Suche
SupportISO 27001 im Mittelstand: Lohnt sich die Zertifizierung?
Kunden fragen nach Nachweisen, NIS2 verlangt Risikomanagement. Was eine ISO-27001-Zertifizierung bedeutet, wie der Weg dorthin aussieht und wann eine schlankere Alternative reicht.
Ein Zulieferer aus dem Münchner Umland gewinnt eine Ausschreibung – unter Vorbehalt. Der neue Auftraggeber möchte innerhalb eines Jahres einen Nachweis über die Informationssicherheit sehen, am liebsten ein ISO-27001-Zertifikat. In der Geschäftsleitung stellen sich sofort Fragen: Was bedeutet das konkret? Wie lange dauert es? Was kostet es an Zeit und Geld? Und gibt es Alternativen?
Immer häufiger verlangen Kunden, Versicherer oder Ausschreibungen solche Nachweise. Der international bekannteste Standard dafür ist ISO/IEC 27001. Dieser Beitrag erklärt, was hinter der Norm steckt, wie ein Zertifizierungsprojekt im Mittelstand abläuft und wann ein anderer Weg sinnvoller ist.
Was ISO 27001 ist – und was nicht
Die Norm beschreibt ein Managementsystem für Informationssicherheit (ISMS). Sie schreibt nicht vor, welche Firewall oder welchen Virenschutz Sie einsetzen. Stattdessen verlangt sie, dass Sie Risiken für Ihre Informationen systematisch erfassen und bewerten, passende Maßnahmen festlegen, umsetzen und regelmäßig überprüfen – und dass die Leitung dafür Verantwortung übernimmt.
Die aktuelle Fassung stammt aus dem Jahr 2022. Ihr Hauptteil beschreibt die Anforderungen an das Managementsystem in den Kapiteln 4 bis 10: Kontext der Organisation, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung und Verbesserung. Der Anhang A enthält 93 Maßnahmen (Controls), gegliedert in vier Themen: organisatorische, personenbezogene, physische und technologische Maßnahmen.
Die Kernbausteine eines ISMS
- Geltungsbereich: Für welche Standorte, Prozesse und Systeme gilt das ISMS?
- Informationssicherheitsleitlinie: die von der Leitung getragene Grundsatzerklärung
- Risikobeurteilung und -behandlung: Welche Risiken bestehen, und wie wird mit ihnen umgegangen?
- Erklärung zur Anwendbarkeit: Welche der Maßnahmen aus Anhang A gelten, welche nicht, und warum?
- Rollen und Zuständigkeiten, etwa ein Informationssicherheitsbeauftragter
- Dokumentierte Richtlinien und Nachweise, zum Beispiel zu Zugriffen, Backup und Vorfällen
- Interne Audits und Managementbewertung als regelmäßiger Prüf- und Verbesserungskreislauf
Vorteile einer Zertifizierung
- Anerkannter Nachweis gegenüber Kunden, Partnern und in Ausschreibungen
- Strukturierter Rahmen, der viele Anforderungen aus NIS2 und Datenschutz abdeckt
- Kontinuierliche Verbesserung statt einmaliger Sicherheitsprojekte
- Klare Zuständigkeiten und eine Dokumentation, die auch im Notfall hilft
- Weniger Einzelfragebögen, weil viele Kunden das Zertifikat als Nachweis akzeptieren
Der Weg zur Zertifizierung
Vorbereitung
Am Anfang stehen die Festlegung des Geltungsbereichs und eine Bestandsaufnahme: Was ist bereits vorhanden, was fehlt? Dann folgen Risikobeurteilung, Erklärung zur Anwendbarkeit, die notwendigen Richtlinien und die Umsetzung der Maßnahmen. Bevor ein Auditor kommt, muss das ISMS eine Weile im Betrieb gelaufen sein – mit mindestens einem internen Audit und einer Managementbewertung.
Das Zertifizierungsaudit
Die Zertifizierung erfolgt durch eine akkreditierte Zertifizierungsstelle in zwei Stufen: Zuerst prüft der Auditor die Dokumentation und die Bereitschaft, danach in einem zweiten Termin die tatsächliche Umsetzung im Betrieb. Das Zertifikat gilt in der Regel drei Jahre, mit jährlichen Überwachungsaudits und einer Rezertifizierung am Ende.
Realistischer Aufwand
Für ein mittelständisches Unternehmen ist die Erstzertifizierung meist ein Projekt über viele Monate. Der Aufwand hängt stark vom Geltungsbereich und vom Ausgangszustand ab. Unterschätzt wird oft weniger die Technik als die Organisation: Richtlinien müssen gelebt, Nachweise laufend erzeugt und Verantwortliche im Tagesgeschäft freigestellt werden. Wer bereits eine gepflegte IT-Dokumentation und ein funktionierendes Berechtigungsmanagement hat, spart erheblich Zeit.
Alternativen und Einstiegswege
- BSI IT-Grundschutz: sehr umfassend, im öffentlichen Bereich verbreitet; eine Zertifizierung ist als ISO 27001 auf Basis von IT-Grundschutz möglich
- VdS 10000: ein Standard, der speziell für kleine und mittlere Unternehmen entwickelt wurde
- CISIS12: ein schrittweises Vorgehensmodell für kleinere Organisationen
- TISAX: der Branchenstandard für Zulieferer der Automobilindustrie, der auf ISO 27001 aufbaut
Welcher Weg passt, hängt vor allem davon ab, welchen Nachweis Ihre Kunden oder Regularien akzeptieren. Fragen Sie das vor Projektbeginn konkret nach.
Zertifizierung oder nicht? Entscheidungshilfe
- Verlangen Kunden oder Ausschreibungen ausdrücklich ISO 27001? Dann führt kaum ein Weg daran vorbei.
- Sind Sie NIS2-pflichtig? Ein ISMS nach ISO 27001 ist ein bewährter Rahmen, die Zertifizierung ist aber nicht zwingend vorgeschrieben.
- Fragt bisher niemand nach einem Zertifikat? Dann kann ein schlankerer Einstieg sinnvoll sein, der sich an ISO 27001 orientiert und später zu einer Zertifizierung ausgebaut wird.
- Fehlen Zeit und Personal für ein eigenes ISMS? Dann lohnt es sich, zuerst die technischen Grundlagen und die Dokumentation in Ordnung zu bringen.
Typische Stolpersteine
- Ein zu großer Geltungsbereich im ersten Anlauf – besser klein beginnen und später erweitern
- Richtlinien aus Vorlagen übernehmen, die nicht zur eigenen Organisation passen und deshalb nicht gelebt werden
- Die Risikobeurteilung als einmalige Tabelle verstehen statt als regelmäßig aktualisiertes Werkzeug
- Fehlende Nachweise: Maßnahmen sind umgesetzt, aber niemand kann zeigen, seit wann und wie geprüft wird
- Die Geschäftsleitung ist nur beim Projektstart dabei, nicht bei der Managementbewertung
- Dienstleister werden nicht einbezogen, obwohl sie viele technische Maßnahmen betreiben
Die meisten dieser Punkte sind organisatorischer Natur. Sie lassen sich vermeiden, wenn von Anfang an klar ist, wer das ISMS verantwortet, wie oft es überprüft wird und welche Beiträge die IT-Dienstleister liefern.
So gehen wir bei BABFE vor
Wir sind keine Zertifizierungsstelle. Unser Schwerpunkt liegt darauf, dass die technischen Maßnahmen umgesetzt und nachweisbar sind. Dafür arbeiten wir eng mit Ihren Beratern und Auditoren zusammen. Für betreute Kunden enthält das Nachweispaket im Kundenportal eine Nachweismatrix aller ISO-27001-Controls mit Zuständigkeit und Beitrag des IT-Dienstleisters, Stellungnahmen des IT-Dienstleisters zu den betreuten Themen und eine jährliche Zugriffsrechte-Prüfung direkt im Portal.
Leitlinie, Risikobehandlung und Managementbewertung gestaltet Ihre Leitung, das Audit übernimmt Ihre Zertifizierungsstelle. Das Paket nimmt Ihnen dabei das Zusammentragen der technischen Nachweise ab. Einen kostenlosen ersten Überblick über Ihre Arbeitsplätze liefert unser Sicherheitscheck, dessen Bericht jede Prüfung den Controls aus ISO 27001 zuordnet. Unsere Leistungen rund um NIS2 finden Sie unter NIS2 – technisch umsetzen.
Ihr nächster Schritt
Klären Sie, welcher Nachweis von Ihnen tatsächlich verlangt wird und bis wann. Mit dieser Antwort lässt sich der passende Weg in einem Gespräch eingrenzen – die Erstberatung bei uns ist kostenfrei.
