ISO 27001 Readiness-Check
Wo stehen Sie?
20 Fragen, 5 Kategorien, 3 Minuten. Finden Sie heraus, wie nah Ihr Unternehmen an der ISO 27001-Zertifizierung ist.
Wie audit-bereit ist Ihr Unternehmen wirklich?
ISO/IEC 27001 ist der internationale Standard für Informationssicherheits-Managementsysteme (ISMS). Er ist kein reines IT-Thema, sondern ein Managementsystem: Sie legen fest, welche Informationen schützenswert sind, bewerten die Risiken systematisch und belegen, dass Ihre Maßnahmen wirken. Der Check oben schätzt ein, wie weit Sie auf diesem Weg schon sind.
Was die Norm von Ihnen verlangt
Die ISO 27001:2022 besteht aus zwei Teilen, die beide erfüllt sein müssen:
| Teil | Inhalt | Charakter |
|---|---|---|
| Klauseln 4–10 | Kontext, Führung, Planung (Risiken), Unterstützung, Betrieb, Bewertung, Verbesserung | verbindlich – hier gibt es kein „nicht zutreffend" |
| Anhang A | 93 Controls in vier Themen: organisatorisch (37), personenbezogen (8), physisch (14), technologisch (34) | Auswahl begründbar über die SoA |
Das Herzstück ist die Erklärung zur Anwendbarkeit (SoA): Dort begründen Sie für jedes der 93 Controls, ob Sie es anwenden – und warum beziehungsweise warum nicht. Ein Control auszuschließen ist erlaubt, aber nur mit nachvollziehbarer Begründung.
Häufiges Missverständnis: Viele starten bei den technischen Controls (Firewalls, Verschlüsselung, Backups) und wundern sich, warum das Audit trotzdem Feststellungen bringt. Auditoren prüfen zuerst die Klauseln: Gibt es eine Risikobewertung? Werden Ziele gemessen? Fand ein internes Audit statt? Ohne diesen Managementteil hilft die beste Technik nichts.
Wie eine Zertifizierung abläuft
- Stage 1 – Der Auditor prüft, ob Ihr ISMS auf dem Papier vollständig ist: Anwendungsbereich, Leitlinie, Risikobewertung, SoA, internes Audit, Managementbewertung. Ergebnis ist eine Liste offener Punkte.
- Stage 2 – Jetzt geht es um Wirksamkeit: Wird gelebt, was dokumentiert ist? Der Auditor spricht mit Mitarbeitenden und verlangt Nachweise.
- Überwachungsaudits – jährlich, in reduziertem Umfang.
- Rezertifizierung – nach drei Jahren erneut vollständig.
Zwischen Stage 1 und Stage 2 liegen typischerweise einige Wochen bis Monate, in denen Sie die Feststellungen abarbeiten.
Wie Sie Ihr Check-Ergebnis lesen
Der Check bewertet Ihre Antworten entlang der Normstruktur und ordnet Sie einem Reifegrad zu:
- Am Anfang – Grundlagen fehlen noch (Scope, Leitlinie, Risikomethodik). Das ist völlig normal; hier entscheidet sich, ob das Projekt später rund läuft.
- Auf dem Weg – Vieles ist da, aber die Nachweise sind lückenhaft. Typisch ist ein gutes technisches Niveau bei schwachem Managementteil.
- Weitgehend audit-bereit – Sie könnten Stage 1 angehen. Der Feinschliff liegt meist bei internem Audit, Managementbewertung und Wirksamkeitsnachweisen.
Der Check ist eine Selbsteinschätzung und ersetzt keine Gap-Analyse. Er zeigt Ihnen zuverlässig, wo Sie ansetzen sollten.
Realistischer Aufwand
Für ein KMU sind vier bis neun Monate bis zum Zertifikat realistisch – abhängig von Größe, Scope und davon, wie viel Dokumentation bereits existiert. Der größte Zeitfresser ist erfahrungsgemäß nicht die Technik, sondern das Zusammentragen und Aktuellhalten der Nachweise. Genau dafür lohnt sich ein ISMS-Werkzeug statt einer Sammlung aus Excel-Dateien und Ordnern.
Häufige Fragen zur ISO 27001
Ist ISO 27001 gesetzlich vorgeschrieben?
Nein. Die Zertifizierung ist freiwillig. In der Praxis wird sie aber häufig von Kunden, Konzernen und öffentlichen Auftraggebern verlangt – und sie ist die beste Grundlage, um Anforderungen aus NIS-2, TISAX oder DORA strukturiert zu erfüllen.
Was hat sich mit der Version 2022 geändert?
Der Anhang A wurde neu strukturiert: statt 114 Controls in 14 Kapiteln gibt es jetzt 93 Controls in vier Themen, darunter elf neue wie Threat Intelligence, Cloud-Sicherheit oder Datenmaskierung. Die Klauseln 4–10 blieben inhaltlich weitgehend gleich. Die Übergangsfrist für Zertifikate nach der Fassung von 2013 ist abgelaufen.
Müssen wir alle 93 Controls umsetzen?
Nein. Sie wählen anhand Ihrer Risikobewertung aus und dokumentieren die Entscheidung in der SoA. Ausschlüsse sind zulässig, müssen aber begründet sein – „haben wir nicht" reicht nicht, „für unseren Anwendungsbereich nicht relevant, weil …" schon.
Wie groß muss der Anwendungsbereich sein?
Sie legen ihn selbst fest – er muss aber sinnvoll und begründbar sein. Ein zu enger Scope, der die eigentlichen Kernprozesse ausklammert, wird von Auditoren hinterfragt und ist gegenüber Kunden wenig wert.
Brauchen wir einen externen Informationssicherheitsbeauftragten?
Die Norm verlangt keine bestimmte Rolle, aber klare Verantwortlichkeiten und Kompetenz. Ob Sie das intern besetzen oder extern einkaufen, ist eine Ressourcenfrage – gerade in kleineren Organisationen ist ein externer ISB oft der schnellere und günstigere Weg.
Reicht ein internes Audit durch die eigene IT?
Nur bedingt. Das interne Audit muss unabhängig und objektiv sein – wer sein eigenes Werk prüft, erfüllt das nicht. In kleinen Unternehmen löst man das über eine andere Abteilung oder einen externen Auditor.