ISO 27001 Beratung

ISO/IEC 27001 ist die international anerkannte Norm für Informationssicherheitsmanagementsysteme (ISMS). Sie definiert nicht, welche einzelnen Sicherheitsmaßnahmen ein Unternehmen ergreifen muss, sondern wie es Informationssicherheit systematisch plant, umsetzt, überprüft und verbessert. Genau diese Risikobasiertheit macht die Norm so flexibel – und gleichzeitig anspruchsvoll, weil sie eine echte Auseinandersetzung mit den eigenen Geschäftsprozessen erfordert.

Im Jahr 2026 ist das Zertifikat in vielen B2B-Vergaben de-facto Pflicht. Kunden im Finanzsektor, in der Industrie und im öffentlichen Bereich verlangen es als Nachweis im Lieferantenaudit. Gleichzeitig adressiert ISO 27001 einen erheblichen Teil der Anforderungen aus NIS2 (§ 30 NIS2UmsuCG), DORA (IKT-Risikomanagementrahmen) und dem EU AI Act – ein einziges Governance-Framework, mehrere Compliance-Ergebnisse.

Der wirtschaftliche Wert liegt allerdings nicht im Audit-Stempel, sondern im Prozess dahinter: Unternehmen, die ISO 27001 ernsthaft umsetzen, erkennen Risiken früher, reagieren strukturierter auf Vorfälle und können belegen, dass Sicherheit Teil ihres Tagesgeschäfts ist – nicht ein einmaliges Projekt.

Wir starten mit einer strukturierten Gap-Analyse gegen die Annex-A-Controls der ISO 27001:2022. Das Ergebnis ist ein priorisierter Umsetzungsplan, der den tatsächlichen Reifegrad Ihrer Organisation berücksichtigt und realistische Aufwände für die offenen Punkte beziffert – kein generischer Maßnahmenkatalog, sondern eine belastbare Roadmap.

Im nächsten Schritt definieren wir gemeinsam den ISMS-Scope. Diese Entscheidung beeinflusst den Aufwand und die spätere Auditkosten erheblich. Wir helfen Ihnen, einen Geltungsbereich zu wählen, der regulatorisch tragfähig ist und gleichzeitig in der vorhandenen Organisationsstruktur tatsächlich umgesetzt werden kann. Anschließend folgen Risikobewertung, Risikobehandlungsplan und die Erstellung des Statement of Applicability (SoA) – das auditkritische Kernstück Ihres ISMS.

In der Umsetzungsphase begleiten wir die Erstellung von Richtlinien, Verfahrensanweisungen und betrieblichen Nachweisen. Wir schulen Ihre Schlüsselrollen, führen interne Audits durch und bereiten Ihr Team auf das externe Zertifizierungsaudit vor. Während des Audits stehen wir als fachlicher Ansprechpartner zur Verfügung und helfen, etwaige Korrekturmaßnahmen zügig und auditkonform abzuschließen.

Mit der Revision von 2022 wurden die Annex-A-Controls grundlegend neu strukturiert: aus 114 Controls in 14 Kategorien sind 93 Controls in vier Themenbereichen (Organisational, People, Physical, Technological) geworden. Inhaltlich kamen elf neue Controls hinzu, die unter anderem Themen wie Threat Intelligence, Cloud-Sicherheit, ICT-Readiness for Business Continuity, Data Masking und Secure Coding adressieren.

Für Unternehmen, die noch eine Zertifizierung nach der 2013er-Version halten, läuft die Übergangsfrist Ende Oktober 2026 aus. Wer jetzt erstmals zertifiziert oder rezertifiziert wird, sollte direkt auf die 2022er-Norm aufsetzen – Doppelarbeit lässt sich so vermeiden. Wir bilden die alten Controls strukturiert auf das neue Schema ab und identifizieren konkret die Lücken zur 2022er-Anforderung.

Die neuen Controls sind in der Praxis besonders dann relevant, wenn das Unternehmen Cloud-Dienste nutzt, eine eigene Softwareentwicklung betreibt oder mit kritischen Drittanbietern arbeitet. Wir prüfen pro Control, welcher Nachweis in Ihrem Kontext angemessen ist – und welche Controls ggf. fundiert als „not applicable" eingestuft werden können.

Der häufigste Grund für gescheiterte Zertifizierungen ist ein falsch gewählter ISMS-Scope. Ein zu breiter Scope erzeugt unverhältnismäßigen Aufwand; ein zu schmaler Scope wird vom Auditor als Trivialfall zurückgewiesen oder schmälert den Marketingwert des Zertifikats. Wir helfen Ihnen, einen Scope zu finden, der sowohl auditierbar als auch wirtschaftlich umsetzbar ist.

Der zweite typische Fehler ist die Überproduktion von Dokumenten, die in der Organisation nicht gelebt werden. Ein dickes Richtlinien-Handbuch, das niemand kennt, schützt nicht – es erzeugt nur Haftungsrisiken. Wir bauen die Dokumentation so auf, dass sie im Tagesgeschäft nutzbar bleibt: kurze Richtlinien, klare Verantwortlichkeiten, Verfahren, die in den bestehenden Tools (Jira, Confluence, Sharepoint) dokumentiert sind statt in PDFs.

Drittens unterschätzen viele Unternehmen den Koordinationsaufwand: ISO 27001 ist kein IT-Projekt, sondern ein unternehmensweites Governance-Vorhaben. Es braucht Beiträge aus IT, HR, Recht, Einkauf und Geschäftsführung. Wir steuern diesen Prozess als externer Projektleiter und nehmen Ihrer Linienorganisation die Last der Koordination ab – Sie liefern die fachlichen Inputs, wir bauen das System.