CHInformationssicherheit für KMU & öffentliche Verwaltung
Ihr ISMS an einem Ort. Nachvollziehbar bis ins Audit.
Varmo ist die ISMS-Software für KMU und öffentliche Verwaltung: Assets, Schutzbedarf, Risiken, Massnahmen und Nachweise in einem System, verknüpft mit den Anforderungen von ISO/IEC 27001, NIST CSF 2.0, NIST SP 800-53 und NIS2. Sie sehen jederzeit, wo Sie stehen und wer als Nächstes etwas tun muss.
Die meisten Organisationen führen ihre Informationssicherheit in verstreuten Dokumenten. Das funktioniert, bis das Audit kommt.
Nachweise in zehn Ablagen
Screenshots, Protokolle, Excel-Listen. Vor dem Audit beginnt die Suche.
→ Jede Anforderung direkt mit ihrem Nachweis verknüpft.
Ausnahmen ohne Ablaufdatum
Einmal bewilligt, nie wieder geprüft. Aus der Übergangslösung wird der Dauerzustand.
→ Befristete, bewusst genehmigte Abweichungen mit Verantwortlichen.
Risiken ohne Eigentümer
Risiken werden erkannt, aber niemand bewertet, behandelt oder akzeptiert sie formell.
→ Risikoeigentümer, nachvollziehbare Bewertung und dokumentierte Akzeptanz des Restrisikos.
Mehrere Standards, doppelte Arbeit
ISO 27001, NIS2 und NIST CSF verlangen Ähnliches, aber jede Anforderung wird separat gepflegt.
→ Entsprechungen zwischen den Katalogen erkennen und die Abdeckung je Standard vergleichen.
Richtlinien als PDF-Fliesstext
Abweichungen lassen sich keiner konkreten Anforderung zuordnen.
→ Eigene Vorgaben als Katalog erfassen und mit Nachweisen verknüpfen.
Audit als Feuerwehrübung
Erst kurz vor der Prüfung zeigt sich, was fehlt.
→ Umsetzungsstand je Anforderung, Erklärung zur Anwendbarkeit, interne Audits und Managementbewertung im selben System.
SO FUNKTIONIERT'S
Vom Asset zum Audit in vier Schritten.
Angelehnt an bewährte Sicherheitsverfahren: erst Schutzbedarf, dann Massnahmen, bei erhöhtem Bedarf die Risikoanalyse.
01
Assets erfassen
Schutzbedarfsanalyse pro Asset mit Kontrollfragen, inklusive Personendaten und besonders schützenswerter Daten.
02
Anforderungen zuordnen
Jede Asset-Kategorie erhält nur die Anforderungen, die für sie relevant sind, aus den gewählten Katalogen.
03
Risiken behandeln
Massnahmen umsetzen, Ausnahmen befristet genehmigen, Restrisiken durch die zuständige Stelle akzeptieren lassen.
04
Auditbereit bleiben
Umsetzungsstand und Nachweise je Anforderung, Erklärung zur Anwendbarkeit als Bericht für die Zertifizierungsstelle.
GEFÜHRT
Varmo führt Sie durch die Norm.
Statt leerer Vorlagen ein Ablauf, der zeigt, was als Nächstes kommt, für die ISMS-Verantwortliche genauso wie für den Eigentümer eines Systems.
01
Einrichtungsassistent
22 Schritte entlang ISO/IEC 27001, von der Organisation bis zu den ersten Prüfungen. Jeder Schritt erklärt, worum es geht, Erledigtes hakt sich selbst ab.
02
Pendenzen für jede Person
Freigaben, fällige Massnahmen, Überprüfungen und Kenntnisnahmen landen bei der zuständigen Person, mit Fälligkeit und Link, auch auf dem Handy.
03
«Wie geht es weiter?»
Oben auf jeder Seite eines Ablaufs: Sind Sie dran, wer sonst, und welche Schritte folgen. Freigaben laufen immer nach dem Vier-Augen-Prinzip.
Zentral gepflegte Kataloge für ISO/IEC 27001, NIST CSF 2.0, NIST SP 800-53 und NIS2. Ab dem Paket Pro zeigen Zuordnungen zwischen ISO/IEC 27001, CSF und NIS2, wo sich Standards überschneiden; identische Anforderungen gelten als erfüllt, und die Abdeckung zeigt, wo Lücken bleiben.
✓Zentral gepflegte Kataloge übernehmen
✓Eigene Kataloge erfassen, ab Starter per CSV importieren
Risiken werden anlassbezogen erfasst, mit Asset und Gefährdung verknüpft und nach Eintrittswahrscheinlichkeit und Schadensausmass bewertet, nach dem Maximumprinzip über alle Schutzziele.
✓Eigene oder vorgegebene Risikomethodik (z. B. BSI-Standard 200-3)
✓Klare Rollen: Risikoanalyst, Risikoeigentümer, genehmigende Stelle
✓Formelle, nachvollziehbare Restrisiko-Akzeptanz
ROLLEN & WORKFLOWS
Alle Beteiligten im selben System.
Von der ISMS-Verantwortung bis zu den Mitarbeitenden: Jede Person sieht, was sie für ihre Aufgabe braucht, und bekommt ihre Pendenzen. Freigaben laufen nach dem Vier-Augen-Prinzip, jeder Schritt ist protokolliert.
ISMS-Verantwortliche
Benutzer, Workflows, Übersicht
Risikoeigentümer
Risiken verantworten und behandeln
Risikoanalyst
Risiken bewerten
Massnahmenverantwortliche
Massnahmen umsetzen und belegen
Mitarbeitende
Vorfälle melden, Richtlinien einsehen
Mandantenfähig
Daten pro Organisation strikt getrennt
MODULE
Alles, was ein ISMS nach ISO/IEC 27001 braucht.
Die Module greifen ineinander: Ein Risiko kennt sein Asset, eine Massnahme ihre Anforderung, eine Ausnahme ihr Risiko.
Informationssicherheit ist Teamarbeit. Jede Rolle findet in einem System, was sie braucht.
KMU
Ein ISMS nach ISO/IEC 27001 aufbauen und betreiben, ohne eigene GRC-Abteilung und ohne Excel-Vorlagen, die niemand mehr pflegt.
Öffentliche Verwaltung
Schutzbedarfsanalyse, Sicherheitsverfahren je System und nachvollziehbare Entscheide, angelehnt an den BSI IT-Grundschutz.
Geschäftsleitung
✓Managementbewertung mit Ampel je Thema
✓Freigaben von Geltungsbereich und Erklärung zur Anwendbarkeit
✓Risikoakzeptanz nach festgelegten Kriterien
ISB, CISO, ISMS-Verantwortliche
✓Einrichtungsassistent für den Aufbau des ISMS
✓Pendenzen statt Erinnerungsmails
✓Umsetzungsstand je Anforderung und Katalog
IT-Leitung
✓Sicherheitsverfahren je System mit Nachweisen
✓Massnahmen und wiederkehrende Kontrollen mit Fälligkeit
✓Befristete, genehmigte Ausnahmen
Mitarbeitende
✓Risiken und Sicherheitsvorfälle einfach melden
✓Richtlinien lesen und zur Kenntnis nehmen
✓Sehen nur, was sie für ihre Aufgabe brauchen
Häufige Fragen
Was ist Varmo?+
Varmo ist eine ISMS-Software (Informationssicherheits-Managementsystem) für KMU und öffentliche Verwaltung. Assets, Schutzbedarf, Risiken, Massnahmen, Ausnahmen, Richtlinien, Audits und Managementbewertung liegen in einem System und sind mit den Anforderungen der gewählten Standards verknüpft.
Welche Standards werden unterstützt?+
Aktuell ISO/IEC 27001:2022 (Anhang A), NIST Cybersecurity Framework 2.0, NIST SP 800-53 Rev. 5 und NIS2. Eigene Kataloge und interne Vorgaben erfassen Sie selbst, ab dem Paket Starter auch per CSV-Import. Ab dem Paket Pro zeigen Entsprechungen zwischen ISO/IEC 27001, NIST CSF und NIS2, wo eine Umsetzung mehrere Anforderungen abdeckt.
Ersetzt Varmo die Zertifizierung?+
Nein. Die Zertifizierung nach ISO/IEC 27001 erfolgt durch eine akkreditierte Zertifizierungsstelle. Die Software zeigt Ihnen den Umsetzungsstand, führt die Nachweise je Anforderung und erstellt die Erklärung zur Anwendbarkeit (SoA) als Bericht.
Wo werden unsere Daten gespeichert?+
Die Daten liegen in der Schweiz. Die Daten jeder Organisation sind strikt getrennt, und auch der Betreiber sieht sie nur, wenn Sie einen befristeten, lesenden Support-Zugriff freigeben. Einzelheiten stehen auf der Seite Sicherheit und in der Datenschutzerklärung.
Hilft die Software beim Datenschutz nach DSG?+
Ja. Bei der Schutzbedarfsanalyse erfassen Sie Personendaten und besonders schützenswerte Daten, für Systeme die Merkmale der Verarbeitung. Daraus entsteht ein begründeter Vorschlag nach dem Schweizer Datenschutzgesetz, ob eine Datenschutz-Folgenabschätzung nötig ist; die DSFA erstellen Sie direkt in der Software, die Datenschutzberatung gibt sie frei.
Wie aufwändig ist der Einstieg?+
Ein Einrichtungsassistent führt in 22 Schritten durch den Aufbau: Organisation, Kontext, Freigaben, Risikomethodik, Anforderungskataloge, Asset-Struktur und die ersten Assets. Jeder Schritt erklärt, worum es geht und warum. Das Paket Free eröffnen Sie selbst und beginnen sofort.
Was ist der Unterschied zwischen ISO 27001, NIS2 und NIST CSF?+
ISO/IEC 27001 ist eine zertifizierbare Norm für ein Informationssicherheits-Managementsystem. NIS2 ist eine EU-Richtlinie mit gesetzlichen Pflichten für bestimmte Einrichtungen in der EU. Das NIST Cybersecurity Framework ist ein freiwilliges Rahmenwerk, das Cybersicherheit in sechs Funktionen ordnet. Viele Anforderungen überschneiden sich; eine Umsetzung kann mehrere davon erfüllen.
Wie lange dauert eine Zertifizierung nach ISO 27001?+
Viele KMU rechnen vom Start bis zum Zertifikat mit sechs bis zwölf Monaten, abhängig vom Ausgangspunkt. Das ISMS muss vor dem Audit eine Zeit lang betrieben werden, mit internem Audit und Managementbewertung. Der Readiness-Check (ab Pro) zeigt, wo Sie stehen.
Was ist eine Erklärung zur Anwendbarkeit (SoA)?+
Die Erklärung zur Anwendbarkeit (Statement of Applicability, SoA) ist ein Pflichtdokument nach ISO/IEC 27001. Sie nennt alle Massnahmen aus Anhang A, ob sie angewendet werden, warum, und ob sie umgesetzt sind. In Varmo entsteht sie aus Ihren Daten und wird nach dem Vier-Augen-Prinzip freigegeben.
Können wir mehrere Organisationen verwalten?+
Ja. Unter einem Konto lassen sich mehrere Organisationen führen, zum Beispiel Tochtergesellschaften oder Ämter. Ihre Daten bleiben getrennt, die Verwaltung der Mitglieder erfolgt zentral.
Kommen wir wieder an unsere Daten?+
Ja. Sie können jederzeit einen vollständigen Export Ihrer Organisation als ZIP-Datei anfordern, inklusive hochgeladener Dateien. Nach einer Kündigung werden die Daten nach der vereinbarten Löschfrist vollständig gelöscht.
Was kostet Varmo?+
Es gibt vier Pakete, vom kostenlosen Einstieg (Free) über Starter und Pro bis zu Ultimate mit individuellen Anforderungen. Die Pakete und ihre Unterschiede finden Sie auf der Preisseite. In einer Demo zeigen wir Ihnen gerne, welches Paket zu Ihrer Organisation passt.
Sehen Sie Ihr ISMS in 30 Minuten.
In einer persönlichen Demo zeigen wir Ihnen Varmo anhand Ihrer Fragestellungen, unverbindlich und auf Deutsch.
✓Live-Rundgang durch Assets, Risiken und Umsetzungsstand
✓Einschätzung Ihres Weges zur ISO-27001-Zertifizierung
