Montag, Statusmeeting mit der Geschäftsführung. Die Frage ist einfach: „Wo stehen wir bei NIS2?“ Die Antwort ist es nicht. Sie steckt in vier Excel-Tabellen, zwei Ticketsystemen und den Postfächern von drei Kollegen. Bis daraus ein belastbarer Bericht wird, vergeht ein halber Tag. In vielen Unternehmen sieht Governance, Risk und Compliance, kurz GRC, genau so aus.
Commugen setzt hier an. Die Plattform automatisiert die wiederkehrenden Aufgaben rund um Risiken, Schwachstellen und Nachweise, ohne dass dafür programmiert werden muss. In diesem Beitrag erfahren Sie, warum GRC mit Tabellen an Grenzen stößt, wie Commugen funktioniert und wie eine Einführung abläuft.
Warum GRC mit Excel nicht mehr reicht
Die Anforderungen sind in den letzten Jahren deutlich gewachsen. Seit dem 6. Dezember 2025 gilt in Deutschland das NIS-2-Umsetzungsgesetz. Betroffene Unternehmen müssen nach § 30 BSIG zehn Bereiche des Risikomanagements abdecken und nachweisen können, dass ihre Maßnahmen wirken. Die Geschäftsleitung ist nach § 38 BSIG verpflichtet, die Umsetzung zu überwachen. Für Banken, Versicherer und andere Finanzunternehmen gilt zusätzlich seit Januar 2025 die EU-Verordnung DORA. Viele Unternehmen sind außerdem nach ISO 27001 zertifiziert oder wollen es werden.
Jedes dieser Regelwerke verlangt Dokumentation, regelmäßige Bewertungen und aktuelle Nachweise. Mit Tabellen und E-Mails führt das zu bekannten Problemen:
- Doppelte Arbeit: Dieselbe Maßnahme wird für NIS2, ISO 27001 und den Kundenaudit dreimal dokumentiert.
- Veraltete Daten: Bis der Bericht fertig ist, haben sich Risiken und Schwachstellen schon wieder verändert.
- Fehlende Übersicht: Niemand sieht auf einen Blick, welche Maßnahmen offen sind und wer dafür zuständig ist.
- Abhängigkeit von Einzelnen: Das Wissen steckt in den Tabellen bestimmter Personen. Fällt jemand aus, fehlt der Überblick.
Was ist Commugen?
Commugen ist eine No-Code-Plattform zur Automatisierung von Cyber-GRC. Laut Hersteller verbindet sie Workflows, Dashboards und KI-Funktionen in einer Oberfläche. Das Unternehmen hat Standorte in den USA, Großbritannien, Deutschland und Israel und richtet sich an Sicherheitsverantwortliche, GRC-Teams und Security-Abteilungen. Wir arbeiten als Partner mit Commugen zusammen.
„No-Code“ bedeutet: Abläufe, Formulare, Berichte und Regeln werden über eine grafische Oberfläche eingerichtet und angepasst. Eine Entwicklungsabteilung braucht man dafür nicht. Das ist der wichtigste Unterschied zu vielen klassischen GRC-Werkzeugen, deren Einführung sich oft über viele Monate zieht.
Was Commugen automatisiert
Laut Hersteller deckt die Plattform vor allem diese Anwendungsfälle ab:
| Bereich | Was die Plattform übernimmt |
|---|---|
| Risikobewertung | Risiken werden erfasst, nach festen Regeln bewertet und mit passenden Maßnahmen verknüpft |
| Schwachstellenmanagement | Ergebnisse aus Scans und Tests werden gesammelt, priorisiert und in Maßnahmenpläne übersetzt |
| Compliance-Betrieb | Anforderungen mehrerer Regelwerke werden zentral verwaltet, überlappende Kontrollen nur einmal gepflegt |
| Lieferanten | Fragebögen und Nachweise von Dienstleistern werden eingesammelt und ausgewertet |
| Berichte | Dashboards und Berichte für Geschäftsleitung, Prüfer und Fachabteilungen werden automatisch aktualisiert |
Ein Punkt ist für Unternehmen mit mehreren Regelwerken besonders interessant: Commugen erkennt laut Hersteller Überschneidungen zwischen Kontrollen. Eine Maßnahme wie die Multi-Faktor-Authentifizierung wird einmal gepflegt und zählt dann für NIS2, ISO 27001 und andere Vorgaben gleichzeitig.
KI-Funktionen in Commugen
Commugen bringt eigene KI-Assistenten mit. Laut Hersteller unterstützen sie unter anderem bei:
- dem Entwurf interner Richtlinien
- der Auswertung von Nachweisen und Lieferantenfragebögen
- der Umsetzung von Schwachstellen in konkrete Maßnahmenpläne
Wichtig dabei: Die Assistenten sollen ihre Ergebnisse begründen. Das ist für Compliance entscheidend, denn eine Entscheidung, die niemand nachvollziehen kann, hält in keinem Audit stand. Die Verantwortung bleibt bei den Menschen. Die KI nimmt Routinearbeit ab, die Freigabe erfolgt durch die zuständige Person.
Wie lange dauert die Einführung?
Der Hersteller spricht von einem Nutzen „in Wochen, nicht in Quartalen“. Das deckt sich mit dem No-Code-Ansatz: Viele Abläufe lassen sich aus Vorlagen übernehmen und schrittweise anpassen. In der Praxis hat sich diese Reihenfolge bewährt:
- Ziele festlegen. Welche Regelwerke sind relevant, welche Berichte braucht die Geschäftsleitung, wer ist wofür zuständig?
- Bestand aufnehmen. Vorhandene Risikoregister, Maßnahmenlisten und Nachweise werden gesammelt.
- Mit einem Bereich starten. Zum Beispiel das Schwachstellenmanagement oder die NIS2-Maßnahmen. Erfolge sind so schnell sichtbar.
- Verantwortliche einbinden. Fachabteilungen bekommen klare Aufgaben und sehen ihren eigenen Stand.
- Ausbauen. Weitere Regelwerke, Lieferanten und Berichte kommen nach und nach dazu.
Für wen sich Commugen eignet
Commugen ist besonders interessant für Unternehmen, die:
- unter NIS2 oder DORA fallen und laufend Nachweise liefern müssen
- mehrere Regelwerke parallel erfüllen, etwa NIS2, ISO 27001 und Kundenanforderungen
- ihr Risiko- und Schwachstellenmanagement bisher mit Tabellen steuern
- der Geschäftsleitung regelmäßig über den Stand der Informationssicherheit berichten müssen
- kein eigenes Entwicklerteam für die Anpassung von Software haben
Für sehr kleine Betriebe ohne regulatorische Pflichten ist eine eigene GRC-Plattform oft zu viel. Ab dem Moment, in dem mehrere Standards, Audits und Verantwortliche zusammenkommen, rechnet sich die Automatisierung schnell.
Fazit: Weniger Tabellen, mehr Überblick
GRC muss kein Papierkrieg sein. Commugen bündelt Risiken, Schwachstellen, Maßnahmen und Nachweise in einer Plattform, automatisiert wiederkehrende Aufgaben und liefert der Geschäftsleitung jederzeit einen aktuellen Stand. Der No-Code-Ansatz sorgt dafür, dass die Lösung schnell einsatzbereit ist und mit neuen Anforderungen mitwachsen kann. Gerade mit NIS2 und der persönlichen Verantwortung der Geschäftsleitung wird ein solcher Überblick zur Pflicht.
Sie wollen Ihr GRC-Management automatisieren? Wir zeigen Ihnen Commugen in einer Demo und begleiten die Einführung. Mehr zu unserer Beratung lesen Sie auf unserer Seite zu GRC und zu NIS2. Kostenlose Erstberatung buchen
