cert+ – IT-Sicherheit für KMU nach DIN SPEC 27076.
Das Prüfverfahren für kleine und mittlere Unternehmen zwischen DIN-SPEC-Basischeck und ISO 27001 – UBESAFE auditiert, setzt die Maßnahmen um und liefert das Ergebnis auch nach DIN SPEC 27076.
- 35+ Jahre Erfahrung im Team
- cert+ Partner – Auditor und Engineer im Haus
- Drei Nachweise aus einem Audit
ca. 180
Maßnahmen im cert+ Katalog, aus elf Themengebieten
3 Stufen
Bronze, Silber, Gold – Schritt für Schritt aufbauen
27
Anforderungen der DIN SPEC 27076, im Katalog abgebildet
3 Nachweise
aus einem Audit: cert+, DIN SPEC 27076, Cyber-Versicherung
Für wen cert+ der richtige Einstieg ist.
cert+ richtet sich an kleine und mittlere Unternehmen, die IT-Sicherheit belegen müssen, ohne sofort ein vollständiges ISMS aufzubauen. Typische Auslöser:
Die Cyber-Versicherung fragt nach
Der Risikofragebogen verlangt Angaben zu Backup, MFA und Notfallplan – und die müssen stimmen.
Kunden verlangen Nachweise
Auftraggeber wollen sehen, wie Sie Daten und Systeme schützen, nicht nur hören, dass Sie es tun.
Lieferant in der NIS2-Kette
Wer nicht direkt betroffen ist, bekommt die Anforderungen oft über die Verträge seiner Kunden.
ISO 27001 ist noch zu groß
Ein vollständiges ISMS ist das Ziel, aber noch nicht der erste Schritt.
Gute Maßnahmen, keine Belege
Schutzmaßnahmen sind vorhanden, aber nirgends geprüft und dokumentiert.
Die Geschäftsführung braucht Klarheit
Ein belastbarer Stand zeigt, wo das Budget zuerst hingehört – und belegt die Sorgfalt.
Zwischen DIN SPEC 27076 und ISO 27001 liegt cert+.
Die DIN SPEC 27076 regelt das Minimum für Kleinstunternehmen, ISO 27001 und TISAX® verlangen ein vollständiges Managementsystem. Dazwischen fehlte lange ein Modell, das abdeckt, was KMU wirklich brauchen – diese Lücke schließt cert+.
DIN SPEC 27076
Technische Regel vom Mai 2023, erarbeitet unter Leitung des BSI – Securepoint war Mitglied im Konsortium. Sie ist die Grundlage des CyberRisikoChecks.
- 27 Mindestanforderungen aus sechs Themenbereichen
- Fester Ablauf, ausgelegt auf Unternehmen bis 50 Mitarbeitende
- Bewertung mit konkreten Handlungsempfehlungen
- Keine Zertifizierung, sondern ein dokumentierter Stand
Bei UBESAFE: Auswertung nach dem Anforderungskatalog – im selben Audit wie cert+.
cert+ von Securepoint
Eigenständiges Prüfverfahren mit eigener Plattform. Securepoint hat die DIN SPEC 27076 mitentwickelt; cert+ baut darauf auf und bildet ihre Anforderungen vollständig ab – mit praxisnahen Prüffragen statt Normsprache.
- Rund 180 Maßnahmen aus elf Themengebieten
- Einstufung Bronze, Silber oder Gold
- Für KMU jeder Branche, unabhängig von bestimmten Produkten
- Punktesystem und Report, lesbar für die Geschäftsführung
Bei UBESAFE: Einstufung mit Maßnahmenplan – auf Wunsch gleich mit Umsetzung.
ISO 27001 und TISAX®
Vollständiges ISMS mit Richtlinien, Rollen und Risikobehandlung – für Unternehmen, deren Kunden oder Branche einen formalen Nachweis verlangen.
- Managementsystem mit Risikobehandlung und internen Audits
- Zertifizierung (ISO 27001) oder Label (TISAX®) durch Dritte
- Bei TISAX® ist jede Anforderung umzusetzen oder zu begründen
- Deutlich mehr Aufwand in Aufbau und Betrieb
Welche Stufe ist für Ihr Unternehmen realistisch?
Im Erstgespräch ordnen wir Ihren Stand ein und klären, welche Nachweise Versicherer und Kunden erwarten.
Die Lücke zwischen klein und groß schließen.
Für kleine und mittlere Unternehmen gab es lange nur zwei Wege: den knappen Basischeck nach DIN SPEC 27076 oder ein vollständiges ISMS nach ISO 27001. Das eine reicht Versicherern und Kunden oft nicht, das andere ist für viele KMU zu groß. cert+ ist das eigenständige Modell dazwischen – es baut auf der DIN SPEC auf und deckt ab, was KMU brauchen.
Dazu kommt die Sprache: Die DIN SPEC 27076 ist ein guter Rahmen, aber sie spricht die Sprache der Norm. Wer im Betrieb beantworten soll, ob das Identitäts- und Berechtigungsmanagement geregelt ist, weiß oft nicht, was gemeint ist und was als erfüllt gilt. Genau dort setzt cert+ an: Die Prüffragen zielen auf den Alltag kleiner und mittlerer Unternehmen – auf Passwörter, Backups, Updates und Zuständigkeiten.
Wir prüfen nicht nur, wir setzen auch um. Als cert+ Partner ermitteln wir als Auditor den Stand und schließen als Engineer die Lücken – oder übernehmen nur die Rolle, die Sie brauchen. Am Ende steht nicht nur ein Bericht, sondern ein Unternehmen, das nachweisbar sicherer arbeitet. Der Prüfer fragt Verantwortliche – und schaut in Systeme.
Ein Audit, drei Nachweise.
Wir erfassen Ihren Stand einmal und werten ihn dreifach aus – ohne doppelten Aufwand für Ihr Team.
cert+ Report
Einstufung Bronze, Silber oder Gold über das Punktesystem von cert+ – mit verständlichem Report und Maßnahmenplan.
Ergebnis nach DIN SPEC 27076
Wir füllen den Anforderungskatalog der DIN SPEC 27076 parallel aus. Sie erhalten den Stand nach der Systematik, die das BSI für kleine Unternehmen vorsieht.
Nachweis für die Cyber-Versicherung
Die Angaben für den Risikofragebogen Ihres Versicherers liegen geprüft und dokumentiert vor – statt aus dem Gedächtnis ausgefüllt.
Bronze, Silber, Gold – Sicherheit in Stufen.
cert+ ordnet rund 180 Maßnahmen nach Dringlichkeit. So ist klar, was zuerst kommt – und wie weit Ihr Unternehmen schon ist.
Bronze
Rund 80 essenzielle Maßnahmen der Kategorie „must have“ aus elf Themengebieten sind erfüllt – die Basics der Informationssicherheit.
Silber
Zusätzlich ist etwa ein Drittel der 60 weiterführenden Maßnahmen „nice to have“ umgesetzt – eine stabile Sicherheitsinfrastruktur.
Gold
Nahezu alle der rund 180 Maßnahmen sind erfüllt – ein umfassend umgesetztes Sicherheitskonzept.
DIN SPEC 27076 inklusive
Die 27 Anforderungen der DIN SPEC 27076 sind im cert+ Katalog abgebildet – das Ergebnis entsteht im selben Audit.
Punktesystem
Der Stand wird über Punkte bewertet und visualisiert – verständlich für Geschäftsführung, IT und Kunden.
Weiter zu ISO 27001
Ab Gold kann mit Maßnahmen wie Risikomanagement der Weg zu einer Zertifizierung nach ISO 27001 beginnen.
Auditor und Engineer – wer was übernimmt.
Securepoint unterscheidet bei cert+ zwischen prüfender und umsetzender Rolle. Als cert+ Partner übernimmt UBESAFE je nach Bedarf eine davon oder beide – Sie entscheiden, ob Ihre eigene IT umsetzt oder wir.
cert+ Auditor
Prüft die vorhandene Sicherheitsarchitektur, deckt Lücken auf und dokumentiert den Handlungsbedarf.
cert+ ist ein Prüfverfahren mit Einstufung – keine Zertifizierung durch eine akkreditierte Stelle.
cert+ Engineer
Plant neue Sicherheitsstrukturen und setzt den Handlungsbedarf in konkrete Maßnahmen um.
Die Umsetzung ist optional – Ihre eigene IT oder Ihr Dienstleister kann den Plan ebenso abarbeiten.
So läuft das cert+ Audit ab.
Sechs Schritte von der Bestandsaufnahme bis zum belegten Stand – Sie wissen jederzeit, wo Sie stehen.
Erstgespräch
Anlass, Standorte und Zielstufe klären – und welche Nachweise Versicherer und Kunden erwarten.
Bestandsaufnahme
Erfassung über die cert+ Webanwendung, auch per Smartphone oder Tablet – technisch, organisatorisch und rechtlich.
Einstufung
Das Punktesystem ordnet den Stand Bronze, Silber oder Gold zu; parallel entsteht die Auswertung nach DIN SPEC 27076.
Maßnahmenplan
Ein priorisierter Plan zeigt, welche Schritte zur nächsten Stufe führen – die Must-haves zuerst.
Umsetzung
Auf Wunsch setzen wir die Maßnahmen um und dokumentieren die Nachweise direkt auf der Plattform.
Nachweis
Report, DIN-SPEC-Ergebnis und Angaben für den Versicherer gehen an Sie – bereit für Kunden und Partner.
Was Kunden über unsere Beratung sagen.
Die UBESAFE ist bei uns beratend in den Themenbereichen der Informationssicherheit und IT-Security tätig. Sie bieten bedarfsgerechte Lösungen im Bereich der IT-Infrastruktur und der IT-Security an. Ihre Ansätze haben es uns geholfen, unsere Systeme zu verbessern und potenzielle Schwachstellen zu identifizieren und zu beheben. Durch die Beratung und praktische Unterstützung konnten wir nicht nur unsere Sicherheitsstandards erhöhen, sondern auch unsere Prozesse effizienter gestalten. Seit Beginn unserer Zusammenarbeit haben wir eine vertrauensvolle Geschäftsbeziehung aufgebaut. Wir freuen uns weiterhin auf eine weitere erfolgreiche und langfristige Zusammenarbeit.
Kim Scholz und Tobias Strunk
ISB-Team, ITU consult
Unternehmen, die UBESAFE vertrauen
Ein Ausschnitt der Kund:innen, die wir laufend betreuen.
Alexander Brütsch über cert+
IT-Sicherheit ist für kleine und mittlere Unternehmen ein Erfolgsfaktor – aber nur, wenn sie gelebt wird und nicht nur auf Papier steht. Mit cert+ zeigen Sie, dass Ihre Sicherheitsprozesse geprüft, dokumentiert und laufend verbessert werden.
Mir ist wichtig, dass ein Audit nicht mit dem Bericht endet. Deshalb liefern wir den Stand dreifach – nach cert+, nach DIN SPEC 27076 und für Ihren Versicherer – und setzen auf Wunsch um, was fehlt. Ab Gold steht die Basis für den nächsten Schritt Richtung ISO 27001.
Alexander Brütsch
Geschäftsführer, UBESAFE GmbH
Wo steht Ihr Unternehmen heute – Bronze, Silber oder Gold?
Unverbindliches Erstgespräch mit klarer Empfehlung, welche Stufe realistisch ist.
Was ist cert+ – und was ist die DIN SPEC 27076?
cert+ (Securepoint Unified Security Cert+) ist ein eigenständiges Prüfverfahren mit eigener Plattform für die IT-Sicherheit kleiner und mittlerer Unternehmen. Es baut auf der DIN SPEC 27076 auf und schließt die Lücke zwischen deren Mindestanforderungen und einem vollständigen ISMS nach ISO 27001. Ein Katalog mit rund 180 Maßnahmen aus elf Themengebieten wird in einer Webanwendung erfasst, über ein Punktesystem bewertet und in die Stufen Bronze, Silber und Gold eingeordnet. Das Verfahren ist unabhängig von bestimmten Produkten und für jede Branche nutzbar.
Die DIN SPEC 27076 „IT-Sicherheitsberatung für Klein- und Kleinstunternehmen“ ist eine technische Regel vom Mai 2023. Sie entstand im Projekt „mIT Standard sicher“: Der Bundesverband Mittelständische Wirtschaft hat sie unter Leitung des BSI mit weiteren Partnern erarbeitet, Securepoint war Mitglied im Konsortium. Die DIN SPEC definiert 27 Mindestanforderungen aus sechs Themenbereichen und ist die Grundlage des CyberRisikoChecks – eine Zertifizierung ist sie nicht.
UBESAFE verbindet beides: Wir auditieren nach cert+, werten Ihren Stand zusätzlich nach DIN SPEC 27076 aus und bereiten die Angaben für Ihre Cyber-Versicherung auf. Ab cert+ Gold beginnt der Weg zu ISO 27001; wer als Lieferant Anforderungen aus NIS2 erhält, bekommt eine strukturierte Grundlage. Für Hersteller digitaler Produkte kommt der Cyber Resilience Act hinzu. Eine Vorprüfung leistet das interne Audit, den dauerhaften Betrieb der Maßnahmen das IT-Outsourcing.
Verankert in der Metropolregion Hannover Braunschweig Göttingen Wolfsburg, bundesweit tätig – und für die Standorte unserer Kund:innen weltweit.
Häufige Fragen zu cert+.
Was ist cert+?
cert+ ist ein eigenständiges Prüfverfahren von Securepoint mit eigener Plattform, aufgebaut auf der DIN SPEC 27076. Rund 180 Maßnahmen aus elf Themengebieten werden erfasst, über ein Punktesystem bewertet und in die Stufen Bronze, Silber oder Gold eingeordnet.
Ist cert+ eine Zertifizierung?
Nein. cert+ ist ein Prüfverfahren mit Einstufung. UBESAFE prüft als cert+ Auditor, ist aber keine akkreditierte Stelle und vergibt keine Zertifikate nach ISO 27001.
Was ist die DIN SPEC 27076?
Die DIN SPEC 27076 ist eine technische Regel vom Mai 2023 für die IT-Sicherheitsberatung von Klein- und Kleinstunternehmen. Sie definiert 27 Mindestanforderungen aus sechs Themenbereichen und ist bei DIN Media kostenlos erhältlich.
Wie hängen cert+ und DIN SPEC 27076 zusammen?
Securepoint war Mitglied im Konsortium, das die DIN SPEC 27076 erarbeitet hat, und hat ihre Anforderungen im cert+ Maßnahmenkatalog abgebildet. Deshalb entsteht das Ergebnis nach DIN SPEC 27076 im selben Audit.
Ist cert+ dasselbe wie der CyberRisikoCheck?
Nein. Der CyberRisikoCheck ist das standardisierte Beratungsverfahren nach DIN SPEC 27076 mit festem Ablauf für Unternehmen bis 50 Mitarbeitende. cert+ ist ein eigenes Prüfverfahren mit deutlich mehr Maßnahmen, das die Anforderungen der DIN SPEC einschließt.
Was erhalte ich am Ende des Audits?
Drei Nachweise aus einer Bestandsaufnahme: den cert+ Report mit Einstufung und Maßnahmenplan, die Auswertung nach DIN SPEC 27076 und die geprüften Angaben für den Risikofragebogen Ihrer Cyber-Versicherung.
Was unterscheidet Bronze, Silber und Gold?
Bronze heißt: rund 80 essenzielle Maßnahmen der Kategorie „must have“ sind erfüllt. Für Silber kommt etwa ein Drittel der 60 weiterführenden Maßnahmen hinzu, für Gold sind nahezu alle der rund 180 Maßnahmen umgesetzt.
Für welche Unternehmensgröße eignet sich cert+?
Für kleine und mittlere Unternehmen jeder Branche. Die DIN SPEC 27076 ist auf Unternehmen bis 50 Mitarbeitende ausgelegt, ISO 27001 ist für viele KMU zu groß – cert+ deckt den Bereich dazwischen ab und lässt sich in Stufen ausbauen.
Hilft cert+ bei der Cyber-Versicherung?
Ja, beim Nachweis: Die Angaben für den Risikofragebogen liegen geprüft und dokumentiert vor. Über Annahme und Konditionen entscheidet allein Ihr Versicherer.
Ersetzt cert+ eine ISO-27001-Zertifizierung?
Nein. cert+ ist der strukturierte Einstieg. Ab Gold kann mit Maßnahmen wie Risikomanagement der Weg zu einer Zertifizierung nach ISO 27001 beginnen.
Bringt cert+ uns bei NIS2 weiter?
cert+ schafft Struktur und Nachweise, die auch Lieferanten in der NIS2-Kette helfen. Die Pflichten direkt betroffener Unternehmen gehen weiter – ob und wie Sie betroffen sind, klären wir auf der Seite NIS2.
Wie läuft die Bestandsaufnahme ab?
Über die cert+ Webanwendung, auch per Smartphone oder Tablet. Wir sprechen mit den Verantwortlichen und prüfen die Angaben in den Systemen – technische, organisatorische und rechtliche Aspekte.
Wer setzt die Maßnahmen um?
Auf Wunsch UBESAFE als cert+ Engineer. Ihre eigene IT oder Ihr bisheriger Dienstleister kann den Maßnahmenplan ebenso abarbeiten – die Dokumentation läuft dann trotzdem über die Plattform.
Was ist der Unterschied zwischen cert+ Auditor und cert+ Engineer?
Der Auditor prüft die Sicherheitsarchitektur, deckt Lücken auf und dokumentiert den Handlungsbedarf. Der Engineer plant Sicherheitsstrukturen und setzt den Handlungsbedarf in konkrete Maßnahmen um. Als cert+ Partner übernimmt UBESAFE je nach Bedarf eine Rolle oder beide.
Müssen wir Securepoint-Produkte einsetzen?
Nein. cert+ ist unabhängig von bestimmten Produkten und für jede Branche nutzbar. Bewertet wird, ob eine Maßnahme umgesetzt ist – nicht, mit welchem Hersteller.
Was kostet cert+?
Der Aufwand hängt von Unternehmensgröße, Standorten und Zielstufe ab. Nach dem kostenlosen Erstgespräch erhalten Sie ein Angebot mit klar beschriebenem Umfang.
Wie lange dauert es bis zur nächsten Stufe?
Das hängt davon ab, wie viele Maßnahmen offen sind und wer sie umsetzt. Der Maßnahmenplan aus dem Report zeigt die Reihenfolge – die Must-haves zuerst.
Wie bleibt der Stand aktuell?
Securepoint entwickelt cert+ mit der Community laufend weiter. Den Betrieb der umgesetzten Maßnahmen übernehmen wir auf Wunsch dauerhaft im IT-Outsourcing.
Wie bereiten wir uns auf das Audit vor?
Mehr als den Termin braucht es nicht – die Bestandsaufnahme ist Teil des Audits. Wer vorab einen unabhängigen Blick auf Prozesse möchte, startet mit einem internen Audit.
Ist cert+ auch für Hersteller digitaler Produkte sinnvoll?
Als Nachweis für die eigene IT-Sicherheit ja. Für Produkte mit digitalen Elementen gelten zusätzlich die Anforderungen des Cyber Resilience Act.
Ihre Frage ist nicht dabei? Melden Sie sich – wir antworten innerhalb eines Werktages.
Der nächste Schritt nach cert+.
Je nach Ziel geht es nach der Einstufung unterschiedlich weiter.
Internes Audit
Unabhängiger Blick auf Ihre Prozesse vor einem Assessment oder einer Zertifizierung – mit Auditbericht und Maßnahmenplan.
ISO 27001
Der Schritt nach cert+ Gold: ein ISMS mit Risikomanagement, aufgebaut und begleitet bis zum Zertifizierungsaudit.
NIS2
Prüfen, ob Ihr Unternehmen direkt oder als Lieferant betroffen ist – und welche Pflichten daraus folgen.
Kostenloses Erstgespräch zum cert+ Audit
- Antwort innerhalb eines Werktags.
- Kostenloses, unverbindliches Erstgespräch – 30 Minuten.
- Klare Empfehlung und transparente Aufwandsschätzung.
- Lieber direkt einen Termin? 30-Minuten-Slot buchen
Ihre Ansprechpartner
Alexander Brütsch
Geschäftsführer, CISO
Stefan Wagner
Geschäftsführer
Mit Sternchen markierte Felder sind Pflichtfelder. Mit dem Absenden des Formulares akzeptieren Sie die Datenschutzerklärung. Mit dem Absenden des Formulars willige ich ein, dass meine übermittelten Informationen gespeichert werden, damit meine Anfrage beantwortet werden kann.