.svg)
Das Wichtigste in Kürze
- Die aktuelle Fassung ist ISO/IEC 27001:2022. Alle Zertifikate nach der Fassung von 2013 haben am 31. Oktober 2025 ihre Gültigkeit verloren.
- Anhang A enthält 93 Controls in vier Themen: 37 organisatorische, 8 personenbezogene, 14 physische und 34 technologische. Die meisten Start-ups und Scale-ups setzen zwischen 60 und 80 davon um.
- Die Kapitel 4 bis 10 sind verpflichtend und nicht abwählbar. Anhang A ist eine Auswahlliste, die Kapitel sind es nicht.
- Ein Zertifikat ist drei Jahre gültig, mit Überwachungsaudits in den Jahren eins und zwei und einem Rezertifizierungsaudit im dritten Jahr.
- In Deutschland gilt NIS2 seit dem 6. Dezember 2025 ohne Übergangsfrist. Ein ISO-27001-ISMS erfüllt wesentliche Teile der dort geforderten Managementpraktiken.
Was ist ISO 27001?
ISO 27001 ist der international anerkannte Standard für Aufbau und Betrieb eines Informationssicherheits-Managementsystems, kurz ISMS. Herausgegeben wird er gemeinsam von der Internationalen Organisation für Normung und der Internationalen Elektrotechnischen Kommission im Komitee ISO/IEC JTC 1/SC 27. Die Normfassung ist bei der ISO einsehbar.
Das Schlüsselwort lautet System. ISO 27001 liefert keine Checkliste mit zu installierenden Firewalls und schreibt weder Technologien noch Anbieter vor. Die Norm verlangt den Nachweis, dass Sie einen lebendigen Prozess zum Schutz von Informationen betreiben: Sie bewerten Risiken, entscheiden über Maßnahmen, setzen sie um und prüfen fortlaufend, ob sie wirken. Genau diese Prozessorientierung verleiht einem Zertifikat sein Gewicht. Sie signalisiert dem Kunden, dass Sicherheit in die Arbeitsweise eingebaut ist und nicht in der Woche vor dem Audit aufgesetzt wurde.
Alles, was die Norm verlangt, dient am Ende drei Eigenschaften von Informationen, der sogenannten CIA-Triade. Vertraulichkeit bedeutet, dass sensible Daten nur autorisierten Personen zugänglich sind. Integrität bedeutet, dass Informationen korrekt und vollständig bleiben und nicht unbemerkt verändert wurden. Verfügbarkeit bedeutet, dass autorisierte Nutzer auf Informationen zugreifen können, wenn sie diese brauchen. Jede einzelne Maßnahme in Ihrem ISMS zahlt auf mindestens eines dieser drei Ziele ein, und wenn sich eine Maßnahme keinem davon zuordnen lässt, ist sie im Zweifel überflüssig.
Ein verbreiteter Irrtum: Viele Teams sprechen von einer "ISMS-Zertifizierung", als wäre das etwas anderes. Ist es nicht. Zertifiziert wird immer gegen ISO 27001, und das ISMS ist der Gegenstand, den der Auditor prüft. Wer nach ISMS-Zertifizierung sucht, meint genau diesen Prozess.
Die aktuelle Fassung ist ISO/IEC 27001:2022, veröffentlicht im Oktober 2022. Unternehmen mit dem älteren Zertifikat von 2013 hatten bis zum 31. Oktober 2025 Zeit für den Übergang. Diese Frist ist verstrichen, alle Zertifikate nach der Fassung von 2013 sind damit ungültig.
ISO 27001 auf einen Blick
Wer braucht eine ISO 27001 Zertifizierung?
Jeder, der mit den Daten anderer arbeitet und an Unternehmen verkaufen will, die Sicherheit ernst nehmen. Das betrifft inzwischen einen sehr großen Teil des europäischen Tech-Markts, und zunehmend ist es die Regulierung und nicht nur der Vertriebsdruck, die die Frage erzwingt.
Die Zertifizierung ist im engen rechtlichen Sinn freiwillig, doch mehrere Rahmenwerke machen ein ISMS faktisch unumgänglich. Die EU-Richtlinie NIS2 weitet Cybersicherheitspflichten auf Tausende mittelständische Unternehmen in kritischen und wichtigen Sektoren aus, und die geforderten Managementpraktiken decken sich eng mit ISO 27001. In Deutschland gilt die Umsetzung seit dem 6. Dezember 2025 ohne Übergangsfrist. Die offiziellen Informationen der Europäischen Kommission helfen bei der Einordnung, falls Sie unsicher sind, ob Ihr Sektor betroffen ist.
Automobilzulieferer durchlaufen zusätzlich ein TISAX-Assessment, und viele Enterprise-Einkäufer nehmen schlicht keinen Anbieter ohne anerkanntes Sicherheitszertifikat an Bord. Sicherheitsfragebögen großer Einkäufer führen ISO 27001 zunehmend als Ja-oder-Nein-Kriterium und nicht mehr als Präferenz.
Der Marktdruck ist strukturell. Laut dem Compliance-Benchmark-Report 2025 besitzen 81 Prozent der Unternehmen weltweit entweder bereits eine ISO-27001-Zertifizierung oder planen eine, gegenüber 67 Prozent im Vorjahr. Für ein Unternehmen ohne Zertifikat heißt das: Der Abstand zu zertifizierten Wettbewerbern wächst in jedem Quartal des Zuwartens.
Ein zweiter, oft unterschätzter Effekt betrifft alle weiteren Compliance-Vorhaben. Rund 70 Prozent der ISO-27001-Anforderungen überschneiden sich mit anderen Rahmenwerken wie SOC 2, NIS2, DSGVO und TISAX. Richtlinien, Controls und Nachweise, die Sie einmal für ISO 27001 aufgebaut haben, lassen sich für weitere Auditprogramme wiederverwenden. Ein Multi-Framework-Programm rund um ein ISO-27001-ISMS aufzubauen senkt die Gesamtkosten deutlich, weil Sie nicht jedes Mal bei null anfangen. Wo sich NIS2 und ISO 27001 überschneiden, zeigt unser Beitrag dazu, wie Sie NIS2 im Rahmen von ISO 27001 umsetzen.
Ein wichtiger Unterschied dabei: NIS2 ergänzt verbindliche Meldefristen bei Sicherheitsvorfällen, eine Frühwarnung an die zuständige Behörde binnen 24 Stunden und eine vollständige Meldung binnen 72 Stunden, sowie Haftungsregelungen für die Geschäftsleitung. Beides geht über den Geltungsbereich von ISO 27001 hinaus. Die beiden Regelwerke ergänzen einander, sie ersetzen einander nicht.
Aufbau und Struktur der ISO 27001
Die Norm gliedert sich in zwei Teile: die verbindlichen Kapitel, die das Managementsystem definieren, und Anhang A, der die wählbaren Sicherheitsmaßnahmen auflistet. Diese Trennung zu verstehen ist das Nützlichste, was Sie vor dem Start tun können, denn nur einer der beiden Teile ist verhandelbar.
Die Kapitel 4 bis 10 sind Pflicht
Diese sieben Kapitel bilden den nicht verhandelbaren Kern. Ein Auditor prüft jedes einzelne davon.
- Kapitel 4 verlangt, dass Sie den Kontext Ihrer Organisation verstehen, einschließlich der Erwartungen relevanter Interessengruppen.
- Kapitel 5 legt die Verantwortung ausdrücklich auf die Führungsebene. Das Management muss aktives Engagement für das ISMS zeigen und klare Zuständigkeiten zuweisen.
- Kapitel 6 behandelt die Planung: Methodik der Risikobeurteilung, Risikobehandlungsplan und Sicherheitsziele.
- Kapitel 7 adressiert Unterstützung: Ressourcen, Kompetenz, Bewusstsein, Kommunikation und dokumentierte Informationen.
- Kapitel 8 regelt die operative Planung und Steuerung, einschließlich der Umsetzung des Risikobehandlungsplans.
- Kapitel 9 fordert Leistungsbewertung durch Monitoring, Messung, interne Audits und Managementbewertungen.
- Kapitel 10 befasst sich mit kontinuierlicher Verbesserung und dem Umgang mit Nichtkonformitäten.
Zusammen bilden sie den Plan-Do-Check-Act-Zyklus in Normform. Das ist der Unterschied zwischen einem Managementsystem und einem einmaligen Sicherheitsprojekt.
Anhang A ist eine Auswahlliste
Anhang A ist der Bereich, den die Revision 2022 verändert hat. Der Maßnahmenkatalog wurde von 114 auf 93 Controls verschlankt und aus 14 Domänen in vier klare Themen überführt. Elf vollständig neue Controls kamen hinzu, darunter A.5.7 zu Bedrohungsinformationen, A.5.23 zur Informationssicherheit bei Cloud-Diensten und A.5.30 zur IKT-Bereitschaft für Business Continuity.
Sie setzen nicht alle 93 um. Sie wählen die Maßnahmen, die Ihre Risikobeurteilung rechtfertigt, und begründen jede Auswahl und jeden Ausschluss in einer Erklärung zur Anwendbarkeit. Die meisten Start-ups und Scale-ups landen bei 60 bis 80 Controls und konzentrieren sich auf das, was für Produktinfrastruktur und Datenumgebung wirklich relevant ist. Welche Maßnahme was verlangt, führt unser Beitrag zu den 93 Annex-A-Controls im Detail aus.
Woraus ein ISMS besteht
Ein Informationssicherheits-Managementsystem ist keine Software. Es ist die Kombination aus Richtlinien, Prozessen, Verfahren und Maßnahmen, mit der Ihr Unternehmen Informationssicherheit systematisch und nachweisbar steuert. Fünf Bestandteile tragen es.
Richtlinien bilden das Fundament. Sie legen die Regeln fest, nach denen Ihr Unternehmen mit Sicherheit umgeht. Entscheidend ist, dass sie Ihre tatsächliche Arbeitsweise beschreiben. Wenn Ihre Richtlinie zur zulässigen Nutzung etwas verbietet, das Ihr Team täglich tut, ist sie wertlos und im Audit ein Befund.
Die Risikobeurteilung schneidet das ISMS auf Ihre Situation zu. Sie erstellen ein Inventar Ihrer Informationswerte, identifizieren realistische Bedrohungsszenarien für Ihren Tech-Stack und Ihre Branche, bewerten Eintrittswahrscheinlichkeit und Auswirkung und entscheiden je Risiko über die Behandlung: reduzieren, übertragen, vermeiden oder bewusst akzeptieren. Das Ergebnis gehört in ein Risikoregister, das als lebendes Dokument geführt wird und nicht als einmalige Tabelle.
Controls sind die konkreten Mechanismen, mit denen Sie Risiken senken. Technische wie Verschlüsselung und Mehr-Faktor-Authentifizierung, physische wie Zutrittsbeschränkungen und Geräteschutz, und administrative wie Richtlinien, Schulungen und definierte Prozesse. Die administrativen werden am häufigsten unterschätzt.
Incident Management entscheidet, was passiert, wenn doch etwas schiefgeht. Für ein Start-up bedeutet das kein rund um die Uhr besetztes Security Operations Center. Es bedeutet dokumentierte Verfahren, klar benannte Rollen, getestete Kommunikationswege und die Verpflichtung, aus jedem Vorfall zu lernen. Beim ersten größeren Vorfall entscheidet ein schriftliches Playbook darüber, ob Sie koordiniert reagieren oder improvisieren.
Kontinuierliche Verbesserung hält das System am Leben. Interne Audits prüfen, ob die Maßnahmen wie vorgesehen wirken, Managementbewertungen beurteilen den Gesamtzustand und Korrekturmaßnahmen schließen die gefundenen Lücken. ISO 27001 verlangt diesen Zyklus ausdrücklich.
Der praktische Unterschied zeigt sich beim Onboarding. Ohne ISMS erklärt jemand einem neuen Entwickler mündlich, wie Zugriffe geregelt sind, zeigt vielleicht die Einrichtung der Sicherheitswerkzeuge und hofft auf das Beste. Mit ISMS gibt es eine dokumentierte Zugriffskontrollrichtlinie, einen definierten Provisioning-Prozess, ein verpflichtendes Schulungsmodul und den Nachweis, dass jeder Schritt abgeschlossen wurde. Fragt ein Auditor oder ein Kunde nach dem Zugriffsmanagement, gibt es eine belegbare Antwort statt einer Beteuerung.
ISO 27001 für Start-ups und Scale-ups
Für junge Unternehmen ist der Geltungsbereich die wichtigste Stellschraube. Ein 25-Personen-Unternehmen, das nur sein Produkt und die zugehörige Infrastruktur in den Scope nimmt, führt ein deutlich kleineres Projekt als eines, das den gesamten Konzern abbildet. Der Scope bestimmt außerdem die Auditzeit: Die Zahl der Personen im Geltungsbereich treibt die Audittage, nicht die Ambition des Projekts.
Bei den meisten Start-ups umfasst ein sinnvoller Scope die Produktionsumgebung, die Verarbeitung von Kundendaten, die Entwicklungspraktiken und die Unternehmenssysteme, die diese direkt stützen. Bereiche, die keine sensiblen Informationen verarbeiten, müssen nicht hinein. Ein eng gefasster, nachvollziehbarer Scope macht die Zertifizierung schneller erreichbar, ohne den Wert des Zertifikats zu mindern.
Der häufigste Fehler in dieser Größenordnung ist der umgekehrte: Teams schneiden den Scope so eng, dass das Zertifikat später die Frage des Einkäufers nicht beantwortet. Wenn Ihr größter Kunde wissen will, ob das Kundenportal abgedeckt ist, und Ihr Zertifikat nur die interne IT umfasst, haben Sie ein Audit bestanden und trotzdem nichts gewonnen. Schneiden Sie den Scope nach dem, was im Vertrieb gefragt wird, und erweitern Sie ihn im nächsten Zertifizierungszyklus.
Ein Beispiel aus der Praxis: Ein SaaS-Unternehmen mit 45 Mitarbeitenden nimmt Produkt, Infrastruktur und Kundensupport in den Scope, benennt eine interne verantwortliche Person mit etwa der Hälfte ihrer Arbeitszeit und baut das ISMS auf einer Plattform statt in Tabellen auf. Für das Erstzertifizierungsaudit fallen bei dieser Größe rund achteinhalb Audittage an.
Der zweite Grund, warum kleine Unternehmen ins Stocken geraten, liegt nicht am Umfang, sondern an der Auslegung. Die Norm sagt Ihnen, was erreicht sein muss, nicht was Sie am Montag tun sollen.
Wie Sie ein ISMS so zuschneiden, dass es mitwächst statt Sie am ersten Tag zu erdrücken, behandelt unser Leitfaden zum Aufbau eines ISMS für Startups.
Der Weg zur Zertifizierung: die vier Phasen
Die Zertifizierung folgt einem vorhersehbaren Verlauf: Vorbereitung, Umsetzung, internes Audit und externes Zertifizierungsaudit. Drei bis sechs Monate sind der Normalfall, Teams, die alles in Tabellen verwalten, brauchen regelmäßig neun bis zwölf Monate.
Zwei Punkte verdienen besondere Aufmerksamkeit, weil sie im Audit überproportional oft zu Befunden führen.
Die Erklärung zur Anwendbarkeit ist das am genauesten geprüfte Dokument im gesamten Verfahren. Sie muss vollständig konsistent mit den Ergebnissen Ihrer Risikobeurteilung sein. Ein Control ohne nachvollziehbaren Ausschlussgrund deutet für den Auditor auf eine übereilte Risikobeurteilung hin, und er wird genauer hinsehen.
Die Nachweisdauer wird regelmäßig unterschätzt. Das Stufe-2-Audit verlangt Belege dafür, dass Controls über einen Zeitraum von in der Regel drei bis sechs Monaten tatsächlich in Betrieb waren. Wer zu spät mit dem Sammeln beginnt, verschiebt entweder den Audittermin oder nimmt formale Befunde in Kauf.
Wenn Sie vor wollen, wie lange eine ISO 27001 Zertifizierung dauert, beantwortet das unsere kompakte Übersicht.
Werkzeuge verkürzen die Nachweisarbeit, nicht die Aufbauarbeit. Wer Controls automatisiert belegen kann, spart die Wochen, die sonst in das Zusammensuchen von Screenshots und Logexporten fließen. Die Prozesse selbst müssen trotzdem entstehen, und dafür gibt es keine Abkürzung.
Woraus sich die Kosten zusammensetzen
Die Rechnung besteht aus drei Blöcken: Gap-Analyse und Vorbereitung, Implementierung des ISMS und die Auditgebühren der Zertifizierungsstelle. Nur die Auditgebühren sind fix. Die beiden anderen Blöcke hängen davon ab, wie viel Handarbeit in Dokumentation und Nachweissammlung fließt, und genau dort entscheidet sich, ob ein Projekt teuer wird.
Ein verbreiteter Planungsfehler: Geschäftsführer budgetieren die Auditrechnung und übersehen den Posten, der tatsächlich größer ist. Die Monate an Personenzeit für Dokumentation und Nachweissammlung übersteigen bei den meisten mittelständischen Unternehmen die Gebühren der Zertifizierungsstelle deutlich, tauchen aber in keinem Angebot auf. Das ist auch der einzige Posten, den Sie selbst steuern können; die Gebühren der Zertifizierungsstelle senkt keine Software.
Die konkreten Beträge nach Unternehmensgröße, aufgeschlüsselt nach den drei Blöcken und inklusive Überwachungsaudit, stehen in unserer Übersicht dazu, was eine ISO 27001 Zertifizierung kostet. Wie unterschiedliche Ansätze diese Rechnung verändern, vergleicht der Überblick zu den besten ISO-27001-Compliance-Tools.
Die Wahl des Umsetzungswegs entscheidet dabei über beide steuerbaren Blöcke gleichzeitig. Welcher Weg wie schnell zum Zertifikat führt und woran Sie einen Anbieter erkennen, der das Tempo tatsächlich halten kann, behandelt unser Beitrag dazu, wie Sie schnell ISO 27001 zertifiziert werden.
Die richtige Zertifizierungsstelle auswählen
Zertifikate stellt nicht die ISO aus, sondern eine akkreditierte Zertifizierungsstelle. In Deutschland vergibt die Deutsche Akkreditierungsstelle diese Akkreditierung und führt ein Verzeichnis der akkreditierten Zertifizierungsstellen für Managementsysteme. Zu den in Europa tätigen Stellen zählen TÜV Nord, TÜV SÜD, BSI Group, Bureau Veritas und DNV.
Für Unternehmen, die vorrangig deutsche Enterprise-Kunden adressieren, genießen TÜV Nord und TÜV SÜD die höchste Bekanntheit. Das ist kein fachliches Qualitätsurteil, aber es beeinflusst, wie Ihr Zertifikat in einem Beschaffungsprozess gelesen wird. Der praktischste Weg zur Entscheidung führt deshalb über Ihre eigenen Zielkunden: Fragen Sie die zwei oder drei wichtigsten, welche Stellen sie anerkennen, bevor Sie einen Vertrag unterschreiben.
Nicht jedes Siegel, das nach ISO 27001 aussieht, stammt von einer akkreditierten Stelle. Ein nicht akkreditiertes Zertifikat fällt spätestens in der Lieferantenprüfung Ihres Kunden auf, und dann haben Sie Geld und Monate für ein Dokument ausgegeben, das seinen einzigen Zweck nicht erfüllt. Woran Sie unseriöse Anbieter und wertlose Zertifikate erkennen, haben wir separat zusammengestellt.
Wo Teams stolpern: typische Fehler und Audit-Findings
Die meisten Fehlschläge beim ersten Mal sind nicht exotisch. Es sind dieselben wenigen Muster, die Auditoren immer wieder sehen.
Der Geltungsbereich ist von Anfang an zu breit. Der häufigste Grund, warum Zertifizierungen länger dauern als geplant, ist der Versuch, jedes interne System und jeden Prozess in den ersten Scope zu nehmen. Beginnen Sie mit Produktumgebung und Kundendaten, erweitern Sie im nächsten Zyklus.
Dokumentation wird als Ziel behandelt. Auditoren prüfen, ob Controls in Betrieb sind, nicht ob sie gut formuliert wurden. Eine umfassende Zugriffskontrollrichtlinie ist wertlos, wenn Ihr tatsächlicher Prozess ihr nicht entspricht. Bauen Sie erst den echten Prozess, dokumentieren Sie dann, was Sie tatsächlich tun. Das häufigste Einzelfinding überhaupt ist eine Richtlinie, die vierteljährliche Prüfungen vorsieht, während zu den letzten drei keine Aufzeichnung existiert.
Der Aufwand der Nachweissammlung wird unterschätzt. Siehe oben: drei bis sechs Monate Betrieb müssen belegbar sein. Kontinuierliche, automatisierte Sammlung löst das strukturell, eine Aktion kurz vor dem Audit löst es nicht.
Lieferantensicherheit wird vergessen. Die Controls A.5.19 bis A.5.22 decken Lieferantenbeziehungen und Lieferkettensicherheit ab. Für ein SaaS-Unternehmen sind der Cloud-Anbieter, der Zahlungsdienstleister und die wichtigsten SaaS-Werkzeuge im Geltungsbereich. Unvollständige Lieferantenbewertungen sind eine der verlässlichsten Befundkategorien.
Das interne Audit wird als Formalität behandelt. Ein echtes internes Audit vor dem Stufe-2-Termin findet die Probleme, die sonst zu formalen Befunden werden, und zeigt dem externen Auditor, dass Ihr Bewertungszyklus funktioniert. Wer es abhakt, wird im Stufe-2-Audit überrascht.
Eine Ursache liegt sogar noch vor dem Projekt: Wer die Zertifizierung an die falsche Rolle hängt, produziert Findings, bevor die erste Richtlinie geschrieben ist.
Das Muster hinter allen fünf Punkten ist dasselbe: ISO 27001 belohnt lebendige Systeme und bestraft Papier-Theater. Wie Sie Nachweise fortlaufend aktuell halten, sodass ein Überwachungsaudit nie zur Hektik führt, behandelt das ISO-27001-Automatisierungs-Playbook.
Die Zertifizierung ist der Anfang, nicht das Ziel
Das Zertifikat ist nicht das Ziel, sondern der Beginn einer dreijährigen Beziehung zu Ihrer Zertifizierungsstelle. Überwachungsaudits in den Jahren eins und zwei bestätigen, dass das ISMS weiterhin lebt und sich verbessert; im dritten Jahr folgt ein vollständiges Rezertifizierungsaudit.
Genau hier zerfällt tabellenbasierte Compliance still und leise. Das Projektteam zerstreut sich nach der Feier, die Nachweissammlung schläft ein, und das nächste Überwachungsaudit wird zur Feuerwehrübung. Continuous Compliance löst das, indem die Nachweissammlung zu einem laufenden Hintergrundprozess wird statt zu einem jährlichen Ereignis. Ruhig bleiben bei der Verlängerung jene Teams, die nie aufgehört haben zu sammeln.
Der gleiche Mechanismus wirkt nach außen. Ein gepflegtes ISMS verwandelt Sicherheitsprüfungen im Vertrieb von Verhandlungen in kurze Bestätigungen. Sie wechseln von "Wir nehmen Sicherheit ernst" zu "Hier ist unser Zertifikat, hier ist unsere Erklärung zur Anwendbarkeit, und so steuern wir diese Risiken."
Wie Kertos zur Zertifizierung begleitet
ISO 27001 muss kein Jahr Ihres Teams verschlingen. Kertos verbindet eine agentische Compliance-Plattform mit zertifizierten Experten, die an Ihrer Seite arbeiten. Die Plattform bringt Richtlinienvorlagen nach ISO 27001:2022 mit, ordnet jede Aufgabe dem zuständigen Kapitel zu und sammelt Nachweise automatisiert über Integrationen mit den Systemen, die Sie ohnehin nutzen. Statt Screenshots und Logexporte zusammenzusuchen, wachsen die Nachweise im Hintergrund, ab dem Tag, an dem Sie Ihre Systeme verbinden. Gegenüber einem tabellenbasierten Vorgehen senkt das den manuellen Aufwand um rund 80 Prozent.
Der Kertos-Kunde AskUI war nach rund zehn Wochen zertifiziert, ohne externe Berater und ohne das Entwicklungsteam zu blockieren. Emidat schloss die vollständige Zertifizierung in zweieinhalb Monaten ab, ebenfalls ohne externe Beratung. Über die gesamte Kundenbasis liegt die Auditerfolgsquote bei 100 Prozent, was vor allem den Unterschied abbildet zwischen einem Stufe-2-Audit mit monatelang gesammelten Nachweisen und einem mit unter Zeitdruck zusammengestellter Dokumentation.
Weil Kertos in Europa gebaut und auf europäischer Infrastruktur gehostet wird, erfüllt die Plattform zugleich die Erwartungen an die Datenresidenz, die NIS2 und DSGVO an Sie stellen.
Wenn ISO 27001 auf Ihrer Roadmap steht, ist der nächste Schritt eine Demo, in der wir Ihren konkreten Weg zur Zertifizierung durchgehen.
Häufig gestellte Fragen
Wie lange dauert eine ISO 27001 Zertifizierung?
Drei bis sechs Monate sind der Normalfall. Reife und Automatisierung sind die entscheidenden Faktoren: Teams, die alles in Tabellen verwalten, brauchen regelmäßig neun bis zwölf Monate, Teams mit dedizierter Plattform und Expertenunterstützung deutlich weniger.
Ist ISO 27001 verpflichtend?
Nicht per Gesetz. Rahmenwerke wie NIS2 und TISAX sowie die Anforderungen im Enterprise-Einkauf machen die Norm für viele europäische Tech-Unternehmen jedoch faktisch erforderlich.
Kann sich ein Start-up mit 15 Personen zertifizieren lassen?
Ja. ISO 27001 ist so angelegt, dass es auf jede Unternehmensgröße skaliert. Ein kleines Unternehmen hat meist eine einfachere Systemlandschaft, weniger Prozesse und weniger Abstimmungsaufwand, also einen engeren Scope und ein überschaubareres Audit. Entscheidend ist nicht die Teamgröße, sondern dass eine Person das Programm verantwortet und die Nachweissammlung vorantreibt.
Brauchen wir externe Berater?
Nein, zwingend nicht. Viele Unternehmen erreichen die Zertifizierung mit einer Compliance-Plattform und den Ressourcen ihrer Zertifizierungsstelle. Berater lohnen sich vor allem bei erheblicher regulatorischer Komplexität oder sehr knapper interner Kapazität. Entscheidend ist ohnehin nicht, ob Sie Hilfe holen, sondern ob das ISMS danach gelebt wird oder nur fürs Audit existierte.
Was ist der Unterschied zwischen ISO 27001 und ISO 27002?
ISO 27001 ist die zertifizierbare Norm, die die Anforderungen an das Managementsystem definiert. ISO 27002 ist eine begleitende Leitlinie, die erklärt, wie die Controls aus Anhang A in der Praxis umgesetzt werden. Zertifiziert werden Sie gegen 27001, für Details ziehen Sie 27002 heran.
Wie viele Controls enthält ISO 27001:2022?
Anhang A umfasst 93 Controls in vier Themen: 37 organisatorische, 8 personenbezogene, 14 physische und 34 technologische. Die meisten Start-ups und Scale-ups setzen 60 bis 80 davon um und begründen Auswahl wie Ausschluss in der Erklärung zur Anwendbarkeit.
Was passiert, wenn wir das Stufe-2-Audit nicht bestehen?
Ein vollständiges Nichtbestehen ist selten. Häufiger stellt der Auditor Nichtkonformitäten fest. Geringfügige verlangen einen Korrekturmaßnahmenplan innerhalb einer gesetzten Frist, wesentliche ein Nachaudit der betroffenen Bereiche. Die häufigste Ursache für Überraschungen sind Nachweislücken, also Controls, die dokumentiert, aber nicht belegbar in Betrieb sind.
Wie oft ist eine Rezertifizierung nötig?
Das Zertifikat ist drei Jahre gültig, mit jährlichen Überwachungsaudits in den Jahren eins und zwei und einem vollständigen Rezertifizierungsaudit am Ende des Zyklus. Einen Überblick über alle unterstützten Frameworks und die Einordnung von ISO 27001 neben SOC 2, DSGVO und NIS2 finden Sie auf der Seite zur ISO-27001-Zertifizierung.
.png)
