ISMS · GRC · OT — für KRITIS & Industrie im DACH-Raum
Normly verbindet ISO 27001, NIS2, DSGVO, DORA, RKEG und den EU AI Act in einer Plattform — mit Methodik-Tiefe bis in die OT. Strukturiert aufbauen in Wochen statt Monaten. Und danach: wirklich betreiben, nicht nur bestehen.
Entwickelt aus der Praxis des Sicherheitsmanagements kritischer Infrastruktur · Pilotbetrieb bei einem österreichischen Energieerzeuger (KRITIS)
Befund aus der Praxis — nicht aus dem Lehrbuch.
Risikoregister hier, Maßnahmenliste dort, SoA in Version 7_final_NEU. Nichts ist verknüpft, nichts ist aktuell, niemand traut den Zahlen.
→ Normly: Ein Datenmodell. Risiko, Asset, Maßnahme und Control referenzieren einander — ändert sich eines, rechnet das System nach.
Zum Audit wird aufgeräumt, danach veraltet alles wieder. Das Zertifikat hängt an der Wand, das ISMS lebt nicht.
→ Normly: Fristen-Engine, Wiedervorlagen, Wirksamkeitsprüfungen und PDCA-Workflows halten das System im Betrieb aktuell.
Das IT-Tool kennt keine Leittechnik. Safety-Anforderungen kollidieren mit Security-Maßnahmen — und niemand sieht den Konflikt, bevor er teuer wird.
→ Normly: OT ist kein Add-on, sondern eigene Methodik: IEC 62443-Zonen, SL-Gaps, Safety-Security-Konfliktanalyse.
60+ Fachmodule, ein Datenmodell, vernetzte Workflows.
Identifizieren, bewerten, behandeln — inklusive Restrisiko-Rechnung, Kaskaden und 4-Augen-Risikoakzeptanz. Quantitativ, wenn Sie es brauchen: FAIR-Monte-Carlo und LOPA eingebaut.
IT, OT und physische Assets mit Schutzbedarf über Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität — Vererbung entlang der Abhängigkeiten automatisch.
Alle 93 Annex-A-Controls der ISO/IEC 27001:2022, Statement of Applicability auf Knopfdruck — als PDF, DOCX oder XLSX.
Kanban, Verantwortlichkeiten, Abhängigkeiten — und Wirksamkeitsverifikation nach NISG §32, nicht nur „erledigt“-Häkchen.
Mehrjahres-Auditprogramm, Konzern-Modus, externes Auditor-Portal mit protokolliertem Zugriff. KI extrahiert Findings aus hochgeladenen Prüfberichten.
BIA mit RTO/RPO/MTPD, Notfallpläne, Übungen und Krisenorganisation — verknüpft mit Ihren kritischen Services statt daneben dokumentiert.
Verarbeitungsverzeichnis, DSFA, Betroffenenrechte mit Fristen-Engine, Datenpannen-Workflow (72 h) — integriert mit dem ISMS.
Lieferanten bewerten, Zertifikate prüfen, Self-Service-Fragebögen versenden — NIS2-konforme Lieferketten-Dokumentation.
Bedrohungslage automatisch beobachten, KI bewertet Relevanz für Ihre Branche und Assets — inklusive MITRE-ATT&CK-Zuordnung.
Außerdem: Whistleblowing (HSchG), EU-AI-Act-Register mit FRIA, DORA-Cockpit, Schulungen & Awareness, Dokumentenlenkung, Management-Review, Kennzahlen.
Screenshots aus der laufenden Plattform — mit fiktiven Demo-Daten.
Der Unterschied, den kein Mainstream-GRC-Tool bietet.
Wer Leittechnik betreibt, weiß: IT-Security-Logik lässt sich nicht einfach auf OT übertragen. Ein Patch, der die Safety-Zertifizierung bricht, ist keine Maßnahme — er ist ein neues Risiko. Normly implementiert deshalb echte OT-Risikomethodik, keine umetikettierten IT-Checklisten.
90 KI-Funktionen — jede davon EU-gehostet und protokolliert.
Normly nutzt KI dort, wo sie echte Arbeit abnimmt: Audit-Berichte auswerten, Risiken vorbewerten, Richtlinien entwerfen, Verarbeitungsverzeichnisse aus Bestandsdaten generieren. Die Compliance-Logik selbst bleibt deterministisch und regelbasiert — Ihr Score halluziniert nicht.
Cross-Framework-Mapping auf Klausel-Ebene.
Sie setzen um:
Zugriffssteuerung & Berechtigungsmanagement
NISG 2026
19 Sektoren mit Schwellwerten, Mindestmaßnahmen-Cockpit nach §32 (zehn Bereiche), Erheblichkeitsprüfung nach §35, Meldekette 24 h / 72 h / 1 Monat, Selbstdeklaration nach §33 mit manipulationssicherem Nachweis.
RKEG
Resilienzplan nach §15 mit allen sechs Aspekten und Fristenlogik zum Bescheid, Überprüfungen nach §16, Sektor-Abhängigkeiten.
CyberTrust Austria
Anforderungskatalog des österreichischen Labels direkt als Assessment abgebildet — inklusive Reifegrad-Bewertung.
Ehrliche Zeitangaben. Keine „audit-ready in 10 Minuten“-Märchen.
Geführtes Onboarding: Organisation, Scope, Sicherheitsziele, Risikoappetit. Das Grundgerüst steht in unter einer Stunde — inklusive KI-Vorschlägen für Ihre Sicherheitsziele.
< 1 StundeAssets, Prozesse, Risiken, Maßnahmen — strukturiert erfassen, von der Plattform geführt und von KI beschleunigt. Der Aufwand hängt ehrlicherweise von Ihrer Organisationsgröße ab; wir begleiten den Start.
Wochen, nicht MonateFristen, Wiedervorlagen, Wirksamkeitsprüfungen laufen im System. Audit-Nachweise — SoA, Risikobericht, Selbstdeklaration — exportieren Sie auf Knopfdruck, revisionssicher protokolliert.
DauerbetriebDrei Rollen, ein System.
CISO / ISB
Struktur statt Zettelwirtschaft: vernetzte Register, automatische Wiedervorlagen, KI für die Fleißarbeit. Gebaut von jemandem, der den Job selbst macht — man merkt es an jedem Workflow.
Geschäftsführung
NIS2 macht Leitungsorgane persönlich verantwortlich. Normly liefert den Überblick in Minuten: Reifegrade, Ampeln, offene Risiken — und die Schulungsnachweise nach Art. 20 gleich mit.
KRITIS & Industrie
Energie, Wasser, Produktion, Verkehr: Wo Leittechnik läuft, reicht IT-Compliance nicht. Zonen, Security-Level, Safety-Konflikte — Normly spricht die Sprache Ihrer Anlagen.
Keine „Preis auf Anfrage“-Spielchen. Einführungspreise für Frühkunden.
Starter
199 €/Monat
Professional Empfohlen
399 €/Monat
Business
749 €/Monat
Enterprise
Individuell
Alle Preise zzgl. USt. · monatlich kündbar · Einführungspreise, Stand Juli 2026
Practitioner-Software. Kein Beratungsprodukt.
Normly entstand nicht im Elfenbeinturm einer Beratung, sondern aus dem operativen Sicherheitsmanagement kritischer Infrastruktur — mit Background bei einer österreichischen Sicherheitsbehörde und fundierter IT-Security-Ausbildung. Jedes Feature existiert, weil es im Alltag gebraucht wird. Keine Checkbox-Listen für Berater, sondern Werkzeuge für Menschen, die Sicherheit tatsächlich verantworten.
Direkt beantwortet.
Österreich setzt NIS2 mit dem NISG 2026 um. Wesentliche und wichtige Einrichtungen müssen sich beim BMI registrieren (Frist: 31. 12. 2026) und die Mindestmaßnahmen nach §32 nachweisbar umsetzen. Normly bildet die Sektoren-Zuordnung mit Schwellwerten, den §32-Maßnahmenkatalog, die Erheblichkeitsprüfung nach §35 samt Meldekette und die Selbstdeklaration nach §33 direkt ab. Ob Sie betroffen sind, klären wir gern in 15 Minuten.
Drei Dinge. Erstens: Normly ist ein Betriebs-Tool — Fristen, Wirksamkeitsprüfungen und Workflows laufen weiter, wenn das Projekt vorbei ist. Zweitens: echte OT-Methodik (IEC 62443, Safety-Security-Konflikte, quantitative Verfahren), die weder Excel noch klassische ISMS-Tools abbilden. Drittens: moderne Bedienung ohne Beraterzwang — Sie brauchen kein Customizing-Projekt, um anzufangen.
Hosting und Datenbank liegen bei europäischen Anbietern in der EU, mit Mandantentrennung auf Datenbankebene und Verschlüsselung at-rest und in-transit. Die KI-Verarbeitung läuft ausschließlich in der EU-Region (Frankfurt); ein Nicht-EU-Anbieter ist im Code nicht konfigurierbar. Personenbezogene Daten werden vor jedem KI-Aufruf automatisch geschwärzt, und Ihre Daten werden nicht für Modell-Training verwendet.
Ehrliche Antwort: Das Grundgerüst (Organisation, Scope, Ziele) steht in unter einer Stunde. Ein belastbares Risikoregister mit erfassten Assets und Prozessen braucht — je nach Organisationsgröße — einige Wochen strukturierter Arbeit. Die Plattform führt Sie dabei, die KI beschleunigt die Fleißarbeit, und im Onboarding begleiten wir Sie persönlich. Wer Ihnen „audit-ready in Tagen“ verspricht, verkauft Ihnen ein Häkchen-Tool.
Im Onboarding übernehmen wir Ihre Bestandsdaten gemeinsam und strukturiert — so landet kein Datenmüll im neuen System. Ein Self-Service-Import (CSV/Excel) steht auf unserer Roadmap weit oben; sprechen Sie uns darauf an, wenn das für Sie entscheidend ist.
Nein. Jede KI-Funktion ist optional und einzeln nutzbar; die Compliance-Logik (Scores, Fristen, Reifegrade) ist vollständig deterministisch und funktioniert ohne KI. Wenn Sie KI nutzen, gilt: EU-Region, PII-Schwärzung, Kennzeichnung, Audit-Log, Kontingente.
Ja — Normly strukturiert Ihr ISMS entlang der ISO/IEC 27001:2022 (Klauseln 4–10 und alle 93 Annex-A-Controls) und erzeugt die Nachweise, die Auditoren sehen wollen: SoA, Risikobericht, Management-Review, Maßnahmenverfolgung, Audit-Trail. Zertifiziert werden Sie durch eine akkreditierte Zertifizierungsstelle; Normly liefert die belastbare Grundlage dafür.
45 Minuten, Ihr Szenario, ehrliche Antworten — auch dazu, was Normly (noch) nicht kann.
✓ Anfrage übermittelt
Danke — wir melden uns innerhalb von 24 Stunden bei Ihnen.
Lieber direkt? office@normly.at
Normly — Firmengründung in Vorbereitung (GmbH in Gründung)
Kontakt: office@normly.at · https://normly.at · Österreich
Die Normly GmbH befindet sich derzeit in Gründung. Vollständige Angaben gemäß § 5 ECG und § 25 MedienG (Firmensitz, Geschäftsführung, Firmenbuchnummer, UID-Nummer) werden unmittelbar nach erfolgter Firmenbucheintragung ergänzt.
Normly (GmbH in Gründung), Österreich — office@normly.at
Diese Website verwendet keine Cookies, kein Tracking und keine Analyse-Tools. Schriften und alle Ressourcen werden ausschließlich von dieser Domain geladen — es werden keine Verbindungen zu Drittanbietern (z. B. Google Fonts oder CDNs) aufgebaut.
Wenn Sie das Demo-Formular nutzen, werden Ihre Angaben (Name, E-Mail, Unternehmen, optional Sektor und Nachricht) über den Formulardienst unseres Hosting-Anbieters verarbeitet und an uns weitergeleitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen). Ihre Daten werden ausschließlich zur Bearbeitung der Anfrage verwendet und nicht an Dritte weitergegeben.
Diese Website wird bei Netlify Inc. (San Francisco, USA) gehostet; dabei werden technisch notwendige Zugriffsdaten (IP-Adresse, Zeitstempel) verarbeitet. Details: Netlify Privacy Policy. Hinweis: Das Hosting dieser Marketing-Website ist unabhängig von der Normly-Plattform selbst — Kundendaten der Plattform werden bei europäischen Anbietern in der EU verarbeitet.
Sie haben das Recht auf Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung Ihrer personenbezogenen Daten (office@normly.at). Beschwerderecht: Österreichische Datenschutzbehörde (dsb.gv.at).
Die Normly-Plattform nutzt KI-Funktionen ausschließlich über EU-Infrastruktur (AWS Bedrock, Region Frankfurt); KI-Ergebnisse werden gekennzeichnet und sind auf menschliche Prüfung ausgelegt. Auf dieser Website selbst kommt keine KI zum Einsatz.