Ihr sucht eine ISMS-Software, die nach den Vorgaben des BSI arbeitet, NIS2 nicht aus dem Blick verliert und eure Daten im Haus lässt. BlueProceedings ISMS setzt die Methodik Grundschutz++ (BSI-Standard 300-1) um, läuft als Docker-Container On-Premises und begrenzt die Zahl der Nutzenden nicht, damit Fachbereiche selbst mitarbeiten können.
Behörden, Kommunen und Unternehmen, die nach dem BSI-Standard 300-1 arbeiten oder vom IT-Grundschutz umsteigen wollen. Version 1.0 des Standards richtet sich an Early Adopters, die Pre-Alpha ebenso.
Wer Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und dokumentieren muss, kann sich an Grundschutz++ orientieren; das BSI nennt es als Beispiel eines anerkannten Standards. Was die Anwendung dazu beiträgt, steht auf der Seite NIS2 und ISMS.
Wenn Prozesse, Systeme und Dienstleister über viele Abteilungen verteilt sind und der ISB nicht jede Angabe selbst erheben soll.
ihr eine gehostete Lösung ohne eigenen Betrieb sucht oder heute ein produktiv freigegebenes Werkzeug braucht. BlueProceedings ISMS ist Pre-Alpha; die erste Version ist für Januar 2027 geplant.
Die Anwendung läuft als ein Container auf eurer Infrastruktur, mit einem Volume für die verschlüsselte Datenbank.
Für den Betrieb auf eurer Infrastruktur ist keine Hersteller-Cloud erforderlich. Die Anwendung übermittelt im Standardbetrieb keine Produktdaten an BlueProceedings. Zugänge, Netzwerkfreigaben und Datensicherungen verwaltet ihr selbst; berechtigte Personen können Daten exportieren.
Ein Stand des Anwenderkatalogs Grundschutz++ liegt bei; neue Stände und weitere OSCAL-Kataloge werden als Datei eingelesen und mit Prüfsumme geführt.
Änderungen werden in einem hashverketteten Protokoll festgehalten, das sich nur um neue Einträge ergänzen lässt.
Ergebnisse lassen sich im OSCAL-Format exportieren, unter anderem System Security Plan, Assessment Plan und Results sowie POA&M, dazu Berichte als HTML und PDF.
Die Zahl der Nutzenden ist nicht begrenzt. Jede Fachabteilung kann ihre Prozesse, Komponenten und Nachweise selbst pflegen.
Eine Rolle gilt für die ganze Institution oder nur für einen Informationsverbund, einen Prozess, eine Komponente, ein Risiko oder ein Audit. Eigene Rollen lassen sich anlegen.
Leitung, ISB, Asset-Owner, Risikoeigentümer, Nachweisprüfer, Auditor und HR gehören zur Mindestbesetzung, deren Besetzung die Anwendung schützt.
Eine RACI-Matrix für die Institution und je Informationsverbund zeigt Zuständigkeiten; der Vertretungsplan weist auf unbesetzte Rollen hin.
Freigaben verlangen im regulären Betrieb eine zweite Person. Der Kleinunternehmen-Modus lockert nur die personelle Trennung, nicht die fachlichen Bedingungen.
Der ISB behält offene Arbeit, Risiken, Fristen und den Stand der Informationsverbünde im Blick.
Verantwortliche pflegen ihre Prozesse und Objekte, bearbeiten Aufgaben und liefern Nachweise.
Die Leitung entscheidet über den Rahmen und erhält die Vorgänge, für die ihre Freigabe gebraucht wird.
Erwartungen lassen sich importieren und Nachweise als Prüfpaket übergeben; ein Gastkonto ist nicht nötig.
Der ISB muss nicht jede Angabe in aufeinanderfolgenden Terminen selbst aufnehmen. Fachbereiche erfassen ihre Prozesse und Objekte, während der ISB den Stand bündelt und die Leitung die vorgesehenen Entscheidungen trifft.
Die Darstellung vergleicht zwei mögliche Abläufe. Sie ist schematisch und keine Zeitmessung: Fachbereiche übernehmen eigene Arbeit, Rückmeldungen und Freigaben bleiben nachvollziehbar.
Kontext, Anwendungsbereich, Leitlinie und Risikomethodik bilden die Grundlage. Freigaben und ihre Begründungen bleiben nachvollziehbar (BSI-Standard 300-1, Kapitel 2).
Prozesse und ihre Assets werden schrittweise erfasst. Aus dem Katalog entsteht ein auf den Informationsverbund bezogenes Anforderungspaket (Kapitel 3).
MUSS- und SOLLTE-Anforderungen folgen unterschiedlichen Wegen. Dauerhaft nicht erfüllte SOLLTE-Anforderungen führen in die Risikobetrachtung (Kapitel 4.1.2).
Nachweise, Audits, Managementbewertung und Wirksamkeitsprüfungen begleiten das ISMS über die erste Umsetzung hinaus (Kapitel 5 und 6).
Zuständigkeiten, Fristen und Rückmeldungen stehen am Vorgang. Die erforderliche Prüfung und Freigabe bleiben Teil des Ablaufs.
OSCAL-Kataloge liefern strukturierte Anforderungen. Eine Blaupause hält Auswahl, Ergänzungen, Ausschlüsse und Parameter für einen Kontext zusammen und kann für weitere Informationsverbünde genutzt werden.
Wiederkehrende Strukturen und Komponentenrollen als Ausgangspunkt nutzen, lokal zuordnen und an den eigenen Informationsverbund anpassen.
Eine einzelne virtuelle Maschine oder einen ganzen wiederkehrenden Stack aus Vorlagen anlegen. Die erzeugten Komponenten bleiben eigenständig; spätere Vorlagenänderungen überschreiben sie nicht.
Schutzbedarf und Anforderungen werden entlang der erfassten Beziehungen abgeleitet. Prozesse, Komponenten und Verantwortlichkeiten dienen zugleich Risiken, Notfallvorsorge und Berichten.
Eine Virtualisierungsumgebung besteht oft aus denselben Arten von Komponenten. Eine Komponentensatz-Vorlage hält den wiederkehrenden Aufbau zusammen; Komponentenvorlagen helfen bei einzelnen Systemen.
Im Beispiel entstehen aus einem vorbereiteten Stack neue Komponenten. Namen, Standort und die tatsächliche Umsetzung prüft ihr für euren eigenen Bestand.
Als Docker-Container auf eurer eigenen Infrastruktur. Die Datenbank ist verschlüsselt, und es gibt keine Hersteller-Cloud.
Die Zahl der Nutzenden ist nicht begrenzt. Rollen lassen sich für die Institution oder für einzelne Informationsverbünde, Prozesse, Komponenten, Risiken oder Audits vergeben.
Sie unterstützt die Vorbereitung und Dokumentation vieler Risikomanagementmaßnahmen nach § 30 BSIG, etwa Risikoanalyse, Vorfallbehandlung, Notfallvorsorge und Lieferkette. Sie trifft keine Konformitätsaussage; Einzelheiten stehen auf der NIS2-Seite.
Die Pre-Alpha wird ab dem 11.11.2026 von bis zu elf Personen aus der ISMS-Praxis getestet. Die erste Version ist für Januar 2027 geplant.
BlueProceedings ISMS unterstützt die Vorbereitung auf Grundlage von Grundschutz++. Ein Werkzeug ersetzt weder die Umsetzung in der Institution noch die Beurteilung einer prüfenden Stelle. Veröffentlichte Mappings zum IT-Grundschutz dienen beim Umstieg als Orientierung, nicht als automatische Übernahme einer Erfüllung.
Weitere Funktionen sind bereits umgesetzt: alle Funktionen nach den fünf Prozessschritten, Dienstleister und Lieferkette und was sonst noch in der Pre-Alpha steckt.
Geschrieben von Xhoan Qazimi, BlueProceedings, zuletzt am 01.11.2026 mit den Quellen abgeglichen. Was zur Methodik gesagt ist, folgt den Veröffentlichungen des BSI; was zu BlueProceedings ISMS gesagt ist, beschreibt die Pre-Alpha.
Die Funktionsübersicht zeigt, welche Arbeitsabläufe die Pre-Alpha bereits verbindet.