Ein kleines Unternehmen bereitet sich auf ISO 27001 vor, indem es zun\u00e4chst eine Risikoanalyse durchf\u00fchrt, ein Informationssicherheits-Managementsystem (ISMS) aufbaut und die erforderlichen Richtlinien sowie Nachweise dokumentiert. Der Aufwand ist f\u00fcr kleine Unternehmen \u00fcberschaubar, weil der Standard ausdr\u00fccklich skalierbar ist und sich an die tats\u00e4chliche Gr\u00f6\u00dfe und Komplexit\u00e4t der Organisation anpasst. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um Anforderungen, Ablauf, Kosten und Dokumentation.<\/p>\n
ISO 27001 verlangt von kleinen Unternehmen denselben strukturellen Rahmen wie von gro\u00dfen Organisationen, jedoch in einem Umfang, der zur eigenen Gr\u00f6\u00dfe passt. Konkret bedeutet das: Sie m\u00fcssen ein ISMS einf\u00fchren, Informationssicherheitsrisiken systematisch bewerten und geeignete Ma\u00dfnahmen (sogenannte Controls) umsetzen. Welche Controls relevant sind, bestimmen Sie selbst auf Basis Ihrer Risikoanalyse.<\/p>\n
Die zentralen Anforderungen lassen sich in vier Bereiche gliedern:<\/p>\n
F\u00fcr ein Unternehmen mit zehn bis f\u00fcnfzig Mitarbeitenden bedeutet das in der Praxis: Sie brauchen keine eigene IT-Abteilung und keinen Vollzeit-Sicherheitsbeauftragten. Wichtig ist, dass jemand die Verantwortung \u00fcbernimmt und die Prozesse konsequent dokumentiert.<\/p>\n
Kleine Unternehmen brauchen f\u00fcr die Vorbereitung auf eine ISO 27001-Zertifizierung<\/a> in der Regel zwischen drei und zw\u00f6lf Monaten, wenn sie den klassischen Weg gehen. Mit digitalen Plattformen und KI-gest\u00fctzten Tools l\u00e4sst sich dieser Zeitraum deutlich verk\u00fcrzen, manchmal auf wenige Tage bis Wochen.<\/p>\n Wie lange die Vorbereitung dauert, h\u00e4ngt vor allem von drei Faktoren ab:<\/p>\n Ein realistischer Zeitplan f\u00fcr ein kleines Dienstleistungsunternehmen sieht h\u00e4ufig so aus: zwei bis vier Wochen f\u00fcr die Risikoanalyse und Gap-Analyse, weitere vier bis acht Wochen f\u00fcr den Aufbau der Dokumentation und die Umsetzung der Ma\u00dfnahmen, dann ein internes Audit und schlie\u00dflich das externe Zertifizierungsaudit.<\/p>\n ISO 27001 ist die zertifizierbare Norm, die die Anforderungen an ein Informationssicherheits-Managementsystem definiert. ISO 27002 ist kein Standard, nach dem man sich zertifizieren l\u00e4sst, sondern ein Leitfaden, der erkl\u00e4rt, wie die Controls aus ISO 27001 konkret umgesetzt werden k\u00f6nnen.<\/p>\n Vereinfacht gesagt: ISO 27001 sagt was<\/em> Sie tun m\u00fcssen, ISO 27002 erkl\u00e4rt wie<\/em> Sie es tun k\u00f6nnen. Wenn Sie eine Zertifizierung anstreben, ist ISO 27001 die relevante Norm. ISO 27002 dient als praktische Orientierungshilfe bei der Umsetzung einzelner Sicherheitsma\u00dfnahmen, zum Beispiel beim Zugriffsmanagement oder der Kryptografie.<\/p>\n F\u00fcr kleine Unternehmen ist dieser Unterschied n\u00fctzlich zu kennen, weil ISO 27002 dabei hilft, die Anforderungen aus ISO 27001 in den Arbeitsalltag zu \u00fcbersetzen, ohne dass man jede Ma\u00dfnahme von Grund auf selbst entwickeln muss.<\/p>\n ISO 27001 schreibt eine Reihe von Pflichtdokumenten vor. F\u00fcr kleine Unternehmen sind diese \u00fcberschaubar, aber nicht optional. Die Norm unterscheidet zwischen dokumentierten Informationen, die Sie f\u00fchren m\u00fcssen, und solchen, die Sie aufbewahren m\u00fcssen.<\/p>\n Die wichtigsten Pflichtdokumente sind:<\/p>\n Dar\u00fcber hinaus gibt es optionale Dokumente, die in der Praxis aber h\u00e4ufig sinnvoll sind, etwa ein Asset-Verzeichnis, eine Klassifizierungsrichtlinie f\u00fcr Informationen oder ein Incident-Management-Verfahren. Wie umfangreich jedes Dokument sein muss, h\u00e4ngt von der Gr\u00f6\u00dfe und dem Risikoprofil Ihres Unternehmens ab. Kurze, klare Richtlinien sind besser als lange Dokumente, die niemand liest.<\/p>\n Ein ISO 27001-Audit f\u00fcr kleine Unternehmen besteht aus zwei Stufen. Im ersten Schritt pr\u00fcft der Auditor die Dokumentation und bewertet, ob das ISMS grunds\u00e4tzlich den Anforderungen der Norm entspricht. Im zweiten Schritt wird die tats\u00e4chliche Umsetzung im Unternehmen \u00fcberpr\u00fcft.<\/p>\n Der Ablauf im \u00dcberblick:<\/p>\n Bei kleinen Unternehmen k\u00f6nnen beide Stufen oft innerhalb weniger Tage abgeschlossen werden, insbesondere wenn das Audit vollst\u00e4ndig online durchgef\u00fchrt wird. Das spart Zeit und Reisekosten.<\/p>\n\n
Was ist der Unterschied zwischen ISO 27001 und ISO 27002?<\/h2>\n
Welche Dokumente braucht ein kleines Unternehmen f\u00fcr ISO 27001?<\/h2>\n
\n
Wie l\u00e4uft ein ISO 27001-Audit f\u00fcr kleine Unternehmen ab?<\/h2>\n
\n
Was kostet eine ISO 27001-Zertifizierung f\u00fcr ein kleines Unternehmen?<\/h2>\n