CIVAC Plattform: Workspace und Officer-as-a-Service im Überblick

CIVAC ist eine deutsche Compliance-Plattform und Officer-as-a-Service mit Sitz in Deutschland, EU-Datenresidenz und einem ISMS nach ISO/IEC 27001:2022. Die Plattform deckt 25 Beauftragten-Rollen live ab, von Datenschutz nach Art. 37 DSGVO über Informationssicherheit nach § 38 BSIG bis zu Geldwäsche, Gefahrgut und ESG. Bestellurkunden liegen innerhalb von 2 Werktagen vor, statt der marktüblichen 2 bis 6 Wochen.

Wer den Begriff CIVAC sucht, möchte typischerweise wissen, was die Plattform leistet, wie sie sich von klassischen GRC-Tools unterscheidet und welches Betriebsmodell zur eigenen Aufstellung passt. Dieser Überblick beantwortet diese Fragen in der Reihenfolge, in der sie sinnvoll zu klären sind: Positionierung, Aufbau, Rollen, Workflows, Datenresidenz, Modelle, Kosten, Einstieg. CIVAC ist eine deutsche Compliance-Plattform und nicht mit dem mexikanischen CIVAC (Impfstoffforschung) verbunden.

CIVAC besteht aus zwei Komponenten, die zusammen ein vollständiges Compliance-Betriebsmodell ergeben. Erstens ein Workspace, also eine webbasierte Plattform für Bestellungen, Vorlagen, Risikoregister, Schulungen, Vorfälle und Meldepfade. Zweitens ein Service, bei dem CIVAC die Beauftragten-Rolle selbst übernimmt und in derselben Plattform für Sie führt.

Diese Doppelstruktur ist die zentrale Unterscheidung zu klassischen Anbietern. GRC-Tools liefern Software ohne Personal. Externe Berater liefern Personal ohne integriertes Werkzeug. CIVAC liefert beides aus einer Hand und führt es in einem Datenmodell zusammen. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen.

Die Plattform ist auf das deutsche und europäische Recht zugeschnitten. Vorlagen referenzieren Paragrafen und Normen, nicht generische Compliance-Frameworks aus dem angloamerikanischen Raum. DSGVO, BDSG, BSIG NIS-2, GwG, HinSchG, LkSG, OWiG und die einschlägigen branchenspezifischen Verordnungen sind als Schemata abgebildet.

Der Service-Arm ist nach Fachgesetzen formal bestellbar. CIVAC kann als externer Datenschutzbeauftragter nach Art. 37 DSGVO, als Informationssicherheitsbeauftragter im Kontext NIS-2 oder als Geldwäschebeauftragter nach § 7 GwG bestellt werden. Die Bestellurkunde wird in der Plattform generiert, unterschrieben und revisionssicher abgelegt.

Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. Die Plattform versteht Compliance als Prozesskette mit klaren Eigentümern, Fristen und Nachweisen, nicht als Sammlung von Dateien auf einem geteilten Laufwerk.

Wer sich einen Überblick verschaffen möchte, findet die wichtigsten Eckdaten auf civac.de/facts: 25 Rollen, 93 Controls, 490 Audit-Vorlagen, 2 Werktage SLA, EU-Datenresidenz.

CIVAC bildet die deutsche Beauftragten-Landschaft vollständig ab. 25 Rollen sind live, jede mit eigener Bestellurkunde, eigenem Pflichtenkatalog und eigenen Audit-Vorlagen. Die Rollen verteilen sich auf neun Solution-Bereiche: Datenschutz, Compliance, IT-Sicherheit, Gesundheit, ESG, Hinweisgeberschutz, Gefahr und Logistik, Arbeitsschutz, Umwelt.

Im Datenschutz steht der externe Datenschutzbeauftragte nach Art. 37 DSGVO. In der IT-Sicherheit der Informationssicherheitsbeauftragte, der die NIS-2-Pflichten nach BSIG operativ trägt. In Compliance der Compliance-Beauftragte, in Geldwäsche der Geldwäschebeauftragte nach § 7 GwG.

Im Arbeitsschutz sind Fachkraft für Arbeitssicherheit nach ASiG, Betriebsarzt nach ArbSchG, Brandschutzbeauftragter nach DGUV und Gefahrstoffbeauftragter nach GefStoffV abgebildet. In Gefahr und Logistik der Gefahrgutbeauftragte nach GbV. Im Umweltbereich Umweltschutz, Abfall, Gewässerschutz und Immissionsschutz.

ESG und Lieferkette werden durch ESG-/Nachhaltigkeitsbeauftragte und LkSG-Beauftragte bedient. Hinweisgeberschutz durch die interne Meldestelle nach HinSchG. Im Gesundheitsbereich Hygienebeauftragte nach IfSG. Quer dazu liegen Qualitätsmanagement, Gleichstellung nach AGG, Strahlenschutz, Notfall, Störfall, Inklusion, Bauleiter und Lieferanten-Auditor.

Jede Rolle ist nicht nur Etikett, sondern eine vollständige Arbeitsumgebung. Bestellurkunde, Pflichtenheft, Vorlagen, Berichtslinie, Fristen, Schulungsnachweise. Die Plattform zeigt, was die Rolle tun muss, was sie getan hat und was als Nächstes ansteht. Bestellurkunde, unterschrieben, abgelegt, belegbar.

Eine Übersicht aller Rollen liegt auf civac.de/roles. Wer eine konkrete Rolle prüfen möchte, findet dort jeweils die rechtliche Grundlage, den typischen Geltungsbereich und die Bestellfähigkeit als Service.

Der Workspace ist die Arbeitsumgebung, in der Beauftragte und Geschäftsleitung gemeinsam arbeiten. Er besteht aus vier funktionalen Modulen: Rollen und Bestellungen, Pflichten und Fristen, Nachweise und Vorlagen, Berichtslinien und Meldepfade.

Bestellurkunden werden aus dem Rollendatensatz generiert. Geltungsbereich, Datum, Unterschrift, Berichtslinie, Ressourcenzusage. Wer eine Bestellung anpasst, beispielsweise weil sich der Geltungsbereich erweitert, erzeugt eine neue Version. Die alte Version bleibt revisionssicher erreichbar, die neue gilt ab Unterschrift.

Pflichten und Fristen sind aus dem Recht heraus parametrisiert. ISO 27001 fordert ein internes Audit pro Jahr, NIS-2 verlangt eine 24-Stunden-Frühwarnung ab Kenntnis, Art. 33 DSGVO setzt die 72-Stunden-Frist. Die Plattform erinnert nicht nur, sondern startet Workflows mit Eskalationsstufe.

Vorlagen sind keine Word-Dateien, sondern Schemata. Wenn Sie eine Risikoanalyse anlegen, zieht das Schema die zugehörigen Assets, Controls und Rollen aus dem Bestand. Sie füllen die Bewertung aus, nicht die Struktur. 490 Audit-Vorlagen decken den Querschnitt der Rollen ab und werden zentral aktualisiert.

Berichtslinien werden im Organigramm gespiegelt. Der ISB berichtet an die Geschäftsleitung, der DSB an die oberste Leitungsebene unabhängig, der Geldwäschebeauftragte an den Geldwäsche-Vorstand. Die Plattform macht diese Linien als Beziehung sichtbar und prüfbar.

Im Audit zeigt der Workspace die Spur: Welche Bestellung, welche Pflicht, welcher Nachweis, welche Frist. Audit-fest, dokumentiert, Paragrafen-fest. Der Auditor sieht den vollständigen Pfad ohne Rückfrage. Stunden, nicht Tage.

Officer-as-a-Service ist das zweite Betriebsmodell. CIVAC stellt die Beauftragte oder den Beauftragten gegenüber dem Auftraggeber bestellt, übernimmt die operative Arbeit und führt die Dokumentation in derselben Plattform, in der der Auftraggeber Einblick hat.

Die Bestellurkunde liegt innerhalb von 2 Werktagen vor. Marktüblich sind 2 bis 6 Wochen, weil klassische Beratungsmandate Vertragsverhandlung, Geheimhaltungsklauseln und Onboarding separat führen. CIVAC bündelt diese Schritte in einem Vorgang innerhalb der Plattform. SLA-gestützte Reaktionszeiten sind Teil des Mandats, nicht eine optionale Zusatzleistung.

Im Mandat führt die Beauftragte oder der Beauftragte die Standardprozesse: Risikoanalysen, Schulungen, Beratung der Geschäftsleitung, Audit-Vorbereitung, Vorfallsbearbeitung, Meldungen an die Aufsicht. Im Workspace wird jeder Schritt als Datensatz festgehalten, sodass der Auftraggeber jederzeit weiß, was geschieht.

Officer-as-a-Service deckt insbesondere drei Konstellationen ab. Erstens: Rollen, die laut Gesetz oder Norm extern bestellbar sind, beispielsweise DSB nach Art. 37 DSGVO oder Geldwäschebeauftragte unter bestimmten Voraussetzungen. Zweitens: Rollen, die intern nicht besetzt sind. Drittens: Rollen mit Unabhängigkeitsgebot, das intern kaum dauerhaft sichergestellt werden kann.

Hybride sind die Regel. Ein Konzern hat oft einen internen DSB, lässt aber den Geldwäschebeauftragten extern stellen. Ein Mittelständler hat eine SiFa-Funktion intern, holt aber den ISB als Service. Die Plattform führt beide Wege im selben Workspace, ohne Daten- oder Prozessbruch.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Die Wahl ist nicht entweder-oder, sondern pro Rolle zu treffen.

Die regulatorischen Schwerpunkte 2026 heißen NIS-2 und ISO/IEC 27001:2022. CIVAC hält für beide Welten eigene Module bereit, die ineinandergreifen, weil die Pflichtenkataloge sich überschneiden.

NIS-2 wird in Deutschland über das BSIG umgesetzt. Wesentliche und wichtige Einrichtungen müssen einen Informationssicherheitsbeauftragten benennen, Risikomaßnahmen treffen und Vorfälle innerhalb von 24 Stunden frühwarnen, innerhalb von 72 Stunden folgemelden. Frist läuft ab Kenntnis. Die Plattform führt die Fristuhr automatisch, sobald ein Vorfall geöffnet ist.

Bußgelder sind erheblich. Wesentliche Einrichtungen bis 10 Mio. Euro oder 2 % Konzernumsatz, wichtige bis 7 Mio. Euro oder 1,4 %. Etwa 29.500 Unternehmen in Deutschland fallen in den Anwendungsbereich. Wer den Schwellenwert prüfen möchte, findet eine Hilfestellung in unserem NIS-2-Überblick zur deutschen Umsetzung 2026.

ISO/IEC 27001:2022 strukturiert das ISMS in 93 Controls. Die Übergangsfrist endete im Oktober 2025; seit 2026 prüfen Auditoren die neue Fassung. CIVAC hält für jede Control den Soll-Zustand, den Ist-Zustand, die zuständige Rolle und die Frequenz der Wirksamkeitsprüfung. Der Auditor öffnet die Control, sieht Nachweis und Verantwortliche.

Die Verbindung NIS-2 und ISO 27001 ist eng. Wer NIS-2-Pflichten über ein zertifiziertes ISMS abdeckt, reduziert den Erklärungsaufwand gegenüber der Aufsicht. CIVAC bildet beide Welten in einem Datenmodell ab, sodass eine Risikomaßnahme nicht doppelt dokumentiert werden muss.

Audit-fest, dokumentiert, ISO 27001:2022-fest. Das ist nicht ein Werbespruch, sondern eine Funktion: Jede Control ist mit Rolle, Nachweis und Review-Datum verknüpft.

Eine Compliance-Plattform verarbeitet sensitive Daten: Bestellurkunden mit Personenbezug, Schulungsnachweise, Vorfallsdetails, Verträge. Diese Datenflüsse müssen DSGVO-konform geregelt sein, sonst gefährdet die Plattform genau das, was sie schützen soll.

CIVAC betreibt den Workspace in der EU mit Datenresidenz in Deutschland. Subunternehmer sind transparent gelistet, der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO liegt in einer geprüften Fassung vor. Drittlandstransfers finden ohne explizite, dokumentierte Zustimmung nicht statt.

Die technisch-organisatorischen Maßnahmen sind nach ISO/IEC 27001:2022 strukturiert. Zugriffskontrollen, Verschlüsselung, Protokollierung, Backup, Wiederanlauf, Mitarbeitersensibilisierung, Lieferantensteuerung. Die Plattform betreibt das ISMS, das sie ihren Kunden bereitstellt, selbst.

Für die internen Datenschutzbeauftragten der Kundenseite reduziert das den Prüfaufwand erheblich. Der Anbieter muss nicht separat auf Schrems-II-Konformität geprüft werden, weil die Konstruktion bereits EU-only ist. Das Verfahrensverzeichnis nach Art. 30 DSGVO ist für die Plattform-Nutzung mit einer Vorlage abgedeckt.

Sicherheit hat eine zweite Dimension: Verfügbarkeit. Wenn der NIS-2-Meldepfad im Vorfall offen sein muss, darf die Plattform nicht ausfallen. Redundanz, Monitoring und definierte Wiederanlaufzeiten sind Teil der Architektur, nicht Zugaben. SLA-gestützte Verfügbarkeit ist im Vertrag dokumentiert.

Wer Compliance-Software einkauft, kauft Vertrauen. CIVAC macht dieses Vertrauen prüfbar, indem die eigenen Nachweise, Zertifikate und Subunternehmerlisten dem Auftraggeber zugänglich sind. Transparenz ist nicht Versprechen, sondern Funktion.

Die Kostenmechanik der Plattform unterscheidet sich nach Modell. Lizenz: Pro Rolle und Modul, planbar, abrechenbar als IT-Investition. Service: Pro Mandat und Stunde, planbar gegen ein SLA, abrechenbar als Beratungsleistung. Beide Modelle teilen das Audit-Ergebnis.

Im Lizenz-Modell zahlt der Auftraggeber für die Plattform und betreibt die Rollen selbst. Das passt, wenn Personal vorhanden ist und Werkzeug fehlt. Kosten skalieren mit Rollenanzahl, Nutzerzahl und gewähltem Funktionsumfang. Eine konkrete Indikation erhalten Sie auf Anfrage.

Im Service-Modell zahlt der Auftraggeber pro Rolle ein Mandatshonorar. Inhalt: Bestellurkunde, laufende Beratung, Audit-Vorbereitung, Vorfallsbearbeitung, Meldungen, jährliches Reporting. Die Plattform ist im Mandat enthalten, weil die Beauftragte oder der Beauftragte sie als Arbeitswerkzeug nutzt.

Der wirtschaftliche Vergleich zu klassischer Beratung fällt typischerweise zugunsten CIVAC aus. Klassische Mandate haben langsame Onboarding-Zyklen (2 bis 6 Wochen), Stundensätze ohne integriertes Werkzeug und parallele Tooling-Kosten in Word und SharePoint. CIVAC liefert in 2 Werktagen, im SLA, mit Tool im Preis.

Der Vergleich zu reinen GRC-Tools ist anders. GRC ist günstiger als Service, kostet aber internes Personal und Beratungsbudget. Wer die Vollkostenrechnung macht, berücksichtigt nicht nur Lizenzen, sondern Personalkosten, Beratungskosten und Audit-Risiko. CIVAC nimmt diese Rechnung in beiden Modellen ernst.

Eine Aufwandsschätzung pro Rolle entsteht in einem Mapping-Workshop. Eingaben: Branche, Größe, vorhandene Rollen, gewünschte SLA-Stufe. Ergebnis: Empfehlung pro Rolle für Lizenz oder Service, mit Indikation der Jahreskosten und der Audit-Wirkung.

Der Markt für Compliance-Lösungen teilt sich grob in drei Gruppen: klassische GRC-Tools, Beratungsmandate für externe Beauftragte und integrierte Plattformen. CIVAC gehört zur dritten Gruppe und unterscheidet sich an drei Punkten.

Erstens: Integration von Software und Service. GRC-Tools liefern Datenbanken ohne Personal, Berater liefern Personal ohne integriertes Werkzeug. CIVAC liefert beides aus einer Hand. Diese Integration eliminiert Reibung im Onboarding und im laufenden Betrieb. Die Beauftragte oder der Beauftragte sieht die gleiche Sicht wie die Geschäftsleitung.

Zweitens: Geschwindigkeit. Klassische Mandate brauchen 2 bis 6 Wochen bis zur unterschriebenen Bestellurkunde. CIVAC liefert in 2 Werktagen. Der Unterschied entsteht durch standardisierte Bestelltemplates, transparente Honorarmodelle und einen Workspace, der das Onboarding strukturiert.

Drittens: Tiefe der deutschen Pflichtenlandschaft. Internationale GRC-Tools bilden DSGVO und ISO 27001 ab, aber selten die deutsche Beauftragten-Landschaft mit ihren 25 Spezialrollen vom Brandschutzbeauftragten bis zum Strahlenschutzbeauftragten. CIVAC ist auf diese Tiefe ausgelegt, jede Rolle hat einen eigenen Vorlagensatz und einen eigenen rechtlichen Rahmen.

Im Vergleichsraster zeigen sich weitere Unterschiede. EU-Datenresidenz ist bei einigen US-basierten GRC-Tools nicht garantiert. Officer-as-a-Service ist bei reinen Tool-Anbietern nicht verfügbar. 490 deutsche Audit-Vorlagen, die zentral aktualisiert werden, sind außerhalb spezialisierter Plattformen die Ausnahme.

Wer mehrere Anbieter vergleicht, sollte zehn Prüfpunkte abarbeiten: Rollen, Bestellurkunden, Vorlagen, Meldepfad, ISMS, Datenresidenz, Berichtslinien, Service-Option, SLA, Migrationspfad. Die Antworten zu CIVAC liegen offen auf civac.de/faq.

Der Einstieg in die CIVAC Plattform ist als drei klar abgegrenzte Schritte aufgebaut. Eine Bestandsaufnahme, eine Einrichtung und eine produktive Phase. Jede Phase hat ein konkretes Ergebnis und eine definierte Dauer.

Schritt eins: Bestandsaufnahme. In zwei Workshops wird erfasst, welche Rollen heute besetzt sind, welche Vorlagen kursieren, welche Fristen latent verloren gehen und welche Audits anstehen. Das Ergebnis ist eine Roadmap mit Empfehlung pro Rolle für Lizenz oder Service, einschließlich Kosten- und Aufwandsschätzung.

Schritt zwei: Einrichtung. CIVAC richtet den Workspace ein, migriert bestehende Bestellungen, passt Vorlagen auf Ihre Branche an und spiegelt Berichtslinien in das Organigramm. Innerhalb von 2 Werktagen sind erste Rollen produktiv. Für komplexere Konzernsetups planen wir bis zu 4 Wochen, abhängig vom Umfang.

Schritt drei: Betrieb. Sie oder CIVAC übernehmen die laufende Arbeit. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Wege führen zum selben Audit-Ergebnis: belegbar, reproduzierbar, audit-fest. Quartalsweise Reviews prüfen Wirksamkeit und passen die Roadmap an.

Aus dem Lesen einen Auftrag machen. Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de. Eine Erstantwort erhalten Sie innerhalb von 2 Werktagen, einen ersten Termin innerhalb der Folgewoche, eine erste Bestellurkunde innerhalb von 5 Werktagen nach Auftragsklärung.

Bestellurkunde, unterschrieben, abgelegt, belegbar. Der Prüfer ruft an, der Nachweis liegt bereit. Genau dafür ist die CIVAC Plattform gebaut.