Die ISO 27001-Zertifizierung stellt konkrete Anforderungen an Ihr Informationssicherheits-Managementsystem (ISMS): Sie m\u00fcssen ein dokumentiertes Managementsystem aufbauen, eine strukturierte Risikobewertung durchf\u00fchren, geeignete Sicherheitsma\u00dfnahmen aus Anhang A umsetzen und diese durch ein unabh\u00e4ngiges Audit nachweisen. Die Norm richtet sich an Unternehmen jeder Gr\u00f6\u00dfe, die Informationssicherheit systematisch und nachweisbar steuern wollen. Die folgenden Fragen beleuchten die wichtigsten Anforderungen im Detail.<\/p>\n
Die ISO 27001 verlangt eine Reihe verbindlicher Dokumente, die Ihr Informationssicherheits-Managementsystem beschreiben und belegen. Dazu geh\u00f6ren eine ISMS-Richtlinie, ein Risikobehandlungsplan, eine Erkl\u00e4rung zur Anwendbarkeit (Statement of Applicability), interne Auditberichte sowie Nachweise \u00fcber Managementbewertungen und Schulungen.<\/p>\n
Im Einzelnen m\u00fcssen Sie folgende Dokumente bereithalten:<\/p>\n
Wichtig: Die Norm schreibt nicht vor, wie umfangreich diese Dokumente sein m\u00fcssen. F\u00fcr kleine Unternehmen reichen oft schlanke, praxisnahe Dokumente aus, die den tats\u00e4chlichen Betrieb widerspiegeln.<\/p>\n
Die Risikobewertung ist der Prozess, bei dem Sie systematisch identifizieren, welche Bedrohungen und Schwachstellen die Vertraulichkeit, Integrit\u00e4t und Verf\u00fcgbarkeit Ihrer Informationen gef\u00e4hrden k\u00f6nnten. Anschlie\u00dfend bewerten Sie die Eintrittswahrscheinlichkeit und den potenziellen Schaden jedes Risikos und entscheiden, wie Sie damit umgehen.<\/p>\n
Der Prozess folgt typischerweise diesen Schritten:<\/p>\n
Die ISO 27001 schreibt keine bestimmte Methode vor. Sie k\u00f6nnen mit einer einfachen Tabelle arbeiten, solange Ihre Vorgehensweise konsistent und wiederholbar ist. F\u00fcr kleine Unternehmen ist ein pragmatischer Ansatz mit klaren Priorit\u00e4ten oft hilfreicher als aufwendige Bewertungsmatrizen.<\/p>\n
Anhang A der aktuellen ISO 27001:2022 umfasst 93 Kontrollen<\/strong>, die in vier Themenbereiche gegliedert sind: organisatorische Kontrollen, personenbezogene Kontrollen, physische Kontrollen und technologische Kontrollen. Die Vorg\u00e4ngerversion von 2013 enthielt noch 114 Kontrollen in 14 Bereichen.<\/p>\n Die vier Kategorien im \u00dcberblick:<\/p>\n Entscheidend dabei ist: Sie m\u00fcssen nicht alle 93 Kontrollen umsetzen. Im Statement of Applicability legen Sie fest, welche Kontrollen f\u00fcr Ihren Geltungsbereich relevant sind und welche Sie mit guter Begr\u00fcndung ausschlie\u00dfen. F\u00fcr viele kleine Unternehmen sind 50 bis 70 Kontrollen realistisch anwendbar.<\/p>\n F\u00fcr kleine Unternehmen mit bis zu 50 Mitarbeitenden dauert der gesamte Prozess von der Vorbereitung bis zum ausgestellten Zertifikat typischerweise zwischen zwei und sechs Monaten<\/strong>. Die genaue Dauer h\u00e4ngt davon ab, wie viel Vorarbeit bereits geleistet wurde und welche Ressourcen Sie einsetzen.<\/p>\n Der klassische Weg mit externer Beratung und traditionellen Auditverfahren kann l\u00e4nger dauern, weil Terminabstimmungen, manuelle Dokumentenerstellung und mehrt\u00e4gige Vor-Ort-Audits Zeit kosten. Digitale Ans\u00e4tze mit KI-gest\u00fctzter ISO 27001-Zertifizierung<\/a> k\u00f6nnen diesen Prozess erheblich verk\u00fcrzen, weil Dokumentenvorlagen automatisch erzeugt und Audits vollst\u00e4ndig online durchgef\u00fchrt werden.<\/p>\n Grob l\u00e4sst sich der Zeitplan so einteilen:<\/p>\n Ein ISO 27001-Auditor pr\u00fcft im Zertifizierungsaudit, ob Ihr ISMS den Anforderungen der Norm entspricht und ob Sie es tats\u00e4chlich leben. Das Audit besteht aus zwei Stufen: einer Dokumentenpr\u00fcfung (Stufe 1) und einer Implementierungspr\u00fcfung (Stufe 2).<\/p>\n In der ersten Stufe pr\u00fcft der Auditor Ihre Dokumente auf Vollst\u00e4ndigkeit und Plausibilit\u00e4t. Er schaut, ob Ihre ISMS-Richtlinie, das Risikoregister, das Statement of Applicability und die internen Auditberichte vorhanden und konsistent sind. Diese Stufe findet h\u00e4ufig remote statt.<\/p>\n In der zweiten Stufe pr\u00fcft der Auditor, ob das, was in Ihren Dokumenten steht, im Unternehmen auch wirklich umgesetzt wird. Er f\u00fchrt Gespr\u00e4che mit Mitarbeitenden, pr\u00fcft technische Konfigurationen und bewertet, ob Ihre Kontrollen aus Anhang A tats\u00e4chlich wirksam sind. Typische Pr\u00fcfpunkte sind:<\/p>\n Nach dem Audit erhalten Sie einen Bericht mit allf\u00e4lligen Abweichungen. Kleinere Abweichungen k\u00f6nnen Sie meist innerhalb weniger Wochen beheben, bevor das Zertifikat ausgestellt wird.<\/p>\n Die Kosten einer ISO 27001-Zertifizierung f\u00fcr kleine Unternehmen liegen je nach Anbieter und Ansatz zwischen 3.000 und 20.000 Euro<\/strong>. Der gr\u00f6\u00dfte Kostentreiber ist nicht das Audit selbst, sondern die Vorbereitung: externe Beratung, Dokumentenerstellung und interne Arbeitszeit.<\/p>\n Die Kosten setzen sich typischerweise zusammen aus:<\/p>\n Mehr zu den konkreten Zahlen finden Sie auf unserer Seite zu den ISO 27001-Zertifizierungskosten<\/a>. Wichtig ist auch, die laufenden Kosten im Blick zu behalten: Nach der Erstzertifizierung fallen j\u00e4hrliche \u00dcberwachungsaudits und alle drei Jahre ein Rezertifizierungsaudit an.<\/p>\n Wir bei DICIS AG haben den gesamten ISO 27001-Prozess speziell f\u00fcr kleine Unternehmen mit bis zu 50 Mitarbeitenden neu gedacht. Unser Ziel ist es, Ihnen den Weg zur Zertifizierung so einfach und effizient wie m\u00f6glich zu machen, ohne dass Sie externe Berater ben\u00f6tigen oder monatelang in Dokumenten versinken.<\/p>\n Konkret bieten wir Ihnen:<\/p>\n Wenn Sie wissen m\u00f6chten, was eine ISO 27001-Zertifizierung<\/a> f\u00fcr Ihr Unternehmen konkret bedeutet, oder wenn Sie direkt loslegen m\u00f6chten, nehmen Sie jetzt Kontakt mit uns auf<\/a>. Wir zeigen Ihnen in einem kurzen Gespr\u00e4ch, wie der Prozess f\u00fcr Ihr Unternehmen aussieht und was er kostet.<\/p>\n","protected":false},"excerpt":{"rendered":" ISO 27001 Zertifizierung: Welche Dokumente, Kontrollen und Kosten auf kleine Unternehmen zukommen.<\/p>\n","protected":false},"author":3,"featured_media":12388,"template":"","categories":[1],"tags":[],"class_list":["post-12308","seoai_post","type-seoai_post","status-publish","has-post-thumbnail","hentry","category-sonstige"],"_links":{"self":[{"href":"https:\/\/www.dicisgroup.com\/de\/wp-json\/wp\/v2\/seoai_post\/12308","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.dicisgroup.com\/de\/wp-json\/wp\/v2\/seoai_post"}],"about":[{"href":"https:\/\/www.dicisgroup.com\/de\/wp-json\/wp\/v2\/types\/seoai_post"}],"author":[{"embeddable":true,"href":"https:\/\/www.dicisgroup.com\/de\/wp-json\/wp\/v2\/users\/3"}],"version-history":[{"count":1,"href":"https:\/\/www.dicisgroup.com\/de\/wp-json\/wp\/v2\/seoai_post\/12308\/revisions"}],"predecessor-version":[{"id":12363,"href":"https:\/\/www.dicisgroup.com\/de\/wp-json\/wp\/v2\/seoai_post\/12308\/revisions\/12363"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.dicisgroup.com\/de\/wp-json\/wp\/v2\/media\/12388"}],"wp:attachment":[{"href":"https:\/\/www.dicisgroup.com\/de\/wp-json\/wp\/v2\/media?parent=12308"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.dicisgroup.com\/de\/wp-json\/wp\/v2\/categories?post=12308"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.dicisgroup.com\/de\/wp-json\/wp\/v2\/tags?post=12308"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}\n
Wie lange dauert die ISO 27001-Zertifizierung f\u00fcr kleine Unternehmen?<\/h2>\n
\n
Was pr\u00fcft ein ISO 27001-Auditor im Zertifizierungsaudit?<\/h2>\n
Stufe 1: Dokumentenpr\u00fcfung<\/h3>\n
Stufe 2: Implementierungspr\u00fcfung<\/h3>\n
\n
Was kostet eine ISO 27001-Zertifizierung f\u00fcr ein kleines Unternehmen?<\/h2>\n
\n
So hilft DICIS AG bei der ISO 27001-Zertifizierung<\/h2>\n
\n