ISO 27001
ISO 27001 Beratung bis zur Zertifizierung
Wir bauen Ihre Informationssicherheit nach ISO 27001 auf, so wie Ihr Betrieb tatsächlich arbeitet, und bereiten Sie auf die Prüfung der Zertifizierungsstelle vor.
Viel Sicherheit im Alltag, wenig davon belegt
Die meisten Betriebe tun einiges für ihre Sicherheit, doch kaum etwas davon ist aufgeschrieben. ISO 27001 ist die international anerkannte Norm für ein Informationssicherheits-Managementsystem, kurz ISMS. Gemeint sind die Regeln, Zuständigkeiten und Abläufe, mit denen ein Betrieb seine Informationen schützt und diesen Schutz regelmäßig überprüft.
- Ein Großkunde oder eine Ausschreibung verlangt einen Nachweis nach ISO 27001, und niemand im Betrieb weiß, wie weit der Weg dorthin ist.
- Regeln für Passwörter, Zugänge und Datensicherung gibt es. Sie stehen aber in keinem Dokument, und jeder handhabt sie etwas anders.
- Wer für Informationssicherheit zuständig ist, hat nie jemand festgelegt. Bei einem Vorfall fehlt ein geordneter Ablauf.
- Sie befürchten einen Berg Papier, der für die Zertifizierung entsteht und danach im Schrank verstaubt.
Was wir für Sie umsetzen
Gap-Analyse: Wo Ihr Betrieb heute steht
Eine Gap-Analyse ist eine Bestandsaufnahme. Wir vergleichen, was in Ihrem Betrieb heute geregelt ist, mit den Anforderungen der aktuellen Fassung ISO 27001:2022. Jede Lücke bewerten wir nach Aufwand und nach dem Risiko, dass sie im Audit auffällt. Ein Audit ist eine förmliche Prüfung durch eine unabhängige Stelle. So sehen Sie, was zuerst zu tun ist.
Anwendungsbereich und Risikoanalyse
Zuerst legen wir schriftlich fest, was das ISMS umfasst: welche Standorte, Abläufe und Werte. Das ist der Anwendungsbereich. Danach erfassen wir Ihre Werte, etwa Kundendaten, Konstruktionspläne oder die Warenwirtschaft, ordnen ihnen Bedrohungen zu und bewerten jedes Risiko nach Eintrittswahrscheinlichkeit und Auswirkung. Ein Behandlungsplan hält fest, wie Sie mit jedem Risiko umgehen. Die Methode dokumentieren wir, damit spätere Bewertungen nach denselben Regeln laufen.
Anwendbarkeitserklärung und Maßnahmen
Anhang A der Norm nennt 93 Maßnahmen, von der Zugangsregelung bis zur Datensicherung. Die Anwendbarkeitserklärung (englisch: Statement of Applicability) ist die Liste, in der für jede dieser Maßnahmen steht, ob sie bei Ihnen gilt, warum und wie weit sie umgesetzt ist. Jede Maßnahme erhält eine verantwortliche Person. Die Umsetzung gehen wir gemeinsam mit Ihrem Team an.
Leitlinie, Abläufe und Schulung
Wir schreiben die Sicherheitsleitlinie, das Grundsatzpapier, das Ihre Geschäftsleitung freigibt. Dazu kommen Verfahrensanweisungen und die Aufzeichnungen, die als Nachweis dienen. Wir dokumentieren, wie Ihr Team tatsächlich arbeitet, nicht wie es im Lehrbuch steht. Ihre Mitarbeitenden erhalten Schulungen, die Geschäftsleitung eine eigene Einweisung in ihre Aufgaben im ISMS. Auch die Schulungen halten wir als Nachweis fest.
Interne Prüfung und Begleitung zum Audit
Vor der Zertifizierung muss das ISMS einmal vollständig gelaufen sein: planen, umsetzen, prüfen, verbessern. Dazu gehören ein internes Audit, in dem der Betrieb sein ISMS selbst überprüft, und eine Managementbewertung, in der die Geschäftsleitung die Ergebnisse auswertet. Wir bereiten beides mit Ihnen vor. Ein Voraudit, also eine Probeprüfung, zeigt, wo noch etwas fehlt. Durch das Zertifizierungsaudit begleiten wir Sie.
Betreuung nach der Zertifizierung
Ein Zertifikat gilt drei Jahre. In jedem Jahr dazwischen prüft die Zertifizierungsstelle in einem Überwachungsaudit, ob das ISMS weiter gelebt wird, danach folgt die Rezertifizierung. Auf Wunsch bleiben wir zuständig: Wir pflegen die Unterlagen, frischen Schulungen auf, bewerten neue Risiken und passen das ISMS an, wenn sich Ihr Betrieb verändert.
Was Ihr Betrieb davon hat
Ein Nachweis, den Kunden kennen
ISO 27001 ist international anerkannt. Fragt ein Großkunde oder eine Ausschreibung nach Ihrer Informationssicherheit, legen Sie Zertifikat und Unterlagen vor, statt bei jeder Anfrage neu zu erklären, wie Sie arbeiten.
Klare Zuständigkeiten
Jede Maßnahme hat eine verantwortliche Person, und die Geschäftsleitung kennt ihre Aufgaben. Ihr Team weiß, wer entscheidet, wenn etwas schiefgeht.
Unterlagen, die im Alltag bleiben
Die Dokumentation beschreibt, wie Sie wirklich arbeiten. Ihr Team pflegt sie selbst weiter, und sie verschwindet nach dem Audit nicht im Schrank.
Ein Fundament für NIS2 und Grundschutz
Ein ISMS nach ISO 27001 deckt einen großen Teil der Maßnahmen ab, die die EU-Regeln zur Cybersicherheit (NIS2) verlangen. Wir gestalten es so, dass es auch zum IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik (BSI) passt. Kommt eine neue Anforderung, bauen Sie auf Vorhandenem auf.
So kann das bei Ihnen aussehen
- Produktion
Der Großkunde fragt nach ISO 27001
Ein Zulieferer fertigt Bauteile nach Zeichnungen, die ihm ein Maschinenbauer schickt. Bei der nächsten Lieferantenbewertung verlangt der Kunde ein Zertifikat nach ISO 27001. Die Gap-Analyse zeigt, welche Lücken zuerst zu schließen sind. Der Anwendungsbereich umfasst die Konstruktionsdaten des Kunden und alle Rechner, Maschinen und Personen, die damit arbeiten.
- Kanzlei
Fragebögen der Mandanten mit Unterlagen beantworten
Eine Steuerkanzlei erstellt Lohnabrechnungen für mehrere Firmen und arbeitet täglich mit Gehalts- und Bankdaten. Größere Mandanten schicken Fragebögen zur Informationssicherheit. Die Kanzlei baut ein ISMS auf, um sie mit festen Unterlagen zu beantworten. Die Risikoanalyse beginnt bei den Abrechnungsdaten, und die Schulung zeigt dem Team, woran es gefälschte Zahlungsaufforderungen erkennt.
- IT-Dienstleister
Ausschreibungen der öffentlichen Hand
Ein Softwarehaus entwickelt Fachanwendungen für Kommunen. Ausschreibungen verlangen Nachweise zur Informationssicherheit, und einige Auftraggeber arbeiten nach dem IT-Grundschutz des BSI. Das ISMS wird so aufgebaut, dass es zu beiden Rahmen passt und keine zweite Dokumentation nötig ist. Für die Zeit nach der Zertifizierung vereinbart das Softwarehaus die laufende Betreuung bis zum nächsten Überwachungsaudit.
Ablauf
In vier Etappen zur fertigen Lösung
Erstgespräch und Festpreisangebot
Wir klären, warum Sie ISO 27001 anstreben, welche Standorte und Abläufe dazugehören und bis wann ein Kunde oder eine Ausschreibung den Nachweis erwartet. Das Gespräch kostet nichts. Danach erhalten Sie ein Angebot zum Festpreis.
Gap-Analyse und Anwendungsbereich
Wir nehmen auf, was heute geregelt ist, vergleichen es mit der Norm und legen mit Ihnen den Anwendungsbereich fest. Sie erhalten eine Liste der Lücken, geordnet nach Aufwand und Risiko im Audit.
Aufbau des ISMS
Risikoanalyse, Anwendbarkeitserklärung, Maßnahmen, Leitlinie und Schulungen entstehen der Reihe nach, gemeinsam mit Ihrem Team. Danach läuft das ISMS einmal vollständig durch, mit internem Audit und Managementbewertung.
Voraudit und Zertifizierungsaudit
Ein Voraudit zeigt, ob alles steht, was die Zertifizierungsstelle sehen will. Sie beauftragen eine Stelle Ihrer Wahl, und wir begleiten Sie durch das Audit. Danach betreuen wir das ISMS auf Wunsch weiter.
Was ISO 27001 im Mittelstand verlangt
ISO 27001 schreibt keine bestimmte Technik vor. Die Norm verlangt, dass ein Betrieb weiß, welche Informationen er schützen muss, die Risiken bewertet, passende Maßnahmen wählt und regelmäßig prüft, ob sie wirken. Dieser Kreislauf aus Planen, Umsetzen, Prüfen und Verbessern ist der Kern jedes ISMS. Wer ein ISMS aufbauen will, beginnt deshalb nicht mit dem Kauf neuer Programme, sondern mit einer Bestandsaufnahme. Eine Gap-Analyse nach ISO 27001 zeigt, was schon vorhanden ist und was fehlt.
Das Zertifikat stellt eine akkreditierte Zertifizierungsstelle aus. Akkreditiert heißt, dass die Stelle für diese Prüfung offiziell zugelassen ist. Berater und Auditor müssen verschiedene Parteien sein, darum zertifizieren wir nicht selbst. Wir helfen Ihnen, die Zertifizierung vorzubereiten, und begleiten Sie durch das Audit. Es läuft in zwei Teilen: Zuerst prüft die Stelle Ihre Unterlagen, danach, ob Ihr Betrieb nach ihnen arbeitet. Ob das Zertifikat erteilt wird, entscheidet allein die Stelle. Danach folgen jährliche Überwachungsaudits und alle drei Jahre die Rezertifizierung.
Für die Informationssicherheit im Mittelstand braucht es kein Regelwerk im Konzernformat. Wir dokumentieren, wie Ihr Betrieb tatsächlich arbeitet, und ergänzen, was die Norm zusätzlich verlangt. Vieles, was Sie heute schon tun, zählt, sobald es geregelt und festgehalten ist. Unsere ISO 27001 Beratung endet nicht mit der Übergabe von Dokumenten: Ihr Team lernt, die Unterlagen selbst zu pflegen, und auf Wunsch betreuen wir das ISMS nach der Zertifizierung weiter. So bleibt es ein Werkzeug für Ihren Alltag und nicht nur ein Nachweis für den Prüftermin.
Klare Rollen von der Beratung bis zum Audit
Ein ISMS trägt nur, wenn Beratung, Prüfung und Alltag zusammenpassen. Für unsere Arbeit gelten deshalb diese Grundsätze.
- Beratung und Prüfung getrennt: Wir bauen das ISMS mit Ihnen auf, das Zertifikat vergibt eine akkreditierte Zertifizierungsstelle. Berater und Auditor müssen verschiedene Parteien sein.
- Kein Versprechen zum Ergebnis: Ob das Zertifikat erteilt wird, entscheidet allein die Zertifizierungsstelle. Wir bereiten Sie so vor, dass Sie wissen, was im Audit gefragt wird.
- Papier entspricht dem Alltag: Wir schreiben keine Regeln auf, die im Betrieb niemand einhält. Was nur auf dem Papier steht, fällt spätestens im Audit auf.
- Unabhängig von uns: Leitlinie, Verfahren und Aufzeichnungen sind so aufgebaut, dass Ihr Team sie auch ohne uns pflegt.
Häufige Fragen
Was kostet die ISO 27001 Beratung?
Der Preis hängt davon ab, wie groß der Anwendungsbereich ist, wie viele Standorte dazugehören, was an Unterlagen schon vorliegt und ob Sie uns nach der Zertifizierung weiter einbinden. Die Gap-Analyse können Sie auch einzeln beauftragen. Nach dem kostenlosen Erstgespräch erhalten Sie ein Festpreisangebot. Die Gebühren der Zertifizierungsstelle sind darin nicht enthalten, denn die Stelle beauftragen Sie direkt.
Wie lange dauert es bis zur Zertifizierung?
Rechnen Sie in der Regel mit acht bis vierzehn Monaten bis zum Zertifizierungsaudit. Bei kleinen Betrieben mit guten Unterlagen geht es schneller, bei verzweigten Strukturen dauert es länger. Ein Teil der Zeit ist vorgegeben: Das ISMS muss vor dem Audit einmal vollständig laufen, mit internem Audit und Managementbewertung. Den Zeitplan für Ihren Betrieb nennen wir Ihnen nach der Gap-Analyse.
Wer stellt das Zertifikat aus?
Eine akkreditierte Zertifizierungsstelle Ihrer Wahl. Wir bereiten Sie auf das Audit vor und begleiten Sie durch die Termine. Das Zertifikat stellen wir nicht selbst aus, denn Berater und Auditor müssen getrennt sein. So bleibt die Prüfung unabhängig, und das Zertifikat hat bei Ihren Kunden Gewicht.
Brauchen wir ISO 27001 für NIS2?
Nein. NIS2 schreibt keine Zertifizierung nach ISO 27001 vor. Ein zertifiziertes ISMS deckt aber einen großen Teil der Maßnahmen ab, die NIS2 verlangt. Was darüber hinausgeht, etwa die Meldung von Sicherheitsvorfällen, lässt sich mit wenigen zusätzlichen Maßnahmen ergänzen. Ob Ihr Betrieb unter NIS2 fällt, klären wir im Erstgespräch.
Was unterscheidet ISO 27001 vom IT-Grundschutz des BSI?
Der IT-Grundschutz ist ein deutscher Standard mit einem ausführlichen Katalog von Bausteinen. ISO 27001 ist international anerkannt und lässt mehr Spielraum, wie Sie eine Anforderung erfüllen. Für mittelständische Betriebe mit Kunden im Ausland ist ISO 27001 meist die bessere Wahl. Bedienen Sie Behörden, gestalten wir das ISMS so, dass es zu beiden passt und Sie keine doppelte Dokumentation brauchen.
Was passiert nach der Zertifizierung?
Das Zertifikat gilt drei Jahre. Jedes Jahr prüft die Zertifizierungsstelle in einem Überwachungsaudit, ob das ISMS weiter gelebt wird, nach drei Jahren folgt die Rezertifizierung. Auf Wunsch bleiben wir in der laufenden Betreuung zuständig: Unterlagen pflegen, Schulungen auffrischen, neue Risiken bewerten und das ISMS anpassen. So trägt Ihr Team die Last nicht allein.
Passt gut dazu
NIS2-Beratung
Prüft, ob NIS2 für Ihren Betrieb gilt, und setzt die Pflichten aus dem BSIG um.
Penetration Testing
Greift Ihre Systeme mit Ihrer Erlaubnis an und zeigt, wie Sie gefundene Lücken schließen.
Incident Response
Hilft im IT-Notfall, sichert Spuren, bringt Ihre Systeme zurück und übt mit Ihnen den Ernstfall.
Lassen Sie uns über Ihre Abläufe sprechen.
30 Minuten, kostenlos und unverbindlich. Sie schildern, wo Zeit verloren geht. Wir sagen Ihnen offen, was Software und KI dort leisten können und was nicht.