Eine Control-Liste führen können die meisten ISMS-Tools. Die Unterschiede zeigen sich später: wenn der Auditor die Managementbewertung vom letzten Jahr sehen will, wenn das Verlängerungsangebot kommt oder wenn Sie wechseln möchten. Hier sind vier Kriterien, die über einen ganzen Zertifizierungszyklus tragen, und die Einordnung von devguard unter den Optionen.
Stellen Sie diese Fragen jedem Anbieter auf Ihrer Shortlist, auch uns. Die Antworten zählen mehr als die Feature-Liste.
Ihr Auditor will sehen, wie sich Statement of Applicability, Risikoregister, Managementbewertungen und Nichtkonformitäten über die Zeit verändert haben. Fragen Sie, ob jede Version datiert erhalten bleibt oder einfach überschrieben wird.
Fragen Sie, wo Kundendaten gehostet werden, wo KI-Funktionen laufen und welche Unterauftragsverarbeiter beteiligt sind. Zählen DSGVO oder revDSG für Ihre Kunden, klären Sie auch, ob On-Premise überhaupt möglich ist.
Ein Zertifikat läuft drei Jahre, vergleichen Sie also die Kosten über alle drei Jahre und nicht die erste Rechnung. Achten Sie auf einen publizierten Preis, auf das, was er enthält, und darauf, wie Verlängerungen bepreist werden.
Prüfen Sie, ob Sie alles in Standardformaten exportieren können, wie viel Arbeit ein Umzug hinein oder hinaus macht und ob jemand dabei hilft. Bei automatisierten Nachweisen zählt, ob Ihr eigener Stack abgedeckt ist, nicht die Zahl der Konnektoren.
devguard ist ein in der Schweiz gehosteter ISMS-Workspace der devguard AG in Bülach. Kundendaten bleiben in der Schweiz, KI-Funktionen laufen in der EU (Frankfurt), und On-Premise ist möglich. ISO 27001, SOC 2, DSGVO und revDSG laufen auf einem gemeinsamen Set von Controls, mit automatisierten Cloud-Nachweisen für AWS, Azure, GCP und Exoscale. Es gibt einen kostenlosen Plan und den Business-Plan für CHF 199 im Monat, und den Umzug aus einem bestehenden Tool erledigen wir von Hand, im Umfang vorab in einem Gespräch festgelegt. Das passt zu Teams, die Schweizer Hosting, einen planbaren Preis und Hilfe beim Wechsel wollen; braucht Ihr Stack andere Konnektoren als diese vier Clouds, fragen Sie uns, bevor Sie entscheiden.
Eine Tabelle kann ein Audit bestehen, und viele Organisationen zertifizieren so. Software lohnt sich zwischen den Audits: Reviews, Risiken und Nachweise aktuell halten und dem Auditor zeigen, was sich wann geändert hat. Ist Ihr ISMS klein und hält es eine Person am Laufen, reicht eine Tabelle vielleicht vorerst.
Das hängt von der Zahl der Nutzer ab, davon, wie viele Frameworks Sie betreiben, und davon, wie sich der Preis bei der Verlängerung entwickelt. Fragen Sie deshalb nach dem Preis im dritten Jahr, nicht nur im ersten. Manche Anbieter publizieren ihre Preise, viele erstellen Offerten im Einzelfall. Als ein Datenpunkt: devguard publiziert seinen Preis, mit einem kostenlosen Plan und Business für CHF 199 im Monat.
Das hängt davon ab, was Ihr Tool exportieren lässt. Lassen Sie sich vor der Unterschrift einen vollständigen Export in Standardformaten bestätigen, und planen Sie einen Wechsel so, dass das alte Setup aktiv bleibt, bis Sie das neue im direkten Vergleich geprüft haben. Wie wir dabei vorgehen, beschreibt unsere Seite zum Wechsel des ISO 27001-Tools zur Rezertifizierung.
Bringen Sie Ihre Shortlist und Ihren Stack mit. In einem kurzen Gespräch gehen wir die vier Fragen oben für devguard durch, auch dort, wo es nicht passt.