KonzeptDieses System gibt es noch nicht als fertiges Produkt. Es ist ein Entwurf, den wir für Ihre Beratung bauen – zugeschnitten auf Ihre Methodik, Ihre Frameworks und Ihre Mandate.
Erstgespräch vereinbarenDer Kreislauf
Gewinnen und Liefern laufen über dieselbe Wissensbasis
Ein Auftrag läuft als Schleife: gewinnen, liefern und das Ergebnis in das nächste Angebot zurückführen. Jedes abgeschlossene Projekt macht das nächste günstiger.
Stufe 1
Aufträge gewinnen
- W1
Ausschreibungen finden
Täglich aus dem nationalen Bekanntmachungsservice und TED, gefiltert nach CPV-Codes und Stichworten, nach Passung sortiert.
- W2
Bid / No-Bid
Fristen, Eignungs- und Zuschlagskriterien extrahieren, gegen Ihre Nachweise und Referenzen prüfen, Go/No-Go-Memo auf einer Seite.
- W3
Bieterfragen
Unklare oder widersprüchliche Anforderungen finden und neutral formulierte Fragen entwerfen.
- W4
Angebot vorbereiten
Compliance-Matrix, passende Referenzen und Profile, Konzepttext aus Ihrer Textbibliothek, formale Prüfung. Die Abgabe bleibt manuell.
- W5–W6
Lernen und Direktanfragen
Ergebnisse und Absagegründe festhalten; aus Gesprächsnotizen wird ein Angebotsentwurf.
Stufe 2
Projekte liefern
- D1
Kickoff und Kundenportal
Projekt aus den Angebotsdaten anlegen, Dokumentenanforderung und Interviewplan erstellen, Kundenbereich öffnen.
- D2
Gap-Assessment
Kundendokumente lesen, Controls zuordnen, Bewertung mit Begründung und Quellenstelle vorschlagen, Widersprüche markieren.
- D3–D4
Dokumente und Audit-Vorbereitung
Richtlinien, Konzepte und BIA aus Vorlagen und Kundenfakten; Nachweise auf Vollständigkeit und Alter prüfen.
- D5
Maßnahmen verfolgen
Jede Lücke wird eine Maßnahme mit Verantwortlichem, Termin und Abnahmekriterium – mit Erinnerungen im Portal.
- D6–D9
Service, Regulatorik, Reporting, Abschluss
ISB/DSB-Postfach mit Meldefristen, Regulatorik-Monitoring, Monatsbericht, anonymisierte Referenz zum Projektende.
Gemeinsame Wissensbasis
- Controls und Mappings
- Zertifikate und Qualifikationen
- Referenzen
- Textbausteine
- Aufwandsdaten
Projektabschluss: Ist-Aufwand und anonymisierte Referenz fließen in die nächste Qualifizierung.
Grundsätze
KI bereitet vor. Ihre Berater entscheiden.
Jede Freigabe hat einen Namen
Gap-Bewertung, Dokument, Angebot, Kundennachricht: Nichts verlässt das System ohne eine verantwortliche Person, und das System hält fest, wer entschieden hat.
Ein Control, viele Frameworks
ISO 27001, BSI IT-Grundschutz, NIS-2, DORA, TISAX und BCM in einer Control-Bibliothek, mit Mappings untereinander und einer Stärke je Mapping.
Nachweis zuerst
Jede Feststellung verweist auf das Kundendokument und die Seite, auf der sie beruht.
Mandanten bleiben getrennt
Jeder Kunde hat einen eigenen Bereich mit eigenem Schlüssel. Die Suche überschreitet nie Mandantengrenzen.
Daten und Modelle
Das Modell folgt der Datenklasse, nicht der Aufgabe
Öffentliche Ausschreibungsunterlagen dürfen an das stärkste Modell. Sicherheitsdokumente Ihrer Kunden bleiben bei EU-gehosteten Modellen oder auf Ihrem eigenen Server. Den Betrieb richten wir bei EU-Anbietern unter Ihrem Vertrag ein.
| Datenklasse | Beispiele | Verarbeitung |
|---|---|---|
| Öffentlich | Ausschreibungsunterlagen, Gesetze, BSI-Publikationen | Freigegebene Modelle in einer EU-Region |
| Intern | Angebotsentwürfe, Preise, Profile, Referenzen | EU-Region, Auftragsverarbeitungsvertrag, kein Training auf Ihren Daten |
| Kundenvertraulich | Richtlinien, Netzpläne, Risikoanalysen, Interviewnotizen | EU-gehostete Open-Weight-Modelle oder eigener Server |
| Verschlusssache | Als VS-NfD oder höher markierte Dokumente | Keine KI-Verarbeitung – die Markierung wird beim Upload erkannt |
Beispiel durchgespielt
Ein Landkreis schreibt ein ISMS aus
Fiktive Beratung, fiktiver Auftraggeber, synthetische Kundendaten – damit Sie sehen, was das System an welcher Stelle tut und wo Ihre Berater entscheiden.
- Beratung
- Muster Sicherheitsberatung GmbH, 14 Berater, ISO 27001 und ISO 9001 zertifiziert
- Auftraggeber
- Landkreis Musterland
- Leistung
- Rahmenvertrag: ISMS-Aufbau nach BSI IT-Grundschutz und externer ISB, 3 Jahre
- Volumen
- 260.000 € netto, EU-weites offenes Verfahren
- Zuschlag
- 60 % Qualität des Konzepts, 40 % Preis
Beispielszenario — noch kein Live-Projekt. Exemplarische Darstellung einer typischen Umsetzung.
- 2. Nov.
Gefunden
Die Bekanntmachung kommt über CPV 79417000 und die Stichworte „ISMS“ und „Grundschutz“ auf Platz 1 der Tagesliste.
- 3. Nov.
Qualifiziert
34 Anforderungen extrahiert; beide geforderten Referenzen gefunden (62 und 85 Personentage), Qualifikation und Versicherung gültig. Die Geschäftsführung liest das Memo und entscheidet: Go.
- 9. Nov.
Geklärt
Die Leistungsbeschreibung nennt ISO 27001 nativ, die Zuschlagskriterien IT-Grundschutz. Das System entwirft eine Bieterfrage; die Antwort stößt die Qualifizierung neu an.
- 16. Nov. – 4. Dez.
Angebot
Die Compliance-Matrix deckt alle 34 Anforderungen ab, das Konzept entsteht aus der Textbibliothek. Ein Berater prüft gegen, die Geschäftsführung setzt den Preis und zeichnet.
- Jan.
Zuschlag und Kickoff
Das Projekt wird aus den Angebotsdaten angelegt: Anforderungsliste mit 15 Dokumenttypen, Interviewplan für 4 Rollen, Kundenbereich im Portal.
- Lieferung
Assessment
12 Dokumente hochgeladen, eines mit VS-NfD-Vermerk – für die KI gesperrt, die Projektleitung wird informiert. 60 Controls mit Quellenstellen bewertet, 3 Widersprüche markiert; jede Bewertung bestätigt ein Berater.
- Abschluss
Zurück in die Wissensbasis
Ist-Aufwand gegen Schätzung, Entwurf einer anonymisierten Referenz für das nächste Angebot.
Vorgehen
In Phasen, mit einer Abnahme am Ende jeder Phase
- Phase 0
Grundlagen
3 WochenDatenklassen, Hosting-Entscheidung, Vorlagen für AV-Vertrag und NDA, Struktur der Control-Bibliothek, Testdaten.
- Phase 1
MVP am Beispielfall
3–4 MonateFinden, Qualifizieren, Bieterfragen, Angebot, Kickoff, Gap-Assessment, zwei Dokumentvorlagen. Abnahme: Die Demo erfüllt alle Abnahmekriterien.
- Phase 2
Pilot
3 MonateEchte Ausschreibungen und ein echtes Kundenprojekt, anfangs parallel zum bisherigen Vorgehen. Abnahme: Ihre Berater bestätigen die Zeitersparnis.
- Phase 3
Ausbau
3–6 MonateAudit-Vorbereitung, ISB/DSB-Service, Regulatorik-Monitoring, Kundenreporting, weitere Frameworks wie DORA und TISAX. Abnahme: alle Module im Alltag Ihrer Beratung.
- Phase 4
Ausbau zum Kundenprodukt
nach BedarfDas Kundenportal in Ihrem Design, Self-Service-Onboarding für Ihre Mandanten, optional Betrieb auf eigenem Server.
Passt das zu Ihrer Beratung? Im Erstgespräch klären wir, welche Teile für Ihre Mandate den größten Hebel haben und womit man anfängt.
Erstgespräch vereinbaren