F\u00fcr eine ISO-27001-Zertifizierung brauchen Sie eine Reihe verpflichtender Dokumente, die Ihr Informationssicherheits-Managementsystem (ISMS) beschreiben, steuern und nachweisen. Dazu geh\u00f6ren unter anderem der Anwendungsbereich des ISMS, eine Informationssicherheitspolitik, eine Risikobeurteilung und ein Statement of Applicability. Der genaue Umfang h\u00e4ngt von der Gr\u00f6\u00dfe und Struktur Ihres Unternehmens ab. Die folgenden Abschnitte beantworten die h\u00e4ufigsten Fragen rund um die ISO-27001-Dokumentation.<\/p>\n
Die Norm ISO 27001 schreibt eine Reihe von Dokumenten vor, die jedes zertifizierungswillige Unternehmen vorhalten muss. Zu den wichtigsten geh\u00f6ren: der definierte Anwendungsbereich des ISMS, die Informationssicherheitspolitik, Ziele der Informationssicherheit, der Risikobeurteilungsprozess, ein Risikobehandlungsplan sowie das Statement of Applicability (SoA).<\/p>\n
Dar\u00fcber hinaus verlangt die Norm konkrete Aufzeichnungen, die belegen, dass Prozesse tats\u00e4chlich gelebt werden. Dazu z\u00e4hlen zum Beispiel Schulungsnachweise, Audit-Berichte, Ergebnisse von Managementbewertungen und Nachweise \u00fcber Korrekturma\u00dfnahmen. Wer eine ISO-27001-Zertifizierung<\/a> anstrebt, sollte diese Unterlagen von Anfang an strukturiert aufbauen.<\/p>\n Wichtig zu wissen: Die Norm gibt nicht vor, wie die Dokumente aussehen oder wie lang sie sein m\u00fcssen. Sie legt fest, was<\/em> dokumentiert werden soll, nicht wie<\/em>. Das gibt kleinen Unternehmen erheblich mehr Spielraum, als viele vermuten.<\/p>\n Das Statement of Applicability, kurz SoA, ist ein zentrales Dokument der ISO-27001-Zertifizierung. Es listet alle 93 Ma\u00dfnahmen aus Anhang A der Norm auf und erkl\u00e4rt f\u00fcr jede einzelne, ob sie anwendbar ist oder nicht, und warum. Damit ist das SoA der direkte Spiegel Ihrer Risikobehandlung.<\/p>\n Das SoA verbindet die Risikobeurteilung mit den konkreten Sicherheitsma\u00dfnahmen Ihres Unternehmens. Auditoren pr\u00fcfen es besonders sorgf\u00e4ltig, weil es zeigt, ob Ihre Entscheidungen nachvollziehbar und begr\u00fcndet sind. Wenn Sie eine Ma\u00dfnahme ausschlie\u00dfen, m\u00fcssen Sie das plausibel begr\u00fcnden.<\/p>\n F\u00fcr kleine Unternehmen ist das SoA oft das aufwendigste Einzeldokument, weil es Urteilsverm\u00f6gen erfordert: Welche Ma\u00dfnahmen sind f\u00fcr mein Gesch\u00e4ftsmodell relevant? Welche kann ich begr\u00fcndet weglassen? Wer diesen Schritt sorgf\u00e4ltig geht, legt damit das Fundament f\u00fcr ein praxistaugliches ISMS.<\/p>\n ISO 27001 unterscheidet klar zwischen Dokumenten und Aufzeichnungen. Dokumente beschreiben, wie etwas funktionieren soll, also Prozesse, Richtlinien und Verfahren. Aufzeichnungen belegen, dass etwas tats\u00e4chlich stattgefunden hat, zum Beispiel ein durchgef\u00fchrtes Audit oder eine abgeschlossene Schulung.<\/p>\n Ein praktisches Beispiel: Ihre schriftliche Richtlinie zur Passwortvergabe ist ein Dokument. Der Nachweis, dass alle Mitarbeitenden diese Richtlinie gelesen und best\u00e4tigt haben, ist eine Aufzeichnung. Beide sind wichtig, erf\u00fcllen aber unterschiedliche Zwecke.<\/p>\n Im Audit werden beide Kategorien gepr\u00fcft. Auditoren wollen nicht nur sehen, dass Sie Prozesse beschrieben haben, sondern auch, dass Sie diese tats\u00e4chlich leben. Deshalb sollten Sie Aufzeichnungen systematisch und nachvollziehbar ablegen, am besten digital, damit Sie sie bei Bedarf schnell vorlegen k\u00f6nnen.<\/p>\n Beim Aufbau eines ISMS beginnen Sie sinnvollerweise mit dem Anwendungsbereich, der Informationssicherheitspolitik und der Risikobeurteilung. Diese drei Dokumente bilden das Fundament, auf dem alle weiteren Unterlagen aufbauen. Ohne sie l\u00e4sst sich kein sinnvolles Statement of Applicability erstellen.<\/p>\n Eine bew\u00e4hrte Reihenfolge sieht so aus:<\/p>\n Erst danach folgen operative Dokumente wie Verfahrensanweisungen, Schulungsunterlagen und Incident-Management-Prozesse. Diese Reihenfolge spart Zeit, weil jedes Dokument auf dem vorherigen aufbaut.<\/p>\n ISO 27001 schreibt keine Mindest- oder H\u00f6chstseitenzahl vor. Ein ISMS-Dokument ist dann gut, wenn es klar, vollst\u00e4ndig und f\u00fcr die Praxis tauglich ist, nicht wenn es besonders lang ist. Kleine Unternehmen k\u00f6nnen ihr gesamtes Dokumentenset oft auf deutlich weniger als 100 Seiten halten.<\/p>\n In der Praxis erleben viele Unternehmen das Gegenteil: Sie produzieren zu viele Seiten, weil sie Vorlagen aus Gro\u00dfkonzernen \u00fcbernehmen. Das kostet Zeit und macht das ISMS schwerf\u00e4llig. Ein kleines Dienstleistungsunternehmen mit zehn Mitarbeitenden braucht keine 50-seitige Sicherheitsrichtlinie.<\/p>\n Die Faustregel lautet: so kurz wie m\u00f6glich, so ausf\u00fchrlich wie n\u00f6tig. Ein Dokument, das niemand liest, weil es zu lang ist, erf\u00fcllt seinen Zweck nicht. Auditoren bewerten Qualit\u00e4t und Relevanz, nicht die Seitenanzahl.<\/p>\n Ja, KI kann bei der ISO-27001-Dokumentation erheblich Zeit sparen. Moderne KI-Werkzeuge helfen dabei, Richtlinien zu erstellen, Risikobeurteilungen zu strukturieren und Vorlagen an den eigenen Unternehmenskontext anzupassen. Was fr\u00fcher Wochen dauerte, l\u00e4sst sich damit in Stunden erledigen.<\/p>\n KI ersetzt dabei keine fachliche Urteilskraft, aber sie beschleunigt die Arbeit an Routineaufgaben erheblich. Konkret kann KI unterst\u00fctzen bei:<\/p>\nWas ist das Statement of Applicability und warum ist es zentral?<\/h2>\n
Wie unterscheiden sich Dokumente und Aufzeichnungen in ISO 27001?<\/h2>\n
Welche Dokumente erstellt man zuerst beim ISMS-Aufbau?<\/h2>\n
\n
Wie viele Seiten m\u00fcssen ISO-27001-Dokumente haben?<\/h2>\n
Kann KI bei der ISO-27001-Dokumentation helfen?<\/h2>\n
\n