Grundstruktur (High Level Structure): Kontext, Führung, Planung, Betrieb, Bewertung, Verbesserung. Ein bestehendes 9001- oder 13485-System wird zum integrierten Managementsystem erweitert statt daneben ein zweites zu bauen — ein Management-Review, ein Auditprogramm, eine Dokumentenlenkung.

Kommt auf Grösse und Datenlage an: In Deutschland ist ein DSB ab 20 Personen mit regelmässiger Datenverarbeitung Pflicht, bei sensiblen Daten (Gesundheit, Finanzen) oft unabhängig davon. Ein externer DSB ist für den Mittelstand meist wirtschaftlicher als ein interner — keine Schulungskosten, keine Interessenkonflikte, klare Haftung. ITM stellt den externen DSB auf Wunsch im Rahmen von Professional.

Drei messbare Effekte: Sie kommen durch RFP-Filter, die ohne ISO 27001 aussortieren (immer häufiger Standard bei Konzernen und öffentlicher Hand). Sie verkürzen Sicherheits-Fragebögen von Wochen auf einen Anhang. Und Sie verbessern Ihre Position in Verhandlungen mit Versicherern (Cyber-Police) und Investoren (Due Diligence). Das Zertifikat ist ein Vertriebswerkzeug — deshalb hängt es so oft am konkreten Deal.

Manchmal ja — und dann sagen wir das. Wer keine Kunden- oder Regulierungsanforderung hat, fährt mit einem sauber betriebenen, ISO-orientierten Betrieb (Starter-Niveau) oft gut und spart die Auditkosten. Die Grenze: Sobald ein RFP, ein Grosskunde oder NIS2/DORA den formalen Nachweis verlangt, zählt „angelehnt“ nichts. Das Gap-Assessment beantwortet auch diese Frage ehrlich: Brauchen Sie das Zertifikat — oder nur die Substanz dahinter?

Ehrlich beziffert: In der Aufbauphase zwei bis vier Stunden pro Woche für Reviews und Entscheidungen, dazu die Mitwirkung der Prozess-Owner beim Verankern ihrer Abläufe. Im laufenden Mandat: zwei Management-Reviews pro Jahr, Ansprechbarkeit bei internen Audits und Vorfällen. Was wir nicht wegnehmen können: Entscheidungen. Was wir vollständig übernehmen: die Systemarbeit dahinter.

Sehr eng — eins zahlt aufs andere ein. Wer ein gelebtes ISO-27001-ISMS betreibt, erfüllt den Grossteil der NIS2-Anforderungen an Risikomanagement und technische Massnahmen bereits. Die NIS2-spezifischen Lücken sind vor allem die Meldeprozesse (24 h/72 h), die Pflichten der Leitungsebene und die Lieferkettenkontrolle. Deshalb bauen wir beides als ein System: ein Risikoregister, ein Massnahmenplan, zwei Nachweisziele.

Sie brauchen zuerst KI-Governance: ein Register Ihrer KI-Anwendungsfälle, Risikoklassifizierung nach EU AI Act, menschliche Aufsicht und Dokumentation. ISO 42001 ist der Management-Standard, der das systematisiert — sinnvoll, wenn KI geschäftskritisch wird oder Kunden den Nachweis verlangen. Wer KI mit ITM Core einführt, hat die Governance-Dokumentation ab Tag 1 mitgebaut; Professional formalisiert sie dann bis zur Zertifizierungsreife.

Ja. Der Massnahmenplan aus dem Gap-Assessment ist anbieterneutral formuliert — Ihr bestehender Dienstleister kann die technischen Lücken schliessen, wir bauen und betreiben das Managementsystem darüber. Die Schnittstelle kostet etwas Reibung (zwei Ansprechpartner, zwei Dokumentationen), funktioniert aber. Wirtschaftlicher ist meist das eine System aus einer Hand — das rechnen wir Ihnen transparent vor, entscheiden tun Sie.

Der Selbstcheck auf dieser Website ist eine Selbstauskunft: 20 Fragen, sofortiges Ergebnis, ehrliche Ersteinschätzung — kostenlos und ohne Registrierung. Das Gap-Assessment ist eine Fremdprüfung mit Substanz: Wir prüfen den tatsächlichen Betrieb inklusive Stichproben, bewerten jede Anforderung auf einer Fünfer-Skala und liefern Massnahmenplan plus Aufwandsschätzung zum Festpreis. Der Selbstcheck sagt Ihnen, ob Sie ein Thema haben; das Assessment sagt Ihnen, was es kostet, es zu lösen.

Ja, und das ist keine Formalie: Jede ISO-Managementnorm verlangt nachweisbares Commitment der Leitung, NIS2 macht die Leitungsorgane sogar persönlich haftbar für die Umsetzung. Konkret heisst das: Risikoentscheidungen treffen, am Management-Review teilnehmen, Ressourcen freigeben. Wir bereiten das so auf, dass es Führungsarbeit ist statt Papierkrieg — Kennzahlen, Entscheidungsvorlagen, klare Fragen.

Aus eigener Erfahrung (wir sind selbst durch Stage-1, Stage-2 und Überwachungsaudit gegangen): Policies werden quergelesen, Nachweise genau. Der Auditor will sehen, dass das System lebt — lückenlose Offboarding-Protokolle, dokumentierte Restore-Tests, ein Risikoregister mit Änderungshistorie, ein Management-Review mit echten Entscheidungen. Die häufigsten Befunde sind nicht fehlende Dokumente, sondern tote: beschrieben, aber nicht gelebt.

Ja. Wenn Ihr System steht und Sie nur vor dem Audit Sicherheit wollen, machen wir ein verdichtetes internes Audit mit Massnahmenliste und begleiten Sie durch Stage-1 und Stage-2. Ehrliche Einschränkung: Finden wir strukturelle Lücken, sagen wir das klar — eine Audit-Begleitung kann ein fehlendes System nicht sechs Wochen vor dem Termin ersetzen.

Sie wählen und beauftragen die akkreditierte Zertifizierungsstelle selbst — wir beraten bei der Auswahl (Branchenerfahrung, Auditsprache, Terminlage), bereiten alle angeforderten Unterlagen vor und sitzen im Audit an Ihrer Seite. Die Unabhängigkeit der Stelle ist Ihr Schutz: Sie garantiert, dass Ihr Zertifikat bei Kunden und Behörden etwas gilt.

Nach drei Jahren steht die Rezertifizierung an — ein vollständiges Audit wie beim ersten Mal. Dazwischen liegen zwei jährliche Überwachungsaudits. Für ein System im laufenden Mandat ist das Routine: Die Nachweise sind aktuell, weil sie im Betrieb entstehen. Für ein eingeschlafenes System ist jede dieser Stufen ein neues Projekt — genau der Zyklus, den das Betreibermodell durchbricht.

Ja — seit Januar 2025 nach ISO 27001 (Informationssicherheit) und ISO 9001 (Qualität), ausgestellt von einer unabhängigen, akkreditierten Zertifizierungsstelle. Wir haben Stage-1, Stage-2 und das Überwachungsaudit selbst durchlaufen und betreiben unser ISMS mit denselben Werkzeugen und Abläufen, die wir bei Kunden einsetzen. Wir empfehlen nichts, was wir nicht selbst leben.

Der typische Professional-Kunde hat 10 bis 250 Mitarbeitende: gross genug, dass Kunden oder Regulierer Nachweise verlangen, zu klein für eine eigene Compliance-Abteilung. Darunter lohnt sich meist der ISO-orientierte Betrieb ohne Zertifikat (Starter), darüber bauen wir eher mit Ihrer internen Organisation zusammen. Auch das sortiert das Gap-Assessment ehrlich ein.