Vom Ja des CISO zum unterschriebenen Vertrag
Sie verkaufen Security-, Identity- oder Confidential-Computing-Software an Banken, Versicherer, Betreiber kritischer Infrastrukturen und Grossunternehmen, meist an einen CISO, dessen Team bereits viele Tools betreibt. Die technische Evaluation verläuft oft gut. Dann aber bleibt der Deal beim Lieferantenrisikomanagement, bei der Rechtsabteilung und beim Einkauf liegen, wo niemand auf Ihrer Seite Kontakte hat.
Für wen diese Seite ist
- Anbieter von Security- und Identity-Software, die an Banken und Versicherer verkaufen
- Confidential-Computing-Unternehmen, die an Betreiber kritischer Infrastrukturen verkaufen
- Security-Anbieter, deren Deals erst über den CISO und danach über Lieferantenrisiko und Einkauf laufen
Üblicher Einstieg: Revenue Operations
Wie steigert ein Cybersecurity-Unternehmen seinen Umsatz?
Bereiten Sie sich auf das vor, was nach dem Ja des CISO geschieht. Lieferantenrisikomanagement, Rechtsabteilung mit dem Auftragsverarbeitungsvertrag und Einkauf prüfen den Deal jeweils separat, und genau dort stocken die meisten Security-Deals. Halten Sie Ihr eigenes Sicherheitsdossier und den Auftragsverarbeitungsvertrag bereit, bevor der Proof of Value endet. Bilden Sie diese Rollen bei jedem Zielaccount ab, und richten Sie die Ansprache auf eine NIS2-Frist oder einen neuen CISO aus.
Was zeigen die Zahlen zu Cybersecurity?
Jede Zahl ist mit der Seite verlinkt, von der sie stammt, damit Sie sie prüfen können, bevor Sie sie weitergeben.
| Was die Daten zeigen | Quelle |
|---|---|
| NIS2 deckt 18 kritische Sektoren ab und richtet sich vor allem an mittlere und grosse Einrichtungen. | Europäische Kommission |
| Die Mitgliedstaaten mussten NIS2 bis zum 17. Oktober 2024 umsetzen. Das deutsche Umsetzungsgesetz trat am 6. Dezember 2025 in Kraft. | Mayer Brown (15. Dezember 2025) |
| Betreiber kritischer Infrastrukturen in der Schweiz müssen Cyberangriffe ab dem 1. April 2025 innerhalb von 24 Stunden nach der Entdeckung melden. | Bundesamt für Cybersicherheit (7. März 2025) |
| Gartner erwartet, dass die Ausgaben der Endkunden für Informationssicherheit 2026 USD 244 Milliarden erreichen. | Gartner (2025) |
Warum greift der übliche Ansatz in der Branche Cybersecurity nicht?
Ein Proof of Value beantwortet die Frage des Security-Teams: Erkennt Ihr Produkt in dessen Umgebung, was es verspricht? Der Vertrag braucht Antworten, für die andere Funktionen zuständig sind. Das Lieferantenrisikomanagement will Ihre eigene Sicherheitslage dokumentiert sehen. Die Rechtsabteilung will einen Auftragsverarbeitungsvertrag, weil die DSGVO verlangt, dass eine Verarbeitung durch einen Auftragsverarbeiter vertraglich geregelt ist. Bei einem Finanzunternehmen in der EU muss der Vertrag zudem die Regeln für IKT-Drittdienstleister nach DORA erfüllen, die seit dem 17. Januar 2025 gilt. Der CISO, der Ihr Produkt will, kann diese Antworten nicht liefern. Also wartet der Deal, während Ihr Team einen Fragebogen nach dem anderen ausfüllt.
Volumenmarketing erreicht die Fachleute und verfehlt jene, die genehmigen. Security-Inhalte holen Klicks von Analysten und Ingenieuren, von denen viele nie kaufen werden. Die Risiko- und Einkaufsfunktionen, die über den Vertrag entscheiden, sehen dagegen nie etwas, das für sie geschrieben ist. Die regulierten Kunden in Ihrem Segment zählen einige Hundert pro Land. Eine Werbeplattform optimiert deshalb auf jene, die klicken, statt auf die Accounts, die unterschreiben.
Wenn Sie ein Self-Service-Produkt an kleine Unternehmen verkaufen oder sie über Managed Service Provider erreichen, beschreibt diese Seite das falsche Problem. Ein Buying Center aus ein oder zwei Personen braucht eine Outbound-Liste und eine kurze Testphase, kein ABM-Programm.
Wo stockt die Pipeline in der Branche Cybersecurity?
In der Diagnose betrachten wir fünf Phasen, weil jede aus einem anderen Grund scheitert. Die Zeilen zeigen für jede Phase das Problem, nach dem wir zuerst suchen, und was sich ändert, sobald Torke es behebt, in der Reihenfolge, in der ein Deal die Phasen durchläuft.
-
Auffindbarkeit
Wo es hakt
Security-Inhalte holen Klicks von Analysten und Ingenieuren, die nie kaufen werden, während Risiko und Einkauf nichts finden, das für sie geschrieben ist
Was sich nach der Behebung ändert
Der Bereich Visibility von Torke erstellt die Seiten, die Lieferantenrisiko und Einkauf vor dem Vertrieb lesen, und prüft, ob KI-Assistenten das Produkt korrekt beschreiben
-
Timing
Wo es hakt
NIS2, DORA und die Schweizer Meldepflicht setzen bei jedem Account Fristen, doch allgemeine Compliance-Botschaften nehmen auf keine davon Bezug
Was sich nach der Behebung ändert
Das Modul Account-Signale erfasst Ereignisse mit Datum bei den Accounts auf Ihrer Liste, etwa das Inkrafttreten eines nationalen NIS2-Gesetzes oder einen neuen CISO, jeden Morgen gereiht
-
Evaluation
Wo es hakt
Eine unsauber angegebene Erkennungsrate oder Zertifizierung prüft ein Security-Team als Erstes, und eine einzige falsche Aussage kostet den Account
Was sich nach der Behebung ändert
Das Modul Kampagnen mit freigegebenen Aussagen prüft jede Zeile anhand der Angaben, die Ihr Team freigegeben hat, bevor eine Anzeige, ein Newsletter oder ein Webtext exportiert wird
-
Qualifizierung
Wo es hakt
Eine Demo-Anfrage nach einem öffentlichen Vorfall wird innerhalb von Tagen mit anderen Anbietern verglichen, und eine Antwort in der Folgewoche kostet den Account
Was sich nach der Behebung ändert
Das Modul Inbound-Anfragen qualifiziert jede Anfrage, leitet sie nach Sprache und Segment weiter und antwortet in der Sprache des Kunden, mit Terminen, die im Kalender des zuständigen Verkäufers geprüft sind
-
Übergabe
Wo es hakt
Deals, die den Proof of Value bestanden haben und beim Lieferantenrisiko warten, sehen im CRM wie verlorene Deals aus, und auf keiner der beiden Seiten ist jemand dafür zuständig
Was sich nach der Behebung ändert
Der Bereich Revenue Operations von Torke legt Lifecycle-Phasen so fest, dass ein Deal in der Sicherheitsprüfung als eigene Phase gezählt und einem Verantwortlichen zugewiesen wird
Wer gehört zum Buying Center?
Selten entscheidet eine Person allein, daher bewegt ein Lead aus der falschen Rolle nichts. Diese Rollen erfassen wir bei jedem Account auf Ihrer Liste.
Wer unterschreibt
Der CISO, wobei CIO oder CFO grössere Verträge genehmigen. Bei einer Bank oder einem Versicherer durchläuft der Vertrag zudem die Funktion, die das Drittparteienrisiko verantwortet.
Wer prüft
Die Security-Architekten und -Ingenieure, die den Proof of Value durchführen, das Security-Operations-Team, das die Alarme danach bearbeitet, und das Identity- oder Infrastrukturteam, wenn das Produkt dessen Systeme betrifft.
Wer blockieren kann
Lieferantenrisiko und Einkauf, die Rechtsabteilung und die Datenschutzverantwortlichen über den Auftragsverarbeitungsvertrag sowie die IT-Teams, in deren Systeme Ihr Produkt integriert werden muss.
Welche Kaufsignale machen einen Zielaccount in der Branche Cybersecurity ansprechbar?
Jedes Signal ist ein öffentliches Ereignis mit Datum, das ein skeptischer Entscheider in dreissig Sekunden prüfen kann. Marktweite Nachrichten können die Bedingungen eines Accounts verändern, doch wir stellen sie nie als etwas dar, das dieses Unternehmen getan hat.
| Signal | Was es im Account verändert |
|---|---|
| Ein nationales NIS2-Gesetz tritt in Kraft, wie in Deutschland am 6. Dezember 2025 | Neu erfasste Einrichtungen müssen sich registrieren und Massnahmen zum Risikomanagement nachweisen. Eine Budgetfrage, die bisher theoretisch war, hat damit ein Datum |
| Ein börsenkotiertes Unternehmen meldet einen wesentlichen Cybersecurity-Vorfall nach Item 1.05 des Form 8-K | Der Verwaltungsrat fragt, was sich ändern wird, und das Security-Team hat den Auftrag, rasch zu handeln |
| Bei einem Account auf Ihrer Liste wird ein neuer CISO ernannt | Ein neuer CISO überprüft die übernommenen Tools und hat Spielraum, zu ersetzen, was nicht zu seinem Plan passt |
| Eine Frist der Aufsicht für Finanzunternehmen läuft ab, wie jene von DORA am 17. Januar 2025 | Verträge mit Drittanbietern müssen nun die Regel erfüllen. Security und Einkauf nehmen deshalb gleichzeitig ihre Lieferantendossiers wieder hervor |
| Das Unternehmen schreibt Stellen für einen Security-Architekten oder für eine Cloud-Migration aus | Es gibt ein finanziertes Projekt, und die neu eingestellten Personen wählen seine Tools aus |
Wie sieht hier ein qualifizierter Lead aus?
Der Leiter Security-Architektur eines Versicherers auf Ihrer vereinbarten Liste antwortet, dass das NIS2-Programm vor dem Audit im nächsten Jahr strengere Kontrollen für Drittzugriffe verlangt. Er fragt, wie Ihr Produkt einen vergleichbaren Rollout bewältigt hat. Die rechtliche Grundlage für die Ansprache in seinem Land ist erfasst, und der Account ist keine offene Opportunity in Ihrem CRM. Diese Antwort ist zusammen mit der regulatorischen Frist, auf die sie sich bezieht, ein qualifizierter Lead.
Ein Lead zählt nur, wenn alle fünf Angaben erfasst sind, und Sie haben fünf Arbeitstage, um ihn mit Begründung abzulehnen. Die Seite zu Torke Service erklärt jede Angabe.
- Erste Angabe
- Eine namentlich bekannte Person im Buying Center
- Zweite Angabe
- Bei einem Zielaccount, den Sie schriftlich vereinbart haben
- Dritte Angabe
- Ein Bedarf oder Zeitpunkt in eigenen Worten
- Vierte Angabe
- Die rechtliche Grundlage für die Ansprache
- Fünfte Angabe
- Nicht bereits offen in Ihrem CRM
Wo sollten Sie beginnen?
Revenue Operations ist der Bereich, den die Diagnose hier am häufigsten empfiehlt. Gewonnene Evaluationen stocken bei Lieferantenrisiko und Einkauf, und das CRM muss diese Phase zeigen, bevor wir im Bereich Demand die Personen darin erreichen können.
Jedes Mandat beginnt mit der Diagnose. Sie dauert zwei bis drei Wochen und endet mit einem von vier Entscheiden: aufhören, ein Hindernis beseitigen, mit einem Leistungsbereich starten oder später ausbauen.
Üblicher Einstieg
Der Leistungsbereich, den die Diagnose hier meist empfiehlt, danach Monat für Monat betrieben.
Kontakt aufnehmenWas Torke Service und Torke Engine übernehmen
In beiden laufen dieselben Engines, sodass Sie mit dem einen beginnen und zum anderen wechseln können, ohne neu anzufangen.
Torke Service, wir übernehmen die Arbeit
Ein Beispiel: Ein Identity-Anbieter erfährt in der Diagnose, dass der Grossteil seiner offenen Pipeline die Evaluation bestanden hat und beim Lieferantenrisiko liegt, ohne dass auf einer der beiden Seiten jemand zuständig ist. Torke legt im CRM einheitliche Lifecycle-Phasen und ein Routing fest, damit diese Deals als eigene Phase erscheinen. Danach erreicht Torke im Bereich Demand Risiko und Einkauf bei den Accounts auf der Liste.
So funktioniert Torke ServiceTorke Engine, Ihr Team arbeitet selbst damit
Am wichtigsten sind hier die Module Account-Signale, Inbound-Anfragen und Erstansprache. Regulatorische Fristen und offengelegte Vorfälle geben einem Sicherheitsverantwortlichen in einer bestimmten Woche einen Grund für ein Gespräch. Die erste Antwort muss in derselben Woche eintreffen, in seiner Sprache.
Ein Beispiel: Eine Marketingverantwortliche bittet den Assistenten, die Accounts auf der Account-Liste aufzulisten, die von einem in diesem Quartal in Kraft getretenen nationalen NIS2-Gesetz betroffen sind, und für jeden eine erste E-Mail an die namentlich bekannte Sicherheitsverantwortliche zu entwerfen. Der Assistent liefert die gereihten Accounts mit jedem Ereignis, seinem Datum und seiner Quelle. Dazu kommen Entwürfe, in denen jeder Satz auf eine Veröffentlichung des Unternehmens zurückgeht und alles Abgeleitete als Frage formuliert ist. Eine Person prüft und versendet sie.
So funktioniert Torke EngineWas können Sie erwarten?
Sie können nach jeder Phase aufhören und behalten, was sie hervorgebracht hat.
Zuerst der eine Engpass
Die Diagnose nutzt Ihre Account-Liste, jüngste Gewinne und Verluste sowie Ihre CRM-Definitionen, um den einen Engpass zu finden. Sie endet mit einem Entscheid: aufhören, ein Hindernis beseitigen, mit einem Leistungsbereich starten oder später ausbauen.
Leads, die Sie ablehnen können
Jeder Lead kommt mit seinen fünf erfassten Angaben und seinen Belegen. Sie haben fünf Arbeitstage, um ihn mit einem Grund aus einer festen Liste abzulehnen.
Ein Monatsbericht mit ausgewiesener Unsicherheit
Jeden Monat erhalten Sie einen schriftlichen Monatsbericht: welche Accounts in Gespräche übergegangen sind, wie die Ausgaben im Vergleich zum Plan stehen und was jeder Kanal beigetragen hat, mit ausgewiesener Unsicherheit. Ergebnisse, die für ein Urteil zu klein sind, nennen wir auch so.
Häufige Fragen aus der Branche Cybersecurity
Jede Antwort steht für sich. Sie können sie also an eine Kollegin oder einen Kollegen weiterleiten, und ein Assistent, dem dieselbe Frage gestellt wird, kann sie unverändert zitieren.
Wo sollte ein Cybersecurity-Unternehmen mit Torke beginnen?
Ein Cybersecurity-Unternehmen beginnt mit der Diagnose von Torke. Sie untersucht die Deals, die die technische Evaluation bestanden haben und danach stockten, und prüft, ob das CRM eine Sicherheitsprüfung von einem verlorenen Deal unterscheiden kann. Am häufigsten empfiehlt sie Revenue Operations oder Demand. Die Verzögerung liegt nämlich bei Lieferantenrisiko, Rechtsabteilung und Einkauf, die in der Pipeline nicht gezählt und von den Kampagnen nicht erreicht werden.
Warum stocken Security-Deals nach einem erfolgreichen Proof of Value?
Ein Proof of Value beantwortet die Frage des Security-Teams. Für den Vertrag braucht es aber Lieferantenrisiko, Rechtsabteilung und Einkauf, einschliesslich eines Auftragsverarbeitungsvertrags nach Artikel 28 DSGVO und, bei Finanzunternehmen in der EU, der Drittanbieterregeln von DORA, die seit dem 17. Januar 2025 gilt. Der Bereich Demand von Torke holt Risiko und Einkauf beim Account ins Gespräch, bevor die Evaluation endet. So beantwortet ein Cybersecurity-Anbieter nicht erst nach dem Ja des CISO einen Fragebogen nach dem anderen.
Wie kann ein Security-Anbieter die Ansprache auf NIS2- und DORA-Fristen abstimmen?
Das Modul Account-Signale der Torke Engine erfasst regulatorische Ereignisse mit Datum bei den Accounts auf der Liste eines Cybersecurity-Anbieters, etwa das Inkrafttreten eines nationalen NIS2-Gesetzes, wie in Deutschland am 6. Dezember 2025. Es reiht sie mit dem Einstiegssatz, den jedes Ereignis rechtfertigt. Das Modul Erstansprache entwirft dann E-Mails, in denen jeder Satz auf eine Veröffentlichung des Accounts zurückgeht, und eine Person prüft und versendet jede einzelne.
Wie lang ist der Verkaufszyklus für Cybersecurity-Unternehmen, die an Banken und Grossunternehmen verkaufen?
Es gibt keinen verlässlichen öffentlichen Richtwert. Regulierte Kunden wie Banken brauchen länger als andere Unternehmen, weil DORA-Drittanbieterregeln, Lieferantenrisiko und Auftragsverarbeitungsvertrag nach dem Ja des CISO je eine eigene Prüfung hinzufügen. Planen Sie also mit diesen Prüfungen.
Wie verkauft man an einen CISO?
Recherchieren Sie das Unternehmen gründlich, beginnen Sie bei den Ingenieuren, die das Tool betreiben werden, und geben Sie dem CISO eine Begründung, die er dem Verwaltungsrat vortragen kann. Halten Sie das Dossier für das Lieferantenrisiko bereit, denn das Ja des CISO muss noch Einkauf, Rechtsabteilung und Drittparteienrisiko passieren.
Sie bringen das Problem, wir die Lösung
Schildern Sie uns, was Ihr Team verkauft, wer es kauft und wo Deals stocken. Sie erhalten eine schriftliche Antwort, welche Art der Zusammenarbeit zu Ihnen passt oder ob eine Diagnose sinnvoll ist. Passt beides nicht, nennen wir Ihnen den Grund.