Lohnt sich ISO 27001? Wann sich das Zertifikat bezahlt macht und wann nicht

ISO 27001 lohnt sich, wenn es bereits jemand verlangt, in einer Ausschreibung oder in der Sicherheitsbewertung eines Kunden, oder wenn NIS2 für Sie gilt. Dann ist das Zertifikat ein Posten der Umsatzkosten, kein Sicherheitsprojekt. Messen Sie sein erstes Jahr, 50.000 bis 150.000 € bei 26 bis 125 Beschäftigten, an den Aufträgen, die es möglich macht. Wenn niemand danach fragt, bringen Sie zuerst Ihre Controls in Ordnung.

Dieser Leitfaden behandelt, was das Zertifikat bringt, wann es sich bezahlt macht, wann es sich noch nicht lohnt, den Fall eines kleinen Unternehmens, wie Sie dasselbe Ergebnis günstiger erreichen, was das Zertifikat nicht aussagt, und eine Checkliste.

Ihre Situation	Lohnt es sich jetzt?	Warum
Eine Ausschreibung oder ein Auftrag, den Sie wollen, verlangt ISO 27001	Ja	Das Zertifikat ist Bedingung für diesen Umsatz
Sicherheitsbewertungen verzögern oder blockieren Ihre Abschlüsse	Meistens	Es beantwortet einen großen Teil der Standardfragebögen vorab
Sie verkaufen IKT-Dienstleistungen an Banken oder Versicherer	Meistens	DORA verpflichtet sie, Anbieter einzusetzen, die angemessene Standards für Informationssicherheit einhalten
Sie fallen unter NIS2	Meistens, als Weg dorthin	NIS2 verlangt die Maßnahmen, und ein ISMS liefert die meisten davon
Niemand fragt danach, und MFA, Patching und Backups sind lückenhaft	Noch nicht	Sie würden eine Managementebene auf schwachen Controls zertifizieren
Der Kunde will es innerhalb von drei Monaten	Nicht zu diesem Termin	Das System muss in der Regel drei Monate laufen, bevor das Stage-2-Audit stattfindet
Niemand ist nach dem Audit dafür verantwortlich	Noch nicht	Überwachungsaudits kommen jedes Jahr

Was bringt ein ISO-27001-Zertifikat tatsächlich?

Vier Dinge, und sie rechtfertigen sehr unterschiedliche Budgets.

Zugang zu Aufträgen, die es verlangen

In der Praxis führen Ausschreibungen und Lieferantenfreigaben bei Finanzdienstleistern, im Gesundheitswesen und im öffentlichen Sektor ISO 27001 oft als Auswahlkriterium oder Vertragsbedingung auf. Dort ist es eine Hürde im Einkauf, keine Präferenz. Rechnen Sie die Kosten als Vertriebskosten für diesen Markt, nicht als Sicherheitsinvestition.

Finanzdienstleister haben einen rechtlichen Grund, danach zu fragen. DORA, das seit dem 17. Januar 2025 gilt, bestimmt: „Finanzunternehmen dürfen vertragliche Vereinbarungen nur mit IKT-Drittdienstleistern schließen, die angemessene Standards für Informationssicherheit einhalten“ (Artikel 28(5)). DORA nennt ISO 27001 nicht, aber in der Praxis ist ein Zertifikat für einen Anbieter ein gängiger Weg, das nachzuweisen.

Kürzere Sicherheitsbewertungen

Bei der Wahl ihrer Maßnahmen zur Sicherheit der Lieferkette müssen Kunden, die unter NIS2 fallen, „die Gesamtqualität der Produkte und der Cybersicherheitspraxis ihrer Anbieter und Diensteanbieter“ berücksichtigen (Artikel 21(3)). Deshalb erreichen Fragebögen heute auch Unternehmen, die selbst nicht reguliert sind.

Nach unserer Erfahrung beantworten ein Zertifikat und eine Erklärung zur Anwendbarkeit den größten Teil eines VSA oder CAIQ und die Hälfte oder mehr eines SIG vorab. Prüfer akzeptieren sie oft anstelle ganzer Abschnitte. Fragebögen verschwinden dadurch nicht, wie in wie Sie einen Sicherheitsfragebogen beantworten beschrieben.

Nachweise für NIS2

Für Unternehmen gibt es kein NIS2-Zertifikat. NIS2 verlangt die Risikomanagementmaßnahmen im Bereich der Cybersicherheit nach Artikel 21, und zwar unter Berücksichtigung „gegebenenfalls der einschlägigen europäischen und internationalen Normen“. Ein ISMS deckt die meisten der zehn Maßnahmen ab, wie die Zuordnung in ISO 27001 und NIS2 zeigt.

Eine Behörde, die eine wesentliche Einrichtung beaufsichtigt, ist befugt zur „Anforderung von Nachweisen für die Umsetzung der Cybersicherheitskonzepte, z. B. der Ergebnisse von Sicherheitsprüfungen, die von einem qualifizierten Prüfer durchgeführt wurden, und der entsprechenden zugrunde liegenden Nachweise“ (Artikel 32(2)(g)). Ein jährlich auditiertes Managementsystem erzeugt einen großen Teil dieses Materials bereits. Belgien baut direkt darauf auf: Wesentliche Einrichtungen konnten den Meilenstein vom 18. April 2026 über einen ISO-27001-Weg erreichen, die vollständige Zertifizierung ist bis April 2027 fällig.

Ein Managementsystem, das Sie sonst nicht aufbauen würden

Verantwortliche, ein Risikoregister, ein internes Audit und eine Managementbewertung, nach einem Kalender, den jemand außerhalb des Unternehmens jedes Jahr prüft. Wo Sicherheit niemandes Aufgabe ist, ist dieser externe Kalender oft das Einzige, was die Arbeit am Laufen hält.

Wann rechnet sich ISO 27001?

Wenn die Aufträge, die es möglich macht, mehr wert sind als die drei Jahre, die es kostet. Beide Seiten lassen sich leichter schätzen, als die meisten Unternehmen annehmen.

Die Kostenseite. Für ein Unternehmen mit 26 bis 125 Beschäftigten kostet das erste Jahr alles inklusive rund 50.000 bis 150.000 €. Die Zahl, die man sich gegenseitig nennt, 50.000 bis 80.000 €, lässt meist die interne Zeit weg, und die ist der größte Posten. Danach berechnet die Zertifizierungsstelle in jedem Überwachungsjahr etwa ein Drittel des Honorars für das Erstaudit, und das interne Audit kommt jedes Jahr wieder. Die Aufschlüsselung nach Beschäftigtenzahl steht in was ISO 27001 kostet.

Die Nutzenseite. Zählen Sie drei Dinge: die Marge der Abschlüsse, die im letzten Jahr an der Sicherheitsbewertung verloren gingen oder dort feststecken, die Ausschreibungen, an denen Sie nicht teilnehmen konnten, und die Tage, die in Fragebögen geflossen sind. Wenn NIS2 gilt, ist der größte Teil des ISMS Arbeit, die Sie ohnehin leisten müssen, und dann ist es sinnvoll, nur den Mehraufwand der Zertifizierung dagegenzurechnen.

Begründen Sie es nicht mit Durchschnittswerten zu den Kosten von Datenpannen aus den Schlagzeilen. Sie beschreiben andere Unternehmen, und ein Zertifikat ändert für sich allein nichts an Ihrer Wahrscheinlichkeit einer Datenpanne.

Eine praktikable Regel: Wenn Sie einen Auftrag benennen können, dessen Marge die Dreijahreskosten deckt, ist die Entscheidung gefallen. Wenn Sie keinen benennen können, kaufen Sie auf Spekulation.

ENTSCHEIDUNGSBOGEN ISO 27001

A. WER FRAGT DANACH
   Ausschreibung oder Auftrag verlangt ISO 27001:   ja / nein (benennen)
   Blockiert durch Sicherheitsbewertung, 12 Monate: __ Abschlüsse, EUR __ Marge
   Fragebögen pro Jahr x Tage je Fragebogen:        __ x __ Tage
   Unter NIS2 (wesentlich / wichtig):               ja / nein / unklar
   Kunden aus dem Finanzsektor (DORA):              ja / nein

B. WAS ES KOSTET (siehe Kostenleitfaden)
   Erstes Jahr, alles inklusive interner Zeit:      EUR __
   Zweites und drittes Jahr, pro Jahr:              EUR __
   Benannter Verantwortlicher, Zeit pro Monat:      ______, __ Tage

C. AUSGANGSLAGE
   MFA für Admin- und Fernzugriff erzwungen:        ja / nein
   Frist für das Patchen kritischer Befunde:        ja / nein
   Backup in 12 Monaten zurückgespielt, gestoppt:   ja / nein
   Ausgeschiedene aus allen Systemen entfernt:      ja / nein

ENTSCHEIDUNG
   A nennt Auftrag oder Ausschreibung  -> zertifizieren, Geltungsbereich
                                          auf diesen Dienst begrenzt
   A nur Fragebögen                    -> jetzt Antwortbibliothek,
                                          zertifizieren, sobald die
                                          erste Hürde auftaucht
   Zwei oder mehr „nein“ in C          -> zuerst C beheben, dann
                                          zertifizieren
   Kein Verantwortlicher in B benannt  -> noch nicht

Wann lohnt sich ISO 27001 noch nicht?

In fünf Situationen ist das Geld zuerst anderswo besser eingesetzt.

Niemand fragt danach. Wenn kein Kunde, keine Ausschreibung und keine Aufsichtsbehörde es genannt hat, steht dem Zertifikat kein Umsatz gegenüber. Beantworten Sie Fragebögen aus einer gut gepflegten Antwortbibliothek und zertifizieren Sie, sobald die erste Hürde auftaucht.

Die grundlegenden Controls fehlen. ISO 27001 ist eine Managementebene über technischen Controls, kein Ersatz dafür. Wenn MFA nicht erzwungen wird, Endgeräte nicht verwaltet werden und das Patchen keinen Rhythmus hat, ist das ISMS, das Sie aufbauen, eine Governance-Fassade auf unsicherem Fundament. Beratertage schließen keinen Storage-Bucket, der offen im Internet steht.

Niemand betreibt es an Tag 366. Wer pflegt das ISMS, wenn die Berater gegangen sind, bei einem Überwachungsaudit pro Jahr? Wenn die Antwort niemand lautet, haben Sie einen Rahmen ohne Bild gekauft. Die Frage nach dem Verantwortlichen behandelt ISO 27001 ohne Sicherheitsteam.

Die Frist ist kürzer als der Nachweiszeitraum. Wenn Sie bei null anfangen, planen Sie neun bis zwölf Monate ein. Das System muss in der Regel drei Monate laufen, bevor das Stage-2-Audit stattfindet, wie in wie lange ISO 27001 wirklich dauert dargelegt. Ein Kunde, der in acht Wochen ein Zertifikat will, akzeptiert vielleicht einen abgestimmten Geltungsbereich, einen datierten Plan und den Nachweis, dass die Arbeit begonnen hat. Fragen Sie nach, bevor Sie für einen verdichteten Zeitplan bezahlen.

Der Geltungsbereich würde nicht abdecken, was der Kunde kauft. Ein enger Geltungsbereich, der den betreffenden Dienst ausklammert, beantwortet niemandes Frage.

Nichts davon spricht gegen die Norm. Es spricht für eine Reihenfolge: erst die Controls, dann das Managementsystem, dann das Zertifikat. Das Zertifikat folgt der Arbeit, und wenn es kommt, hat es Aussagekraft.

Lohnt sich ISO 27001 für kleine Unternehmen?

Oft, aber später, als der Vertriebsdruck vermuten lässt.

Ein kleineres Unternehmen zahlt ein geringeres Audithonorar, aber die Gesamtsumme schrumpft weniger, als man erwartet. Die Auditzeit richtet sich nach der Zahl der Personen im Geltungsbereich, und ein Unternehmen mit 1 bis 10 Beschäftigten braucht trotzdem etwa fünf Audittage, also rund 7.000 bis 9.000 €. Die festen Bestandteile schrumpfen nicht im gleichen Verhältnis. Sie brauchen weiterhin einen benannten Verantwortlichen, ein Risikoregister, ein objektives und unparteiisches internes Audit (Abschnitt 9.2), eine Managementbewertung und in der Praxis etwa drei Monate Nachweise vor dem Stage-2-Audit.

Ein kleines Unternehmen kann das Audit bestehen, weil die Norm ein Managementsystem zertifiziert und keinen Sicherheitswert. Die Frage ist das Timing. In der Praxis hat ein Unternehmen mit zehn Beschäftigten, das an andere kleine Unternehmen verkauft, meist mehr von grundlegenden Controls und einer Antwortbibliothek für Fragebögen, bis der erste Kunde das Zertifikat nennt. Ein Softwareunternehmen mit vierzig Beschäftigten, das an Banken, Versicherer oder öffentliche Stellen verkauft, wird der Anforderung in den meisten großen Abschlüssen begegnen und fängt besser an, bevor einer davon ins Stocken gerät.

Wie erreichen Sie dasselbe Ergebnis günstiger?

Das Ergebnis, das die meisten kleinen Unternehmen brauchen, ist ein Ja von einem bestimmten Kunden oder das Bestehen einer bestimmten Ausschreibung. Fünf Wege, es günstiger zu bekommen:

1. Fragen Sie, was der Kunde akzeptiert. Ein Zertifikat jetzt, ein Zertifikat bis zu einem im Vertrag festgelegten Datum oder bis dahin eine Erklärung zur Anwendbarkeit und einen datierten Plan. Die Antwort verändert sowohl das Budget als auch den Zeitplan.
2. Begrenzen Sie den Geltungsbereich auf den Dienst, den der Kunde kauft. Die Auditzeit wird anhand der Personen im Geltungsbereich berechnet, daher ist der Geltungsbereich der größte Hebel beim Honorar. Die Beschreibung des Geltungsbereichs ist außerdem das, was der Käufer liest.
3. Beheben Sie die technische Basis, bevor Sie Richtlinien schreiben. Erzwungene MFA, Patch-Fristen, erfolgreich zurückgespielte Backups, verwaltete Endgeräte und ein funktionierender Offboarding-Prozess sind die Lücken, die in fast jedem Unternehmen ohne Sicherheitsfunktion wieder auftauchen. Tools, die sie schließen, erzeugen zugleich die Aufzeichnungen, die der Auditor stichprobenartig prüft.
4. Setzen Sie ISO 27001 und NIS2 einmal um. Ein Satz Controls und ein Nachweisbestand, beiden Rahmenwerken zugeordnet. Zwei Projekte bezahlen dieselbe Gap-Analyse und dieselben Nachweise doppelt.
5. Budgetieren Sie das zweite und dritte Jahr, bevor Sie unterschreiben. Überwachungsaudits, internes Audit und Managementbewertung wiederholen sich. Ein Programm, das nur bis zum Zertifikat kalkuliert ist, endet beim Zertifikat.

Unser Vorgehen steht auf der ISO-27001-Seite. Einfach gesagt: „Wie baue ich Sicherheit auf, die Compliance leichter macht?“ hat einen klaren Ertrag. „Wie kaufe ich Compliance und hoffe, dass Sicherheit folgt?“ hat eine Verlängerungsrechnung.

Was sagt ein ISO-27001-Zertifikat nicht aus?

Ob Ihre Controls gut genug sind. Die Norm verlangt zwar, die Informationssicherheitsleistung und die Wirksamkeit des Informationssicherheitsmanagementsystems zu bewerten (Abschnitt 9.1), und der Auditor prüft Aufzeichnungen in Stichproben, nicht nur Richtlinien. Aber Sie wählen die Controls und legen fest, was als wirksam gilt. Die Norm setzt für kein einzelnes Control eine Qualitätsschwelle.

Denken Sie an die üblichen Wege in ein kleines Unternehmen: ein falsch konfigurierter Cloud-Dienst, ein nicht gepatchtes Endgerät, ein per Phishing erbeutetes Passwort, ein Konto mit zu weitreichenden Rechten. Für jeden gibt es ein Control in Anhang A: A.8.9 Konfigurationsmanagement, A.8.8 Handhabung von technischen Schwachstellen, A.6.3 Sensibilisierung und Schulung, A.8.2 privilegierte Zugangsrechte. Jedes davon lässt sich mit einem dokumentierten Prozess erfüllen, während das Problem offen bleibt. Ein monatlicher Scan, dessen Befunde monatelang offen bleiben, kann A.8.8 trotzdem bestehen. Das ist kein Fehler des Audits. Es ist der Umfang des Instruments.

Compliance ist eine Momentaufnahme. Sicherheit ist eine Haltung. Das Zertifikat beruht auf einer Stichprobe, die einmal im Jahr geprüft wird. Ihre Umgebung ändert sich jede Woche.

Diese Lücke schließen Sie, indem Sie Controls mit Zahlen statt mit Dokumenten messen: wie lange kritische Befunde offen bleiben, die MFA-Abdeckung administrativer Konten heute, wie lange die letzte vollständige Wiederherstellung gedauert hat. Von Hand vor einem Audit gesammelt, sind diese Zahlen schon bei Ankunft veraltet. Laufend aus Ihren Systemen erfasst, mit einem Menschen, der die Ausnahmen prüft, dienen sie gleichzeitig dem Auditor, den Nachfragen des Kunden und einer NIS2-Behörde. So funktioniert die CloudSoul-Plattform: automatisierte Erfassung mit menschlicher Expertise im Prozess (Human-in-the-Loop). Um zuerst herauszufinden, welche Ihrer Lücken Dokumentationslücken und welche technisch sind, beginnen Sie mit einem Sicherheitsaudit.

Checkliste für die Entscheidung über ISO 27001

• Benennen Sie den Auftrag, die Ausschreibung oder die Aufsichtsbehörde, die danach fragt, und finden Sie heraus, was akzeptiert wird.
• Stellen Sie die Dreijahreskosten der Marge gegenüber, die dadurch möglich wird, nicht Statistiken über Datenpannen.
• Prüfen Sie die Basis: erzwungene MFA, Patch-Fristen, eine Wiederherstellung mit gemessener Dauer, Ausgeschiedene entfernt.
• Ziehen Sie den Geltungsbereich um den Dienst, den der Kunde kauft.
• Benennen Sie den Verantwortlichen für das zweite und dritte Jahr, mit fest eingeplanter Zeit im Kalender.
• Wenn NIS2 gilt, planen Sie ein Programm und einen Nachweisbestand für beides.
• Rechnen Sie ab null mit neun bis zwölf Monaten und nennen Sie dem Kunden ein Datum.
• Behalten Sie die Lückenliste im Blick, auch nachdem das Zertifikat da ist.

Quellen

• ISO/IEC 27001:2022, Informationssicherheitsmanagementsysteme, Anforderungen, Abschnitte 9.1 und 9.2 und Anhang A, ISO.
• Richtlinie (EU) 2022/2555 (NIS2), Artikel 21 und 32, EUR-Lex.
• Verordnung (EU) 2022/2554 (DORA), Artikel 28(5) und 64, EUR-Lex.
• Zentrum für Cybersicherheit Belgien, „NIS2: 18 April 2026 deadline, what essential entities must have in place“, aktualisiert am 16. April 2026, CCB.

Häufige Fragen