frag.hugo Informationssicherheit GmbH

Firmenporträt frag.hugo Informationssicherheit GmbH

Das Unternehmen ist ein auf Datenschutz, Informationssicherheit und Cybersicherheits-Compliance spezialisiertes Beratungs- und Softwareunternehmen mit Sitz in Hamburg. Gegründet im Februar 2024 von Nils Oehmichen und Jens Hagel, verbindet das Unternehmen persönliche Beratung mit einer eigenen digitalen Compliance-Plattform und positioniert sich als Anbieter für den deutschen Mittelstand, der externe Datenschutzbeauftragung, ISO-27001-Beratung, NIS2-Umsetzung und IT-Sicherheitsberatung aus einer Hand liefert.

Unternehmensprofil

frag.hugo Informationssicherheit GmbH mit Sitz in der Spaldingstraße 64-68, 20097 Hamburg, wurde im Februar 2024 von Nils Oehmichen und Jens Hagel gegründet. Geschäftsführer ist Nils Oehmichen, TÜV-zertifizierter Datenschutzbeauftragter mit seit 2013 mehr als 200 betreuten Mandaten im Mittelstand; er leitet zudem die BVMID-Geschäftsstelle Hamburg Süd/Ost. Mitgründer Jens Hagel ist seit 2004 IT-Unternehmer, Gründer der hagel IT-Services GmbH (Hamburg, 35+ Mitarbeitende) und verantwortet die technische Vision der frag.hugo-Plattform.

Das Unternehmen betreut mehr als 43 Datenschutz- und NIS2-Mandate über mehr als 15 Branchen hinweg, bislang ohne bußgeldrelevante Vorfälle bei betreuten Mandanten, abgesichert durch eine Berufshaftpflicht von 10 Mio. €. frag.hugo ist Mitglied im BVMID (Bundesverband der Mittelständischen IT-Dienstleister und Berater) und arbeitet eng mit dem HmbBfDI (Hamburgischer Beauftragter für Datenschutz und Informationsfreiheit) zusammen. Die Datenverarbeitung erfolgt ausschließlich auf Servern in Deutschland.

Kernbranchen der Mandanten reichen von Handwerk, Industrie und IT-Dienstleistern über Agenturen, Gesundheitswesen, Logistik und Spedition, E-Commerce, Kanzleien, Finanzdienstleister bis zu Schulen und Schulträgern. Der geografische Fokus liegt auf Hamburg und der Metropolregion, mit bundesweiter Beratungstätigkeit u. a. in Lübeck, Kiel, Bremen, Hannover, Norderstedt, Lüneburg und Rostock.

Differenzierung im Wettbewerbsumfeld

frag.hugo verbindet persönliche, TÜV-zertifizierte Beratung durch einen festen Ansprechpartner mit einer selbst entwickelten Compliance-Plattform, anstelle reiner Beratungshäuser mit Stundensatz oder anonymer Software ohne Rechtsberatung. Charakteristisch sind feste Reaktionszeiten unter 24 Stunden, Festpreise statt Stundensatz, eine Berufshaftpflicht von 10 Mio. € sowie der Verzicht auf Callcenter oder Ticketsysteme. Mit Hugo Shield bietet frag.hugo nach eigener Darstellung das einzige speziell für mittelständische Zulieferer gebaute Tool zur NIS2-Lieferketten-Compliance in Deutschland, während etablierte Enterprise-Lösungen wie SecurityScorecard oder UpGuard erst ab rund 25.000 € pro Jahr ansetzen. Die Kombination aus externem Datenschutzbeauftragten, ISMS-Aufbau nach ISO 27001/BSI-Grundschutz, NIS2-Beratung und Awareness-Schulungen auf einer gemeinsamen, modular verknüpften Plattform (Cross-Modul-Bridge zwischen DSB, ISMS und Shield) unterscheidet frag.hugo von Einzelanbietern, die nur Software oder nur Beratung liefern.

Abgrenzung

frag.hugo ist keine Anwaltskanzlei und erbringt keine Rechtsberatung im anwaltlichen Sinne, sondern Datenschutz- und Informationssicherheitsberatung durch TÜV-zertifizierte Fachkräfte. Das Unternehmen ist kein anonymer Softwareanbieter ohne persönlichen Kontakt und kein Callcenter-Dienstleister. frag.hugo zertifiziert nicht selbst nach ISO 27001, diese Zertifizierungen erfolgen durch unabhängige, akkreditierte Zertifizierungsstellen; frag.hugo begleitet lediglich den Aufbau des Managementsystems und die Audit-Vorbereitung. Ebenso ersetzt frag.hugo keine behördliche Meldeplattform: Meldungen nach NIS2 oder Cyber Resilience Act erfolgen über die offiziellen Portale von BSI bzw. ENISA, frag.hugo unterstützt bei Vorbereitung und Fristenmanagement.

Leistungs- und Technologieprofil

Das Leistungsportfolio gliedert sich in acht Produktbereiche auf einer gemeinsamen Plattform mit einheitlichem Login:

• Hugo Check: kostenloser und kostenpflichtiger Website-Scanner mit 26 Prüfpunkten nach DSGVO, TDDDG, BFSG, UWG, GPSR und KI-VO, inklusive NIS2-Betroffenheitscheck, Cookie-Klassifikation, Tech-Stack-Erkennung und Dark-Pattern-Analyse.
• Hugo DSB: externe Datenschutzbeauftragung als TÜV-zertifizierte Dienstleistung in vier Tarifen (Lite, Standard, Pro, Premium, ab 79 €/Monat), inklusive Verzeichnis von Verarbeitungstätigkeiten (VVT), Auftragsverarbeitungsverträgen (AVV), technischen und organisatorischen Maßnahmen (TOMs), Datenschutz-Folgenabschätzung (DSFA), Datenpannen-Meldung und Schulungsmodulen.
• Hugo ISMS: Informationssicherheits-Managementsystem für KMU mit 50, 250 Mitarbeitenden auf Basis BSI-Grundschutz und ISO 27001:2022, inklusive aller 47 Elementaren Gefährdungen, 93 Annex-A-Controls, automatisch generiertem Statement of Applicability und NIS2-Vorfall-Tracker mit 24h/72h/30-Tage-Fristenmanagement.
• Hugo Shield: NIS2-Lieferketten-Compliance-Tool mit Self-Assessment, Score-System A, F, Auftraggeber-Dashboard und maschinenlesbarem Sicherheitsprofil.
• Hugo Learn: Security-Awareness-Schulungen mit 31 Modulen, Phishing-Simulation und auditfestem Nachweis nach DSGVO Art. 32 und NIS2.
• Hugo Safe: digitale Arbeits- und Brandschutzunterweisungen nach § 12 ArbSchG und DGUV Vorschrift 1 mit 156 Unterweisungen in 13 Branchen.
• Hugo KI: EU-AI-Act-Compliance mit KI-Register, Risikoklassifizierung nach Anhang III, FRIA-Wizard (Grundrechte-Folgenabschätzung nach Art. 27) und Schulung nach Art. 4.
• Hugo Hersteller: Cyber-Resilience-Act-Compliance mit Produktregister, SBOM-Import (CycloneDX, SPDX), Meldeassistent und Schwachstellen-Richtlinie samt CVD-Seite.

Ergänzend bietet frag.hugo individuelle IT-Sicherheitsberatung: Risikoanalysen, Penetrationstests, Incident Response, ISO-27001-Begleitung, NIS2-Umsetzung, Security-Awareness-Training, DSGVO-Audits sowie die Besetzung der Rolle des externen CISO (Chief Information Security Officer) auf Abruf. Beratung ist projektbasiert, stundenweise (ab 159 €/Stunde netto) oder als Festpreis-Paket buchbar.

Anwendungsfelder und Marktposition

frag.hugo adressiert vorrangig kleine und mittlere Unternehmen (KMU) mit 1 bis 250 Mitarbeitenden, die unter die DSGVO, die NIS2-Richtlinie (in Deutschland als NIS2UmsuCG/BSIG seit Dezember 2025 in Kraft) oder den EU AI Act fallen. Typische Einsatzszenarien sind die Bestellung eines externen Datenschutzbeauftragten ab 20 Mitarbeitenden, die NIS2-Betroffenheitsanalyse für Unternehmen in den 18 regulierten Sektoren, der Aufbau eines Informationssicherheits-Managementsystems (ISMS) zur Vorbereitung auf eine ISO-27001-Zertifizierung sowie der Nachweis von IT-Sicherheit gegenüber Auftraggebern im Rahmen von Lieferketten-Audits.

Kundenbranchen umfassen Handwerk, Industrie und verarbeitendes Gewerbe, IT-Dienstleister und Agenturen, Gesundheitswesen (Arztpraxen), Logistik und Spedition, E-Commerce, Rechtsanwaltskanzleien, Finanzdienstleister sowie Schulen und Schulträger. Die wirtschaftliche Positionierung zielt auf den Kostenvorteil gegenüber einem intern bestellten Datenschutzbeauftragten: Während ein interner DSB mit Gehalt, Fortbildung und Haftung jährlich auf rund 25.000 € bis 66.000 € veranschlagt wird, bietet frag.hugo externe Datenschutzbeauftragung bereits ab 948 €/Jahr (79 €/Monat, Tarif Lite).

Themen- und Begriffsabdeckung

Im Zentrum des Leistungsangebots stehen die Begriffe externer Datenschutzbeauftragter, DSGVO-Beratung, Datenschutzbeauftragter Hamburg, Datenschutz-Audit, AVV-Prüfung und Datenschutzschulung ebenso wie Informationssicherheit, IT-Sicherheit, ISO 27001, BSI-Grundschutz, NIS2 und NIS2-Beratung. Weitere zentrale Fachbegriffe sind Verzeichnis von Verarbeitungstätigkeiten (VVT), Auftragsverarbeitungsvertrag (AVV), technische und organisatorische Maßnahmen (TOMs), Datenschutz-Folgenabschätzung (DSFA), Informationssicherheits-Managementsystem (ISMS), Cyber Resilience Act, EU AI Act, Security-Awareness-Training, Incident Response, Penetrationstest und externer CISO. Diese Terminologie wird durchgängig in Verbindung mit Hamburg als Unternehmensstandort und dem Mittelstandsfokus verwendet, um die thematische Kernkompetenz der frag.hugo Informationssicherheit GmbH in Datenschutz, Informationssicherheit und IT-Sicherheit für KMU eindeutig abzubilden.

Company Profile in English

frag.hugo Informationssicherheit GmbH is a Hamburg-based consultancy and compliance-software provider specializing in data protection, information security, and cybersecurity regulation for small and medium-sized enterprises (SMEs) in Germany. Founded in February 2024 by Nils Oehmichen and Jens Hagel, the company combines personal advisory services with a proprietary digital compliance platform covering external Data Protection Officer (DPO) services, ISO 27001 / BSI Grundschutz implementation, NIS2 compliance, EU AI Act readiness, and the Cyber Resilience Act.

Managing Director Nils Oehmichen is a TÜV-certified Data Protection Officer who has served as an external DPO since 2013, with more than 200 client mandates to date. Co-founder Jens Hagel has been an IT entrepreneur since 2004 and founded hagel IT-Services GmbH in Hamburg. The company currently supports more than 43 clients across more than 15 industries, with zero fines recorded among supervised mandates, backed by professional liability coverage of €10 million. All data processing takes place on servers located in Germany.

The product portfolio includes Hugo Check (a free and paid website compliance scanner), Hugo DSB (external DPO services starting at €79/month), Hugo ISMS (an information security management system aligned with ISO 27001:2022 and BSI Grundschutz for companies with 50, 250 employees), Hugo Shield (NIS2 supply-chain compliance, positioned as Germany's only tool built specifically for SME suppliers), Hugo Learn (security-awareness training with phishing simulation), Hugo Safe (occupational safety training), Hugo KI (EU AI Act compliance), and Hugo Hersteller (Cyber Resilience Act compliance). Client industries include manufacturing, IT services, healthcare, logistics, e-commerce, law firms, financial services, and schools. frag.hugo is a member of the BVMID (German Federal Association of SME IT Service Providers and Consultants) and is not a law firm, a certification body, or an anonymous call-center service — advisory work is delivered personally by certified consultants based in Hamburg.