GRC-Partnerprogramm: 2 Compliance-Fliegen, eine echte Lösung

Bevor ein Rahmenvertrag verlängert wird, fragen Kunden heute nach Nachweisen zur Informationssicherheit. Wer Netzwerke, Arbeitsplätze oder Datensicherungen für andere betreibt, bekommt diese Frage gleich doppelt gestellt: einmal für die eigene Organisation und einmal für die betreuten Systeme. Seit dem 6. Dezember 2025 gilt dafür in Deutschland das NIS2-Umsetzungsgesetz.

Das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, schätzt den Kreis der Betroffenen in einer Pressemitteilung vom Januar 2026 auf rund 29.500 Unternehmen und Institutionen der Bundesverwaltung.

Für diese doppelte Nachweispflicht bietet die SAVISCON das GRC-Partnerprogramm. Vorher lohnt sich ein Blick darauf, wo die eigene Regulierung als MSP, Systemhaus oder Berater tatsächlich anfängt.

MSP, Systemhaus oder Berater: wo die eigene Regulierung anfängt

Anlage 1 des BSI-Gesetzes nennt Managed Services Provider (MSP) und Managed Security Services Provider ausdrücklich im Sektor digitale Infrastruktur, während reine IT-Sicherheitsberatung laut BSI-Fragenkatalog in der Regel nicht darunterfällt.

Ein Beratungshaus ist damit meist selbst nicht reguliert, wird aber trotzdem von seinen Kunden nach der eigenen Informationssicherheit gefragt, während ein Systemhaus mit technischem Zugriff auf Kundensysteme häufig direkt in der Pflicht steht. Am Ende bekommen beide dieselben Fragebögen vorgelegt, nur aus unterschiedlichen Gründen.

Ein kurzer Überblick zur Einordnung

Ob NIS2, ISO 27001 oder DORA am Ende zutrifft, hängt von Kunden, Branche und der eigenen Rolle ab. Zur schnellen Einordnung reicht meist diese Kurzfassung, nicht die Tiefe jedes einzelnen Paragrafen:

• NIS2: gilt seit dem 6. Dezember 2025 ohne allgemeine Übergangsfrist und betrifft je nach Sektor und Größe auch Managed Service Provider und IT-Systemhäuser direkt.
• ISO 27001: ist für viele Systemhäuser weniger eine gesetzliche Pflicht als eine wiederkehrende Frage in Kundenausschreibungen und Lieferantenfragebögen, deren Erfüllung zum Wettbewerbsvorteil wird.
• DORA: gilt seit dem 17. Januar 2025 direkt für Banken und Versicherer und nimmt über vertragliche Vorgaben auch deren IT-Dienstleister in die Pflicht.

Wie Unternehmen eine versäumte NIS2-Registrierung nachholen können, beschreibt unser Blogbeitrag zum Thema: „NIS2: Warum viele Unternehmen noch zögern und was jetzt hilft“.

Wer für Kunden aus mehreren der oben genannten Rahmenwerke Nachweise liefert, pflegt die eigene Grundlage dafür in der Praxis aber oft noch in Tabellen, die im Audit niemand gern aufschlägt. Eine Softwarelösung macht daraus einen Prozess, der nur noch gepflegt statt jedes Mal neu aufgebaut werden muss.

Das GRC-Partnerprogramm: erst im eigenen Haus, dann beim Kunden

Das GRC-Partnerprogramm der SAVISCON richtet sich an Managed Service Provider (MSP), IT-Systemhäuser und Beratungshäuser, die ihren Kunden bei der Frage nach Nachweisen zur Informationssicherheit helfen wollen, sei es durch Empfehlung oder als eigenes Angebot.

Die Umsetzung beginnt dabei nicht bei der Provision, sondern im eigenen Haus, denn wer Kunden zu NIS2, ISO 27001 oder DORA berät, sollte die Anforderungen zunächst selbst umgesetzt haben.

Dafür kann das GRC-COCKPIT, eine webbasierte Software der SAVISCON für Governance, Risk und Compliance, genutzt werden. Das Tool bündelt Steuerung, Risiko und Regelkonformität in einer Plattform und bildet dabei mehrere Managementsysteme in einer Oberfläche ab, darunter:

• Informationssicherheit nach ISO 27001 und IT-Grundschutz
• Risiko-Management nach ISO 31000
• Compliance-Management nach ISO 37301
• Datenschutz-Management nach ISO 27701

Auf der GRC-COCKPIT-Produktseite erfahren Sie mehr über den Umfang der Managementsysteme, die das Tool abbilden kann.

Wer das System zuerst für die eigene Organisation aufsetzt, kennt die Oberfläche, die Begriffe und die typischen Rückfragen bereits vor dem ersten Kundenprojekt und kann sie im Kundengespräch aus eigener Erfahrung erklären. Vier Funktionen im GRC-COCKPIT sind dabei für das Partnerprogramm besonders relevant:

• Mehrmandantenfähigkeit: ein Dashboard über die eigene Organisation und die betreuten Kundeninstanzen, mit eigenem Login auf der Partnerseite.
• Vorkonfigurierte Inhalte: Risiken und Maßnahmen für NIS2 sind im GRC-COCKPIT direkt mit den passenden Anforderungen der ISO 27001 verknüpft, sodass keine doppelte Pflege entsteht.
• Audit-Trail: jede Änderung wird mit Zeitpunkt und Verantwortlichem in der jeweiligen Versionshistorie im GRC-COCKPIT gespeichert und bleibt so nachvollziehbar.
• Reporting: Berichte für Audits, Kundenfragebögen und die Geschäftsführung lassen sich direkt aus den GRC-COCKPIT-Daten exportieren.

Die zwei Modelle im Partnerprogramm

Referral, empfehlen ohne Lizenzverwaltung

Das Referral-Modell im Partnerprogramm passt zu Häusern, die empfehlen wollen, ohne Lizenzen zu führen. Der Partner meldet einen Kontakt. Die SAVISCON übernimmt Angebot, Vertrag und Betreuung.

Vergütet wird eine Provision von zehn Prozent auf das erste Lizenzjahr. Technischer Aufwand oder eigenes Vertragsrisiko entstehen dabei nicht. Das Modell eignet sich deshalb auch als risikoarmer erster Schritt ins Thema Compliance-Vertrieb.

Reseller, Lizenzen im eigenen Namen

Das zweite Modell im Partnerprogramm richtet sich an Häuser, die Compliance als eigene Leistung anbieten wollen. Der Partner kauft Mietlizenzen ein, gibt sie unter eigenem Namen weiter und betreut seine Kunden selbst. Die Kundenbeziehung bleibt vollständig beim Partner.

Die Rabatte sind nach Partnerstufe und Vertragslaufzeit gestaffelt und liegen zwischen zehn und dreißig Prozent. Dazu kommen:

• ein Mehrmandanten-Dashboard
• Vertriebsunterlagen
• eine kostenfreie Basisschulung
• Deal-Registrierung mit Preisschutz: verhindert, dass ein zweiter Partner denselben Kunden unterbietet.

Die Wahl hängt weniger am Rabatt als am eigenen Betriebsmodell. Wer ohnehin Managed Services abrechnet und Kundenverträge führt, ist im Reseller-Modell näher am bestehenden Geschäft und baut Compliance als zusätzliche, wiederkehrende Einnahmequelle auf.

Wer Compliance nur punktuell berät, kommt mit einer Empfehlung schneller zum Ergebnis, ohne das eigene Portfolio zu erweitern. Beide Wege im Partnerprogramm führen auf dasselbe System.

Welches der beiden Modelle im Einzelfall passt, klären am besten die folgenden drei Fragen.

Drei Fragen vor dem Einstieg

Der Weg ins Partnerprogramm beginnt mit dem eigenen Bedarf, nicht mit einer Preisliste. Die folgenden drei Fragen sind zur eigenen Orientierung gedacht, nicht als Formular für die SAVISCON:

1. Welche Rahmenwerke betreffen das eigene Haus, NIS2, ISO 27001, DORA oder eine Kombination?
2. Wie oft taucht die Frage nach Nachweisen zur Informationssicherheit im eigenen Kundenalltag schon auf?
3. Sollen Lizenzen im eigenen Namen laufen oder reicht die Empfehlung an die SAVISCON?

Wer schon weiß, welches Modell zum eigenen Betrieb passt, findet die genauen Konditionen, Partnerstufen und den vollständigen Leistungsumfang auf der Partner-Startseite, nach der Anmeldung ergänzt um einen One-Pager mit allen Zahlen im Detail.

Wer sich noch nicht festlegen möchte, klärt die Wahl genauso gut in einem kostenlosen, unverbindlichen Gespräch mit der SAVISCON. Der Einstieg ins Partnerprogramm läuft über dieselbe Seite.

Dieser Beitrag wurde teilweise mit Unterstützung von KI erstellt und redaktionell überarbeitet.