ISO 27001: vom ersten Überblick bis zum Zertifikat

Worum es bei ISO 27001 geht

ISO/IEC 27001 beschreibt, wie ein Unternehmen seine Informationssicherheit steuert: Es legt fest, was geschützt werden soll, bewertet die Risiken, entscheidet über Maßnahmen, verteilt Zuständigkeiten und überprüft regelmäßig, ob das alles wirkt. Die Norm verlangt keine bestimmte Technik. Sie verlangt, dass Entscheidungen begründet, dokumentiert und nachvollziehbar sind — und dass die Leitung sie trägt.

Deshalb scheitern Zertifizierungen selten an fehlender Technik und häufig an Dokumenten, die niemand lebt: Richtlinien, die im Intranet liegen, aber von keinem Prozess berührt werden; Risikoanalysen, die einmal erstellt und nie wieder angesehen wurden. Ein Auditor erkennt das an der ersten Stichprobe.

Der Geltungsbereich entscheidet über alles Weitere

Die erste Entscheidung in jedem ISMS-Projekt ist die folgenreichste: Welche Standorte, Prozesse, Systeme und Dienste gehören dazu? Ein zu weit gefasster Geltungsbereich macht das Projekt schwerfällig und das Audit teuer an Zeit. Ein zu eng gefasster erzeugt ein Zertifikat, das die Frage Ihrer Kunden nicht beantwortet — etwa weil genau der Dienst fehlt, den sie bei Ihnen einkaufen.

Der Geltungsbereich richtet sich deshalb danach, wofür das Zertifikat gebraucht wird: für eine Ausschreibung, für einen Großkunden, als Nachweis gegenüber einer Aufsicht oder als Rahmen für das eigene Risikomanagement. Diese Frage kläre ich vor jedem anderen Schritt.

Was ich übernehme

Reifegradanalyse

Am Anfang steht eine Bestandsaufnahme: Was ist schon da, was fehlt, was ist nur auf dem Papier vorhanden. Ergebnis ist eine Liste der Lücken mit Einschätzung, welche davon ein Auditor beanstanden würde, und ein Zeitplan, der zu Ihrem Betrieb passt.

Aufbau der Dokumentation

Geltungsbereich, Risikobeurteilung, Erklärung zur Anwendbarkeit, Richtlinien und die Nachweise, die die Norm erwartet. So knapp wie möglich, so ausführlich wie nötig. Wiederkehrende Nachweise — Berechtigungsprüfungen, Risikobewertungen, Schutzbedarfsfeststellungen — werden dort automatisiert, wo es sich lohnt, damit der Aufwand nicht mit jedem Auditzyklus wächst.

Interne Audits

Die Norm verlangt interne Audits. Ich führe sie durch oder baue das Auditprogramm so auf, dass Ihr Team es selbst tragen kann. Die Feststellungen sind so formuliert, wie ein externer Auditor sie formulieren würde: mit Bezug, Befund und Nachweis.

Voraudit und Begleitung der Zertifizierung

Vor dem Zertifizierungsaudit eine Probe unter realistischen Bedingungen, danach die Begleitung durch beide Stufen: Vorbereitung der Gesprächspartner, Anwesenheit im Audit, Bearbeitung etwaiger Abweichungen.

Was es auf Ihrer Seite braucht

Ein ISMS lässt sich nicht von außen einbauen. Drei Dinge muss das Unternehmen selbst beitragen, und an ihnen hängt der Erfolg mehr als an jeder Vorlage:

• Eine Leitung, die entscheidet. Risiken akzeptieren, Mittel freigeben, Ziele festlegen — das kann kein Berater abnehmen, und der Auditor fragt danach.
• Fachbereiche, die mitarbeiten. Die Prozessverantwortlichen wissen, welche Informationen wichtig sind und wo es in der Praxis hakt. Ohne sie entsteht Dokumentation, die am Betrieb vorbeigeht.
• Eine Person, die intern zuständig ist. Auch wenn ich die Rolle des Informationssicherheitsbeauftragten übernehme, braucht es im Haus jemanden, der Termine hält und Entscheidungen einholt.

Wie die Zertifizierung abläuft

Die Erstzertifizierung besteht aus zwei Stufen. In Stufe 1 prüft die Zertifizierungsstelle die Dokumentation und beurteilt, ob das Unternehmen bereit ist. In Stufe 2 prüft sie, ob das ISMS wirksam ist und der Norm entspricht — mit Interviews und Stichproben im laufenden Betrieb.

Das Zertifikat gilt drei Jahre. In den beiden Jahren dazwischen findet jeweils ein Überwachungsaudit statt, danach folgt die Rezertifizierung. Ein ISMS ist also kein Projekt mit Enddatum, sondern ein Betrieb.

Ausführlich: Ablauf der ISO-27001-Zertifizierung Schritt für Schritt und was interne Audits leisten müssen.

Unabhängigkeit

Ich bin von der CIS für ISO/IEC 27001 berufen. Daraus folgt eine Grenze, die Sie kennen sollten: Nach ISO/IEC 17021 gilt eine Unabhängigkeitspflicht, beratene Kunden können vom selben Auditor nicht zertifiziert werden. Wer mich als Berater beauftragt, wählt für das Zertifikat eine Zertifizierungsstelle und einen Auditor, mit denen ich in diesem Projekt nichts zu tun habe. Dieselbe Regel sorgt dafür, dass mein Rat nicht davon abhängt, ob Sie später bei einer bestimmten Stelle zertifizieren.

ISO 27001 und das NISG 2026

Wer unter das NISG 2026 fällt, muss Risikomanagementmaßnahmen umsetzen und nachweisen. Das Gesetz schreibt dafür keine Norm vor, erlaubt aber, die operative und organisatorische Umsetzung auch durch einschlägige gültige Zertifikate nachzuweisen (§ 33 Abs. 2). Ein ISMS nach ISO/IEC 27001 ist deshalb der naheliegende Rahmen: Es erzeugt genau die Nachweise, nach denen eine Prüfung fragt. Registrierung, Meldepflichten und Selbstdeklaration bleiben eigene Pflichten. Mehr dazu auf der Seite zu NIS2 und NISG 2026.