Unser Ansatz
Kein Checklisten-Ticket. Kein Panik-Verkauf.
Wir sind eine kleine Beratung für eine klare Zielgruppe: kleine und mittlere Unternehmen in Deutschland. Das bedeutet: ein Ansprechpartner, nachvollziehbare Empfehlungen — und Empfehlungen, die ein Mittelständler auch umsetzen kann.
Grundsätze
Vier Dinge, die wir nicht verhandelbar machen.
Alles andere — Umfang, Werkzeuge, Rhythmus — passt sich Ihrem Unternehmen an.
Nachvollziehbar
Jede Empfehlung kommt mit Grund, Risiko und Alternative. Sie wissen immer, warum — und was es kostet, es nicht zu tun.
Pragmatisch
Sicherheit für 200 Mitarbeiter sieht anders aus als für einen Konzern. Wir bauen, was zu Ihrer Größe passt — nicht die teuerste Variante.
Nachweisbar
Was wir tun, muss halten: gegenüber Prüfern, Kunden — und in drei Jahren, wenn andere Entscheidungen tragen müssen. Dokumentation ist kein Extra.
Einer, nicht viele
Ein Ansprechpartner von der Ersteinordnung bis zum Audit. Kein Ping-Pong zwischen Analyst, Consultant und Accountant.
Wie wir vorgehen
Methodik ohne Mystik.
Drei Entscheidungen, die unser Vorgehen bestimmen — unabhängig davon, welches Angebot Sie bei uns buchen.
Anerkannte Methoden, kein Zauber
Die Basis sind BSI IT-Grundschutz und ISO 27002. Kein Proprietäres, keine Blackbox: Prüfer kennen die Methoden, und sie sind auch in drei Jahren noch Standard.
Risiko vor Volumen
Erst priorisieren, dann bauen. Ein ISMS mit 400 nicht umgesetzten Maßnahmen ist kein ISMS — es ist eine Excel-Datei.
Schrittweise, messbar
Jede Phase hat ein Ergebnis, das Sie behalten. Zwischenstände sind nutzbar, nicht Vertriebsmittel.
FAQ
Kurz und ehrlich.
Was kostet ein ISMS-Projekt?
Das hängt von Umfang, Branche und Ziel ab — eine seriöse Spanne gibt es erst nach der ersten Analyse. Was wir Ihnen aber jetzt sagen: Sie erhalten vor Vertragsbeginn ein Festangebot mit klarem Umfang. Keine Tag-&-Rate-Überraschungen.
Wie lange dauert die ISO-27001-Zertifizierung?
Realistisch 4–8 Monate, je nach Ausgangslage. Die erste Risikobewertung steht nach 4–6 Wochen — damit ist der größte Teil der Arbeit getan, und Sie haben schon Wert aus dem Projekt.
Müssen wir intern Kapazität einplanen?
Ja, aber planbar: typischerweise 10–20 % eines Ansprechpartners aus IT und Geschäftsführung. Wer das mitbringt, definieren wir im Vorfeld gemeinsam.
Arbeitet ihr remote oder vor Ort?
Beides. Analyse und Umsetzung laufen überwiegend remote; Workshops, Schulungen und Audits machen wir gern in Ihrem Haus.
Was, wenn ihr findet, was wir nicht beheben können?
Dann dokumentieren wir das Risiko bewusst (Risk Acceptance), priorisieren es, und Sie entscheiden. Kein Stillstand, kein Drama — ein Managementprozess mit dokumentierter Entscheidung.
Bleibt ihr nach dem Projekt dabei?
Auf Wunsch ja: ein Betriebsmodell mit definierter Verfügbarkeit, Review-Rhythmus und einem festen Ansprechpartner. Aber nicht, weil es müsste.
Die erste Analyse ist der beste Ort, um anzufangen.
30 Minuten, unverbindlich, ohne Verkaufsshow. Danach wissen Sie, wo Sie stehen — und was es kostet, es nicht zu wissen.