ISO 27001 · Informationssicherheit

ISO 27001 im Mittelstand: Ablauf und Aufwand

ISO 27001 ist die internationale Norm für ein Managementsystem für Informationssicherheit (ISMS). Sie verlangt, Risiken für Ihre Informationen systematisch zu bewerten, passende Maßnahmen umzusetzen und deren Wirksamkeit regelmäßig zu prüfen. Das Zertifikat vergibt eine unabhängige Zertifizierungsstelle. Es gilt drei Jahre und wird jährlich überprüft.

Erstgespräch buchen

45 Minuten · kostenlos und unverbindlich

Stand: Oktober 2026 · Grundlage: ISO/IEC 27001:2022

93: Maßnahmen im Anhang A der ISO/IEC 27001:2022, gegliedert in vier Themen.
2 Stufen: hat das Zertifizierungsaudit: erst die Dokumentation, dann die Prüfung vor Ort.
3 Jahre: gilt das Zertifikat, mit jährlichen Überwachungsaudits.
6–12 Monate: dauert es bei kleineren Unternehmen mit Beratung typischerweise bis zum Zertifikat.

Wann sich ISO 27001 lohnt

Kunden oder Konzerne verlangen einen Nachweis über Ihre Informationssicherheit.
Sie fallen unter NIS2 und wollen die Pflichten strukturiert umsetzen.
Cyberversicherer fragen nach dokumentierten Maßnahmen.
Sicherheit soll nicht länger an einzelnen Personen hängen, sondern an klaren Prozessen.

ISO 27001, NIS2, IT-Grundschutz und TISAX

ISO 27001: internationale Norm für ein Managementsystem für Informationssicherheit, branchenunabhängig und zertifizierbar.
NIS2: Gesetz mit Pflichten für bestimmte Unternehmen. Keine Zertifizierung, dafür Registrierung beim BSI und Meldepflichten.
BSI-IT-Grundschutz: Methode des BSI mit detaillierten Bausteinen. Zertifizierbar als ISO 27001 auf der Basis von IT-Grundschutz.
TISAX: Prüfverfahren der Automobilindustrie, das Hersteller von ihren Zulieferern verlangen.

Für die meisten Mittelständler ist ISO 27001 der passende Rahmen, weil sie international anerkannt ist und einen großen Teil der NIS2-Anforderungen abdeckt.

So läuft die Zertifizierung ab

Geltungsbereich festlegen: Welche Standorte, Prozesse und Systeme gehören dazu?
Risikobewertung und Erklärung zur Anwendbarkeit: Welche der 93 Maßnahmen gelten, welche nicht, und warum.
Maßnahmen umsetzen und dokumentieren.
Internes Audit und Managementbewertung vor dem externen Audit.
Zertifizierungsaudit Stufe 1: Prüfung der Dokumentation.
Zertifizierungsaudit Stufe 2: Prüfung vor Ort, ob das Managementsystem wirkt.
Danach jährliche Überwachungsaudits und nach drei Jahren die Rezertifizierung.

Was es kostet

Die Kosten setzen sich aus drei Teilen zusammen: Beratung, interner Aufwand Ihres Teams und die Audits der Zertifizierungsstelle. Den größten Unterschied macht der Ausgangsstand. Wer schon dokumentierte Abläufe, ein Berechtigungskonzept und funktionierende Datensicherungen hat, ist deutlich schneller.

Einen pauschalen Festpreis nennen wir nicht. Nach dem Erstgespräch und einer kurzen Bestandsaufnahme erhalten Sie ein schriftliches Angebot mit klarem Rahmen.

So gehen wir vor

In drei Schritten zur Zertifizierungsreife.

Gap-Analyse
Wir prüfen Ihren Ist-Stand gegen die Anforderungen der Norm. Das Ergebnis ist eine priorisierte Liste von Maßnahmen.
Managementsystem aufbauen
Leitlinie, Risikobewertung, Erklärung zur Anwendbarkeit, Prozesse und Nachweise. Wir erarbeiten sie mit Ihrem Team, nicht an ihm vorbei.
Zertifizierungsreife
Internes Audit und Managementbewertung, damit Sie vorbereitet in das Audit der Zertifizierungsstelle gehen.

FAQ

Häufige Fragen.

Wie lange dauert es bis zum Zertifikat?

Das hängt von Ausgangsstand und Größe ab. Für kleinere Unternehmen mit Beratung werden in der Regel 6 bis 12 Monate genannt. Nach der Gap-Analyse schätzen wir den Zeitraum für Sie konkret ein.

Wer stellt das Zertifikat aus?

Eine akkreditierte, unabhängige Zertifizierungsstelle. Beratung und Zertifizierung sind bewusst getrennt: Wer berät, zertifiziert nicht selbst.

Müssen wir alle 93 Maßnahmen umsetzen?

Nein. Welche Maßnahmen gelten, ergibt sich aus Ihrer Risikobewertung. Jeder Ausschluss muss begründet sein.

Was ist die Erklärung zur Anwendbarkeit?

Das zentrale Dokument des Managementsystems, englisch Statement of Applicability. Es führt alle Maßnahmen aus Anhang A auf und begründet für jede, ob sie umgesetzt wird oder nicht.

Deckt ISO 27001 die Anforderungen aus NIS2 ab?

Zu einem großen Teil. Registrierung beim BSI, gesetzliche Meldewege und Meldefristen kommen zusätzlich dazu.

Gibt es Förderung?

Ob ein Förderprogramm für Ihr Vorhaben passt, hängt von Bundesland, Unternehmensgröße und Inhalt ab. Das prüfen wir im Erstgespräch.

Wissen, wo Sie stehen.

Im Erstgespräch klären wir Ihr Ziel, den Geltungsbereich und ob eine Zertifizierung für Sie sinnvoll ist.