Diese Seite listet jedes Modul, das tatsächlich gebaut und im Einsatz ist, mit der Angabe, ab welchem Tarif es verfügbar ist. Ganz unten steht eine ebenso vollständige Liste dessen, was wir nicht können. Beides gehört zusammen: Ein Compliance-Werkzeug, das über sich selbst schwindelt, ist als Nachweis wertlos.
Vier Dinge funktionieren, bevor Sie irgendetwas bezahlen oder registrieren – zwei davon brauchen Sie sogar dann, wenn Sie nie Kund:in werden.
Ein Assistent in sechs Schritten beantwortet die Frage, ob NIS2 und die DSGVO Sie überhaupt treffen – mit erklärendem Video und Tonspur zu jedem Schritt. Für Deutschland zusätzlich die Vertiefung nach BSIG (wichtige/besonders wichtige Einrichtung, KRITIS-Hinweis, DORA-Abgrenzung). Ergebnis als Druckansicht mit Referenznummer.
Check starten →Jedes freigegebene Dokument trägt ein digitales Siegel. Wer es prüfen will – Auditor:in, Kunde, Behörde – lädt die Prüfseite auf, fügt Referenznummer und Siegel ein und sieht, ob das Dokument seit der Freigabe verändert wurde. Ohne Login, ohne Konto, ohne dass wir davon erfahren.
Prüfseite ansehen →Ihre Zulieferer bekommen einen persönlichen Link und beantworten den Fragebogen ohne eigenes Pflichtpilot-Konto. Jede Antwort wird direkt erklärt, statt nur abgehakt. Antworten lassen sich später über denselben Link nachbessern.
Fachbeiträge zu NIS2, DSGVO, ISO 27001 und Kryptografie – ohne Registrierung, ohne E-Mail-Abgabe. Dazu ein Hilfe-Index, der jedes Feld und jede Abkürzung der Anwendung über eine Referenznummer erklärt.
Zum Blog →Sieben Abschnitte, in Alltagssprache statt Normtext, mit Erklärung zu jeder Frage. Beantwortete Abschnitte klappen beim Wiederaufruf zu; wer etwas ändert, bekommt einen Hinweis, welche Auswertungen dadurch neu laufen. Ergebnisse aus dem kostenlosen Betroffenheits-Check werden übernommen, nichts wird doppelt gefragt.
Branche nach WZ-2008-Katalog statt Freitext, Größenklasse, Standorte, „100 % digitales Unternehmen"-Kennzeichen, Firmenlogo. Aus diesen Angaben leitet das System ab, welche Pflichten und welche Rollenempfehlungen für Sie überhaupt sinnvoll sind.
27 Fragen aus dem Standard für Kleinstunternehmen. Die Antworten fließen nicht nur in eine eigene Auswertung, sondern speisen auch die Relevanz-Einstufung der ISO-27001-Controls – ein einmal gegebener Hinweis wirkt an mehreren Stellen.
Direkt nach dem Fragebogen: was gilt für Sie, was ist offen, was ist der nächste sinnvolle Schritt. Kein Rohdaten-Dump, sondern eine Reihenfolge.
Vier Register, alle nach demselben Muster: anlegen, verantwortliche Person zuweisen, Status pflegen, Nachweis hochladen, Änderungsverlauf mitschreiben. Sie sind in jedem Tarif enthalten, auch im kleinsten.
Eintragen, mit Eintrittswahrscheinlichkeit und Schadenshöhe bewerten, in einer Heatmap sehen, wo es weh tut. Aus den Fragebogen-Antworten schlägt das System Risiko-Entwürfe vor – Sie bestätigen oder verwerfen sie, die Maschine entscheidet nichts allein.
Wie ein Risikoregister aussehen sollte →Richtlinien schreiben oder aus Vorlagen erzeugen, freigeben, versionieren – und die Kenntnisnahme durch Mitarbeitende dokumentieren. Jede:r Mitarbeitende sieht im eigenen Bereich, was noch zu bestätigen ist.
Was haben Sie, wer ist dafür verantwortlich, wie kritisch ist es. Aus dem Fragebogen vorbefüllte Einträge sind als solche gekennzeichnet, damit man selbst Erfasstes von Vorschlägen unterscheiden kann. Dazu ein Delegations-Überblick: welche Aufgabe darf an wen abgegeben werden – mit Rechtsgrundlage.
Sicherheitsvorfälle erfassen, bewerten, den Ablauf dokumentieren. Wer NIS2 unterliegt, muss innerhalb von 24 bzw. 72 Stunden melden – dafür braucht es einen Ort, der schon existiert, bevor etwas passiert.
Die 72-Stunden-Frist erklärt →Die zehn gesetzlich geforderten Maßnahmenbereiche, jeder mit eigenem Fortschrittsbalken und den Aufgaben, die darauf einzahlen. Damit sichtbar wird, an welcher der zehn Stellen es hakt – nicht nur, dass „etwas" offen ist.
§ 30 BSIG im Klartext →Jede Lücke lässt sich einer Person zuweisen; sie bekommt eine E-Mail und sieht die Aufgabe in ihrem eigenen Bereich. Ist die Rolle gerade vakant oder pausiert, geht die Nachricht automatisch an die vertretungsberechtigte Person statt ins Leere.
Zwei Ansichten auf denselben Bestand: ein Ringdiagramm Gesetz → Pflicht → Norm und eine Strukturkarte nach Unternehmensbereichen. Aus jedem Segment springen Sie direkt in die Maske, in der Sie das ändern können. Beide Ansichten zählen nachweislich denselben Umfang – ein Test bricht, wenn sie auseinanderlaufen.
Ihr Compliance-Dokument mit Inhaltsverzeichnis, aufklappbaren Abschnitten, eindeutiger Referenznummer, Datum und Firmenzuordnung. Enthält ausdrücklich auch eine Lückenübersicht – was noch fehlt, steht drin, statt kaschiert zu werden.
Beispieldokument ansehen →Wird aus Ihren Angaben erzeugt, statt aus einer leeren Vorlage abgetippt zu werden.
Kein Dokument verlässt das System, ohne dass eine benannte Person es ausdrücklich freigegeben hat. Das ist kein Formalismus: Wir können und wollen keine Haftung für Ihre Compliance-Aussagen übernehmen – deshalb steht am Ende jeder Kette eine menschliche Bestätigung, nicht ein Maschinenergebnis.
Beim Freigeben wird das Dokument mit einem quantensicheren Verfahren (ML-DSA-65, FIPS 204) unterschrieben. Jede spätere Änderung – auch durch uns – macht das Siegel ungültig. Prüfbar von außen, ohne Konto.
Jede Statusänderung, jede Freigabe, jede Rollenübergabe wird mit Zeitpunkt und handelnder Person festgehalten – über alle Register hinweg in einer Ansicht. Die Einträge sind nur anfügbar, nicht änderbar. Der Export ist ebenfalls signiert.
Alle 93 Controls aus Anhang A in verständlicher Sprache, mit automatischem Statement of Applicability, Ist-/Soll-Reifegraden im Netzdiagramm, Kosten-Nutzen-Abwägung je Control und wiederkehrenden Review-Erinnerungen. Eine Selbstbewertung – keine Zertifizierung.
Zum ISO-27001-Modul →Ihre vollständigen Angaben als strukturierte JSON-Datei, mit Signatur zum Gegenprüfen. Dazu White-Label-Dokumentvorlagen, die als Vorlage kenntlich bleiben und nicht wie ein fremdes Zertifikat aussehen.
Nachweise, Verträge, Auditberichte werden in Ihrem Browser verschlüsselt, bevor sie das Gerät verlassen. Der Schlüssel wird aus Ihrem Passwort abgeleitet und liegt nie bei uns. Folge: Wir können Ihre Dateien technisch nicht öffnen – auch nicht, wenn jemand uns dazu auffordert.
Dateiinhalte mit AES-256-GCM, Schlüsselaustausch hybrid aus klassischem ECDH (P-256) und ML-KEM-768 (FIPS 203). Beide müssten gebrochen werden, nicht eines von beiden. Einstufung: NIST-Kategorie 3 – nicht die höchste Stufe, und wir sagen auch, warum.
Die Kehrseite von Zero-Knowledge: Ein vergessenes Passwort können wir nicht zurücksetzen. Deshalb erzeugt Pflichtpilot beim Einrichten einen Wiederherstellungsschlüssel, den Sie außerhalb des Systems aufbewahren. Ohne ihn sind die Dateien verloren – das ist kein Fehler, sondern der Preis dafür, dass wir nicht mitlesen können.
Sie geben einzelnen Team-Mitgliedern Zugriff auf den Tresor. Dabei wird der Schlüssel für genau diese Person verpackt – nicht ein gemeinsames Passwort verteilt. Entzug wirkt für künftige Dateien.
Hosting in der EU. Verschlüsselte Dateien liegen bei Backblaze B2, die Datenbank bei Supabase (Frankfurt). Keine fremden Content-Delivery-Netze zur Laufzeit – auch die Krypto-Bibliothek liegt im eigenen Repository, damit niemand von außen nachträglich Code einschleusen kann. Ein automatischer Test bricht den Build, wenn sich das ändert.
Sicherheitsarchitektur im Detail →Löschen heißt hier: Der Schlüssel wird vernichtet. Was bleibt, ist ein Datenblock, den niemand mehr aufschließen kann – auch wir nicht, auch mit dem Backup nicht. Das ist die Grundlage dafür, dass eine Löschung nachweisbar endgültig ist.
Datenschutzbeauftragte:r, IT-Sicherheitsbeauftragte:r, ISMS- und Incident-Verantwortliche und weitere – jede Rolle mit den Pflichten und Rechten, die tatsächlich daran hängen, sichtbar für die Person selbst. Rollen lassen sich zuweisen, pausieren und übergeben, und das wird protokolliert.
Wenn eine Rollenverteilung fachlich problematisch ist – etwa Kontrolle und Ausführung in einer Hand – warnt das System und verlangt eine ausdrückliche, begründete Übersteuerung. Es blockiert Sie nicht; es sorgt dafür, dass die Entscheidung dokumentiert ist.
„Crew" sind die, die mitarbeiten – mit Zugriffsstufe von nur lesen bis Vollzugriff. „Passagiere" sind Mitarbeitende, die nur ihre Schulung machen. Passagiere können sich über einen Selbstanmelde-Link eintragen oder per CSV importiert werden.
Jährliche Security-Awareness-Schulung mit Video, Abschlusstest und Teilnahmezertifikat – bis 10 Plätze in Basic, bis 25 in Pro, unbegrenzt in Business. Weitere Plätze 2 €/Person/Monat.
Warum Schulung mehr ist als eine Pflichtübung →Jedes Team-Mitglied sieht seine Rolle, seine Aufgaben, die Register, für die es zuständig ist, und die Richtlinien, die es zur Kenntnis nehmen muss – und nichts darüber hinaus.
Länderspezifische Einstufung für Deutschland, Österreich, Schweiz, Niederlande, Italien und Polen – weil NIS2 in jedem Mitgliedstaat eigenständig umgesetzt wurde und die Schweiz gar nicht dazugehört. Der Zulieferer-Fragebogen läuft zusätzlich auf Englisch und in der jeweiligen Landessprache.
Die belastbare Antwort auf die Frage, die Ihnen Ihre Kunden stellen: Sind Sie betroffen, nach welcher Vorschrift, mit welcher Begründung – inklusive der deutschen BSIG-Vertiefung.
NIS2 für kleine Unternehmen →Zulieferer anlegen, mit einem Assistenten nach Kritikalität kategorisieren, personalisierte Fragebogen-Links erzeugen und die Antworten mit Ampel-Bewertung auswerten. Die Bewertung landet als Anhang im Compliance-Dokument.
Lieferkette ohne Bürokratie →Einladungen gehen automatisch raus, Fristen werden überwacht, überfällige Zulieferer werden erinnert, und nach Ablauf des Prüfzyklus fordert das System die Bestätigung erneut an. Ein täglicher Job übernimmt das, nicht Ihr Kalender.
Für Kleinstunternehmen mit vollständig ausgelagerter IT: Ihr IT-Dienstleister bestätigt die Basis-Sicherheitsmaßnahmen, belegt sie per Auditbericht oder Auftragsverarbeitungsvertrag und bestätigt sie in festen Abständen erneut. Mit eigenem Protokoll über alle Prüfzyklen. Zubuchbar zu jedem Tarif, auch Basic – 29 €/Monat.
Für IT-Dienstleister: das Zusatzgeschäft →Diese Liste steht hier, weil ein Compliance-Werkzeug seine eigenen Grenzen kennen muss. Sie ist genauso gepflegt wie die Liste oben – nichts davon ist heute schon gebaut.
Der Betroffenheits-Check dauert wenige Minuten, kostet nichts und verlangt keine Registrierung. Er sagt Ihnen, ob Sie überhaupt betroffen sind – auch wenn die Antwort „nein" lautet.