ISO 27001 und ISMS-Aufbau — von der Gap-Analyse zur Zertifizierung
Ein Informationssicherheitsmanagementsystem nach ISO 27001 ist kein Selbstzweck und kein Dokumentenstapel für das Regal. Richtig aufgebaut wird es zur belastbaren Arbeitsgrundlage für NIS2, Kundennachweise, Audits und interne Steuerung. Ich begleite Sie von der Gap-Analyse bis zur Zertifizierung.
Normstand: ISO/IEC 27001:2022 einschließlich Amd 1:2024.
ISMS als Grundlage — nicht als Selbstzweck
ISO/IEC 27001 ist der internationale Anforderungsstandard für Informationssicherheitsmanagementsysteme. Gemeint ist damit kein Maßnahmenkatalog zum Abhaken, sondern ein Steuerungssystem: Risiken identifizieren, bewerten, behandeln und laufend nachführen. Ein ISMS, das im Alltag funktioniert, hilft Entscheidungen zu treffen. Eines, das nur für ein Audit gebaut wurde, fällt nach dem Zertifikat in sich zusammen.
Für Industrieunternehmen ist ISO 27001 deshalb oft wirtschaftlich sinnvoll: als Struktur für NIS2, als Nachweis gegenüber Kunden, als Basis für weitere Nachweisformate in der Lieferkette — etwa TISAX — und als Leitplanke für interne Verantwortlichkeiten. Vor allem dann, wenn Sicherheit nicht mehr von Einzelpersonen abhängen soll.
ISO 27001 — mein Beratungsangebot
ISO 27001 Gap-Analyse
Strukturierter Abgleich Ihres aktuellen Sicherheitsstands mit ISO/IEC 27001:2022 einschließlich Amd 1:2024. Festlegung des Geltungsbereichs, Risikobeurteilung und priorisierter Maßnahmenplan als Grundlage für die Projektplanung.
ISMS-Aufbau
Aufbau des Informationssicherheitsmanagementsystems von Grund auf: Informationssicherheitsleitlinie, Risikobeurteilungsrahmen, Risikobehandlungsplan und Erklärung zur Anwendbarkeit unter Berücksichtigung von Annex A.
Zertifizierungsvorbereitung
Interne Audits, Management-Review und Prüfung der dokumentierten Informationen — Vorbereitung auf Stage 1 und Stage 2 durch die Zertifizierungsstelle. Begleitung während des Zertifizierungsaudits.
Externer ISB
Übernahme der Funktion des Informationssicherheitsbeauftragten auf Zeit oder dauerhaft — für Unternehmen, die keinen eigenen ISB aufbauen wollen oder können.
BSI IT-Grundschutz
ISMS-Aufbau nach BSI IT-Grundschutz — Basis-Absicherung, Standard-Absicherung oder Kern-Absicherung. Geeignet für Unternehmen, die eine detaillierte deutsche Methode bevorzugen.
NIS2-Mapping & Nachweisstruktur
Abgleich des ISMS mit den einschlägigen BSIG-Pflichten: Risikomanagement, Registrierung, Meldungen und Aufgaben der Geschäftsleitung. Vorhandene ISO-Nachweise werden genutzt; verbleibende Lücken werden separat geplant.
Wann sich ISO 27001 wirtschaftlich wirklich lohnt
Kunden fordern belastbare Nachweise
Wenn Ausschreibungen, Lieferantenbewertungen oder Versicherer nach strukturierter Informationssicherheit fragen, reicht ein loses Maßnahmenpaket meist nicht mehr.
NIS2 soll nicht improvisiert werden
Viele Pflichten lassen sich mit einem gelebten ISMS sauberer steuern als mit Einzelmaßnahmen, die in verschiedenen Teams und Dokumenten verstreut sind.
Mehrere Standorte oder Teams müssen sauber zusammenspielen
Spätestens wenn Verantwortung über mehrere Bereiche läuft, braucht Sicherheit einen gemeinsamen Rahmen statt persönlicher Gewohnheiten.
Sicherheit soll steuerbar statt reaktiv werden
Ein gutes ISMS verschiebt die Perspektive: weg von Einzelreaktionen nach Vorfällen, hin zu nachvollziehbaren Entscheidungen, klaren Rollen und belastbaren Nachweisen.
Genau deshalb baue ich ISMS-Strukturen nicht als Dokumentenarchiv auf, sondern als Arbeitsmodell, das im Alltag benutzt wird. Für kleinere Unternehmen kann davor ein CyberRisikoCheck sinnvoll sein. Wenn NIS2 bereits drückt, lässt sich der Aufbau mit einer NIS2-Gap-Analyse koordinieren.
Von der Gap-Analyse zur Zertifizierung
Geltungsbereich und Gap-Analyse
Was soll zertifiziert werden? Welche Systeme, Standorte und Prozesse liegen im Geltungsbereich? Abgleich mit ISO/IEC 27001:2022 einschließlich Amd 1:2024 – Stärken, Lücken und priorisierter Handlungsbedarf.
Risikobeurteilung
Systematische Identifikation und Bewertung von Informationssicherheitsrisiken. Daraus entstehen der Risikobehandlungsplan und die Erklärung zur Anwendbarkeit mit den relevanten Annex-A-Maßnahmen.
ISMS-Implementierung
Richtlinien, Prozesse, technische Maßnahmen — nach Priorisierung umgesetzt. Schulung der Mitarbeiter, Einbindung der Geschäftsführung.
Interne Audits & Management-Review
Internes Audit, orientiert an ISO 19011:2026, und Management-Review nach ISO/IEC 27001 Kapitel 9 — Vorbereitung auf das externe Zertifizierungsaudit.
Zertifizierungsaudit
Stage 1 bewertet unter anderem den Geltungsbereich, dokumentierte Informationen und Auditbereitschaft. In Stage 2 prüft die Zertifizierungsstelle Umsetzung und Wirksamkeit des ISMS. Ich begleite als Ansprechpartner während des gesamten Audits.
ISO 27001 & ISMS — was Unternehmen fragen
Q01Wie lange dauert eine ISO 27001-Erstzertifizierung?
Für ein mittelständisches Unternehmen ohne vorhandenes ISMS rechne ich mit 9 bis 18 Monaten — von der initialen Gap-Analyse bis zum Zertifizierungsaudit. Entscheidend ist der Ausgangszustand: Unternehmen mit bereits gelebten Sicherheitsprozessen kommen deutlich schneller durch. Ein realistischer Projektplan entsteht nach der ersten Gap-Analyse.
Q02Brauche ich ISO 27001 für NIS2?
Nein. Eine Zertifizierung nach ISO/IEC 27001 ist weder nach NIS2 noch nach dem BSIG vorgeschrieben. Ein gelebtes ISMS kann viele Risikomanagementmaßnahmen aus § 30 BSIG strukturieren und Nachweise bündeln. Registrierung, Meldungen, Pflichten der Geschäftsleitung sowie sektorale Sonderregeln müssen jedoch gesondert geprüft und ergänzt werden.
Q03Was kostet ein ISO 27001 ISMS-Aufbau?
Das hängt stark vom Geltungsbereich und Ausgangszustand ab. Für einen fokussierten ISMS-Aufbau in einem mittelständischen Unternehmen (bis 200 Mitarbeiter, definierter Geltungsbereich) liegt der externe Beratungsaufwand erfahrungsgemäß bei 40 bis 100 Tagen. Hinzu kommen Zertifizierungskosten der Zertifizierungsstelle. Ein genauer Kostenrahmen entsteht nach der Gap-Analyse.
Q04Was ist der Unterschied zwischen ISO 27001 und BSI IT-Grundschutz?
ISO/IEC 27001 ist ein internationaler, risikobasierter Anforderungsstandard für Informationssicherheitsmanagementsysteme. Der BSI IT-Grundschutz ist eine detaillierte Methodik des Bundesamts für Sicherheit in der Informationstechnik mit Bausteinen und Umsetzungshinweisen. Unternehmen können beide Ansätze kombinieren — ISO/IEC 27001 als Rahmen und IT-Grundschutz als methodische Ausgestaltung.
Q05Wie ist das ISMS nach der Zertifizierung zu pflegen?
ISO 27001 erfordert regelmäßige interne Audits, Management-Reviews und Überwachungsaudits durch die Zertifizierungsstelle (jährlich). Das ISMS muss gelebt werden — Risikobeurteilungen aktuell halten, Vorfälle auswerten, Maßnahmen nachverfolgen. Ich unterstütze auf Wunsch auch nach der Zertifizierung als externer ISB oder bei der Audit-Vorbereitung.
Passende nächste Themen
Bereit für den nächsten Schritt?
Antwort in der Regel innerhalb von 24 Stunden an Werktagen. Kein Verkaufsgespräch – ein ehrliches Erstgespräch über Ihre Situation.