Die Frage taucht meist plötzlich auf: Ein wichtiger Kunde oder eine Ausschreibung verlangt die ISO 27001-Zertifizierung, bevor Sie den Vertrag unterzeichnen können. Oder Sie erkennen, dass Sie ohne einen anerkannten Sicherheitsrahmen an Glaubwürdigkeit bei Partnern verlieren. Die gute Nachricht: ISO 27001 ist auch für kleine Unternehmen problemlos zugänglich — sofern Sie es richtig angehen.
Was ISO 27001 tatsächlich ist
ISO/IEC 27001 ist der internationale Standard für Informationssicherheits-Managementsysteme (ISMS). Wichtig: Er zertifiziert kein Produkt und keinen Server, sondern eine Art, Sicherheitsrisiken zu steuern. Er belegt, dass Ihr Unternehmen Bedrohungen für Informationen systematisch identifiziert und risikoangemessene Kontrollen anwendet.
Mit anderen Worten: ISO 27001 sagt nicht „Sie haben Antivirus", sondern „Sie haben einen Prozess, mit dem Sie rational entscheiden, was Sie schützen, wie und warum". Genau deshalb überschneidet er sich stark mit den NIS2-Anforderungen und mit guter Cybersicherheits-Praxis.
Der Mythos „nur für Konzerne"
Der Standard ist von Grund auf skalierbar. Ein Unternehmen mit 15 Mitarbeitern muss nicht dieselben Kontrollen umsetzen wie eine Bank — nur die durch das eigene Risikoprofil gerechtfertigten Kontrollen. Den Geltungsbereich (Scope) legen Sie fest: Sie können nur eine Abteilung, ein Produkt oder einen Prozess zertifizieren, nicht zwingend die ganze Organisation. Das hält Aufwand und Kosten im Griff.
Die Umsetzungsschritte
- 1Festlegung des Scopes: welche Informationen, Prozesse und Standorte zum System gehören.
- 2Risikoanalyse: Informationswerte, Bedrohungen und Schwachstellen identifizieren, dann Auswirkung und Wahrscheinlichkeit bewerten.
- 3Auswahl der Kontrollen: aus Anhang A (den Referenzkontrollen) die durch die Risiken gerechtfertigten auswählen, dokumentiert in einer Anwendbarkeitserklärung (SoA).
- 4Dokumentation von Richtlinien und Verfahren: keine Bürokratie um ihrer selbst willen, sondern Regeln, die das Team wirklich befolgt.
- 5Umsetzung und Betrieb: die Kontrollen in die Praxis umsetzen und Nachweise sammeln (Logs, Aufzeichnungen, Schulungen).
- 6Internes Audit und Managementbewertung: Sie prüfen sich selbst, bevor der externe Auditor es tut.
- 7Zertifizierungsaudit: eine akkreditierte Zertifizierungsstelle bewertet das System in zwei Stufen und stellt das Zertifikat aus.
Wie lange es dauert
Für ein kleines oder mittleres Unternehmen dauert eine gut geführte Umsetzung typischerweise 3-6 Monate bis zum Zertifizierungsaudit. Entscheidende Faktoren: wie ausgereift Ihr Sicherheitsumfeld bereits ist, wie breit der gewählte Scope ist und wie schnell das interne Team reagiert. Das Zertifikat ist dann 3 Jahre gültig, mit jährlichen Überwachungsaudits.
Was es kostet
Die Kosten haben zwei getrennte Bestandteile: (1) die Umsetzung — Beratung, interne Zeit und eventuelle technische Werkzeuge; und (2) die eigentliche Zertifizierung, gezahlt an die akkreditierte Zertifizierungsstelle, berechnet nach Mitarbeiterzahl und Komplexität. Für ein kleines Unternehmen ist die Zertifizierung überraschend erschwinglich; der variable Teil ist der Umsetzungsaufwand, der drastisch sinkt, wenn Sie von einem bereits geordneten Umfeld ausgehen oder mit einem erfahrenen Partner arbeiten.
Der teure Fehler ist nicht die Zertifizierung — es ist die chaotische Umsetzung, bei der Sie Werkzeuge kaufen, die Sie nicht brauchen, und Richtlinien schreiben, die niemand befolgt.
Wann es sich wirklich lohnt
- Kunden oder Ausschreibungen verlangen es ausdrücklich — der häufigste Auslöser.
- Sie verarbeiten sensible Daten und möchten Seriosität nachweisen (ergänzend zum Datenschutz / DSGVO).
- Sie bereiten sich auf NIS2 vor — ISO 27001 deckt die meisten Anforderungen ab.
- Sie wollen einen echten Wettbewerbsvorteil gegenüber nicht zertifizierten Mitbewerbern.
Wie wir helfen können
Wir sind ISO 27001-zertifiziert und autorisierter DNSC-Auditor — wir haben diesen Weg sowohl für uns selbst als auch für Kunden beschritten. Wir helfen Ihnen, einen realistischen Scope zu definieren, die Risikoanalyse durchzuführen, ohne sie zu einem endlosen Projekt zu machen, und mit dem minimal notwendigen Aufwand zur Zertifizierung zu gelangen. Wenn Sie über ISO 27001 nachdenken, lassen Sie uns 30 Minuten sprechen über Ihre konkrete Situation.