Was wir prüfen
Wir bewerten die Reife und Dokumentationsqualität des ISMS und klären die regulatorische Betroffenheit, etwa aus NIS-2, KRITIS, DORA oder TISAX®. Dazu sehen wir uns den Status laufender Zertifizierungen an, prüfen offene Vorfälle und Findings, die Lieferanten- und Outsourcing-Risiken sowie den Datenschutz mit seinen Auftragsverarbeitungs-Vereinbarungen.
Der Themen-Mix richtet sich nach Branche und Deal: Bei einem Health-Tech-Deal stehen DSGVO und KRITIS im Vordergrund, bei einem Automobil-Zulieferer TISAX® und Lieferkette, bei einem SaaS-Anbieter Cloud-Sicherheit und Datenschutz.
Was Sie bekommen
Sie erhalten einen Bericht von 20 bis 30 Seiten in der Sprache der Transaktion, auf Wunsch zusätzlich eine Kurzfassung von 5 bis 8 Seiten für die Gremienvorlage. Er enthält eine Executive Summary für das Investment-Komitee, die wichtigsten Findings mit Bewertung der Käufer-Relevanz und geschätztem Behebungsaufwand sowie konkreten Input für die SPA-Verhandlung und den Disclosure Letter. Dazu kommt eine Einschätzung der Kosten, die nach dem Closing für das Schließen der Lücken anfallen, und ein Ausblick auf die ersten 100 Tage.
Was nicht geprüft wurde, weist der Bericht ausdrücklich aus, das schützt beide Seiten.
Der Hebel zur W&I-Versicherung
In den meisten Mid-Cap-Deals wird heute eine W&I-Versicherung (Warranty & Indemnity Insurance) abgeschlossen, die Garantieverletzungen des Verkäufers abdeckt. Die Versicherer prüfen die zugrunde liegenden DD-Berichte genau und schließen aus, was nicht belegt ist. Eine belastbare Governance-DD sorgt deshalb dafür, dass die ISMS- und Compliance-Garantien überhaupt versicherbar sind und macht die Deckung oft breiter oder günstiger.
Ablauf
Wir starten mit einem Scoping-Gespräch, sichten den Datenraum, führen drei bis fünf Management-Interviews und liefern den Bericht. Das ideale Zeitfenster liegt zwischen LOI und Signing, die typische Dauer beträgt ein bis zwei Wochen. Das Honorar kalkulieren wir aufwandsbasiert. Auf Wunsch begleiten wir den Käufer nach dem Closing mit einer abgestimmten Roadmap.
Häufig gestellte Fragen
Sechs Fragen, die in fast jedem Red-Flag-Erstgespräch vorkommen. Klicken Sie eine Frage an, um die Antwort zu sehen.
Brauche ich eine Governance-DD zusätzlich zur Cyber-DD?
In den meisten Mid-Cap-Deals ja. Cyber-DD prüft Technik und externe Angriffsfläche, deckt aber Governance-Reife, regulatorische Betroffenheit und ISMS-Strukturen nicht ab. In stark regulierten Branchen (Health, Energie, Finance, Automotive) und bei NIS-2-/KRITIS-Betroffenheit ist die Governance-Sicht der wichtigere Teil. Bei rein cyber-getriebenen Risiken kann eine Cyber-DD allein ausreichen.
Wie früh im Prozess sollte die Governance-DD beauftragt werden?
Idealerweise nach dem LOI und vor der intensiven Datenraum-Phase. Wer später beauftragt, bringt seine Findings nicht mehr in die SPA-Verhandlung ein und verliert damit den wichtigsten Hebel. Das produktive Zeitfenster liegt zwischen LOI und Signing.
Kann der Bericht für die W&I-Versicherung verwendet werden?
In der Regel ja, mit einem Reliance-Letter, der dem W&I-Underwriter erlaubt, sich auf den Bericht zu verlassen. Die Haftungs-Obergrenze wird vorab mit Käufer und W&I-Broker abgestimmt. Wer eine W&I-Versicherung plant, sollte das im Scoping-Gespräch erwähnen, damit der Bericht entsprechend strukturiert wird.
Was passiert, wenn wir während der Review schwerwiegende Mängel finden?
Akute Mängel kommunizieren wir sofort an das Käufer-Team. Bei fundamentalen Lücken, etwa drohendem Bußgeldverfahren, nicht offengelegter Sicherheitsvorfall, tritt der Käufer typischerweise in die Verhandlungsgespräche ein: entweder mit Preisabschlag, schärferen Reps, Treuhand-Mechanismen oder im Extremfall einem Deal-Abbruch.
Können Sie auch eine Vendor-DD für die Verkäufer-Seite machen?
Ja. Eine Vendor-Governance-DD wird vom Verkäufer beauftragt und allen Bietern im Investorenprozess zur Verfügung gestellt, mit Reliance-Letter. Die methodische Tiefe ist vergleichbar, die Haftungs-Struktur unterscheidet sich (mehrere Reliance-Empfänger). Vendor-DD ist sinnvoll, wenn ein geordneter Verkaufsprozess vorbereitet wird.
Was kostet eine Red-Flag Review?
Mandatsspezifisch und aufwandsbasiert: abhängig von Deal-Größe, Branchen-Komplexität und Anzahl der Standorte. Bei einer reinen Red-Flag-Logik mit eng begrenztem Themenkatalog geringer, bei größeren Mandaten oder komplexer Struktur entsprechend höher. Die konkrete Kalkulation folgt dem Scoping-Gespräch.
Wie wir mit M&A-Teams arbeiten.
Wir liefern den Governance-/ISMS-Strang für Käufer, M&A-Boutiquen und W&I-Broker, eigenständig oder im Subcontracting für den ISMS-Workstream einer Voll-DD. Wir sprechen die Sprache des Deals und liefern Findings in käufer-relevanter Form als Input für die SPA-Verhandlung.
Methodisch arbeiten wir auf Basis von ISO/IEC 27001 und BSI IT-Grundschutz, ergänzt um die regulatorischen Themen NIS-2, DORA, KRITIS, TISAX® und DSGVO. Engagement- und Reliance-Letter haben Standard-Strukturen, die wir im Erstgespräch erläutern. Auf Wunsch begleiten wir den Käufer nach dem Closing mit einer abgestimmten Roadmap.