Leitfäden zu NIS2, ISO 27001 und vCISO.
Praktische Leitfäden zu NIS2, ISO 27001, Meldepflichten und Lieferkettenrisiken. Geschrieben von den Menschen, die die Plattform betreiben.
ISO 27001 Stage-1- vs. Stage-2-Audit: was der Auditor prüft und was er akzeptiert
Das Stage-1-Audit liest Ihre ISMS-Dokumente und prüft, ob das System konzipiert ist. Stage 2 testet nach etwa drei Monaten Betrieb, ob es tatsächlich gelaufen ist. Was der Auditor jeweils prüft, was er akzeptiert und was eine Haupt- oder Nebenabweichung kostet.
Kosten der ISO-27001-Zertifizierung für KMU (2026): Audithonorare, Beratung und die Posten, die niemand beziffert
Für ein Unternehmen mit 26 bis 125 Beschäftigten kostet ISO 27001 im ersten Jahr rund 50.000 bis 150.000 €, alles inklusive. Das Zertifizierungsaudit ist der kleinste Posten. Alle Kosten, der Blick auf drei Jahre und wo Geld verschwendet wird.
Internes Audit und Managementbewertung nach ISO 27001: was die Abschnitte 9.2 und 9.3 verlangen, wie häufig und was Auditoren prüfen
ISO 27001 verlangt interne Audits (9.2) und Managementbewertungen (9.3) in geplanten Abständen. Eine Frequenz ist nicht festgelegt, doch jeder Zertifizierungsbesuch prüft beides, in der Praxis also mindestens jährlich. Anforderungen, sieben Eingaben, typische Feststellungen.
ISO 27001 Anhang A: die 93 Controls in 4 Themen, gruppiert danach, wie Sie sie tatsächlich umsetzen
Anhang A der ISO 27001:2022 enthält 93 Controls in vier Themen: organisatorisch (37), personenbezogen (8), physisch (14) und technologisch (34), davon 11 neu. Die vollständige Liste, die Änderungen seit 2013 und eine Gruppierung nach der Arbeit, die jedes Control verlangt.
Wie lange dauert die ISO-27001-Zertifizierung? Der Zeitplan nach Phasen und was ihn verzögert
Planen Sie neun bis zwölf Monate ein, wenn Sie bei null anfangen. Wohin jeder Monat eines ISO-27001-Projekts geht, der dreimonatige Nachweiszeitraum, der sich nicht komprimieren lässt, warum Stage-2-Audits verschoben werden und was den Zeitplan wirklich verkürzt.
ISO-27001-Geltungsbereich und Erklärung zur Anwendbarkeit: So formulieren Sie beide
Der ISO-27001-Geltungsbereich ist die Grenze Ihres Managementsystems und steht auf dem Zertifikat. Die Erklärung zur Anwendbarkeit listet alle 93 Controls aus Anhang A und ist die Grundlage des Audits. So ziehen Sie die Grenze, begründen Ausschlüsse und halten beides aktuell.
ISO 27001 ohne Sicherheitsteam: was ein kleines Unternehmen entscheiden, aufbauen und betreiben muss
Ein KMU ohne Sicherheitsteam kann ISO 27001 bestehen, denn zertifiziert wird ein Managementsystem, keine Sicherheitsnote. Wer was tut, Ihre Entscheidungen, die Dokumente und 93 Controls, ein Zeitplan von neun bis zwölf Monaten und was das Zertifikat offenlässt.
NIS2 und Ransomware: was Sie melden müssen, ob Sie zahlen dürfen und was Artikel 21 erwartet
Ransomware, die Ihre Dienste schwer stören kann, ist ein erheblicher NIS2-Sicherheitsvorfall: Frühwarnung binnen 24 Stunden, Meldung binnen 72. NIS2 verbietet das Zahlen nicht. Meldung, Zahlung, Vorschlag COM(2026) 13, Artikel 21, DSGVO und Checkliste für die ersten 24 Stunden.
Sicherheit der Lieferkette nach NIS2: So bewerten Sie Lieferantenrisiken gemäß Artikel 21
NIS2 zählt die Sicherheit der Lieferkette zu den zehn Mindestmaßnahmen. Sie müssen Schwachstellen, Produktqualität und Sicherheitspraktiken jedes unmittelbaren Anbieters bewerten und koordinierte EU-Bewertungen berücksichtigen. Schritte, Verträge und was Artikel 22 ergänzt.