ISO 27001: Informationssicherheit, die Auftraggeber verlangen und dein Team mitträgt.
Immer öfter steht die 27001 in Lieferantenfragebögen und Ausschreibungen, besonders bei IT-nahen Dienstleistern und Zulieferern großer Konzerne. Wir bauen dir ein Informationssicherheits-Managementsystem, das zu deinem Betrieb passt, ohne IT-Abteilung mit zwanzig Leuten.
Für wen das passt
Die 27001 ist keine reine IT-Norm. Sie betrifft jeden, der mit Daten von Kunden arbeitet und das nachweisen muss.
- IT-Dienstleister, Softwarefirmen, Agenturen und Rechenzentren, deren Kunden Sicherheitsnachweise fordern
- Zulieferer von Automotive, Banken, Versicherungen oder Energieversorgern mit Lieferantenfragebögen
- Betriebe, die unter NIS2 fallen oder deren Kunden darunter fallen
- Alle mit 9001, die Informationssicherheit ins bestehende System integrieren wollen
Was die ISO 27001 von dir will
Gleiche Struktur wie die 9001, dazu der Anhang A mit 93 Sicherheitsmaßnahmen. Nicht alle gelten für dich, welche, legt die Risikoanalyse fest. Sechs Kernpunkte:
Welche Informationen, Systeme und Geräte sind wichtig, was kann ihnen passieren, wie wahrscheinlich ist das? Die Risikoanalyse ist das Fundament.
Aus den 93 Maßnahmen wählst du die passenden und begründest, warum andere nicht gelten. Das Dokument heißt SoA und ist das Herzstück des Audits.
Zugriffsrechte, Passwörter, Homeoffice, Umgang mit Lieferanten, Clean Desk. Regeln, die jeder kennt und einhält.
Backups, Verschlüsselung, Updates, Protokollierung, Netzwerktrennung. Meist mit deinem IT-Dienstleister, wir übersetzen.
Schulungen, Vertraulichkeitserklärungen, Verhalten bei Phishing. Die meisten Vorfälle passieren durch Menschen, nicht durch Technik.
Meldeweg für Sicherheitsvorfälle, Notfallplan, internes Audit, Managementbewertung. Wie bei allen Normen: messen, lernen, nachsteuern.
So läuft es mit uns
Drei Schritte, alle online. Deinen IT-Dienstleister holen wir mit ins Boot, du musst nicht zwischen beiden übersetzen.
Wir erfassen mit dir Systeme, Daten, Zugriffe und Dienstleister und bewerten die Risiken. Daraus entsteht die Maßnahmenliste, die wirklich zu dir passt.
Richtlinien, Anwendbarkeitserklärung, Prozesse, Schulungsunterlagen, Nachweise. Technische Lücken schließt dein IT-Partner nach unserer Liste. Alles im selben System wie die 9001.
Internes Audit, Vorbereitung deines Teams auf typische Auditorfragen, Begleitung beim Zertifizierungsaudit. Bei Abweichungen arbeiten wir ohne Mehrkosten nach.
Dauer, Aufwand, Kosten
Die 27001 braucht mehr Zeit als die 9001, weil technische Maßnahmen umgesetzt und gelebt werden müssen, bevor der Auditor kommt.
Auf deiner Seite vor allem Bestandsaufnahme und Freigaben, dazu Zeit deines IT-Partners für die Technik. Die Dokumentation machen wir.
Festpreis für den Aufbau plus Gebühr der Zertifizierungsstelle. Die 27001 ist die aufwendigste der gängigen Normen, dafür auch die mit dem höchsten Wert bei Kunden.
Gut zu wissen
Die aktuelle Fassung ist die ISO 27001:2022. Ältere Zertifikate nach 2013 mussten bis Oktober 2025 umgestellt werden.
- Oft reicht Kunden erst mal TISAX oder ein Lieferantenfragebogen, wir sagen dir ehrlich, ob du die 27001 wirklich brauchst
- Datenschutzbeauftragter und ISMS greifen ineinander, wir decken beides ab
- Die 27001 ist die Basis für die ISO 42001, wenn KI-Systeme dazukommen
- Nach dem Zertifikat: Membership mit Compliance-Updates und Fragerunden
Kurz und ehrlich beantwortet.
Brauche ich eine eigene IT-Abteilung für die 27001?
Nein. Die meisten unserer 27001-Kunden arbeiten mit einem externen IT-Dienstleister. Wir liefern die Maßnahmenliste, der IT-Partner setzt die Technik um, wir dokumentieren.
Was ist der Unterschied zwischen ISO 27001 und TISAX?
TISAX ist der Prüfstandard der Automobilindustrie, der auf der 27001 aufbaut. Wer Automotive-Kunden hat, braucht oft TISAX. Wer breiter aufgestellt ist, nimmt die 27001, die international anerkannt ist.
Müssen alle 93 Maßnahmen umgesetzt werden?
Nein. Du wählst anhand der Risikoanalyse aus und begründest, was nicht gilt. Ein Bürobetrieb ohne eigene Server streicht viele technische Punkte.
Wie lange gilt das Zertifikat?
Drei Jahre mit jährlichem Überwachungsaudit, wie bei den anderen ISO-Normen.
Hilft die 27001 bei NIS2?
Ja. NIS2 verlangt viele Maßnahmen, die die 27001 abdeckt. Ein zertifiziertes ISMS ist der einfachste Nachweis, dass du die Anforderungen ernst nimmst.
Was kostet die ISO 27001?
Festpreis für den Aufbau, abhängig von Größe, IT-Landschaft und vorhandener 9001, plus Gebühr der Zertifizierungsstelle. Beides nennen wir dir im Erstgespräch.
Lass uns in 15 Minuten klären, ob es passt.
Trag dich ein, wir rufen dich an. Oder such dir direkt einen Termin aus. Kostenlos, unverbindlich, ohne Fachchinesisch.
- Du erfährst Dauer, Aufwand und Festpreis für deinen Fall
- Wir sagen ehrlich, ob und was du wirklich brauchst
- Kein Verkaufsdruck, du entscheidest in Ruhe