Mit einer Standortbestimmung: einem strukturierten Blick auf den Ist-Stand, organisatorisch und technisch, bevor irgendein Werkzeug eingeführt wird. Einen ersten Eindruck gibt der Compliance-Readiness-Check, Ihre Antworten werden nicht gespeichert. Im kostenlosen Erstgespräch ordnen wir ein, welche Anforderungen Sie betreffen, und schlagen einen ersten Schritt vor. Wenn etwas nicht nötig ist, sagen wir das auch.

Brauchen wir ISO 27001, um NIS2 zu erfüllen?

Nein, NIS2 schreibt kein Zertifikat vor, und ein eigenes NIS2-Zertifikat gibt es nicht. Ein ISMS nach ISO 27001 ist aber eine tragfähige Grundlage, weil es viele der verlangten Maßnahmen abdeckt. Das BSI weist darauf hin, dass ein Zertifikat die Prüfung gegen die gesetzlichen Pflichten nicht ersetzt. Deshalb gleichen wir beides ab.

Zertifizieren Sie uns?

Nein. Wir bereiten Sie auf die Zertifizierung vor, zertifizieren aber nicht selbst. Ein Zertifikat nach ISO 27001 stellt eine akkreditierte Zertifizierungsstelle aus, das TISAX-Assessment führt ein zugelassener Prüfdienstleister durch. Wir setzen Maßnahmen mit Ihnen um, führen interne Audits durch und bündeln die Nachweise. Diese Trennung ist gewollt: Wer berät, prüft nicht dasselbe Unternehmen. Interne Audits führen bei uns Personen durch, die Sie nicht beraten haben.

Können Sie garantieren, dass wir das Audit bestehen?

Nein, und das sollte niemand. Über das Ergebnis entscheidet die unabhängige Stelle. Was wir zusagen: Sie gehen mit einem klaren Stand ins Audit. Jede Einstufung ist herleitbar, jeder Nachweis hängt an der Anforderung, die er belegt, und offene Punkte sind als offen erkennbar statt versteckt.

Wie viel Arbeit bleibt bei uns?

Die Arbeit übernehmen wir: Richtlinien entwerfen, Risikoworkshops moderieren, Nachweise einsammeln, die Anwendbarkeitserklärung vorbereiten, technische Maßnahmen umsetzen und interne Audits durchführen. Bei Ihnen bleiben die Entscheidungen: Geltungsbereich, Einstufungen, Risiken, Freigaben. Das ist gewollt, denn die Verantwortung für Informationssicherheit liegt bei der Leitung. Ihre Mitarbeitenden bringen in den Workshops ihr Wissen über die Abläufe ein, und Erinnerungen bekommen die Zuständigen nur, wenn etwas ansteht.

Können Sie die Rolle des Informationssicherheitsbeauftragten übernehmen?

Ja. Wenn Sie die Rolle nicht intern besetzen möchten, übernehmen wir sie als externer Informationssicherheitsbeauftragter: Wir steuern das ISMS im Alltag und berichten an die Leitung. Die Verantwortung der Geschäftsleitung bleibt davon unberührt.

Unterstützen Sie bei TISAX auch die Selbsteinschätzung?

Ja. Wir gehen die Selbsteinschätzung mit Ihnen entlang des aktuellen Katalogs ISA2027 durch, leiten daraus die fehlenden Maßnahmen ab und bereiten das Assessment beim Prüfdienstleister vor.

Was kostet das, und wie lange dauert es?

Beides hängt vom Ausgangszustand und vom Umfang ab, zum Beispiel davon, wie viele Standorte dazugehören und was schon vorhanden ist. Den Umfang stimmen wir mit Ihnen ab, der Preis steht vorher fest. Den Betrag nennen wir auf Anfrage. Wie lange es dauert, können wir nach der Standortbestimmung sagen.

Wir haben schon ein ISMS oder Excel-Listen. Fangen wir von vorn an?

Nein. Bestehende Nachweise, Maßnahmen und Risiken überführen wir. Was schon trägt, bleibt; die Gap-Analyse zeigt, was fehlt.

Müssen wir NXN Compliance OS nutzen?

Nein. Wir arbeiten gern damit, weil Anforderungen, Nachweise und technische Prüfung dort zusammenlaufen. Nutzen Sie schon ein eigenes ISMS-Werkzeug, können Sie unsere Beratung auch ohne NXN Compliance OS buchen.

Wo liegen unsere Nachweise, und wer sieht sie?

Selbst gehostet oder in der Private Cloud in einem Rechenzentrum in Deutschland, mandantenfähig, mit revisionssicherem Audit-Log und Rollenmodell. Den Betrieb übernimmt immer NetzExperten. Ihre Nachweise bleiben dort, wo Sie sie haben wollen. Auditoren bekommen ein Portal mit begrenztem Zugriff. Bei Kündigung erhalten Sie einen Datenexport.

Wie geht NXN Compliance OS mit KI-Vorschlägen um?

Was das System vorschlägt, ist gekennzeichnet. Erst die Bestätigung eines Menschen wirkt auf Kennzahlen und Anwendbarkeitserklärung. Die Vorschläge entstehen lokal oder per API, dann ohne Training und in Deutschland gehostet.

Leistungsbereich · Compliance

Viele Anforderungen. Eine Grundlage.

NIS2, ISO 27001, TISAX und KI-Governance, organisatorisch und technisch: mit Nachweisen, die an der Anforderung hängen, und einer Prüfung, ob das Dokumentierte auch wirkt. Eine Maßnahme zählt für jeden Katalog, der sie verlangt. Die Arbeit übernehmen wir, die Entscheidungen treffen Sie.

Erstgespräch anfragen Wo stehen Sie heute?

kostenlos · 30 Minuten · telefonisch oder online

Das GesetzNIS2
Ihre KundenISO 27001 · TISAX
Ihre KI-NutzungEU AI Act
Der Alltag danachManaged Compliance

Eine Anforderung, eine Zeile

Beispiel

Anforderung: Zugriffsrechte regeln und regelmäßig überprüfen
Maßnahme: Rechte nach Rollen vergeben, Überprüfung im festgelegten Takt
Zuständig: IT-Leitung
Nachweis: Freigegeben · gültig
Zuletzt technisch geprüft: Prüflauf ohne Abweichung
Zählt für: ISO 27001TISAXBSI IT-Grundschutz

Vorschlag bestätigt durch: Informationssicherheit

Vier Richtungen, ein Register.

Worauf Sie sich stützen können

Mitglied der Allianz für Cyber-Sicherheit · Mitglied im KI Bundesverband

Eigene Plattform

NXN Compliance OS für ISO 27001:2022, BSI IT-Grundschutz und TISAX (ISA2027)

Zur Plattform

Klare Rollen

Wer berät, prüft nicht dasselbe Unternehmen: Wir bereiten Sie auf die Zertifizierung vor, das Zertifikat vergibt eine unabhängige Stelle. Interne Audits führen bei uns Personen durch, die Sie nicht beraten haben.

Wer was macht

Compliance-Projekte für ein Softwarehaus und einen FahrzeugherstellerTeam

Anlass

Woher kommt Ihre Anforderung?

Welche Regeln Sie wirklich betreffen, hängt davon ab, woher die Anforderung kommt: aus einem Gesetz, von Ihren Kunden, aus Ihrer eigenen KI-Nutzung oder aus dem Alltag nach einem Audit. Meist sind es mehrere. Am Ende laufen sie auf dieselbe Grundlage hinaus.

1 · Das Gesetz→ NIS2
Situation
Die Geschäftsführung hat von NIS2 gelesen und fragt, ob das Unternehmen betroffen ist.
Auch das verarbeitende Gewerbe, etwa Maschinen- und Fahrzeugbau, gehört zu den erfassten Sektoren.
Erster Schritt
Betroffenheit klären. Ob Sie unter NIS2 fallen, hängt unter anderem von Sektor und Größe ab. Der NIS2-Check gibt eine erste Einschätzung, verbindlich klären wir es im Gespräch.
Was Sie danach haben
Eine begründete Einschätzung Ihrer Betroffenheit und, falls Sie betroffen sind, eine Gap-Analyse mit priorisierten Maßnahmen.
Zu NIS2 NIS2-Check Dazu ein Erstgespräch anfragen
2 · Ihre Kunden→ ISO 27001 · TISAX
Situation
Eine Ausschreibung verlangt ISO 27001, ein Kunde schickt einen Sicherheitsfragebogen, oder Ihr Auftraggeber aus der Automobilindustrie verlangt ein TISAX-Label.
TISAX ist das Prüfverfahren der Automobilindustrie für Informationssicherheit bei Zulieferern und Dienstleistern. Das Ergebnis ist ein Label, das Ihre Kunden einsehen können.
Erster Schritt
Eine Gap-Analyse: Für jede Anforderung, was schon da ist, welcher Nachweis gebraucht wird und welche Maßnahme mit welchem Aufwand fehlt. Bei TISAX unterstützen wir Sie auch bei der Selbsteinschätzung, mit der das Verfahren beginnt.
Was Sie danach haben
Einen Maßnahmenplan mit Zuständigkeiten und Fristen und Nachweise, die für ISO 27001 und TISAX zugleich zählen.
Zu ISO 27001 Zu TISAX Dazu ein Erstgespräch anfragen
3 · Ihre eigene KI-Nutzung→ KI-Governance / EU AI Act
Situation
Mitarbeitende nutzen KI-Werkzeuge, aber niemand weiß vollständig, welche und wofür.
Erster Schritt
Den Bestand erfassen: Welche KI-Anwendungen werden wofür genutzt? Der EU-AI-Act-Check gibt eine erste Einordnung.
Was Sie danach haben
Ein Verzeichnis Ihrer KI-Anwendungen, eine Einordnung nach EU AI Act und Regeln dafür, welche Daten in welches Werkzeug dürfen.
Zu KI-Governance / EU AI Act EU-AI-Act-Check Dazu ein Erstgespräch anfragen
4 · Der Alltag danach→ Managed Compliance
Situation
Sie sind zertifiziert, und jetzt laufen Nachweise ab, Systeme ändern sich, und das nächste Audit kommt.
Erster Schritt
Bestehende Nachweise, Maßnahmen und Risiken übernehmen. Sie fangen nicht von vorn an.
Was Sie danach haben
Aktuelle Nachweise an den Anforderungen, Fristen und Aufgaben mit Erinnerungen, wiederkehrende technische Prüfung, interne Audits, Managementbericht und Auditoren-Paket. Auf Wunsch übernehmen wir auch die Rolle des externen Informationssicherheitsbeauftragten.
Zu Managed Compliance Dazu ein Erstgespräch anfragen

Ihr Anlass ist nicht dabei, oder es sind mehrere? Das ist der Normalfall. Im Erstgespräch ordnen wir ein, was Sie betrifft und womit Sie anfangen. → Erstgespräch anfragen

Grundlage

Eine Arbeit, mehrfach angerechnet.

ISO 27001, BSI IT-Grundschutz und TISAX verlangen vieles, das sich deckt: Zugriffsrechte, Umgang mit Schwachstellen, Datensicherung, Schulung. In einem gemeinsamen Register steht jede Anforderung einmal, mit Maßnahme, Zuständigkeit, Nachweis und dem letzten Prüflauf. Was Sie einmal einrichten, zählt für jeden Katalog, der es verlangt.

Beispiel · Rollen statt Namen

Markiert sind die Zeilen, die für den gewählten Katalog zählen.

Beispiel-Register: Anforderungen mit Maßnahme, Zuständigkeit, Nachweis, letztem Prüflauf und den Katalogen, für die sie zählen
Anforderung	Maßnahme	Zuständig	Nachweis	Zuletzt technisch geprüft	Zählt für
Anforderung	Maßnahme	Zuständig	Nachweis	Zuletzt technisch geprüft	ISO 27001	TISAX	BSI
Zugriffsrechte regeln	MaßnahmeRechte nach Rollen, Überprüfung im festgelegten Takt	ZuständigIT-Leitung	Nachweisfreigegeben · gültig	Zuletzt technisch geprüftPrüflauf ohne Abweichung	ISO 27001: zählt	TISAX: zählt	BSI: zählt
Schwachstellen behandeln	MaßnahmePrüfläufe im Takt, Befunde mit Frist	ZuständigIT-Leitung	Nachweisfreigegeben · gültig	Zuletzt technisch geprüftPrüflauf: ein offener Befund mit Frist	ISO 27001: zählt	TISAX: zählt	BSI: zählt
Sicherheitsvorfälle bewältigen	MaßnahmeMeldeweg und Zuständigkeiten festgelegt	ZuständigInformationssicherheit	Nachweisläuft bald ab	Zuletzt technisch geprüftorganisatorisch, kein Prüflauf	ISO 27001: zählt	TISAX: zählt	BSI: zählt
Datensicherung prüfen	MaßnahmeWiederherstellung regelmäßig testen	ZuständigIT-Leitung	NachweisNachweis fehlt	Zuletzt technisch geprüftorganisatorisch, kein Prüflauf	ISO 27001: zählt	TISAX: zählt	BSI: zählt
Lieferanten bewerten	MaßnahmeSicherheitsanforderungen in Verträgen, Bewertung vor Beauftragung	ZuständigEinkauf	Nachweisin Freigabe	Zuletzt technisch geprüftorganisatorisch, kein Prüflauf	ISO 27001: zählt	TISAX: zählt	BSI: zählt
Mitarbeitende schulen	MaßnahmeSchulung bei Eintritt und wiederkehrend	ZuständigPersonal	Nachweisfreigegeben · gültig	Zuletzt technisch geprüftorganisatorisch, kein Prüflauf	ISO 27001: zählt	TISAX: zählt	BSI: zählt
Prototypen schützen	MaßnahmeZutritt und Umgang mit Prototypen geregelt	ZuständigEntwicklung	Nachweisin Freigabe	Zuletzt technisch geprüftorganisatorisch, kein Prüflauf	ISO 27001: zählt nicht	TISAX: zählt	BSI: zählt nicht

Status immer als Text: freigegeben · gültig / läuft bald ab / in Freigabe / Nachweis fehlt

Drei Kataloge in der Tiefe
ISO 27001:2022, BSI IT-Grundschutz und TISAX, versioniert und mit Zuordnungen zwischen den Katalogen.
Eine Maßnahme, mehrfach angerechnet
Was Sie einmal einrichten, zählt für jeden Katalog, der es verlangt.
Ein Nachweis, ein Ablageort
Der Beleg hängt an der Anforderung, die er belegt. Nicht dreimal in drei Ordnerstrukturen.

Und NIS2?

Ein ISMS nach ISO 27001, also ein Managementsystem, das Informationssicherheit planbar und überprüfbar macht, ist eine tragfähige Grundlage für NIS2. Das BSI weist aber darauf hin: Ein Zertifikat ersetzt die Prüfung gegen die gesetzlichen Pflichten nicht, und ein eigenes NIS2-Zertifikat gibt es nicht. Deshalb gleichen wir beides ab: was Ihr ISMS schon abdeckt und was NIS2 darüber hinaus verlangt.

NIS2 ist kein eigener Katalog in NXN Compliance OS. Viele NIS2-Maßnahmen lassen sich über ein ISMS nach ISO 27001 abbilden und nachweisen.

Für TISAX gilt ab 2027 der neue Prüfkatalog ISA2027 („ISA“ ist der Fragenkatalog, nach dem geprüft wird). Er ist auf ISO 27001:2022 abgestimmt, was die gemeinsame Grundlage weiter stärkt. NXN Compliance OS arbeitet bereits mit ISA2027.

So arbeitet NXN Compliance OS

Ablauf

Wie das abläuft, und wer was macht.

Compliance ist kein Projekt mit Enddatum, sondern ein Kreislauf. Ein Zertifikat nach ISO 27001 gilt drei Jahre, mit jährlichen Überwachungsaudits dazwischen. Die Arbeit dazwischen übernehmen wir. Zu jeder Station sehen Sie, was wir tun, was Sie entscheiden und was eine unabhängige Stelle prüft.

Das übernehmen wirDas entscheiden SieDas prüft eine unabhängige Stelle

Einstieg: Standortbestimmung, bevor ein Werkzeug eingeführt wird
Aufbau bis zum Audit (Stationen 2 bis 6)
Laufzeit des Zertifikats: drei Jahre, danach zurück zu Station 2

1 · Standortbestimmung

Einstieg

Das übernehmen wir: Ein strukturierter Blick auf den Ist-Stand, organisatorisch und technisch, bevor irgendein Werkzeug eingeführt wird.
Das entscheiden Sie: Welche Standorte, Bereiche und Systeme dazugehören (Geltungsbereich).
Das prüft eine unabhängige Stelle: – Bei dieser Station prüft keine unabhängige Stelle.

2 · Gap-Analyse

Aufbau

Das übernehmen wir: Pro Anforderung: Einstufung, benötigter Nachweis, Maßnahme mit Aufwand. Bei TISAX unterstützen wir die Selbsteinschätzung. Was das System vorschlägt, ist gekennzeichnet.
Das entscheiden Sie: Sie bestätigen die Einstufungen. Erst dann wirken sie auf Kennzahlen und Anwendbarkeitserklärung.
Das prüft eine unabhängige Stelle: – Bei dieser Station prüft keine unabhängige Stelle.

3 · Risiken, Richtlinien, Anwendbarkeitserklärung

Aufbau

Das übernehmen wir: Risikoworkshops mit Ihren Verantwortlichen moderieren, Risiken ohne und mit Ihren Maßnahmen bewerten, Richtlinien entwerfen, die Anwendbarkeitserklärung vorbereiten, Maßnahmen mit Zuständigkeit, Frist und benötigtem Nachweis planen.
Das entscheiden Sie: Welche Risiken Sie tragen (auch befristet), welche Maßnahmen umgesetzt werden, welche Richtlinien gelten.
Das prüft eine unabhängige Stelle: – Bei dieser Station prüft keine unabhängige Stelle.

4 · Umsetzen und nachweisen

Aufbau

Das übernehmen wir: Technische Maßnahmen umsetzen, Nachweise einsammeln und an der Anforderung ablegen. Technische Prüfläufe nur gegen freigegebene Ziele; Ergebnisse landen an der betroffenen Anforderung. Erinnerungen an die Zuständigen, wenn etwas ansteht.
Das entscheiden Sie: Welche Nachweise Sie freigeben. Organisatorische Regeln leben Ihre Mitarbeitenden im Alltag.
Das prüft eine unabhängige Stelle: – Bei dieser Station prüft keine unabhängige Stelle.

5 · Internes Audit und Managementbewertung

Aufbau

Das übernehmen wir: Interne Audits nach ISO 27001 durchführen und die Unterlagen für die Managementbewertung vorbereiten.
Das entscheiden Sie: Die Leitung bewertet, ob das ISMS wirkt, und legt nächste Schritte fest.
Das prüft eine unabhängige Stelle: – Bei dieser Station prüft keine unabhängige Stelle.

6 · Audit oder Assessment

Erstzertifizierung

Das übernehmen wir: Nachweise gebündelt: Auditoren-Paket mit Prüfsummen-Manifest, Auditoren-Portal mit begrenztem Zugriff. Vorbereitung auf die Gespräche mit den Auditoren. Zertifizieren tun wir nicht selbst.
Das entscheiden Sie: Sie beauftragen die Zertifizierungsstelle bzw. den TISAX-Prüfdienstleister.
Das prüft eine unabhängige Stelle: Die Zertifizierungsstelle prüft und zertifiziert nach ISO 27001. Bei TISAX prüft ein zugelassener Prüfdienstleister, das Ergebnis wird als Label über die ENX bereitgestellt.

7 · Laufende Pflege

Jahr 1 und 2

Das übernehmen wir: Nachweise mit Ablaufdatum, wiederkehrende Prüfläufe, interne Audits, Managementbericht. Auf Wunsch als Managed Compliance, auf Wunsch mit externem Informationssicherheitsbeauftragten.
Das entscheiden Sie: Welche Änderungen umgesetzt werden, wenn sich Systeme oder Anforderungen ändern.
Das prüft eine unabhängige Stelle: Jährliche Überwachungsaudits (ISO 27001).

8 · Rezertifizierung

Jahr 3

Das übernehmen wir: Dieselbe Grundlage, aktualisiert. Sie fangen nicht von vorn an.
Das entscheiden Sie: Sie beauftragen die Rezertifizierung bzw. das erneute Assessment.
Das prüft eine unabhängige Stelle: Rezertifizierungsaudit nach drei Jahren; TISAX-Labels gelten in der Regel drei Jahre.

Alle Stationen als Tabelle

Der Kreislauf: wer was macht
Station	Das übernehmen wir	Das entscheiden Sie	Das prüft eine unabhängige Stelle
1 · Standortbestimmung	Ein strukturierter Blick auf den Ist-Stand, organisatorisch und technisch, bevor irgendein Werkzeug eingeführt wird.	Welche Standorte, Bereiche und Systeme dazugehören (Geltungsbereich).	– Bei dieser Station prüft keine unabhängige Stelle.
2 · Gap-Analyse	Pro Anforderung: Einstufung, benötigter Nachweis, Maßnahme mit Aufwand. Bei TISAX unterstützen wir die Selbsteinschätzung. Was das System vorschlägt, ist gekennzeichnet.	Sie bestätigen die Einstufungen. Erst dann wirken sie auf Kennzahlen und Anwendbarkeitserklärung.	– Bei dieser Station prüft keine unabhängige Stelle.
3 · Risiken, Richtlinien, Anwendbarkeitserklärung	Risikoworkshops mit Ihren Verantwortlichen moderieren, Risiken ohne und mit Ihren Maßnahmen bewerten, Richtlinien entwerfen, die Anwendbarkeitserklärung vorbereiten, Maßnahmen mit Zuständigkeit, Frist und benötigtem Nachweis planen.	Welche Risiken Sie tragen (auch befristet), welche Maßnahmen umgesetzt werden, welche Richtlinien gelten.	– Bei dieser Station prüft keine unabhängige Stelle.
4 · Umsetzen und nachweisen	Technische Maßnahmen umsetzen, Nachweise einsammeln und an der Anforderung ablegen. Technische Prüfläufe nur gegen freigegebene Ziele; Ergebnisse landen an der betroffenen Anforderung. Erinnerungen an die Zuständigen, wenn etwas ansteht.	Welche Nachweise Sie freigeben. Organisatorische Regeln leben Ihre Mitarbeitenden im Alltag.	– Bei dieser Station prüft keine unabhängige Stelle.
5 · Internes Audit und Managementbewertung	Interne Audits nach ISO 27001 durchführen und die Unterlagen für die Managementbewertung vorbereiten.	Die Leitung bewertet, ob das ISMS wirkt, und legt nächste Schritte fest.	– Bei dieser Station prüft keine unabhängige Stelle.
6 · Audit oder Assessment	Nachweise gebündelt: Auditoren-Paket mit Prüfsummen-Manifest, Auditoren-Portal mit begrenztem Zugriff. Vorbereitung auf die Gespräche mit den Auditoren. Zertifizieren tun wir nicht selbst.	Sie beauftragen die Zertifizierungsstelle bzw. den TISAX-Prüfdienstleister.	Die Zertifizierungsstelle prüft und zertifiziert nach ISO 27001. Bei TISAX prüft ein zugelassener Prüfdienstleister, das Ergebnis wird als Label über die ENX bereitgestellt.
7 · Laufende Pflege	Nachweise mit Ablaufdatum, wiederkehrende Prüfläufe, interne Audits, Managementbericht. Auf Wunsch als Managed Compliance, auf Wunsch mit externem Informationssicherheitsbeauftragten.	Welche Änderungen umgesetzt werden, wenn sich Systeme oder Anforderungen ändern.	Jährliche Überwachungsaudits (ISO 27001).
8 · Rezertifizierung	Dieselbe Grundlage, aktualisiert. Sie fangen nicht von vorn an.	Sie beauftragen die Rezertifizierung bzw. das erneute Assessment.	Rezertifizierungsaudit nach drei Jahren; TISAX-Labels gelten in der Regel drei Jahre.

Wie lange es dauert, hängt vom Ausgangszustand ab. Nach der Standortbestimmung können wir es Ihnen sagen.

Was es kostet: Den Umfang stimmen wir mit Ihnen ab, der Preis steht vorher fest. Den Betrag nennen wir auf Anfrage.

Wir ordnen Anforderungen ein und setzen sie organisatorisch und technisch um. Die rechtsverbindliche Auslegung im Einzelfall bleibt Sache Ihrer Rechtsberatung.

Technische Prüfung

Stimmt, was in den Unterlagen steht?

Ein Nachweis sagt, was einmal eingerichtet wurde. Er sagt nicht, ob es heute noch so ist. Deshalb prüfen wir mit eigenem Prüfwerkzeug technisch nach, durch Netzwerk-Scan und automatisierte Pentests, deren Ergebnisse direkt an der betroffenen Anforderung landen.

Dokumentiert ist nicht gleich wirksam.

Beispiel

DokumentiertRichtlinie: Zertifikate werden rechtzeitig erneuert.
Geprüft
Prüflauf ausstehend
Prüflauf: TLS-Zertifikat auf mail.beispiel.de läuft bald ab.
Abweichung
DokumentiertWerteinventar: vollständig gepflegt.
Geprüft
Prüflauf ausstehend
Netzwerk-Scan: ein Dienst, der in keiner Liste steht.
Abweichung
DokumentiertSchwachstellen werden zeitnah behoben.
Geprüft
Prüflauf ausstehend
Prüflauf: veraltete Version mit bekannter Schwachstelle.
Abweichung
DokumentiertVerschlüsselung nach Stand der Technik.
Geprüft
Prüflauf ausstehend
Prüflauf: schwache Verschlüsselung an einem erreichbaren Dienst.
Abweichung
DokumentiertRichtlinie: Zugriff nur über VPN.
Geprüft
Prüflauf ausstehend
Prüflauf: Zugriff von außen nur über VPN möglich.
Keine Abweichung

Beispiel, keine Kundendaten. Jeder Befund landet an der betroffenen Anforderung im Register.

Eigenes Prüfwerkzeug von NetzExperten, kein zugekaufter Scanner-Report
Wiederholbare Prüfläufe statt einer Momentaufnahme im Jahresbericht
Nur gegen freigegebene Ziele, jeder Lauf im Audit-Log
Sie legen fest: was, wie tief, wie oft. Wartungsfenster und Freigabe je Ziel. Nichts läuft ungeplant, nichts läuft unprotokolliert.

Findet ein Prüflauf etwas, bleibt es nicht beim Befund: Die technische Maßnahme setzen wir mit um, und der nächste Prüflauf zeigt, ob sie wirkt.

Für die Tiefe gibt es den manuellen Pentest durch unsere Sicherheitsforscher. Netzwerk-Scan und automatisierte Pentests ergänzen ihn und prüfen dazwischen, damit neue Lücken nicht bis zum nächsten Test unbemerkt bleiben.

Technische Prüfung in NXN Compliance OS Zu Pentesting

Plattform

Das Werkzeug hinter der Beratung.

NXN Compliance OS führt Anforderungen, Maßnahmen, Nachweise und die technische Prüfung in einem System zusammen. Wir haben es selbst entwickelt und arbeiten damit in unseren Projekten. Nutzen Sie schon ein eigenes ISMS-Werkzeug, können Sie unsere Beratung auch ohne NXN Compliance OS buchen.

Vorschlag ist keine Aussage
Was das System vorschlägt, ist gekennzeichnet. Erst die Bestätigung eines Menschen wirkt auf Kennzahlen und Anwendbarkeitserklärung.
Jede Zahl ist herleitbar
Zu jedem Vollständigkeitsgrad gehört die Ausschlussquote und der Weg, auf dem er entstanden ist.
Nichts verschwindet still
Wird ein Plan neu erzeugt, bleibt menschliche Arbeit erhalten; Entfallenes wird als hinfällig markiert statt gelöscht.

Anwendbarkeitserklärung: die Übersicht nach ISO 27001, welche Maßnahmen der Norm für Ihr Unternehmen gelten und warum.

Ihr Standort
Selbst gehostet oder in der Private Cloud in einem Rechenzentrum in Deutschland. Ihre Nachweise bleiben dort, wo Sie sie haben wollen. Den Betrieb übernimmt immer NetzExperten.
Nachvollziehbar
Mandantenfähig, mit revisionssicherem Audit-Log und Rollenmodell.
Für Auditoren
Ein Auditoren-Portal mit begrenztem Zugriff sowie ein Exportpaket mit Prüfsummen-Manifest. Der Beleg hängt an der Anforderung, die er belegt.
Ihre Daten
Bei Kündigung erhalten Sie einen Datenexport.
Kataloge aktuell
Jährliche ISA-Pflege, alte Versionen bleiben nutzbar.
KI-Vorschläge
Lokal oder per API, dann ohne Training und in Deutschland gehostet. Ein Mensch bestätigt.

Kataloge heute: ISO 27001:2022 mit Kapitel 4–10 und Annex A, BSI IT-Grundschutz und TISAX nach ISA2027, versioniert und mit Zuordnungen zwischen den Katalogen. Bewusst drei Kataloge in der Tiefe statt zwölf an der Oberfläche.

NXN Compliance OS ansehen Live-Demo vereinbaren

Team

Beratung, Audit und Technik in einem Team.

In unserem Team arbeiten Compliance-Beratung, Audit, technische Prüfung und Entwicklung zusammen. Wer Ihre Gap-Analyse macht, sitzt neben denen, die prüfen, ob die Maßnahmen technisch wirken, und neben denen, die NXN Compliance OS entwickeln. Sie sprechen mit den Menschen, die Ihr Vorhaben bearbeiten.

Im Team:IT-Security-Auditor

Wer hinter NetzExperten steht

Compliance-Beratung
Gap-Analyse, Risikoworkshops, Richtlinien, Anwendbarkeitserklärung und Maßnahmenplanung.
Audit
Interne Audits nach ISO 27001 durch Personen, die Sie nicht beraten haben, Unterstützung bei der TISAX-Selbsteinschätzung, Auditvorbereitung und Bewertung von Nachweisen.
Technische Prüfung
Sicherheitsforscher und eigenes Prüfwerkzeug: prüfen, ob das Dokumentierte wirkt, und setzen technische Maßnahmen mit um.
Entwicklung
Die Plattform kommt vom selben Team und wird mit der Praxis weiterentwickelt.

Externer Informationssicherheitsbeauftragter

Ein Informationssicherheitsbeauftragter (ISB) steuert das ISMS im Alltag und berichtet an die Leitung. Wenn Sie die Rolle nicht intern besetzen möchten, übernehmen wir sie. Die Verantwortung der Geschäftsleitung für die Informationssicherheit bleibt davon unberührt.

Zu Managed Compliance

Aus unseren Compliance-Projekten: ein Softwarehaus, ein Fahrzeughersteller.Was zu Ihrem Anlass passt, klären wir im Erstgespräch.

Stand: Oktober 2026

Was gerade gilt, mit Datum.

Eine Orientierung, kein Rechtsgutachten. Ob und wie Sie betroffen sind, klären wir im Einzelfall.

Stand: Oktober 2026
Regel	Stand Oktober 2026	Mehr
NIS2	Seit dem 6. Dezember 2025 gelten in Deutschland die Pflichten aus NIS2, ohne allgemeine Übergangsfrist. Die Geschäftsleitung billigt die Maßnahmen, überwacht ihre Umsetzung und muss sich selbst schulen lassen.	NIS2-Check NIS2
ISO 27001	Zertifiziert wird nach der Fassung ISO/IEC 27001:2022. Ein Zertifikat gilt drei Jahre, mit jährlichen Überwachungsaudits.	ISO 27001
TISAX	Für Assessments, die ab dem 1. Januar 2027 beauftragt werden, gilt der neue Katalog ISA2027. Bestehende Labels bleiben für ihre Laufzeit gültig. Der Katalog wird künftig jährlich aktualisiert. NXN Compliance OS arbeitet bereits mit ISA2027.	TISAX
EU AI Act	Was gilt, hängt davon ab, wofür Sie KI einsetzen. Für die meisten Anwendungen geht es heute um Maßnahmen zur KI-Kompetenz der Mitarbeitenden und um Transparenz, wo Menschen mit KI interagieren. Zusätzliche Pflichten für Hochrisiko-Anwendungen, etwa bei der Auswahl von Bewerbern, gelten ab Dezember 2027, für KI in bestimmten regulierten Produkten ab August 2028.	EU-AI-Act-Check KI-Governance

Keine Rechtsberatung. Ob und wie Sie betroffen sind, klären wir im Einzelfall. Stand: Oktober 2026.

Fragen

Häufige Fragen zur Compliance.

Was mit Compliance zusammenhängt.

Cybersecurity

Die Maßnahmen, die Sie nachweisen, setzen wir auch mit um und prüfen sie, manuell durch unsere Sicherheitsforscher. Welche Leistungen zu welchen NIS2-Pflichten beitragen, zeigt die Bereichsseite Cybersecurity.

Zu Cybersecurity NIS2-Zuordnung

Managed AI

Wer KI einführt, braucht Regeln dafür: welche Daten wohin dürfen, wer freigibt, was protokolliert wird. Dasselbe Team, das KI einführt, ordnet sie auch ein.

Zu Managed AI

Welche Anforderung liegt bei Ihnen auf dem Tisch?

Im kostenlosen Erstgespräch ordnen wir ein, welche Anforderungen Sie betreffen, und schlagen einen ersten Schritt vor. Wenn etwas nicht nötig ist, sagen wir das auch. Danach erhalten Sie auf Wunsch ein Angebot mit festem Preis. Auf Ihre Anfrage meldet sich unser Team.

kostenlos
30 Minuten
telefonisch oder online

Erstgespräch anfragen Lieber erst selbst prüfen: Readiness-Check

Auf Wunsch schließen wir vor dem Detailgespräch eine Vertraulichkeitsvereinbarung ab.

Anforderung: Ihre Anforderung
Erster Schritt: klären wir im Erstgespräch
Zuständig: Sie und unser Team
Nachweis: noch offen

Viele Anforderungen. Eine Grundlage.

Worauf Sie sich stützen können

Woher kommt Ihre Anforderung?

Die Geschäftsführung hat von NIS2 gelesen und fragt, ob das Unternehmen betroffen ist.

Eine Ausschreibung verlangt ISO 27001, ein Kunde schickt einen Sicherheitsfragebogen, oder Ihr Auftraggeber aus der Automobilindustrie verlangt ein TISAX-Label.

Mitarbeitende nutzen KI-Werkzeuge, aber niemand weiß vollständig, welche und wofür.

Sie sind zertifiziert, und jetzt laufen Nachweise ab, Systeme ändern sich, und das nächste Audit kommt.

Eine Arbeit, mehrfach angerechnet.

Drei Kataloge in der Tiefe

Eine Maßnahme, mehrfach angerechnet

Ein Nachweis, ein Ablageort

Und NIS2?

Wie das abläuft, und wer was macht.

1 · Standortbestimmung

2 · Gap-Analyse

3 · Risiken, Richtlinien, Anwendbarkeitserklärung

4 · Umsetzen und nachweisen

5 · Internes Audit und Managementbewertung

6 · Audit oder Assessment

7 · Laufende Pflege

8 · Rezertifizierung

Stimmt, was in den Unterlagen steht?

Dokumentiert ist nicht gleich wirksam.

Das Werkzeug hinter der Beratung.

Vorschlag ist keine Aussage

Jede Zahl ist herleitbar

Nichts verschwindet still

Ihr Standort

Nachvollziehbar

Für Auditoren

Ihre Daten

Kataloge aktuell

KI-Vorschläge

Beratung, Audit und Technik in einem Team.

Compliance-Beratung

Audit

Technische Prüfung

Entwicklung

Externer Informations­sicherheits­beauftragter

Was gerade gilt, mit Datum.

Häufige Fragen zur Compliance.

Womit fangen wir an?

Brauchen wir ISO 27001, um NIS2 zu erfüllen?

Zertifizieren Sie uns?

Können Sie garantieren, dass wir das Audit bestehen?

Wie viel Arbeit bleibt bei uns?

Können Sie die Rolle des Informationssicherheitsbeauftragten übernehmen?

Unterstützen Sie bei TISAX auch die Selbsteinschätzung?

Was kostet das, und wie lange dauert es?

Wir haben schon ein ISMS oder Excel-Listen. Fangen wir von vorn an?

Müssen wir NXN Compliance OS nutzen?

Wo liegen unsere Nachweise, und wer sieht sie?

Wie geht NXN Compliance OS mit KI-Vorschlägen um?

Ist das Rechtsberatung?

Was mit Compliance zusammenhängt.

Cybersecurity

Managed AI

Welche Anforderung liegt bei Ihnen auf dem Tisch?

Externer Informationssicherheitsbeauftragter