ISO 27001: Was die Norm verlangt und wie der Weg zum Zertifikat aussieht
ISO 27001 ist kein Ordner, den man einmal füllt und dann ins Regal stellt. Es ist ein Kreislauf, der Informationssicherheit planbar macht und von außen prüfbar. Für viele Mittelständler ist sie die Eintrittskarte zu größeren Kunden. Hier steht, was dahintersteckt.
150 € pro Stunde, pauschal für alles. Für Unternehmen, zzgl. USt.
Was ist ISO 27001?
ISO/IEC 27001 ist eine Norm der International Organization for Standardization und der International Electrotechnical Commission. Sie beschreibt, welche Anforderungen ein Managementsystem erfüllen muss, mit dem eine Organisation die Sicherheit ihrer Informationen steuert. Die Norm sagt nicht, welche Firewall du kaufen sollst. Sie verlangt, dass du deine Risiken kennst, begründet Maßnahmen auswählst, sie umsetzt, ihre Wirkung prüfst und dich verbesserst.
Der Aufbau folgt der Struktur, die auch andere Managementnormen wie ISO 9001 nutzen. Wer schon ein Qualitätsmanagement hat, erkennt vieles wieder. Ergänzt wird die Norm durch ISO/IEC 27002, einen Leitfaden, der die Maßnahmen aus dem Anhang A ausführlich beschreibt.
Was Informationssicherheit grundsätzlich bedeutet, welche Schutzziele es gibt und wie man den Schutzbedarf festlegt, steht unter Informationssicherheit.
Kapitel 4 bis 10: Was die Norm verlangt
Die Anforderungen stehen in sieben Kapiteln. Für jedes nennen wir den Nachweis, nach dem ein Audit typischerweise fragt.
| Kapitel | Worum es geht | Typischer Nachweis |
|---|---|---|
| 4 Kontext | interne und externe Themen, interessierte Parteien, Anwendungsbereich | Scope-Beschreibung, Liste der Anforderungen Dritter |
| 5 Führung | Verantwortung der Leitung, Leitlinie, Rollen | unterschriebene Leitlinie, Rollenbeschreibungen |
| 6 Planung | Risikobeurteilung und -behandlung, Ziele | Risikoregister, Erklärung zur Anwendbarkeit, Ziele mit Messgrößen |
| 7 Unterstützung | Ressourcen, Kompetenz, Bewusstsein, Kommunikation, Dokumentation | Schulungsnachweise, Dokumentenlenkung |
| 8 Betrieb | Maßnahmen umsetzen, Risiken regelmäßig neu bewerten | Umsetzungsplan, Protokolle |
| 9 Bewertung | Überwachung, internes Audit, Managementbewertung | Auditbericht, Protokoll der Managementbewertung |
| 10 Verbesserung | Abweichungen, Korrekturmaßnahmen, fortlaufende Verbesserung | Maßnahmenliste mit Status |
Anhang A: 93 Maßnahmen in vier Themen
Mit der Fassung von 2022 wurde der Anhang A neu sortiert. Statt 114 Maßnahmen in 14 Bereichen sind es jetzt 93 in vier Themen. Elf Maßnahmen kamen neu hinzu, etwa zu Bedrohungsinformationen, Cloud-Diensten, Datenmaskierung und physischer Überwachung.
Nicht jede Maßnahme muss umgesetzt werden. Die Erklärung zur Anwendbarkeit (Statement of Applicability) listet alle 93, begründet, welche gelten und welche nicht, und verweist auf die Umsetzung. Sie ist eines der wichtigsten Dokumente im Audit.
Der Weg zum ISO-27001-Zertifikat
Neun Schritte. Die ersten fünf machst du selbst oder mit Beratung, die letzten mit einer Zertifizierungsstelle.
Anwendungsbereich festlegen
Ganzes Unternehmen oder nur ein Standort, ein Produkt, ein Rechenzentrum? Ein kleiner, klarer Scope ist für den Anfang oft klüger.
Lückenanalyse
Was gibt es schon, was fehlt? Gegen Kapitel 4 bis 10 und Anhang A.
Risikobeurteilung
Werte, Bedrohungen, Schwachstellen, Eintrittswahrscheinlichkeit und Auswirkung, mit einer Methode, die wiederholbar ist.
Maßnahmen und Erklärung zur Anwendbarkeit
Risiken behandeln, Maßnahmen aus Anhang A auswählen und begründen.
Umsetzen und betreiben
Ein paar Monate Betrieb mit Protokollen, Schulungen, Vorfällen. Ein Audit will gelebte Praxis sehen, nicht nur Dokumente.
Internes Audit und Managementbewertung
Eine unabhängige Prüfung im Haus, danach bewertet die Leitung die Ergebnisse.
Audit Stufe 1
Die Zertifizierungsstelle prüft Dokumentation und Bereitschaft.
Audit Stufe 2
Prüfung der Umsetzung vor Ort oder per Fernaudit, danach das Zertifikat, wenn keine schweren Abweichungen offen sind.
Überwachen und erneuern
Jährliche Überwachungsaudits, nach drei Jahren die Rezertifizierung.
ISO 27001 oder IT-Grundschutz?
Beides führt zu einem ISMS. ISO 27001 ist international bekannt und lässt viel Freiheit bei der Wahl der Maßnahmen. IT-Grundschutz des BSI ist konkreter: Das Kompendium beschreibt für viele Themen fertige Anforderungen. Das spart Denkarbeit, bedeutet aber auch mehr Umfang. Beide Wege lassen sich verbinden: Das BSI bietet eine ISO-27001-Zertifizierung auf Basis von IT-Grundschutz an.
Faustregel: Wer international verkauft oder von Konzernkunden nach ISO 27001 gefragt wird, nimmt die Norm. Wer im öffentlichen Umfeld arbeitet oder konkrete Vorgaben schätzt, schaut sich IT-Grundschutz an. Für kleine Unternehmen ist oft keins von beiden der erste Schritt, sondern eine Basis-Absicherung oder ein CyberRisikoCheck.
ISO 27001 und NIS2
Die Norm ist kein Ersatz für NIS2-Pflichten, hilft aber stark beim Nachweis. Viele Mindestmaßnahmen aus § 30 BSIG, etwa Risikoanalyse, Vorfallbewältigung, Lieferkette und Wirksamkeitsprüfung, finden sich in Kapitel 4 bis 10 und im Anhang A wieder. Registrierung und Meldepflichten beim BSI bleiben eigene Aufgaben, siehe BSI und NIS2.
Wann du uns nicht brauchst
Wir zertifizieren nicht und führen keine Audits durch. Dafür brauchst du eine Zertifizierungsstelle. Wenn du ein internes Team mit ISMS-Erfahrung oder eine spezialisierte Beratung hast, bist du gut aufgestellt. Wir helfen bei den technischen Maßnahmen rund um Websites, Software und Hosting, beim Nachweis, dass sie umgesetzt sind, und bei der Schulung des Teams.
Häufige Fragen zu ISO 27001
Was ist ISO 27001 einfach erklärt?
Eine internationale Norm, die beschreibt, wie ein Unternehmen seine Informationssicherheit systematisch steuert: Risiken erkennen, passende Maßnahmen umsetzen, Wirkung prüfen und laufend verbessern. Wer die Anforderungen erfüllt, kann sich von einer Zertifizierungsstelle zertifizieren lassen und das gegenüber Kundschaft nachweisen.
Ist ISO 27001 Pflicht?
Allgemein nicht. Viele Unternehmen brauchen sie trotzdem, weil Kunden, Ausschreibungen oder Branchenregeln einen Nachweis verlangen. NIS2 schreibt kein ISO-Zertifikat vor, verlangt aber Maßnahmen, die sich mit der Norm gut erfüllen und nachweisen lassen. Orientierung, keine Rechtsberatung.
Was ist der Unterschied zwischen ISO 27001 und ISO 27002?
ISO 27001 enthält die Anforderungen an ein ISMS und ist zertifizierbar. ISO 27002 ist ein Leitfaden, der die 93 Maßnahmen aus dem Anhang A der 27001 ausführlich erklärt und Umsetzungshinweise gibt. Zertifizieren lässt man sich nach 27001, umsetzen hilft 27002.
Wie lange dauert eine ISO-27001-Zertifizierung?
Das hängt von Größe, Scope und Ausgangslage ab. Neben dem Aufbau braucht es einige Monate gelebten Betrieb mit Protokollen, internem Audit und Managementbewertung, bevor die zweistufige Zertifizierung sinnvoll ist. Kleine Scopes mit guter Vorarbeit sind deutlich schneller als ganze Konzerne.
Was kostet eine ISO-27001-Zertifizierung?
Die Kosten setzen sich aus drei Teilen zusammen: interner Aufwand für Aufbau und Betrieb des ISMS, gegebenenfalls externe Beratung und die Gebühren der Zertifizierungsstelle für die Audits. Größter Treiber ist meist der interne Aufwand, und der hängt vom Scope ab. Ein klar begrenzter Anwendungsbereich und vorhandene Dokumentation senken ihn deutlich. Seriöse Zahlen nennt die Zertifizierungsstelle im Angebot.
Wie lange gilt ein ISO-27001-Zertifikat?
Drei Jahre. In dieser Zeit finden jährliche Überwachungsaudits statt, danach folgt die Rezertifizierung. Seit dem 31. Oktober 2025 gelten nur noch Zertifikate nach der Fassung ISO/IEC 27001:2022.
Quellen
- ISO/IEC 27001:2022 Information security, cybersecurity and privacy protection – Information security management systems – Requirements, Stand 14.11.2026.
- ISACA Journal: Navigating the ISO/IEC 27001:2022 Transition, Vol. 3/2024, abgerufen am 14.11.2026.
- BSI: ISO 27001 Zertifizierung auf Basis von IT-Grundschutz, abgerufen am 14.11.2026.
- § 30 BSIG: Risikomanagementmaßnahmen, abgerufen am 14.11.2026.
150 € pro Stunde, pauschal für alles. Für Unternehmen, zzgl. USt.