ISO 27001 - ISMS aufbauen, Zertifizierung vorbereiten

Ohne vorhandenes ISMS: 12-18 Monate bis Erst-Zertifizierung. Mit vorhandenen Sicherheits-Prozessen: schneller. Wir sagen Dir nach der Gap-Analyse einen realistischen Zeitrahmen.

KMU 50 MA: Gesamt-Erstaufwand ca. 35-70 k€ (Beratung + Audit). BAFA-Förderung auf Beratungsanteil reduziert das. Wir liefern eine Festpreis-Schätzung nach Gap-Analyse.

ISO 27001 ist keine NIS2-Pflicht, aber der effizienteste Weg: Du deckst 60-70 % der NIS2-Anforderungen ab und hast bereits die Dokumentations-Infrastruktur. Wir empfehlen: ISO 27001 zuerst, dann NIS2-Delta.

ISO 27001 zuerst - es ist die Basis. TISAX-Delta dann drauf: 50-70 % Überschneidung. Wir bauen beides als gemeinsames Programm wenn möglich.

93 statt 114 Controls, 4 statt 14 Themenbereiche, 11 neue Controls. Bestehende 2013er-Zertifikate mussten bis Oktober 2025 migriert werden.

Ja - ISMS ohne formale Zertifizierung ist möglich und manchmal sinnvoll (wenn nur NIS2-Konformität, nicht das Zertifikat gefragt ist). Wir bauen es dann zertifizierungs-fähig, auch wenn das Audit später kommt.

Den Scope legst Du selbst fest, er muss nur nachvollziehbar begründet und im Zertifikat sauber beschrieben sein. Viele Mittelständler starten mit einem Standort oder einem klar abgegrenzten Geschäftsbereich und erweitern später. Wichtig sind die Schnittstellen nach außen: Was außerhalb des Scopes liegt, aber hineinwirkt, muss dokumentiert und abgesichert sein - genau dort hakt der Auditor nach.

Die SoA listet alle 93 Annex-A-Controls mit der Entscheidung, ob sie angewendet werden, und der Begründung dafür. Sie ist das zentrale Nachweisdokument und für die meisten Auditoren der Einstieg ins Audit. Ausschlüsse sind zulässig, müssen aber sachlich begründet sein - ein „brauchen wir nicht“ ohne Herleitung führt zuverlässig zu einer Nachfrage.

In Stage 1 prüft die Zertifizierungsstelle vor allem Dokumentation und ISMS-Reife, also die Frage, ob das System überhaupt auditierbar ist. In Stage 2 wird die gelebte Praxis geprüft: Interviews, Stichproben, Nachweise aus dem Betrieb. Wir simulieren beide Stufen vorher intern, damit im echten Audit keine Überraschungen auftauchen.

Unterschieden wird zwischen geringfügigen und schwerwiegenden Abweichungen. Geringfügige Findings behebst Du üblicherweise über einen Maßnahmenplan mit Frist, das Zertifikat kommt trotzdem. Schwerwiegende Abweichungen müssen vor der Erteilung behoben und nachgewiesen werden - deshalb testen wir kritische Punkte vorab im internen Audit.

Die Norm verlangt klare Verantwortlichkeiten, keine Vollzeitstelle. Bei 50 bis 200 Mitarbeitern ist der ISB in der Praxis fast immer eine Teilzeit-Rolle eines bestehenden Mitarbeiters - mit Zeitbudget, Schulung und direktem Draht zur Geschäftsleitung. Auf die Unabhängigkeit solltest Du achten: Wer die IT betreibt, sollte sie nicht allein bewerten.

Der Löwenanteil liegt bei der ISB-Rolle und bei den Fachbereichen, die Prozesse beschreiben und Nachweise liefern. Dazu kommen Awareness-Schulungen für alle Mitarbeiter, interne Audits und ein Management-Review mit der Geschäftsleitung. Methodik, Struktur und Dokumentation übernehmen wir - die Inhalte über Deine Prozesse können nur Deine Leute liefern, und das realistisch einzuplanen ist der häufigste Projektfehler.

Nein. In den beiden Jahren nach der Erst-Zertifizierung finden Überwachungsaudits statt, nach drei Jahren die Re-Zertifizierung. Dazwischen laufen interne Audits, Management-Reviews, Aktualisierung der Risikoanalyse und die Nachweispflege weiter. Ein ISMS, das nach dem Zertifikat einschläft, fällt spätestens im nächsten Überwachungsaudit auf.

Wir beraten bei der Auswahl und bereiten die Anfrage vor, beauftragt wird die akkreditierte Stelle aber von Dir direkt. Das ist kein Formalismus: Der Zertifizierer muss unabhängig von der Umsetzungsberatung sein. Wir setzen um, dokumentieren prüffest und begleiten Dich durch das Audit - das Zertifikat erteilt ausschließlich die akkreditierte Zertifizierungsstelle.

ISO 27001 lohnt sich, wenn Kunden, Ausschreibungen oder Konzern-Auftraggeber ausdrücklich das Zertifikat verlangen oder Du international auftrittst. Geht es Dir nur um ein belastbares Schutzniveau ohne Zertifikatsdruck, ist ein schlankeres ISMS nach VdS 10000 für viele Mittelständler der schnellere und günstigere Weg. Wir sagen Dir im Erstgespräch ehrlich, welcher der beiden Wege zu Deiner Situation passt.