Zertifizierung nach ISO 27001, ENS und ISO 42001 mit Nexo SGSI: die Plattform, mit der wir unser eigenes Audit bestanden haben

Wir haben das Zertifizierungsaudit von OCA Global (von ENAC akkreditierte Stelle) in allen drei Normen bestanden, vom 17. bis 27. August 2026, ohne eine einzige Nichtkonformität. Die Zertifikate werden in den Wochen nach dem Bericht ausgestellt; sobald wir sie haben, veröffentlichen wir hier ihre Nummern und den Geltungsbereich. Das gesamte Managementsystem, von der Sicherheitsrichtlinie bis zum letzten Datensatz, läuft auf Nexo SGSI.

11.900 € für eine Norm (ISO 27001 oder ENS-Kategorie MEDIA), 16.900 € für zwei und 21.900 € für alle drei, mit zwölf Monaten Plattform inklusive. Das Zertifizierungsaudit wird separat bei der von Ihnen gewählten akkreditierten Stelle beauftragt: Für ein KMU kostet es je nach Audittagen meist zwischen 2.000 und 5.500 €. Vergleichen Sie das mit einer klassischen Einführungsberatung, die in Spanien im ersten Jahr zwischen 8.000 und 30.000 € kostet und danach kein Werkzeug hinterlässt.

Wir selbst kamen vom ersten Commit des Moduls bis zum Audit in zwölf Wochen, während wir das Tool gleichzeitig bauten. Mit fertiger Plattform dauert der Arbeitsplan zwölf bis sechzehn Wochen, je nach Ausgangspunkt, und der größte Teil davon ist keine Papierarbeit: Es ist das Betreiben des Systems, damit datierte Nachweise entstehen. Danach kommt noch die Verfügbarkeit der Zertifizierungsstelle hinzu, die meist einige Wochen beträgt.

Der ENS (Esquema Nacional de Seguridad) ist Spaniens nationales Sicherheitsschema. Der Real Decreto 311/2022 legt die Sicherheitsmaßnahmen für Systeme fest, die Dienste der öffentlichen Verwaltung unterstützen, und verpflichtet auch Unternehmen, die ihr Dienstleistungen erbringen: Die Ausschreibungen verlangen es. Systeme der Kategorie BÁSICA können die Konformität selbst erklären; die der Kategorie MEDIA und ALTA benötigen die Zertifizierung durch eine von ENAC akkreditierte Stelle. Nexo SGSI führt die 73 Maßnahmen aus Anhang II mit ihrem Reifegrad, die 110 Fragen der Kategorie ALTA und erzeugt den INES-Bericht.

Die ISO/IEC 42001 ist die Norm für Managementsysteme für künstliche Intelligenz: Sie regelt, welche KI Sie nutzen oder entwickeln, mit welchen Daten, welche Auswirkungen sie hat und wer dafür verantwortlich ist. Sie teilt ihre Struktur mit der 27001 (deshalb sind in Nexo SGSI alle drei Normen miteinander verknüpft) und ist das, was ein Kunde oder eine Regulierungsbehörde von jedem verlangen wird, der KI betreibt. Eine wichtige Nuance: Die Zertifizierung nach 42001 begründet keine Konformitätsvermutung mit der EU-KI-Verordnung; das werden die harmonisierten Normen tun, die die EU noch veröffentlicht. Für die Verordnung haben wir einen eigenen Service zur Compliance mit der EU-KI-Verordnung.

Sie hören auf, das System von Hand am Laufen zu halten. Wir migrieren Ihre Dokumente, Ihre Anwendbarkeitserklärung und Ihre Nachweise; von da an verteilt der Jahreskalender die Pflichten, die Erinnerungen kommen von selbst, die Kennzahlen werden erfasst, und beim nächsten Überwachungsaudit erhält der Auditor sein Konto und findet alles vor. Es kostet 590 €/Monat mit Jahresvertrag und unbegrenzten Nutzern innerhalb des Geltungsbereichs.

Bleiben nach dem Zertifizierungsaudit schwerwiegende Abweichungen offen, begleiten wir Sie ohne Zusatzkosten weiter (Plattform und Team), bis Sie sie schließen und zertifiziert sind. Wir sagen das laut, weil wir es können: unser eigenes Audit über alle drei Normen gleichzeitig endete ohne eine einzige Abweichung. Die einzige Bedingung ist die naheliegende: Ihr Team betreibt das System und setzt den vereinbarten Plan um, denn Nachweise lassen sich nicht in der Woche davor erfinden.

ENS BÁSICA Express (3.900 €) ist für alle, die jetzt in den spanischen öffentlichen Markt wollen: Die Kategorie BÁSICA erlaubt Selbstbewertung und eine Declaración de Conformidad ohne externes Audit, und viele kleinere Ausschreibungen geben sich damit zufrieden. Verlangt eine Ausschreibung MEDIA, ist der Weg bereits gebahnt. Der Self-Service (295 €/Monat, Jahresvertrag) ist die Plattform allein, ohne Begleitung: für Sicherheitsverantwortliche, die wissen, was sie tun, oder für Unternehmen, die über eine Partnerberatung kommen.

Alles aus Betreiben plus das, was anspruchsvolle Systeme brauchen: Kategorie ALTA und mehrere Normen im selben Geltungsbereich, den von uns verwalteten INES-Bericht und priorisierten Support. Kostet 1.190 €/Monat im Jahresvertrag. Die natürliche Stufe für mittlere Unternehmen und alle, die ALTA mit einem kleinen Team tragen.

Ja. Die On-Premise-Variante ist dieselbe Anwendung, verpackt in Docker und installiert in Ihrer Infrastruktur oder in Ihrer privaten Cloud. Sie braucht keinen externen Dienst, keinen KI-Schlüssel und keine Verbindung zu Kiwop: nur einen Mailserver für die Benachrichtigungen. Die Installation kostet 9.900 € und Updates plus Support 2.900 €/Jahr. Es ist die naheliegende Option für Behörden und für Systeme, deren Daten das Haus nicht verlassen dürfen.

Das ISMS-Modul nutzt keine KI für irgendetwas, das es belegt: Signaturen, Audit-Spur, Kataloge und Kennzahlen sind konventioneller, deterministischer Code, denn ein Auditor akzeptiert keinen Nachweis, den ein Modell erfunden haben könnte. Die KI von Nexo lebt in anderen Modulen (Assistent und Agenten); im ISMS ist sie das von der ISO 42001 regulierte Objekt, nicht das Werkzeug.

Sie nehmen alles vollständig mit. Die Dokumente sind Markdown, die Datensätze liegen in PostgreSQL und die Berichte als PDF: alles exportierbar. Bei On-Premise ist die Lizenz vertraglich geregelt, ohne technische Schlösser. Wir verkaufen keine Abhängigkeit, sondern ein System, das funktioniert, und ein Team, das es kennt.

Stand August 2026 führt keine der internationalen Compliance-Plattformen (Vanta, Drata, Secureframe, Sprinto) das spanische ENS in ihrem öffentlichen Framework-Katalog, und die spanischen Suiten, die es abdecken, veröffentlichen keine Preise und decken die ISO 42001 nicht ab. Nexo SGSI vereint die drei Normen verknüpft in einer Konsole, mit veröffentlichten Preisen, einer On-Premise-Option ohne externe Dienste und einem Beleg, den kein anderer Anbieter vorweisen kann: unser eigenes Zertifizierungsaudit, ohne Abweichungen bestanden, auf genau diesem System.