ISO 27001, BSI C5, SOC 2 und TISAX bei HR-Software: Sicherheitszertifikate richtig prüfen
Wer 2026 eine HR-Software-Plattform für Payroll, Talent Management oder Zeiterfassung auswählt, kommt an Sicherheitszertifikaten nicht vorbei: ISO 27001, BSI C5, SOC 2 und TISAX sind für IT-Sicherheits- und Compliance-Abteilungen inzwischen ein hartes Ausschlusskriterium, nicht mehr nur ein Nice-to-have im Pitch-Deck. Besonders Automobilzulieferer verlangen von HR-Anbietern zunehmend ein gültiges TISAX-Label; laut Brancheneinschätzungen führt die ENX Association mittlerweile mehrere Tausend aktive TISAX-Labels in ihrem Portal, aktuelle Fallzahlen veröffentlicht ENX direkt unter enx.com. Diese Seite ordnet die vier wichtigsten Zertifizierungen ein, zeigt, was sie tatsächlich absichern, und liefert eine Checkliste für die Anbieterauswahl.
Warum HR-Software-Sicherheitszertifikate 2026 zum harten Auswahlkriterium werden
Ein unabhängiges Zertifikat schafft eine geprüfte Vergleichsbasis dort, wo bislang oft nur Marketingaussagen standen.
Marketingaussagen statt geprüftem Nachweis
HR-Software verarbeitet mit die sensibelsten Daten im Unternehmen: Gehaltsdaten, Gesundheitsinformationen, disziplinarische Vorgänge, Bewerberdaten und in vielen Fällen auch biometrische Zeiterfassungsdaten. Trotzdem verlassen sich viele Fachabteilungen bei der Anbieterauswahl noch immer auf Aussagen wie „wir sind sicher" oder „DSGVO-konform", ohne dass ein unabhängiges Audit dahintersteht. Das Ergebnis: Verträge werden unterschrieben, bevor die IT-Sicherheitsabteilung ein belastbares Zertifikat gesehen hat.
- NIS2-Umsetzungsgesetz 2025 (BGBl. I 2025 Nr. 301) verlangt dokumentierte Lieferketten-Nachweise
- IAF-Übergangsfrist zu ISO 27001:2022 seit 31.10.2025 endgültig abgelaufen
- Altzertifikate nach ISO 27001:2013 gelten seither nicht mehr als aktueller Nachweis
Unabhängige Zertifizierung als objektiver Filter
Unabhängige Zertifizierungen wie ISO 27001, BSI C5, SOC 2 und TISAX schaffen eine objektive, extern geprüfte Vergleichsbasis. Eine akkreditierte Zertifizierungsstelle oder ein Wirtschaftsprüfer prüft nach einem festen Kriterienkatalog, ob Informationssicherheits-Managementsystem, Rechenzentrums-Sicherheit, Zugriffskontrollen und Notfallprozesse tatsächlich funktionieren. Für IT-Sicherheits- und Compliance-Verantwortliche wird das Zertifikat damit zum entscheidenden Filter in der Longlist.
- Anbieter ohne gültigen Nachweis fallen bereits in der Longlist raus
- Für DSGVO- und AVV-Bewertung siehe DSGVO bei HR-Software
- Diese Seite fokussiert bewusst auf die technischen Zertifizierungsnachweise
Die vier Zertifizierungen im Überblick
Ein Anbieter kann mehrere Zertifizierungen parallel führen – entscheidend ist, ob der Geltungsbereich (Scope) tatsächlich die HR-Software-Instanz abdeckt.
| Zertifizierung | Herausgeber / Prüfer | Was wird geprüft | Typische Gültigkeit | Relevant für |
|---|---|---|---|---|
| ISO 27001ISMS-Norm | Akkreditierte Zertifizierungsstelle (z. B. TÜV, DEKRA, DQS) nach internationaler Norm der International Organization for Standardization | Informationssicherheits-Managementsystem (ISMS): Risikomanagement, Zugriffskontrollen, organisatorische Prozesse | 3 Jahre, mit jährlichen Überwachungsaudits | Grundlegender Nachweis für alle SaaS-Anbieter, Basis-Anforderung in fast jeder Ausschreibung |
| BSI C5Cloud-Kriterienkatalog | Wirtschaftsprüfer nach dem Kriterienkatalog des Bundesamts für Sicherheit in der Informationstechnik (BSI) | Cloud-spezifische Sicherheit: Rechenzentrumsstandort, Verschlüsselung, Transparenz über Subunternehmer, Portabilität | Testat für definierten Prüfzeitraum (meist 12 Monate), jährliche Neuprüfung | Öffentliche Auftraggeber, Behörden, Unternehmen mit strengen deutschen Cloud-Compliance-Vorgaben |
| SOC 2 (Type II)AICPA-Trust-Services | Wirtschaftsprüfungsgesellschaft nach dem Trust-Services-Kriterienkatalog des AICPA (American Institute of Certified Public Accountants) | Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit über einen Beobachtungszeitraum (meist 6–12 Monate) | Bericht mit begrenzter Gültigkeit, jährliche Neuerstellung üblich | International tätige Konzerne, US-Mutterkonzerne, Anbieter mit Sitz oder Hosting in den USA |
| TISAXVDA-ISA-Katalog | ENX Association, geprüft durch akkreditierte Auditoren nach dem VDA-ISA-Katalog (Verband der Automobilindustrie) | Informationssicherheit speziell für den Umgang mit Daten der Automobilindustrie, inklusive Prototypenschutz | 3 Jahre, abhängig vom Prüflevel (Level 1–3) | Zwingend für Zulieferer und Dienstleister von Automobilherstellern, häufig Ausschlusskriterium bei fehlendem Label |
Hinweis: Die reine Anzahl der Zertifikate sagt nichts über die Qualität aus; entscheidend ist, ob der Geltungsbereich (Scope) tatsächlich die HR-Software-Instanz und die relevanten Rechenzentren abdeckt. Neben den vier Kernzertifizierungen tauchen zunehmend drei weitere Nachweise in Ausschreibungen auf: ISO 27017 (Cloud-spezifische Sicherheitskontrollen als Ergänzung zu ISO 27001) und ISO 27018 (Schutz personenbezogener Daten in der Cloud) sind naheliegende Zusatznormen für SaaS-HR-Anbieter. Das EU Cloud Certification Scheme (EUCS) befindet sich als europäisches Cloud-Zertifizierungsschema in der Weiterentwicklung und wird mittelfristig als Ergänzung zu nationalen Schemata wie BSI C5 diskutiert. Für HR-Software-Kunden aus dem Finanzsektor kommt zusätzlich der Digital Operational Resilience Act (DORA) ins Spiel: Er verpflichtet beaufsichtigte Finanzunternehmen, die IT-Sicherheit ihrer kritischen IKT-Dienstleister im Rahmen des Lieferantenmanagements nachzuweisen, vergleichbar mit dem TISAX-Fokus in der Automobilindustrie.
Sieben Prüfpunkte, die über den Wert eines Zertifikats entscheiden
Ein Zertifikat allein sagt wenig – Scope, Aktualität und Prüftiefe entscheiden, ob der Nachweis belastbar ist.
Scope-Prüfung des Zertifikats
Ein ISO-27001-Zertifikat gilt nur für den im Zertifikat definierten Geltungsbereich. Prüfen Sie, ob die konkrete HR-Software-Instanz, die Rechenzentren und die eingesetzten Subprozessoren tatsächlich im Scope enthalten sind – ein Konzernzertifikat für die Muttergesellschaft deckt nicht automatisch jedes Tochterprodukt ab.
Aktualität, Gültigkeit, Verifizierbarkeit
Seit dem 31. Oktober 2025 sind Altzertifikate nach ISO 27001:2013 nicht mehr als aktueller Nachweis gültig; fordern Sie die aktuelle Fassung nach ISO 27001:2022 an. Verifizieren Sie zusätzlich im Register der Zertifizierungsstelle oder direkt im ENX-Portal (enx.com) bei TISAX.
BSI C5-Testatstyp (Typ 1 vs. Typ 2)
Beim BSI C5 unterscheidet man zwischen Typ-1-Testat (Angemessenheit der Kontrollen zu einem Stichtag) und Typ-2-Testat (Wirksamkeit über einen Zeitraum). Für belastbare Aussagen zur tatsächlichen Betriebssicherheit ist ein Typ-2-Testat aussagekräftiger.
SOC 2 Type I vs. Type II
Analog zum BSI C5 gibt es bei SOC 2 einen Unterschied zwischen Type I (Momentaufnahme) und Type II (Beobachtungszeitraum von mehreren Monaten). Für HR-Software-Auswahlprozesse sollte ausschließlich ein aktueller Type-II-Bericht akzeptiert werden.
TISAX-Prüflevel und Ergebnisklasse
TISAX kennt drei Prüftiefen (Level 1 bis 3) und drei Ergebnisklassen (voll erfüllt, mit geringen Abweichungen erfüllt, nicht erfüllt). Fragen Sie konkret nach Level und Ergebnisklasse, nicht nur, ob „ein TISAX-Label vorliegt".
Subprozessoren & Rechenzentrumsstandort
Viele HR-Software-Anbieter nutzen Hyperscaler wie AWS, Microsoft Azure oder Google Cloud als Infrastruktur. Deren eigene Zertifizierungen ersetzen nicht das Zertifikat des HR-Anbieters selbst – beide Ebenen müssen separat geprüft werden.
Zertifizierungskosten als versteckter Preisfaktor
Ein TISAX-Assessment auf Prüflevel AL2/AL3 sowie ein SOC-2-Type-II-Bericht mit mehrmonatigem Beobachtungszeitraum kosten wiederkehrend Zeit und Geld. Dieser Aufwand fließt in der Regel in die Lizenzpreise ein – das beeinflusst Preis und Time-to-Contract.
Compliance-Aspekte rund um Sicherheitszertifikate
Zertifizierungen wirken in mehrere Rechtsrahmen hinein, von Vergaberecht über NIS2 bis Betriebsverfassung.
Nachweispflicht in Ausschreibungen
Öffentliche Auftraggeber und viele Konzerne verlangen in Vergabeverfahren inzwischen standardmäßig ein gültiges Sicherheitszertifikat als Ausschlusskriterium für die Angebotsabgabe, nicht nur als Bewertungskriterium.
NIS2-Umsetzung & Lieferkettenpflichten
Mit dem NIS2-Umsetzungsgesetz, 2025 verabschiedet und im Bundesgesetzblatt veröffentlicht (BGBl. I 2025 Nr. 301), müssen betroffene Unternehmen die IT-Sicherheit ihrer Software-Lieferanten, einschließlich HR-Software, dokumentiert nachweisen können.
Betriebsrat-Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG
Die Einführung technischer Einrichtungen zur Überwachung von Verhalten oder Leistung der Beschäftigten unterliegt der Mitbestimmung des Betriebsrats. Ein Zertifikat ersetzt diese Pflicht nicht, liefert aber eine belastbare Bewertungsgrundlage.
Auftragsverarbeitung & DSGVO-Schnittstelle
Zertifizierungsnachweise sind kein Ersatz für einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO, unterstützen aber die dort geforderte Bewertung der „geeigneten technischen und organisatorischen Maßnahmen“. Details: DSGVO und HR-Software.
TISAX als K.-o.-Kriterium in der Automobilindustrie
Bei Zulieferern und Dienstleistern der Automobilindustrie ist ein fehlendes TISAX-Label in der Praxis häufig ein sofortiges Ausschlusskriterium für HR-Software-Anbieter, unabhängig davon, ob der Anbieter selbst Fahrzeugdaten verarbeitet.
Meldepflichten bei Sicherheitsvorfällen
Zertifizierte ISMS-Prozesse nach ISO 27001 verpflichten Anbieter zu dokumentierten Incident-Response-Verfahren. Der Vertrag sollte konkrete Meldefristen bei Sicherheitsvorfällen festlegen, die über die reine Zertifikatsanforderung hinausgehen.
In sechs Schritten zum zertifizierten HR-Software-Anbieter
Ein strukturierter Prüfprozess verhindert, dass Verträge unterschrieben werden, bevor Zertifikate belastbar geprüft wurden.
Anforderungsprofil definieren
Legen Sie mit IT-Sicherheit, Datenschutz und Einkauf fest, welche Zertifizierungen zwingend erforderlich sind (z. B. TISAX bei Automotive-Bezug, BSI C5 bei Public-Sector-Anbindung, DORA-relevante Nachweise im Finanzsektor).
Zertifikate direkt anfordern
Fordern Sie von jedem Anbieter auf der Longlist die vollständigen, aktuellen Zertifikate bzw. Testate an – nicht nur Marketingaussagen oder Logos auf der Website.
Scope, Gültigkeit, Echtheit prüfen
Kontrollieren Sie Geltungsbereich, Ausstellungs- und Ablaufdatum. Verifizieren Sie die Echtheit direkt bei der Quelle, etwa über das ENX-Portal oder das Register der Zertifizierungsstelle.
Subprozessoren einbeziehen
Lassen Sie sich die Liste der eingesetzten Subunternehmer und Rechenzentren offenlegen und prüfen Sie deren Zertifizierungsstatus getrennt vom Hauptanbieter.
Betriebsrat & Datenschutz einbinden
Binden Sie den Betriebsrat frühzeitig gemäß § 87 Abs. 1 Nr. 6 BetrVG ein und stimmen Sie die Auswahl mit dem Datenschutzbeauftragten ab, bevor ein Vertrag unterzeichnet wird.
Vertragliche Verankerung
Verankern Sie die Aufrechterhaltung der Zertifizierung sowie Meldepflichten bei Zertifikatsentzug oder Sicherheitsvorfällen explizit im Vertrag – über die gesamte Vertragslaufzeit.
Häufige Fragen zu Sicherheitszertifikaten bei HR-Software
Ist ISO 27001 für HR-Software gesetzlich vorgeschrieben?
Nein, ISO 27001 ist keine gesetzliche Pflicht, sondern eine freiwillige internationale Norm für Informationssicherheits-Managementsysteme. In der Praxis hat sich das Zertifikat jedoch als faktischer Mindeststandard etabliert, den größere Unternehmen und öffentliche Auftraggeber in Ausschreibungen voraussetzen. Mit dem 2025 verabschiedeten NIS2-Umsetzungsgesetz (BGBl. I 2025 Nr. 301) steigt der indirekte Druck, da betroffene Unternehmen die Sicherheit ihrer Software-Lieferkette nachweisen müssen.
Was unterscheidet BSI C5 von ISO 27001?
ISO 27001 ist eine allgemeine, weltweit anerkannte Norm für Informationssicherheits-Managementsysteme, während der BSI C5 (Cloud Computing Compliance Criteria Catalogue) speziell für Cloud-Dienste entwickelt wurde und vom Bundesamt für Sicherheit in der Informationstechnik herausgegeben wird. BSI C5 verlangt zusätzliche, cloud-spezifische Nachweise wie Transparenz über den Rechenzentrumsstandort, Verschlüsselungsverfahren und die Portabilität von Daten bei einem Anbieterwechsel. In Deutschland wird BSI C5 vor allem von Behörden und öffentlichen Auftraggebern gefordert, oft zusätzlich zu ISO 27001.
Warum verlangen Automobilzulieferer TISAX von HR-Software-Anbietern?
Automobilhersteller verpflichten ihre gesamte Lieferkette – einschließlich Dienstleister, die keine Fahrzeugdaten direkt verarbeiten – zu einem einheitlichen Sicherheitsniveau, das über TISAX (Trusted Information Security Assessment Exchange) nachgewiesen wird. Der Standard hat sich seit seiner Einführung durch die ENX Association in der Automobilindustrie breit durchgesetzt; aktuelle Statistiken zur Zahl aktiver Labels veröffentlicht ENX im TISAX-Portal (enx.com). Fehlt einem HR-Software-Anbieter dieses Label, wird er von vielen Automotive-Zulieferern gar nicht erst in die Anbieterauswahl aufgenommen, selbst wenn die HR-Daten selbst keinen direkten Automotive-Bezug haben.
Reicht ein SOC-2-Bericht anstelle von ISO 27001 aus?
Das hängt vom Anforderungsprofil des Kunden ab. SOC 2 ist ein Berichtsformat nach dem Trust-Services-Kriterienkatalog des amerikanischen Wirtschaftsprüferverbands AICPA und im US-Markt der De-facto-Standard, während ISO 27001 international und insbesondere in Europa breiter anerkannt ist. Viele europäische Unternehmen akzeptieren SOC 2 zusätzlich zu, aber selten anstelle von ISO 27001, insbesondere wenn deutsche oder europäische Compliance-Vorgaben gelten. Für eine belastbare Einschätzung sollten IT-Sicherheitsabteilungen prüfen, welches Format konkret gefordert wird.
Wie oft müssen Zertifikate erneuert werden?
ISO 27001 wird üblicherweise für drei Jahre mit jährlichen Überwachungsaudits zertifiziert, TISAX-Labels ebenfalls für drei Jahre je nach Prüflevel. BSI C5-Testate und SOC-2-Berichte haben dagegen typischerweise nur eine Gültigkeit von rund zwölf Monaten und müssen jährlich neu erstellt werden. IT-Einkaufsabteilungen sollten sich deshalb nicht auf ein einmal vorgelegtes Dokument verlassen, sondern die Aktualität während der gesamten Vertragslaufzeit regelmäßig nachprüfen.
Was passiert, wenn ein HR-Software-Anbieter sein Zertifikat verliert?
Der Verlust eines Zertifikats während der Vertragslaufzeit ist ein erhebliches Risiko, besonders wenn der Kunde selbst gegenüber Dritten (etwa im Rahmen von NIS2 oder TISAX-Ketten) zur Sicherheit seiner Lieferanten Auskunft geben muss. Deshalb sollte im Vertrag eine Meldepflicht bei Zertifikatsentzug oder -aussetzung sowie ein Recht auf außerordentliche Kündigung oder Nachbesserungsfrist vereinbart werden. Diese vertragliche Absicherung ist mindestens genauso wichtig wie die einmalige Prüfung des Zertifikats vor Vertragsschluss.
Muss der Betriebsrat bei der Auswahl einer zertifizierten HR-Software eingebunden werden?
Ja. Nach § 87 Abs. 1 Nr. 6 Betriebsverfassungsgesetz (BetrVG) hat der Betriebsrat ein Mitbestimmungsrecht bei der Einführung technischer Einrichtungen, die geeignet sind, das Verhalten oder die Leistung der Beschäftigten zu überwachen – das betrifft die meisten modernen HR-Software-Systeme. Ein vorliegendes Sicherheitszertifikat des Anbieters ersetzt dieses Mitbestimmungsrecht nicht, erleichtert aber dem Betriebsrat die fachliche Bewertung der Datensicherheit im Rahmen der Verhandlung einer Betriebsvereinbarung.
Deckt ein Zertifikat des Cloud-Anbieters (z. B. AWS oder Microsoft Azure) automatisch die HR-Software mit ab?
Nein. Die Zertifizierung der zugrunde liegenden Cloud-Infrastruktur (etwa ISO 27001 oder SOC 2 von Amazon Web Services oder Microsoft Azure) betrifft ausschließlich die Infrastrukturebene, nicht die Anwendung, den Code und die organisatorischen Prozesse des HR-Software-Anbieters selbst. Die HR-Software-Anwendung benötigt ein eigenes, separates Zertifikat mit einem Geltungsbereich, der die konkrete Software-Instanz einschließt. Käufer sollten deshalb beide Ebenen – Infrastruktur und Anwendung – getrennt abfragen und dokumentieren.
Welche Zertifizierung ist für ein mittelständisches Unternehmen ohne Automotive-Bezug am wichtigsten?
Für die meisten mittelständischen Unternehmen ohne Automotive- oder Public-Sector-Bezug ist ein aktuelles ISO-27001-Zertifikat der wichtigste und am breitesten anerkannte Basisnachweis. BSI C5 wird relevant, sobald öffentliche Aufträge oder Behördenkunden im Spiel sind, TISAX nur bei Lieferantenbeziehungen zur Automobilindustrie, DORA-relevante Nachweise bei Bezug zum Finanzsektor und SOC 2 vor allem bei US-amerikanischen Software-Anbietern oder Konzernstrukturen mit US-Bezug. Als grobe Faustregel gilt: Je stärker eine Branche selbst reguliert ist, desto wahrscheinlicher wird zusätzlich zu ISO 27001 ein branchenspezifischer Zusatznachweis verlangt.
Zertifizierte HR-Software-Anbieter im direkten Vergleich finden
Statt Zertifikate einzeln bei jedem Anbieter anzufragen, vergleichen Sie auf find-your-hr.de HR-Software-Lösungen anhand ihrer dokumentierten Sicherheitsnachweise – inklusive ISO 27001, BSI C5, SOC 2 und TISAX – und filtern gezielt nach den Zertifizierungen, die für Ihre Branche und Ihr Unternehmen verpflichtend sind.