Wer als KMU an Ausschreibungen größerer Unternehmen teilnehmen will, kommt an dem Thema schlicht nicht mehr vorbei.
Wie läuft eine ISO 27001-Zertifizierung ab? Viele Unternehmen wissen zwar, dass sie eine Zertifizierung benötigen, haben aber zu Beginn kaum ein klares Bild davon, was das konkret bedeutet. In vielen Fachartikeln bleibt die Antwort erstaunlich vage: Phasen werden angedeutet, Kosten umschrieben, Stolpersteine beschönigt. Dieser Ratgeber legt den gesamten Ablauf offen, vom ersten Schritt bis zur Rezertifizierung, ohne Schönfärberei.
ISO 27001 ist für den deutschen Mittelstand relevanter geworden als je zuvor. Lieferketten verlangen heute von Zulieferern nachgewiesene Informationssicherheit, Kunden fordern Zertifikate als Vergabevoraussetzung, und das regulatorische Umfeld rund um NIS2 erhöht den Druck weiter. Wer als KMU an Ausschreibungen größerer Unternehmen teilnehmen will, kommt an dem Thema schlicht nicht mehr vorbei.
Dieser Ratgeber richtet sich an IT-Entscheider im Mittelstand, die zwischen Fachportalen und Beratungsangeboten stecken und kein klares Gesamtbild bekommen. Nach der Lektüre können Sie den Projektplan grob skizzieren, einen realistischen Kostenrahmen einschätzen und die häufigsten Stolpersteine frühzeitig erkennen.
Wer verstehen will, wie der Ablauf der ISO 27001-Zertifizierung funktioniert, muss zunächst das Ziel verstehen: ein nachweislich funktionierendes Informationssicherheits-Managementsystem, kurz ISMS. Dabei handelt es sich nicht um ein Softwareprodukt, das man kauft und einschaltet, sondern um ein organisatorisches System aus Prozessen, Richtlinien und Verantwortlichkeiten, das im Alltag gelebt werden muss.
Die Anforderungen der ISO/IEC 27001 betreffen vier zentrale Bereiche: Führung, Risikomanagement, Ressourcen und kontinuierliche Verbesserung. Der viel diskutierte Anhang A der Norm enthält 93 Sicherheitskontrollen, die jedoch keine Pflichtliste darstellen. Sie sind ein Auswahlrahmen: Welche Kontrollen für Ihr Unternehmen gelten, hängt von Ihrer Risikoanalyse ab, und diese Auswahl müssen Sie begründen.
Zur Frage der Verantwortlichkeit gibt es wenig Spielraum. Das Topmanagement muss formal in das ISMS eingebunden sein, diese Pflicht lässt sich nicht vollständig delegieren. In der Praxis werden typischerweise ein ISMS-Verantwortlicher, interne Auditoren und sogenannte Risikoeigner benannt. Ohne diese klare Struktur gerät das Projekt erfahrungsgemäß ins Stocken, noch bevor der erste externe Prüfer das Haus betritt.
Bevor das eigentliche Aufbauwerk beginnt, braucht ein Unternehmen zwei Antworten: Wo stehen wir gerade? Und was wollen wir überhaupt zertifizieren lassen? Beide Fragen sind enger miteinander verknüpft, als viele anfangs annehmen.
Eine strukturierte Gap-Analyse gleicht den aktuellen Ist-Zustand systematisch mit den ISO-27001-Anforderungen ab. Das Ergebnis ist eine priorisierte Liste von Lücken in der Dokumentation, in Prozessen und bei technischen Kontrollen. Externe Begleitung durch einen erfahrenen Berater ist hier besonders wertvoll, weil interne Betriebsblindheit ein reales Risiko ist: Wer täglich im gleichen System arbeitet, übersieht strukturelle Schwächen, die ein Außenstehender sofort erkennt.
Der Geltungsbereich, in der Norm als Scope bezeichnet, ist eine der folgenreichsten Entscheidungen des gesamten Projekts. Er legt fest, welche Standorte, Abteilungen, Systeme und Prozesse vom ISMS abgedeckt werden. Ein zu weit gefasster Scope kann den Aufwand erheblich in die Höhe treiben, in der Praxis berichten Berater von einer Verdoppelung des Gesamtaufwands bei schlecht abgegrenztem Geltungsbereich. Ein KMU mit 80 Mitarbeitenden fährt oft besser, wenn es zunächst nur die IT-Abteilung und die Kernprozesse der Auftragsabwicklung zertifiziert, statt das gesamte Unternehmen auf einmal in den Geltungsbereich zu nehmen.
Mit dem Scope steht das Fundament. Jetzt folgt der aufwändigste Teil des Projekts: der strukturierte Aufbau des ISMS. Drei Bausteine sind dabei besonders zentral: die Risikobewertung, das Statement of Applicability und die Pflichtdokumentation.
Die Risikobewertung beginnt mit einem Inventar der Informationswerte (englisch: Asset-Inventar): Welche Informationen und Systeme schützen Sie überhaupt? Darauf aufbauend werden Bedrohungen und Schwachstellen bewertet, um Schutzbedarfe abzuleiten. Für jedes identifizierte Risiko gibt es vier Behandlungsoptionen: Maßnahme umsetzen, Risiko auf Dritte übertragen, Risiko akzeptieren oder es durch Prozessänderungen vermeiden. Das Ergebnis ist ein dokumentierter Risikobehandlungsplan, der beim Audit als zentraler Nachweis gilt.
Das Statement of Applicability, kurz SoA, ist kein Formular, sondern ein zentrales Steuerungsdokument. Es hält fest, welche der 93 Anhang-A-Kontrollen für Ihr Unternehmen gelten, welche nicht, und warum. Prüfer hinterfragen das SoA im Audit besonders kritisch: Kontrollen, die als „nicht anwendbar“ deklariert sind, müssen mit nachvollziehbaren Begründungen belegt sein. Eine unvollständige oder widersprüchliche SoA ist einer der häufigsten Auslöser für Abweichungsberichte.
Die ISO/IEC 27001:2022 schreibt eine Reihe von Pflichtdokumenten verbindlich vor. Dazu gehören die Informationssicherheitsleitlinie, die Methodik und die Ergebnisse der Risikobewertung, der Risikobehandlungsplan, das SoA, Nachweise zu internen Audits, das Management-Review-Protokoll sowie Nachweise zu Abweichungen und Korrekturmaßnahmen. Der häufigste Fehler: Die Dokumente existieren, aber es gibt keine Nachweise, dass die beschriebenen Prozesse tatsächlich gelebt werden. Ein Audit prüft beides.
Viele Unternehmen behandeln das interne Audit und das Management-Review als Formalität, die man kurz vor dem externen Prüftermin abhakt. Das ist ein Fehler mit Konsequenzen. Beide Elemente sind der letzte Realitätscheck vor der externen Prüfung, und erfahrene Zertifizierer erkennen sofort, wenn ein Management-Review-Protokoll hastig zusammengestellt wurde.
Das interne Audit darf nicht von der für das ISMS verantwortlichen Person selbst durchgeführt werden. Es braucht entweder ausgebildete interne Auditoren oder externe Begleitung. Geprüft wird, ob die tatsächliche Umsetzung mit den dokumentierten Anforderungen übereinstimmt. Das Ergebnis sind Abweichungsberichte und Korrekturmaßnahmen, die später als Auditnachweis vorgelegt werden.
Das Management-Review verlangt, dass die Unternehmensleitung die ISMS-Leistung formell bewertet: Audit-Ergebnisse, Sicherheitsvorfälle, verfügbare Ressourcen und Verbesserungsbedarf müssen dokumentiert sein. Zertifizierer prüfen dieses Protokoll sehr aufmerksam. Das typische Problem: Die Geschäftsführung hat das Dokument unterschrieben, aber niemand im Raum kann den Inhalt erklären. Genau das signalisiert einem Auditor, dass das ISMS auf dem Papier existiert, aber nicht in der Führungsebene verankert ist.
Wenn Dokumentation, internes Audit und Management-Review vorliegen, beginnt das eigentliche Zertifizierungsaudit. Es läuft in zwei klar getrennten Phasen ab, die sich in Zweck, Dauer und Prüftiefe deutlich unterscheiden. Die Kenntnis dieser Struktur hilft dabei, die Vorbereitung gezielt auf die jeweiligen Anforderungen auszurichten.
In Phase 1 prüft die Zertifizierungsstelle, ob Ihr ISMS grundsätzlich zertifizierungsreif ist. Im Mittelpunkt stehen die Vollständigkeit und Plausibilität der Kernunterlagen: Scope-Definition, SoA, Risikobeurteilung, internes Auditprotokoll und Management-Review. Diese Phase ist häufig remote durchführbar und dauert in der Praxis oft einen halben bis ganzen Tag, wobei die tatsächliche Dauer je nach Umfang der Unterlagen variieren kann. Das Ergebnis ist entweder eine Freigabe für Phase 2 oder eine Liste kritischer Lücken, die vor dem nächsten Schritt geschlossen werden müssen.
Phase 2 ist der eigentliche Prüfkern. Auditoren führen Interviews mit Führungskräften, IT-Verantwortlichen und ausgewählten Mitarbeitenden. Sie sichten Nachweise wie Systemprotokolle, Schulungsbelege und Vorfallberichte. Besonders kritisch ist der Nachweis, dass die Anhang-A-Kontrollen nicht nur dokumentiert, sondern tatsächlich im Alltag angewendet werden. Ein Sicherheitsvorfall ohne dokumentierte Reaktion, ein Patch-Management-Prozess ohne Ausführungsbelege: solche Lücken können zuverlässig zu Abweichungsberichten führen. Die Dauer liegt typischerweise bei einem bis drei Tagen, abhängig von Scope und Unternehmensgröße, bei mehreren Standorten oder breitem Geltungsbereich kann sie auch darüber hinausgehen.
Nach Phase 2 unterscheidet die Zertifizierungsstelle zwischen geringfügigen Abweichungen (Minor Non-Conformities) und schwerwiegenden Abweichungen (Major Non-Conformities). Geringfügige Abweichungen lassen sich mit einem dokumentierten Korrekturmaßnahmenplan beheben, ohne das Audit zu wiederholen. Eine schwerwiegende Abweichung hingegen kann dazu führen, dass wesentliche Teile des Audits wiederholt werden müssen, im ungünstigsten Fall verzögert sich die Zertifikatsausstellung erheblich. Liegen alle Korrekturnachweise vor und akzeptiert die Zertifizierungsstelle diese, wird das Zertifikat ausgestellt. Die Laufzeit beträgt drei Jahre.
Dieser Abschnitt gibt konkrete Zahlen, weil viele Ratgeber hier vage bleiben. Wer ein Zertifizierungsprojekt budgetieren und terminieren muss, braucht realistische Bandbreiten.
Für ein KMU mit 100 bis 250 Mitarbeitenden sind neun bis 15 Monate ein realistischer Planungsrahmen. Kürzer gelingt es selten, weil das ISMS nachweislich betrieben werden muss, bevor das externe Audit starten kann. Ein typischer Zeitplan gliedert sich in etwa so: zwei Monate für Gap-Analyse und Projektaufbau, vier bis sechs Monate für die ISMS-Implementierung, zwei Monate für internen Betrieb und internes Audit, danach ein bis zwei Monate für das Zertifizierungsaudit selbst.
Für die Erstzertifizierung sollten KMU je nach Scope und Reifegrad zwischen 25.000 und 60.000 Euro einplanen. Davon entfallen 6.000 bis 12.000 Euro auf das eigentliche Zertifizierungsaudit bei einer akkreditierten Stelle; die Auditorentagessätze liegen in Deutschland typischerweise bei 1.500 bis 2.400 Euro. Der größte Kostenblock ist erfahrungsgemäß die externe Beratung: Tagessätze für ISO-27001-Berater bewegen sich üblicherweise zwischen 1.000 und 1.800 Euro, für das Gesamtprojekt kommen dabei schnell 15.000 bis 35.000 Euro zusammen. Hinzu kommen laufende Kosten nach der Zertifizierung von 8.000 bis 20.000 Euro jährlich für Überwachungsaudits, interne Audits und ISMS-Betrieb.
Unternehmen, die mit deutlich niedrigeren Zahlen kalkulieren, unterschätzen in der Regel den internen Aufwand, der durch das Projekt entsteht: Mitarbeitende, die Richtlinien lesen und Schulungen absolvieren müssen, Führungskräfte, die in Interviews Zeit aufwenden, und der IT-Verantwortliche, der das Projekt neben dem Tagesgeschäft koordiniert.
Wer die häufigsten Fehler kennt, kann sie vermeiden. Die Muster sind dabei bemerkenswert konstant, unabhängig von Branche oder Unternehmensgröße.
Am häufigsten scheitern Projekte an einem zu weit gefassten Scope. Mehr Abteilungen und Systeme als nötig treiben Aufwand und Kosten in die Höhe, ohne dass das Zertifikat dadurch wertvoller wird. Eng damit verbunden ist das Problem fehlender Nachweise: Maßnahmen sind implementiert, aber nicht dokumentiert, und ohne Dokumentation sind sie für den Auditor schlicht nicht vorhanden. Nicht weniger folgenreich ist die Unterschätzung des benötigten Ressourceneinsatzes: ISO-27001-Projekte geraten oft ins Stocken, weil das interne Team das Vorhaben nebenbei abwickeln soll und kein Budget für externe Unterstützung eingeplant wurde.
ISO 27001 ist kein IT-Projekt, sondern ein Managementsystem. Ohne sichtbares Commitment der Geschäftsleitung signalisiert das Audit strukturelle Schwäche. Das häufigste Muster: Die Geschäftsführung delegiert die gesamte Verantwortung an die IT-Abteilung und erscheint im Management-Review unvorbereitet. Auditoren werten das als strukturelles Risiko. Im besten Fall ist die Folge eine geringfügige Abweichung; im schlechteren Fall verzögert sich die Zertifikatsausstellung erheblich, im ungünstigsten Fall kann das Zertifikat gänzlich verweigert werden.
Ein weiteres unterschätztes Problem ist die fehlende Einbindung von Fachabteilungen außerhalb der IT. Wenn Informationssicherheit als reine IT-Aufgabe behandelt wird, fehlen Akzeptanz und Verantwortlichkeit im Rest des Unternehmens. Das fällt spätestens dann auf, wenn Auditoren in Phase 2 Mitarbeitende aus dem Vertrieb oder der Buchhaltung zu Sicherheitsrichtlinien befragen.
Das Zertifikat ist kein Abschluss, sondern der Beginn eines dauerhaften Betriebs. Wer das ISMS nach der Ausstellung vernachlässigt, riskiert beim nächsten Überwachungsaudit ernsthafte Probleme.
In Jahr 1 und Jahr 2 nach der Erstzertifizierung führt die Zertifizierungsstelle jeweils ein Überwachungsaudit durch. Der Prüfer schaut dabei nicht das gesamte ISMS noch einmal durch, sondern setzt Schwerpunkte: Wurden Korrekturmaßnahmen aus dem Vorjahr umgesetzt? Laufen interne Audits und Management-Reviews regelmäßig? Wie wurden Sicherheitsvorfälle behandelt? Gibt es Änderungen im Scope oder in der IT-Infrastruktur? Die Dauer liegt typischerweise bei einem halben bis ganzen Tag, deutlich kürzer als das Erstzertifizierungsaudit.
Nach Ablauf des dreijährigen Zertifikatszyklus folgt die vollständige Neubewertung des ISMS. Der Aufwand ist ähnlich wie bei der Erstzertifizierung, aber mit dem Vorteil eines eingespielten Systems und vorhandener Dokumentation. Unternehmen, die interne Audits und Management-Reviews konsequent und nicht nur pro forma durchgeführt haben, kommen ohne Hektik in die Rezertifizierung. Wer das ISMS nach der Erstzertifizierung schleifen ließ, steht kurz vor dem Ablaufdatum vor einem Aufholprojekt.
Wie läuft eine ISO 27001-Zertifizierung ab, und ist sie für ein KMU zu stemmen? Die Antwort lautet: ja, wenn man strukturiert vorgeht. Mit einem realistisch zugeschnittenen Scope, starker Managementbindung und sauber aufgebauter Dokumentation ist das Audit auch ohne ein eigenes Sicherheitsteam von zehn Personen zu bestehen. Entscheidend ist dabei weniger das technische Wissen als die organisatorische Konsequenz: Risikoanalyse und SoA wirklich durchdenken, Nachweise systematisch sammeln, das ISMS nach der Zertifizierung tatsächlich betreiben.
Die praktische Empfehlung lautet: Mit der Gap-Analyse starten, den Scope so eng wie möglich halten und frühzeitig einen erfahrenen Berater einbinden, der ISO-27001-Projekte in KMU kennt. Wer erst kurz vor dem Auditdatum merkt, dass wesentliche Nachweise fehlen, verliert Zeit und Geld. Wenn Sie wissen wollen, wie eine ISO 27001-Zertifizierung für Ihr Unternehmen konkret abläuft, beginnen Sie mit einer Gap-Analyse und einem eng gefassten Geltungsbereich, das ist die Grundlage für jeden erfolgreichen Zertifizierungsablauf.
Wer einen passenden ISO-27001-Berater sucht, findet über das KI-gestützte Dienstleisterverzeichnis von IT-Dock geprüfte Anbieter, die auf Informationssicherheit und den deutschen Mittelstand spezialisiert sind. Das spart die übliche Recherche über mehrere Portale und bringt direkt passende Treffer für den eigenen Bedarf.
Ein nachweislich funktionierendes Informationssicherheits-Managementsystem, kurz ISMS. Das kaufen Sie nicht als Software ein, sondern bauen es aus Prozessen, Richtlinien und Verantwortlichkeiten auf. Die Norm deckt vier Bereiche ab: Führung, Risikomanagement, Ressourcen und Verbesserung. Anhang A liefert dazu 93 Sicherheitskontrollen. Das ist keine Pflichtliste, sondern ein Auswahlrahmen, und Ihre Risikoanalyse entscheidet, was davon gilt.
Für ein KMU mit 100 bis 250 Mitarbeitenden sind neun bis 15 Monate realistisch. Schneller klappt es selten, weil Sie das ISMS erst eine Weile betreiben müssen, bevor der externe Prüfer kommt. Grobe Aufteilung: zwei Monate Gap-Analyse und Projektaufbau, vier bis sechs Monate Implementierung, zwei Monate interner Betrieb samt internem Audit, ein bis zwei Monate Zertifizierungsaudit.
Für die Erstzertifizierung planen KMU je nach Scope 25.000 bis 60.000 Euro ein. Auf das Audit bei einer akkreditierten Stelle entfallen davon 6.000 bis 12.000 Euro, die Auditorentagessätze liegen bei 1.500 bis 2.400 Euro. Den größten Block macht meist die Beratung aus: 1.000 bis 1.800 Euro pro Tag, im Projekt schnell 15.000 bis 35.000 Euro. Nach der Zertifizierung kommen jährlich 8.000 bis 20.000 Euro für Überwachungsaudits und ISMS-Betrieb dazu.
Weil er den Aufwand des gesamten Projekts bestimmt. Der Scope legt fest, welche Standorte, Abteilungen, Systeme und Prozesse das ISMS abdeckt. Berater berichten von doppeltem Gesamtaufwand, wenn die Abgrenzung schlecht sitzt. Ein KMU mit 80 Mitarbeitenden fährt oft besser, wenn es zuerst die IT und die Kernprozesse der Auftragsabwicklung zertifiziert statt das ganze Unternehmen.
Das SoA hält fest, welche der 93 Anhang-A-Kontrollen bei Ihnen gelten, welche nicht, und warum. Es steuert damit das gesamte ISMS. Auditoren hinterfragen besonders die Kontrollen, die Sie als nicht anwendbar deklariert haben. Fehlt dort eine nachvollziehbare Begründung oder widerspricht sie der Risikobewertung, folgt ein Abweichungsbericht.
In zwei Phasen. Phase 1 prüft die Kernunterlagen auf Vollständigkeit und Plausibilität, oft remote, meist an einem halben bis ganzen Tag. Ergebnis ist die Freigabe für Phase 2 oder eine Liste kritischer Lücken. Phase 2 findet vor Ort statt und dauert typischerweise ein bis drei Tage. Auditoren interviewen Führungskräfte, IT und Mitarbeitende und sichten Nachweise wie Systemprotokolle, Schulungsbelege und Vorfallberichte.
Geringfügige Abweichungen beheben Sie mit einem dokumentierten Korrekturmaßnahmenplan, ohne das Audit zu wiederholen. Eine schwerwiegende Abweichung kann dazu führen, dass wesentliche Teile des Audits erneut stattfinden. Sobald die Zertifizierungsstelle Ihre Korrekturnachweise akzeptiert, stellt sie das Zertifikat aus. Es läuft drei Jahre.
Weil ISO 27001 kein IT-Projekt ist, sondern ein Managementsystem. Das häufigste Muster: Die Geschäftsführung schiebt alles in die IT-Abteilung und sitzt im Management-Review unvorbereitet am Tisch. Auditoren werten das als strukturelles Risiko. Das reicht von einer geringfügigen Abweichung bis zur verweigerten Zertifizierung. Ähnlich fällt es auf, wenn Vertrieb oder Buchhaltung in Phase 2 nichts zu den Sicherheitsrichtlinien sagen können.
In Jahr 1 und Jahr 2 je ein Überwachungsaudit, meist ein halber bis ganzer Tag. Geprüft werden Korrekturmaßnahmen aus dem Vorjahr, interne Audits, Management-Reviews, der Umgang mit Sicherheitsvorfällen und Änderungen an Scope oder IT-Infrastruktur. Nach drei Jahren folgt die Rezertifizierung mit einer vollständigen Neubewertung. Wer das ISMS zwischendurch schleifen lässt, hat dann ein Aufholprojekt vor sich.
EDR überwacht Endgeräte, XDR erweitert das Prinzip auf Netzwerk, Identitäten und Cloud. Was die Technik erkennt – und was Ihre Organisation damit anfangen kann.
Was ein MDR-Service leistet, wo die Grenze zu EDR, SIEM und SOC verläuft und worauf es bei der Anbieterauswahl ankommt.
Smishing ist Phishing per SMS. Angreifer verschicken Textnachrichten im Namen eines vertrauenswürdigen Absenders — Paketdienst, Bank, Behörde, Vorgesetzte.
Was ist Whaling? Wie diese gezielte Phishing-Attacke auf Führungskräfte funktioniert, woran Sie sie erkennen und wie Sie Ihr Unternehmen schützen.
CEO Fraud (Fake President): Wie die Betrugsmasche funktioniert, woran Sie sie erkennen und wie Sie Ihr Unternehmen wirksam davor schützen.
Vishing erklärt: So funktioniert Voice Phishing, so erkennen Sie betrügerische Anrufe – und das hilft nach einem Telefonbetrug. Mit Beispielen & FAQ.
Data Masking (deutsch: Datenmaskierung) sorgt dafür, dass aus echten personenbezogenen Daten realistische, aber nutzlose Platzhalter werden – ohne dass Tests, Reports oder Schulungen ihren Wert verlieren.
NIS2 ist jetzt relevant, weil die Richtlinie Cybersicherheit erstmals verbindlich und überprüfbar macht – mit Haftung, Meldepflichten und klaren technischen Vorgaben.
Alles über Spear-Phishing. Definition, Unterschied zu Phishing und wie sich Unternehmen schützen können.
Safety vs. Security Definitionen, Fail-Safe vs. Fail-Secure, Praxiskonflikte in OT & IT & warum beides zusammengehört
Informiert bleiben
Erhalten Sie wöchentlich die wichtigsten Tech-Trends, exklusive Analysen und Experteninterviews – speziell für IT-Entscheider.
Kommentare (0)
Noch keine Kommentare vorhanden.