Passt ISO 27001 zu Ihrem Vorhaben?
Ein Informationssicherheits-Managementsystem (ISMS) hilft, Risiken, Verantwortlichkeiten und Verbesserungen systematisch zu steuern. Ein sinnvoller Anlass kann eine Kundenanforderung, eine Ausschreibung oder der Wunsch nach einer verlässlichen Sicherheitsorganisation sein.
Der Einstieg ist die Gap-Analyse: Wir vergleichen vorhandene Abläufe und Nachweise mit den relevanten Anforderungen der Norm, grenzen den Geltungsbereich ab und machen sichtbar, welche Aufbauarbeit zusätzlich erforderlich ist.
Was wir gemeinsam mit Ihnen erarbeiten
Sie erhalten nachvollziehbare Grundlagen für Entscheidungen und einen umsetzbaren ISMS-Aufbau. Welche Bausteine wir übernehmen und welche Ihr Team bearbeitet, vereinbaren wir zu Beginn.
Geltungsbereich und Risiken
Anwendungsbereich, relevante Informationswerte und Verantwortlichkeiten erfassen. Risiken bewerten und behandeln; die Auswahl der Sicherheitsmaßnahmen im Statement of Applicability nachvollziehbar begründen.
Ergebnis: Abgegrenzter Scope und priorisierter Handlungsbedarf.
Abläufe und Nachweise
Richtlinien, Aufgaben und Dokumentation an Ihre Organisation anpassen. Maßnahmen mit den zuständigen Teams umsetzen und Nachweise so führen, dass sie im Tagesbetrieb nutzbar bleiben.
Ergebnis: Klare Zuständigkeiten und eine gepflegte ISMS-Dokumentation.
Prüfung und Weiterentwicklung
Interne Audits und Managementbewertung vorbereiten oder begleiten. Feststellungen nachverfolgen und auf die unabhängigen Zertifizierungsaudits vorbereiten.
Ergebnis: Nachvollziehbare Feststellungen und ein abgestimmter Verbesserungsplan.
Beratung und Prüfung klar getrennt
Die externe Zertifizierung übernimmt eine unabhängige Zertifizierungsstelle. Bei internen Audits klären wir Aufgabenverteilung, Objektivität und mögliche Interessenkonflikte vor der Beauftragung. Eine Zertifizierungsentscheidung können wir nicht zusagen.
Vorgehen in 5 Schritten
Strukturiert, transparent und ohne unnötige Schleifen – vom Ist-Stand bis zur Auditfähigkeit.
- Gap-Analyse & ScopeIst-Stand, Geltungsbereich, relevante Themen und offene Lücken sauber erfassen.
- Risiko & SoASchutzbedarf, Risiken, Controls und Behandlungslogik nachvollziehbar aufbauen.
- ISMS-Struktur & DokumentationLeitplanken, Dokumentation und operative Anschlussfähigkeit passend aufbauen.
- Internes Audit & ReviewFindings prüfen, Managementbewertung durchführen und Auditfähigkeit schärfen.
- ZertifizierungBegleitung von Stufe 1 und Stufe 2 bis zum belastbaren Abschluss.
Aktueller Normstand und Integration in Ihr Managementsystem
Normstand
Maßgeblich ist ISO/IEC 27001:2022 einschließlich der Änderung 1:2024. Die Übergangsfrist für die frühere Ausgabe 2013 ist am 31. Oktober 2025 abgelaufen. Der Anhang A der aktuellen Ausgabe ordnet 93 Maßnahmen in vier Themenfeldern: organisatorisch, personenbezogen, physisch und technologisch.
Ein ISMS im Verbund mit ISO 9001
ISO 27001 und ISO 9001 folgen derselben Grundstruktur (Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung, Verbesserung). Dokumentenlenkung, interne Audits, Managementbewertung und Maßnahmenverfolgung lassen sich so gemeinsam führen. Mehr dazu: Qualitätsmanagement nach ISO 9001.
Ihr Vorteil: ein System statt zwei
Wer bereits ein Qualitätsmanagementsystem betreibt, muss das ISMS nicht von Grund auf neu aufbauen. Wir ergänzen, was für die Informationssicherheit zusätzlich nötig ist (Risikobehandlung, Statement of Applicability, Maßnahmen aus Anhang A), und halten Rollen, Reviews und Dokumentation gemeinsam schlank.
Häufige Fragen zu ISO 27001
Je nach Ausgangslage, Unternehmensgröße und interner Verfügbarkeit meist zwischen 6 und 18 Monaten. In gut vorbereiteten Organisationen auch schneller. Im Erstgespräch lässt sich meist schon grob einschätzen, welcher Rahmen realistisch ist.
Ein echtes ISMS passt zu Ihrer tatsächlichen Organisation, Ihrer IT und Ihren Abläufen. Es ist im Audit belastbar, wird intern verstanden und schafft echte Steuerbarkeit. Ein Papier-ISMS produziert dagegen vor allem Dokumente ohne operative Wirkung.
Ja. Gerade bei bestehenden Managementsystemen ist ein integrierter Aufbau oft sinnvoll, weil sich Strukturen, Reviews und Teile der Dokumentationslogik zusammenführen lassen. Das reduziert Doppelarbeit und erhöht die Akzeptanz. Mehr zum Qualitätsmanagement nach ISO 9001.
Aktuell gilt ISO/IEC 27001:2022 mit der Änderung 1:2024. Die Übergangsfrist für die Ausgabe 2013 ist am 31. Oktober 2025 abgelaufen. Wer noch nach der alten Struktur arbeitet, sollte sein ISMS daher an die aktuelle Fassung angleichen.
ISO 27001 beschreibt das Managementsystem und ist international zertifizierbar. Der IT-Grundschutz des BSI liefert dazu konkrete Maßnahmen und ein Vorgehensmodell. Beides lässt sich kombinieren. Wir ordnen im Erstgespräch ein, welcher Einstieg zu Ihrem Ziel passt. Details: IT-Grundschutz.
ISO 27001 endet nicht mit dem Zertifikat. Danach folgen Überwachungsaudits, Reviews, Maßnahmenverfolgung, Nachweisführung und kontinuierliche Weiterentwicklung. Genau deshalb ist oft ein externer ISB oder ein laufender Begleitmodus sinnvoll.
Nein. ISO 27001 verlangt keine perfekte Ausgangslage, sondern einen systematischen und nachvollziehbaren Umgang mit Risiken, Verantwortlichkeiten und Verbesserungen. Genau deshalb ist ein strukturierter Einstieg so wichtig.
Das hängt von Ausgangslage, Unternehmensgröße, vorhandenen Strukturen und gewünschter Eigenleistung ab. Im Erstgespräch klären wir, ob eher ein schlanker Einstieg, eine Gap-Analyse oder ein vollständiger Zertifizierungspfad sinnvoll ist.
Bereit für einen belastbaren ISO-27001-Start?
Wenn Sie bereits klaren Zertifizierungsdruck haben, ist ISO 27001 meist direkt der richtige Weg. Wenn Ihnen noch der Überblick fehlt, starten wir lieber eine Stufe früher. In 30 Minuten klären wir, was für Ihr Unternehmen jetzt sinnvoll ist.
René Telemann
Leiter Geschäftsbereich Cyber- & Informationssicherheit