Zum Inhalt springen
Varmo
EnglishAnmeldenDemo anfragen
VERGLEICH

ISMS-Software im Vergleich: Excel, Dokumentenablage, GRC-Suite oder Varmo

Ein ISMS nach ISO/IEC 27001 lässt sich auf verschiedenen Wegen führen. Welcher passt, hängt von Grösse, Vorgaben und den Personen ab, die es betreuen. Dieser Vergleich zeigt die Unterschiede sachlich – und wo Varmo steht.

Demo anfragenKostenlos testen
WELCHER WEG PASST?

Jeder Weg hat seinen Platz.

Entscheidend ist, wie viele Personen mitarbeiten, welche Vorgaben gelten und wie viel Zeit für Koordination bleibt.

  • Excel und Word

    Passt für den Einstieg mit wenigen Beteiligten, wenn eine Person den Überblick behält und Vorlagen schon vorhanden sind.

  • Dokumentenablage

    Passt, wenn vor allem Richtlinien und Nachweise geordnet abgelegt, versioniert und geteilt werden sollen.

  • Grosse GRC-Suite

    Passt für Konzerne mit vielen Gesellschaften, eigenem GRC-Team und Budget für Einführung und Anpassung.

  • Varmo

    Passt für KMU und Verwaltungen, die ein ISMS nach ISO/IEC 27001 mit festen Abläufen führen wollen: Konto selbst eröffnen, mit dem Einrichtungsassistenten starten, Hosting in der Schweiz.

DIE WEGE IM ÜBERBLICK

Vier Wege, sieben Fragen.

Die Angaben zu Excel, Ablage und GRC-Suite beschreiben typische Arbeitsweisen; im Einzelfall kann es anders sein. Die Angaben zu Varmo beziehen sich auf die heutigen Funktionen.

  • Aufwand im Alltag

    Excel und Word
    Listen, Termine und Erinnerungen werden von Hand nachgeführt; wer dran ist, wird per E-Mail geklärt.
    Dokumentenablage
    Dokumente sind geordnet; Aufgaben, Fristen und Zuständigkeiten laufen ausserhalb der Ablage.
    Grosse GRC-Suite
    Sehr umfangreich und stark anpassbar, meist mit Einführungsprojekt und Beratung.
    Varmo
    Pendenzen entstehen aus den Abläufen; jede Person sieht ihre Aufgaben mit Fälligkeit, jede Seite eines Ablaufs zeigt „Wie geht es weiter?“.

  • Nachweise fürs Audit

    Excel und Word
    Nachweise liegen in Ordnern und E-Mails; der Bezug zur Anforderung wird in der Tabelle von Hand gepflegt.
    Dokumentenablage
    Versionen der Dokumente sind nachvollziehbar; der Bezug zu Risiken und Anforderungen steht meist woanders.
    Grosse GRC-Suite
    Umfassend möglich, je nach Konfiguration.
    Varmo
    Nachweise hängen an Massnahmen, Kontrollen und Anforderungen; die SoA entsteht daraus und zeigt, wenn sie veraltet ist.

  • Freigaben und Vier-Augen-Prinzip

    Excel und Word
    Freigaben per E-Mail oder Unterschrift; dass eine zweite Person geprüft hat, ist aufwendig zu belegen.
    Dokumentenablage
    Je nach Ablage mit einfachem Freigabeschritt; eine Aufgabentrennung wird selten erzwungen.
    Grosse GRC-Suite
    Freigabeabläufe meist frei konfigurierbar.
    Varmo
    Vier-Augen-Prinzip ohne Ausnahme: Niemand gibt selbst frei, und Einreichen ist gesperrt, wenn sonst niemand freigeben könnte.

  • Kataloge und Mehrfach-Anrechnung

    Excel und Word
    Anforderungen werden selbst erfasst und bei neuen Ausgaben von Hand nachgeführt.
    Dokumentenablage
    Keine Kataloge; Anforderungen stehen in einzelnen Dokumenten.
    Grosse GRC-Suite
    Meist viele Kataloge, teils als Zusatzmodul.
    Varmo
    9 zentral gepflegte Kataloge (ISO/IEC 27001 Anhang A ab Starter, alle ab Pro); gleichwertige oder enthaltene Anforderungen gelten automatisch als erfüllt (ab Pro).

  • Datenexport und Lock-in

    Excel und Word
    Die Dateien liegen bei Ihnen; Zusammenhänge stecken oft in Verweisen und Formeln.
    Dokumentenablage
    Dokumente lassen sich herunterladen; Abläufe und Entscheide sind selten mitgespeichert.
    Grosse GRC-Suite
    Exportmöglichkeiten und Vertragslaufzeit sind je nach Anbieter verschieden.
    Varmo
    Vollständiger Export als ZIP mit allen Daten und Dateien, Listen als CSV, REST-API ab Pro; Kündigung jederzeit auf das Ende des Zahlungsintervalls.

  • Datenstandort

    Excel und Word
    Dort, wo Sie die Dateien speichern: im eigenen Netz oder bei Ihrem Cloud-Speicher.
    Dokumentenablage
    Je nach Ablage im eigenen Netz oder in der Cloud eines Anbieters.
    Grosse GRC-Suite
    Je nach Anbieter; Standort und Eigentümerschaft sind im Einzelfall zu prüfen.
    Varmo
    Hosting in der Schweiz, inklusive Backups, bei einem Anbieter ohne US-Mutterkonzern.

  • Preis und Einstieg

    Excel und Word
    Lizenzen meist vorhanden; der Aufwand liegt in der Arbeitszeit.
    Dokumentenablage
    Oft schon vorhanden; die ISMS-Abläufe bauen Sie selbst auf.
    Grosse GRC-Suite
    Preise meist auf Anfrage, dazu Einführung und Schulung.
    Varmo
    Preise öffentlich, monatlich oder jährlich; 30 Tage kostenlos testen mit allen Funktionen, ohne Kreditkarte.

Vorhandene Listen übernehmen Sie per CSV-Import, bereits freigegebene Richtlinien und die SoA mit ihrem Datum.

KEIN LOCK-IN

Ihre Daten bleiben Ihre Daten.

Sie sollen bleiben, weil das ISMS funktioniert – nicht, weil der Wechsel schwierig ist.

  • Vollständiger Datenexport

    Ein Tenant Admin beantragt den Export, eine zweite Person bestätigt ihn. Die ZIP-Datei enthält je Bereich eine JSON-Datei, ein Inhaltsverzeichnis und alle hochgeladenen Dateien; sie steht 7 Tage zum Herunterladen bereit.

    Anleitung Datenexport

  • CSV hin und zurück

    Risikoregister, Behandlungsplan, SoA und weitere Listen exportieren Sie als CSV. Bestehende Listen aus Excel übernehmen Sie per CSV-Import (ab Starter).

    CSV-Import

  • REST-API und Webhooks

    Andere Systeme lesen und erfassen Daten über die REST-API, mit Zugriff je Schlüssel; Webhooks melden Ereignisse mit Signatur (ab Pro).

    REST-API und Webhooks

  • Kündigung in der App

    Ein Tenant Admin kündigt jederzeit in der App, wirksam auf das Ende des laufenden Zahlungsintervalls. Exportieren Sie Ihre Daten bis dahin; nach Ablauf der Löschfrist wird alles endgültig gelöscht.

    AGB, Ziffer 8
SCHWEIZ

Hosting in der Schweiz, nachprüfbar.

Ein ISMS zeigt, wo eine Organisation verwundbar ist. Darum zählt, wo die Daten liegen und wer darauf zugreifen kann.

  • Daten und Backups in der Schweiz

    Inhalte, Dateien und Backups liegen in der Schweiz, bei einem Anbieter ohne US-Mutterkonzern. Was der US CLOUD Act bedeutet und welche Dienste beteiligt sind, erklärt die Seite zur Datensouveränität.

    Datensouveränität

  • Support nur mit Ihrer Freigabe

    Wir sehen Ihre Inhalte nur, wenn Sie den Support-Zugriff freigeben: höchstens 24 Stunden, nur lesend, jeder Zugriff protokolliert.

    Sicherheit
WENIGER AUFWAND IM ALLTAG

Was Sie nicht mehr von Hand tun.

Konkrete Beispiele aus dem Alltag eines ISMS:

  • Einrichtung Schritt für Schritt

    Der Einrichtungsassistent führt in 22 Schritten entlang ISO/IEC 27001 vom Kontext bis zu den ersten Assets; Erledigtes hakt sich automatisch ab.

    Einrichtung & Pendenzen

  • Pendenzen statt Erinnerungslisten

    Freigaben, fällige Massnahmen, Überprüfungen und auslaufende Ausnahmen erscheinen als Pendenz bei der zuständigen Person, mit Link auf die Stelle, an der sie erledigt werden.

    Massnahmen & Kontrollen

  • SoA aus Ihren Entscheiden

    Die Erklärung zur Anwendbarkeit entsteht aus Anwendbarkeit, Begründungen, Umsetzung und Nachweisen. Ändert sich danach etwas Wesentliches, zeigt die Software, dass die SoA veraltet ist.

    Anforderungen & SoA

  • Einmal umsetzen, mehrfach anrechnen

    Ist eine Anforderung gleichwertig oder in einer erfüllten enthalten, wird die Erfüllung übernommen – etwa zwischen ISO/IEC 27001, NIST SP 800-53 und NIST CSF 2.0 (ab Pro).

    Mehrere Kataloge kombinieren

  • Readiness-Check aus vorhandenen Daten

    Die meisten Fragen des Readiness-Checks beantwortet die Software aus dem, was Sie ohnehin erfassen: Geltungsbereich, Leitlinie, Risiken, SoA, internes Audit, Managementbewertung (ab Starter).

    Readiness-Check

  • Bestehende Richtlinien übernehmen

    Bereits ausserhalb freigegebene Richtlinien übernehmen Sie mit Datum und Nachweis; eine zweite Person bestätigt die Übernahme.

    Richtlinien & Dokumente
FACHLICH SAUBER

Vorgaben im Wortlaut der Quelle.

Wer prüft, will die Vorgabe so lesen, wie sie erlassen wurde.

  • DORA und NIS2

    Wortlaut und Fundstelle aus dem Amtsblatt der EU, je Anforderung.

    DORA

  • FINMA-RS 2023/1

    Anforderungen im Wortlaut der Randziffern, zugeordnet zu ISO/IEC 27001 Anhang A, NIST CSF 2.0 und DORA.

    FINMA-RS 2023/1

  • IKT-Minimalstandard (Schweiz)

    Die Massnahmen im Wortlaut des Bundes, mit Reifegrad 0–4 und Export in das amtliche Excel-Tool.

    IKT-Minimalstandard

  • NIST im Original

    NIST CSF 2.0 und NIST SP 800-53 bleiben im englischen Original, damit keine Bedeutung durch eine Übersetzung verloren geht.

    NIST CSF 2.0

  • Meldefristen bei Vorfällen

    Für Meldungen an BACS, FINMA, nach DORA und NIS2 berechnet die Software die gesetzlichen Fristen und zeigt der zuständigen Person, was als Nächstes fällig ist. Die Meldung selbst erstatten Sie bei der Behörde.

    Sicherheitsvorfälle
FÜR KMU UND VERWALTUNG

Ohne Einführungsprojekt starten.

Klare Pakete, klare Preise, und ein Einstieg, den Sie selbst steuern.

  • Öffentliche Preise

    Alle Pakete mit Preis auf der Website. Mitarbeitende, die nur melden und Richtlinien lesen, zählen nicht als User.

    Preise und Pakete

  • 30 Tage kostenlos testen

    Mit allen Funktionen, ohne Kreditkarte. Danach wählen Sie Starter oder Pro – oder arbeiten eingeschränkt mit Free weiter.

    Konto eröffnen

  • Single Sign-on und SCIM

    Anmeldung über den Dienst Ihrer Firma, Personen automatisch aus Microsoft Entra ID; Austritte werden sofort gesperrt (ab Pro).

    Entra ID (SCIM)

  • Für Verwaltung und regulierte Branchen

    Eigene Lösungsseiten zeigen, welche Kataloge und Abläufe für Verwaltung, kritische Infrastrukturen und Finanzinstitute passen.

    Öffentliche Verwaltung

  • Deutsch und Englisch

    Jede Person wählt ihre Sprache; Kataloge mit englischer Fassung erscheinen auf Englisch, Ihre eigenen Inhalte bleiben, wie Sie sie erfassen.

FAQ

Häufige Fragen zum Vergleich

Ist Varmo eine Alternative zu Excel für das ISMS?
Ja. Varmo ersetzt Tabellen für Assets, Risiken, Massnahmen und die SoA durch verknüpfte Abläufe mit Pendenzen und Freigaben. Bestehende Listen übernehmen Sie per CSV-Import, Listen exportieren Sie jederzeit wieder als CSV.
Brauchen wir für die Einführung eine Beratung?
Nicht zwingend. Der Einrichtungsassistent führt in 22 Schritten zum arbeitsfähigen ISMS und erklärt jeden Schritt. Fachwissen zur Informationssicherheit braucht es weiterhin; eine Beratung kann je nach Ausgangslage sinnvoll sein.
Was passiert mit unseren Daten, wenn wir kündigen?
Bis zum Ende des Zahlungsintervalls arbeiten Sie normal weiter und können alle Daten als ZIP-Datei exportieren. Danach ist die Anmeldung gesperrt; nach Ablauf der Löschfrist werden alle Daten endgültig gelöscht.
Für wen ist eine grosse GRC-Suite die bessere Wahl?
Für Konzerne, die Governance, Risiko und Compliance über viele Gesellschaften und Fachbereiche hinweg in einem System abbilden und dafür ein eigenes Team und ein Einführungsprojekt einplanen.

Vergleichen Sie selbst – mit Ihren eigenen Daten.

Testen Sie Varmo 30 Tage kostenlos mit allen Funktionen oder lassen Sie sich die Lösung in einer Demo zeigen.

Demo anfragenKostenlos testen