Schutzziel 1
Vertraulichkeit
Nur wer eine Information für seine Arbeit braucht, kommt auch an sie heran. In der Praxis kippt das vor allem dann, wenn Berechtigungen über Jahre mitwachsen und niemand sie aufräumt.
← Zur Startseite
Wissen für die Geschäftsführung
ISO 27001 verständlich erklärt
Was die Norm verlangt, was ein Informationssicherheits-Managementsystem (ISMS) kostet und wie der Weg zum Zertifikat abläuft. Ich habe hier die Fragen zusammengetragen, die mir Geschäftsführer im Erstgespräch am häufigsten stellen.
01 Grundlagen
Worum es bei Informationssicherheit geht
Im Kern geht es um drei Dinge. Fast jede Maßnahme, über die Sie später entscheiden sollen, zahlt auf eines davon ein. Wer sie im Kopf hat, kann Vorschläge aus der IT einordnen, ohne selbst Techniker zu sein.
Schutzziel 2
Integrität
Die Daten stimmen und niemand hat sie unbemerkt verändert. Der unangenehmste Fall ist die stille Manipulation, die erst Monate später jemandem auffällt.
Schutzziel 3
Verfügbarkeit
Die Systeme laufen, wenn jemand sie braucht. Ransomware trifft dieses Ziel am härtesten. Der Ausfall eines Dienstleisters manchmal genauso, nur redet darüber seltener jemand.
Der Kern der Norm: Vorgaben zur Technik macht Ihnen ISO 27001 keine. Verlangt wird, dass Sie Ihre Risiken kennen, dass Sie begründen können, was Sie dagegen tun und dass Sie regelmäßig nachsehen, ob es wirkt. Wie viel Aufwand daraus entsteht, hängt an Ihren Risiken und Ihrer Größe.
02 Aufbau
Drei Bausteine, ein System
Viele halten ISO 27001 für eine Checkliste technischer Maßnahmen. Das ist der häufigste Irrtum und er löst sich auf, sobald man die Norm in ihre drei Teile zerlegt.
Kapitel 4 bis 10
Der verbindliche Kern: Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung und Verbesserung. Hier entstehen Leitlinie, Rollen, Risikomethode und Management-Review. An diesen Kapiteln führt kein Weg vorbei.
Annex A
Der Werkzeugkasten mit 93 Maßnahmen in vier Gruppen: organisatorisch, personenbezogen, physisch und technologisch. Aus diesem Katalog wählt Ihre Risikoanalyse aus. Abgearbeitet werden muss er nicht.
SoA
Die Erklärung zur Anwendbarkeit verbindet beides: Für jede Maßnahme aus Annex A hält sie fest, ob sie angewendet wird, warum und wie weit sie umgesetzt ist. Ohne dieses Dokument gibt es keine Zertifizierung. Im Audit schaut der Prüfer als Erstes hinein.
03 Nutzen
Was ein Zertifikat dem Unternehmen bringt
Der Nutzen zeigt sich an zwei Stellen. Nach außen zählt das Zertifikat als Beleg, den Kunden und Prüfer anerkennen. Nach innen entsteht Klarheit darüber, wie das Unternehmen eigentlich arbeitet und wovon es abhängt. Der äußere Effekt kommt schneller, der innere hält länger.
Nach außen
- Zugang zu Ausschreibungen. Konzerne und öffentliche Auftraggeber setzen ein Zertifikat zunehmend voraus. Ohne kommen Sie in manchen Verfahren gar nicht erst in die Wertung, egal wie gut Ihr Angebot ist.
- Kürzere Vertriebszyklen. Ein Zertifikat beantwortet die Sicherheitsfragebögen, die sonst pro Kunde Tage binden. Oft ersetzt es auch das Kundenaudit.
- Bessere Verhandlungsposition bei Versicherern. Nachgewiesene Sorgfalt wirkt sich auf Konditionen und Deckung von Cyberpolicen aus.
- Beleg im Schadensfall. Kommt es zum Vorfall, hilft dokumentierte Sorgfalt bei der Frage, ob Sie Pech hatten oder ob Ihnen ein Organisationsverschulden vorgeworfen wird.
Nach innen
- Transparenz. Sie wissen, welche Prozesse, Systeme und Daten das Geschäft tragen, wovon sie abhängen und was sie bedroht.
- Geklärte Verantwortung. Rollen, Vertretungen und Entscheidungswege sind geregelt. Vorher hängt das erfahrungsgemäß an zwei, drei Leuten, die zufällig lange dabei sind.
- Handlungsfähigkeit im Ernstfall. Wer vorher festgelegt hat, wer was entscheidet, verliert im Vorfall keine Stunden mit Zuständigkeitsfragen.
- Entscheidbare Risiken. Sicherheitsthemen landen als bewertete Optionen auf Ihrem Tisch, mit Aufwand und Wirkung daneben.
04 Ablauf
Vom Beschluss zum Zertifikat
Der Weg ist planbar und lässt sich in vier Phasen gliedern. Für mittelständische Unternehmen sind neun bis zwölf Monate ein realistischer Rahmen, abhängig von Geltungsbereich und Ausgangsreife.
1
Standortbestimmung
Gap-Analyse gegen die Norm: Was ist vorhanden, was fehlt und womit fangen wir an. Am Ende steht eine Roadmap mit einer klaren Reihenfolge.
2
Aufbau
Geltungsbereich festlegen, Risikoanalyse durchführen, Leitlinie und Richtlinien erstellen, Maßnahmen umsetzen und die Erklärung zur Anwendbarkeit erarbeiten.
3
Betrieb und Nachweis
Schulungen, Übungen, Kennzahlen, internes Audit und Management-Review. Erst hier entstehen die Belege, die der Auditor sehen will. Ein System, das nur auf dem Papier existiert, fällt spätestens in Stufe 2 auf.
4
Zertifizierung
Stufe 1 prüft die Dokumentation auf Auditreife, Stufe 2 die gelebte Umsetzung vor Ort und in Interviews. Danach jährliche Überwachungsaudits, nach drei Jahren die Rezertifizierung.
Was der Auditor sehen will: ob die Regeln im Alltag ankommen und ob Sie Ihre Entscheidungen begründen können. Die Dicke der Ordner interessiert ihn wenig. Er fragt Mitarbeitende, ob sie die Regeln kennen und warum es sie gibt. Und keine Sorge: Abweichungen findet praktisch jedes Audit. Die werden mit Korrekturmaßnahmen abgearbeitet.
05 Rollenverteilung
Beratung und Zertifizierung gehören getrennt
Diese Frage kommt fast immer: Kann die Zertifizierungsstelle nicht gleich beim Aufbau helfen? Sie darf es nicht und dahinter steckt ein guter Grund.
Meine Rolle
Ich baue mit Ihnen das Informationssicherheits-Managementsystem auf, führe die Risikoanalyse durch, erstelle die erforderlichen Dokumente und bereite Sie auf das Audit vor. Auf Wunsch übernehme ich die Rolle des Informationssicherheitsbeauftragten dauerhaft als vCISO. Was ich nicht mache: Sie am Ende selbst prüfen.
Die Zertifizierungsstelle
Akkreditierte Stellen wie GUTcert, TÜV oder DEKRA prüfen und stellen das Zertifikat aus. Nach der Norm ISO/IEC 17021-1 müssen sie unparteiisch bleiben und dürfen die Unternehmen, die sie zertifizieren, nicht beraten. Die Stelle wählen Sie selbst aus.
06 Häufige Fragen
Was Geschäftsführer regelmäßig fragen
Die folgenden Fragen kommen in fast jedem Erstgespräch. Wenn Ihre Frage nicht dabei ist, stellen Sie sie mir gern direkt.
Was ist ein ISMS nach ISO 27001?
Ein Informationssicherheits-Managementsystem, kurz ISMS, ist der organisatorische Rahmen, mit dem ein Unternehmen seine Risiken für Informationen systematisch erkennt, bewertet und steuert. Es besteht aus dem Managementsystem in den Kapiteln 4 bis 10 der Norm, dem Maßnahmenkatalog in Annex A und der Erklärung zur Anwendbarkeit als Bindeglied zwischen beiden. Die Norm folgt der High Level Structure und lässt sich deshalb gut mit anderen Managementsystemen wie ISO 9001 kombinieren.
Was steht in Annex A der ISO 27001?
Annex A der Fassung ISO 27001:2022 enthält 93 Maßnahmen, sogenannte Controls, in vier Gruppen: organisatorische Maßnahmen, personenbezogene Maßnahmen, physische Maßnahmen und technologische Maßnahmen. Abgearbeitet werden muss der Katalog nicht. Welche Maßnahmen ein Unternehmen umsetzt, ergibt sich aus seiner Risikoanalyse. Der Ausschluss einzelner Maßnahmen ist zulässig, muss aber begründet werden.
Was ist das Statement of Applicability?
Das Statement of Applicability, im Deutschen als Erklärung zur Anwendbarkeit bezeichnet, gehört zu den Dokumenten, die für eine Zertifizierung zwingend vorliegen müssen. Es listet alle Maßnahmen aus Annex A auf und hält für jede fest, ob sie angewendet wird, mit welcher Begründung und in welchem Umsetzungsstand. So wird nachvollziehbar, warum ein Unternehmen diesen Zuschnitt gewählt hat. Im Audit ist es das Dokument, in das der Prüfer zuerst schaut.
Wie lange dauert der Weg zum Zertifikat?
Für mittelständische Unternehmen sind neun bis zwölf Monate ein realistischer Rahmen von der Entscheidung bis zum Zertifikat. Entscheidend sind der gewählte Geltungsbereich, der Reifegrad der vorhandenen Prozesse und die verfügbaren internen Kapazitäten. Ein klein geschnittener Geltungsbereich verkürzt den Weg deutlich und lässt sich später erweitern.
Was kostet die Einführung eines ISMS?
Drei Posten: ein interner Verantwortlicher mit Mandat, in der Aufbauphase etwa ein bis zwei Tage pro Woche, externe Unterstützung nach Bedarf und die Gebühren der Zertifizierungsstelle. Wie hoch das ausfällt, hängt an Größe, Geltungsbereich und Ausgangsreife. Planen Sie das Budget über drei Jahre, weil Überwachungsaudits und Pflege dazugehören.
Wie klein darf der Geltungsbereich sein?
So klein, dass er sauber abgrenzbar und auditierbar bleibt. Und so groß, dass er für Ihre Kunden noch etwas aussagt. Ein Zertifikat, das nur eine Randabteilung abdeckt, überzeugt in Ausschreibungen niemanden. Der übliche Einstieg ist das Kerngeschäft an einem Standort. Erweitern können Sie später jederzeit.
Brauchen wir ISO 27001, wenn wir unter NIS2 fallen?
Das Gesetz verlangt angemessene Maßnahmen nach dem Stand der Technik und legt sich auf keine bestimmte Norm fest. ISO 27001 ist ein anerkannter Weg, diesen Stand der Technik zu belegen. Ein großer Teil der Anforderungen aus § 30 des BSI-Gesetzes (BSIG) ist damit abgedeckt. Pflicht ist das Zertifikat also nicht, gegenüber Aufsicht, Kunden und Versicherern aber ein belastbarer Nachweis. Mehr dazu auf den Seiten zu NIS2 und BSIG sowie zum EU AI Act.
Kann die Zertifizierungsstelle uns auch beraten?
Nein. Akkreditierte Zertifizierungsstellen müssen nach ISO/IEC 17021-1 unparteiisch sein und dürfen die Unternehmen, die sie zertifizieren, nicht bei der Einführung des Managementsystems beraten. Vorbereitung und Prüfung liegen deshalb bewusst in unterschiedlichen Händen. Ich baue mit Ihnen das ISMS auf und begleite Sie durch das Audit, das Zertifikat stellt anschließend eine akkreditierte Stelle Ihrer Wahl aus.
Was sind die häufigsten Fehler?
Fünf Muster sehe ich immer wieder: Papier-Compliance mit Richtlinien, die niemand kennt; vollständige Delegation an die IT, obwohl es eine Führungsaufgabe ist; ein zu groß geschnittener Geltungsbereich; der Versuch, alles gleichzeitig zu machen; und fehlende Nachweise, weil niemand dokumentiert, was tatsächlich getan wurde.
Was passiert nach dem Zertifikat?
Das Zertifikat gilt drei Jahre. In dieser Zeit finden jährliche Überwachungsaudits statt, im dritten Jahr die Rezertifizierung. Das ISMS muss also weiterlaufen: Risiken neu bewerten, internes Audit durchführen, Management-Review abhalten und Vorfälle dokumentieren. Dafür reicht in vielen Häusern ein vCISO-Mandat mit ein bis zwei Tagen im Monat.
Wo steht Ihr Unternehmen?
Die Gap-Analyse liefert in zwei bis drei Wochen eine belastbare Standortbestimmung mit Reifegraden, Lückenliste und priorisierter Roadmap. Für den Einstieg auf Leitungsebene gibt es den zweistündigen Management-Workshop.