Choosing a Software Development Company: What to Check First

Beginnen Sie mit dem, was Sie allein prüfen können, bevor Sie mit jemandem sprechen. Die öffentliche PME-Líder-Liste des IAPMEI, das Register öffentlicher Aufträge im Base-Portal, der von dem Unternehmen veröffentlichte Open-Source-Code und die eingereichten Jahresabschlüsse. Vier Quellen, die von jedem Verkaufsgespräch unabhängig sind.

Bewerten Sie dann, was sich 2026 geändert hat. Portugal hat NIS2 durch das Decreto-Lei Nr. 125/2025 vom 4. Dezember umgesetzt, mit dem das Regime Jurídico da Cibersegurança verabschiedet wurde und das am 3. April 2026 in Kraft trat. Die Pflichten treffen die erfasste Einrichtung, was bedeutet, dass die Sicherheitslage desjenigen, der Ihre Software baut und pflegt, Teil Ihres eigenen Risikos geworden ist. Sehr schwere Verstöße erreichen 10 Millionen Euro.

Das zweite Datum ist der 11. September 2026, ab dem die Meldepflichten des Artikels 14 des Cyber Resilience Act für alle gelten, die Produkte mit digitalen Elementen auf dem EU-Markt bereitstellen, einschließlich derjenigen, die Open-Source-Komponenten einbinden. Was das erfordert, haben wir behandelt in Meldung von Schwachstellen binnen 24 Stunden nach dem CRA und in Cyber-Resilienz mit Open Source und Secure by Design. Die praktische Folge ist einfach: Die Frage, wessen Name im Vertrag steht, ist nicht mehr nur kommerziell.

Dieser Artikel ist aus der Sicht des Anbieters geschrieben, was bedeutet, dass er die Fragen enthält, die wir lieber nicht gestellt bekämen.

Was können Sie vor dem ersten Gespräch prüfen?

Mehr, als die meisten Einkäufer versuchen. Vier Prüfungen, alle in öffentlichen Quellen, alle unabhängig davon, was das Unternehmen über sich sagt.

Status PME Líder oder PME Excelência. Jährlich veröffentlicht vom IAPMEI. Sie zeigt Ihnen, dass Dritte finanzielle Kriterien geprüft haben: positives Jahresergebnis, EBITDA über zwei Geschäftsjahre, Eigenkapitalquote, Netto-Finanzverschuldung zum EBITDA und ein Risiko-Rating einer Kreditgarantiegesellschaft.

Register öffentlicher Aufträge. Im Base-Portal. Es zeigt Ihnen, ob das Unternehmen bereits an den Staat geliefert hat, zu welchen Werten und in welchen Zeiträumen. Der öffentliche Sektor ist bei der Dokumentation streng, und das hinterlässt Spuren.

Veröffentlichter Open-Source-Code. Auf GitHub oder GitLab des Unternehmens. Es ist die einzige Arbeitsprobe, die nicht zum Verkauf vorbereitet wurde: echte Codequalität, Pflegerhythmus, und ob auf Issues Dritter reagiert wird.

Eingereichte Jahresabschlüsse. Gesetzlich vorgeschriebene Veröffentlichung. Sie zeigen Ihnen, ob das Unternehmen groß genug ist, einen mehrjährigen Vertrag zu tragen, und ob es von einem einzigen Kunden abhängt.

Keine dieser Prüfungen sagt Ihnen, ob das Unternehmen gut darin ist, Software zu schreiben. Sie sagen Ihnen, ob es ein ernstzunehmendes Unternehmen ist, und das schließt einen erheblichen Teil des Markts aus, bevor Sie ein Gespräch verbrauchen.

Eine Anmerkung zu PME Líder: Es ist ein finanzieller, kein technischer Status. In der Ausgabe 2025 wurden 14.133 Unternehmen aus allen Branchen anerkannt, er ist also weder selten noch für sich genommen unterscheidend. Wertvoll ist der Umkehrschluss. Wenn ein Unternehmen mit zehn Jahren Geschäftstätigkeit ihn nicht hat, sind zwei Fragen nach dem Grund angebracht.

Was verlangt NIS2 von Ihnen gegenüber einem Softwareanbieter?

Die Pflicht zum Management der Lieferkette trifft die erfasste Einrichtung. Also den Kunden. Wenn Sie erfasst sind und Ihr Anbieter seine Sicherheitslage nicht belegen kann, ist der Befund Ihrer. Acht Klauseln lohnen eine Vertragsprüfung bei der nächsten Verlängerung.

Meldefristen für Vorfälle die in Ihre eigenen Meldepflichten passen, nicht in die Bequemlichkeit des Anbieters.

Ein benannter Sicherheitskontakt, mit einem echten Eskalationsweg außerhalb der Geschäftszeiten.

Komponentenverzeichnis oder SBOM, auf Anfrage verfügbar.

Zusagen zur Behandlung von Schwachstellen, mit Reaktionsfristen je Schweregrad.

Nachweise zu Zugriffskontrolle und Offboarding für alle, die Ihre Systeme berühren.

Offenlegung von Unterauftragsverhältnissen, einschließlich des tatsächlichen Standorts der Personen.

Datenstandort und anwendbare Rechtsordnung, ausdrücklich erklärt.

Ein Auditrecht, oder eine anerkannte Zertifizierung an dessen Stelle.

Fordern Sie ein aktuelles Komponentenverzeichnis an. Kommt es in 48 Stunden, gibt es einen Prozess. Dauert es drei Wochen, haben Sie mehr erfahren, als jeder Fragebogen liefern würde.

Und es gibt eine Folge, die fast niemand vorhersieht. Verträge, die vor April 2026 geschlossen wurden, enthalten nichts davon, weil es keine Pflicht gab. Das ist niemandes Versäumnis. Es ist offene Arbeit.

Sie bewerten Anbieter und möchten die Prüfungen aus diesem Artikel anwenden?

Sprechen Sie mit unserem Team

Welche Fragen trennen Anbieter, die identisch aussehen?

Jedes Angebot sagt, das Team sei erfahren und die Methodik agil. Diese fünf erzeugen unterschiedliche Antworten.

Wer pflegt die Software, die Sie vor fünf Jahren geliefert haben? Sie unterscheidet, wer Projekte abliefert, von denen, die Systeme tragen. Ist die Antwort vage, wird Ihr System dasselbe Schicksal erleiden.

Zeigen Sie mir Code, den Sie geschrieben haben und den ich lesen kann. Wer Open Source veröffentlicht, antwortet in Sekunden. Wer das nicht tut, muss Freigaben verhandeln. Das ist bereits die Antwort.

Was läuft in Ihren Projekten schief, und was haben Sie deshalb geändert? Eine ehrliche Antwort schildert einen konkreten Fall. Eine ausweichende Antwort schildert einen Prozess.

Wer sind die Personen, die daran arbeiten werden, und sind sie verfügbar? Sie trennt das Vertriebsteam vom Lieferteam. Fragen Sie nach Namen und bitten Sie darum, vor der Unterschrift mit ihnen zu sprechen. Diese Frage verändert das Ergebnis am häufigsten.

Was brauchen Sie von uns, damit das nicht in Verzug gerät? Ein erfahrener Anbieter hat eine Liste parat: Entscheidungen, Zugänge, Verfügbarkeit Ihrer Leute. Wer keine Liste hat, wird Ihnen später die Schuld geben.

Welches Beauftragungsmodell passt zu Ihrem Problem?

Projekt mit festem Umfang

Die Lieferung liegt beim Anbieter

Sinnvoll, wenn das Problem klar umrissen ist und das Ergebnis vor Beginn beschreibbar ist.

Team Augmentation

Die Lieferung bleibt bei Ihnen

Sinnvoll, wenn Sie Prozess und technische Führung haben und Kapazität fehlt. Die Entwickler treten in Ihr Team und Ihre Abläufe ein.

Die häufigste Verwechslung ist, Team Augmentation zu beauftragen und Outsourcing zu erwarten. Menschen treten ins Team ein, niemand auf Kundenseite führt technisch, und sechs Monate später dreht sich das Gespräch darum, warum der Anbieter Entscheidungen nicht getroffen hat, die ihm nie zugewiesen wurden. Wir behandeln den Unterschied zwischen den beiden Modellen gesondert, dazu die praktischen Vorteile der Team Augmentation und den Regulierungsgrund für Nearshoring nach Portugal.

Wie vergleicht man Angebote, ohne nur den Preis zu vergleichen?

Zwei Angebote auf dieselbe Anfrage decken selten denselben Umfang ab, was den direkten Preisvergleich irreführend macht. Normalisieren Sie zuerst.

Was nach der Lieferung enthalten ist. Gewährleistung, Fehlerbehebung, weiterentwickelnde Wartung, Nachverfolgung von Abhängigkeitsversionen. Enthält ein Angebot das und das andere nicht, sind sie nicht vergleichbar.

Wer testet, und mit welchem Nachweis. Automatisierte Tests, die an Sie übergeben werden, sind ein Vermögenswert. Manuelle Tests des Anbieters lassen nach Vertragsende nichts zurück.

Wer behält was. Eigentum am Code, am Datenmodell, an der Infrastruktur als Code. Und was passiert, wenn Sie den Anbieter wechseln wollen.

Welche Annahmen den Zeitplan tragen. Verfügbarkeit Ihrer Leute, Entscheidungszeiten, Systemzugänge. Zeitpläne ruhen auf diesen Annahmen, und genau dort rutschen sie.

Zu Zahlen eine ehrliche Position. Wir veröffentlichen in diesem Artikel keine Preisspannen, weil die Antwort von Umfang, Anzahl der Plattformen, Prüfanforderungen und dem bereits Gebauten abhängt. Jede veröffentlichte Spanne wäre zu weit, um damit zu entscheiden, oder zu eng, um wahr zu sein. Beschreiben Sie den Umfang und fordern Sie eine Zahl, keine Spanne.

Weiterführende Beiträge

Nearshore Portugal: der Compliance-Grund Warum regulatorische Angleichung jetzt in Ausschreibungen regulierter Branchen auftaucht, und was sie ersetzt.

Team Augmentation gegen Outsourcing Die Unterscheidung, die am meisten kostet, wenn sie in der Vertragsphase verwechselt wird.

CRA September 2026: Meldung von Schwachstellen binnen 24 Stunden Was Ihre Anbieter Ihnen nun binnen eines Tages schulden, und warum früher geschlossene Verträge das nicht sagen.

Nachweis von Softwarequalität: die Lücke, die kostet Warum ein Anbieter mit grünem Dashboard eine Aufsichtsprüfung dennoch nicht bestehen kann.

Softwareentwicklung Was wir bauen, für wen, und in welchen Liefermodellen wir arbeiten.

Häufige Fragen

Einen Anbieter prüfen

Wie prüft man, ob ein Softwareentwicklungsunternehmen solide ist?

Vier öffentliche Prüfungen vor jedem Gespräch: die vom IAPMEI veröffentlichte Liste der PME Líder und PME Excelência, die auf geprüften finanziellen Kriterien beruht; das Register öffentlicher Aufträge im Base-Portal; der veröffentlichte Open-Source-Code; und die eingereichten Jahresabschlüsse. Keine bewertet technische Qualität, alle bewerten Solidität.

Was ist der Status PME Líder und was garantiert er?

Es ist ein seit 2008 vom IAPMEI verliehener Status auf Basis finanzieller Kriterien, darunter positives Jahresergebnis, EBITDA über zwei Geschäftsjahre, Eigenkapitalquote und ein Risiko-Rating einer Kreditgarantiegesellschaft. In der Ausgabe 2025 wurden 14.133 Unternehmen anerkannt. Er bewertet keine technische Leistungsfähigkeit.

NIS2 und Beauftragungsmodelle

Verlangt NIS2, Verträge mit Softwareanbietern zu ändern?

Die Pflichten treffen die erfasste Einrichtung, nicht jeden Anbieter. Doch die erfasste Einrichtung muss die Sicherheit ihrer Lieferkette steuern, was praktisch vertragliche Zusagen zu Vorfallmeldung, Schwachstellenbehandlung, Unterauftragsverhältnissen und Datenstandort erfordert. In Portugal gilt das Regime Jurídico da Cibersegurança seit dem 3. April 2026.

Was ist der Unterschied zwischen Team Augmentation und Outsourcing?

Bei Team Augmentation treten die Entwickler in Ihr Team und Ihre Prozesse ein, und die Lieferverantwortung bleibt bei Ihnen. Beim Outsourcing übertragen Sie die Lieferverantwortung auf den Anbieter, einschließlich der Entscheidungen. Das eine zu beauftragen und das andere zu erwarten ist der häufigste Fehler, und er kostet mehr als die Wahl des falschen Anbieters im richtigen Modell.

Fragen und Preise

Welche Fragen sollte man einem Softwareunternehmen vor der Beauftragung stellen?

Fünf, die bei Anbietern unterschiedliche Antworten erzeugen: Wer pflegt die vor fünf Jahren gelieferte Software, welchen von Ihnen geschriebenen Code kann ich lesen, was läuft in Ihren Projekten schief, wer sind die Personen, die daran arbeiten werden, und sind sie verfügbar, und was brauchen Sie von uns, damit das nicht in Verzug gerät.

Warum enthält dieser Artikel keine Richtpreise?

Weil eine nützliche Spanne nicht existiert. Die Zahl hängt von Umfang, Anzahl der Plattformen, Prüfanforderungen und dem bereits Gebauten ab. Eine Spanne, die weit genug ist, um wahr zu sein, taugt nicht zur Entscheidung. Beschreiben Sie den Umfang und fordern Sie von jedem Anbieter eine konkrete Zahl.

Team Caixa Mágica

Caixa Mágica Software ist ein portugiesisches Softwareunternehmen seit 2000. Kundenspezifische Software, KI-Plattformen und Nearshore-Entwicklung für europäische Unternehmen in PT, DE und UK.

Software Development · Caixa Mágica Software

Stellen Sie uns die fünf Fragen aus diesem Artikel

Wir veröffentlichen Open Source, wir pflegen Software, die wir vor über einem Jahrzehnt geliefert haben, und unser Register öffentlicher Aufträge ist überprüfbar, ohne uns um etwas zu bitten. Beschreiben Sie den Umfang, und wir liefern eine Zahl, keine Spanne.

Sehen Sie, was wir tun Sprechen Sie mit uns