Vier Fragen an... Vantarion GmbH

Was macht Vantarion und was ist das Besondere daran?

Software allein baut kein ISMS auf. Jemand muss die Entscheidungen treffen und die Prozesse im Betrieb verankern. Vantarion verbindet deshalb Software mit Beratung. Wir bieten mit VantarIS eine von uns entwickelte Cloud-Plattform für Compliance Management, also für GRC und ISMS und wir übernehme bei Kunden zugleich Mandate als externer Informationssicherheitsbeauftragter, CISO oder Datenschutzbeauftragter. In der Plattform bilden wir ISO 27001, TISAX, NIS2, DSGVO, BSI IT-Grundschutz, DORA, den Cyber Resilience Act und den EU AI Act ab.

Das Besondere an VantarIS ist die Wiederverwendung. Wer heute TISAX braucht, nächstes Jahr NIS2 nachweisen muss und danach den CRA vor sich hat, fängt nicht jedes Mal bei null an. Heute läuft das meistens als drei getrennte Projekte mit drei Beratern und drei Tabellenlandschaften, die voneinander nichts wissen. Mit VantarIS erfasst ein Unternehmen seine Assets, Prozesse und Risiken genau einmal.

Der zweite Punkt ist die Verbindung zur Praxis. Ein Managementsystem beschreibt, wie sicher ein Unternehmen sein will. Ob es das auch ist, zeigt sich woanders. Deshalb gehören Phishing-Simulationen und Awareness-Trainings aus unserer Academy sowie Schwachstellenmanagement und Pentesting als Managed Service dazu. Die Ergebnisse laufen in die Plattform zurück und werden dort zu Kennzahlen, die in jedem Audit belastbar sind.

Was war bisher die größte Herausforderung?

Vertrauen. Wir bitten Geschäftsführer darum, uns ihre Risiken und ihre offenen Baustellen zu zeigen. Und wir tun das als Unternehmen, das es erst seit Februar 2026 gibt. Das Produkt ist deutlich älter, VantarIS entwickle ich seit 2022 gemeinsam mit Pilotkunden. Bei einem Thema, bei dem im Zweifel die Geschäftsleitung persönlich haftet, entscheidet trotzdem niemand nach einer guten Präsentation.

Meine eigene Laufbahn hilft dabei. Über 10 Jahre habe ich im Systemhaus und in der Beratung gearbeitet und dabei viele Unternehmen von außen gesehen. Danach kamen 10 Jahre im Betrieb, zuletzt als Head of IT einer Unternehmensgruppe, wo ich ein ISMS nach ISO 27001 und VDA-ISA aufgebaut und durch die TISAX-Prüfung gebracht habe. Ich kenne also beide Seiten des Tisches, die des Dienstleisters und die des Verantwortlichen, der am Ende unterschreibt.

Die zweite Herausforderung ist, dass wir oft zu früh oder zu spät kommen. Zu früh, wenn ein Betrieb noch keinen Kundenfragebogen auf dem Tisch hat und das Thema deshalb keine Priorität bekommt. Zu spät, wenn die Frist schon läuft und jede Entscheidung unter Druck fällt. Der brauchbare Zeitpunkt liegt dazwischen, und den erkennt man von außen schlecht. Deshalb bieten wir den Einstieg kostenlos an, damit ein Unternehmen den Aufwand einschätzen kann, bevor es sich festlegt.

Was macht die Lösung erfolgreich?

Wir können mit beiden Seiten reden. Mit der Geschäftsführung über Haftung, Marktzugang und Kosten, mit der IT über Netzsegmentierung, Backups und Patch-Stände. Genau zwischen diesen Ebenen scheitern die meisten Compliance-Projekte, weil der Übersetzer fehlt.

Am Anfang steht deshalb immer eine Standortanalyse. Wir schauen uns an, welche Regelwerke ein Unternehmen tatsächlich betreffen, was an Dokumentation und Technik schon vorhanden ist und wo die Lücken liegen. Daraus wird eine Maßnahmenliste mit Reihenfolge, sortiert nach Wirkung und Aufwand. Erst danach reden wir über Software. Diese Reihenfolge klingt selbstverständlich, wird aber häufig umgedreht, und dann füllt ein Unternehmen ein Tool mit Anforderungen, die es gar nicht erfüllen muss. Wir drehen sie deshalb wieder um und klären erst den Bedarf.

Dazu kommt der Ton. Bußgelder und Haftungsparagrafen kennt inzwischen jeder Geschäftsführer, viele schalten beim dritten Warnhinweis ab. Bei uns geht es im Gespräch deshalb um die Frage, was ein Betrieb wirklich braucht und was er sich sparen kann.

Und der Einstieg kostet nichts. Auf unserer Website gibt es kostenlose Checks zu NIS2, zum ISMS-Reifegrad, zum Cyber Resilience Act und zum EU AI Act. Wer nicht weiß, welches Thema ihn überhaupt betrifft, bekommt ein kostenloses Strategiegespräch. Danach weiß ein Betrieb, wo er steht, auch wenn er anschließend mit jemand anderem weiterarbeitet. Ich habe selbst erlebt, wie ein Beratungsprojekt startet und die ersten Wochen für Onboarding draufgehen, während die Rechnung längst läuft. Davor will ich unsere Kunden bewahren.

Warum seid Ihr Mitglied bei Hessenmetall?

Weil hier die Betriebe sind, für die unser Thema gerade konkret wird. Auf die M+E-Unternehmen kommen mehrere Anforderungen gleichzeitig zu: TISAX über die Automobilkunden, NIS2 über die Lieferkette und der Cyber Resilience Act für jedes Produkt mit digitaler Komponente. Das trifft Betriebe, die hervorragend fertigen, aber keine eigene Compliance-Abteilung haben.

Was wir einbringen können, ist die Erfahrung aus Zertifizierungsprojekten und ein nüchterner Blick darauf, was davon wirklich nötig ist. Was wir mitnehmen, ist der Austausch mit Unternehmern, die ihre Märkte seit Jahrzehnten kennen.

Dazu läuft bei uns gerade eine Erhebung zum Sicherheitsreifegrad im Mittelstand, gemeinsam mit einem Studienpartner. Für diese Unternehmensgrößen gibt es bisher kaum belastbare Vergleichswerte, das dürfte für einige Mitglieder interessant sein.