Ja, auch ein Unternehmen ohne Sicherheitsteam kann sich nach ISO 27001 zertifizieren lassen. Die Norm zertifiziert ein funktionierendes Managementsystem, keine Sicherheitsnote, und skaliert mit Ihrer Größe und Ihrem Risiko. Nicht auslagern können Sie eine benannte verantwortliche Person und fünf Entscheidungen. Aus einer ungesteuerten Ausgangslage sollte ein Unternehmen mit 20 bis 250 Personen neun bis zwölf Monate einplanen.
Dieser Leitfaden behandelt, wer was tut, die fünf Entscheidungen, die nur Sie treffen können, was Sie aufbauen müssen, die 93 Controls, die jüngsten Änderungen, den Zeitplan, wo kleine Unternehmen hängen bleiben und was das Zertifikat offenlässt.
| Aufgabe | Wer sie übernimmt |
|---|---|
| Geltungsbereich festlegen, entscheiden, was Sie schützen und was Sie nicht tun werden | Sie. Berater und Plattformen können diese Entscheidungen nicht treffen. |
| Sicherheit verantworten | Eine benannte Person mit der Befugnis, Nein zu sagen, und der Zeit, die Arbeit zu erledigen |
| Risiken akzeptieren | Jemand auf der richtigen Führungsebene, ausdrücklich und mit Begründung |
| Richtlinien und andere Dokumente erstellen | Berater oder Plattformen können das, aber die Mitarbeitenden müssen die Richtlinien bestätigen |
| Internes Audit | Sie, indem Sie sich selbst prüfen, bevor der Auditor es tut |
| Managementbewertung | Die Leitung, die sich die Ergebnisse formal ansieht |
| Zertifizierungsaudit | Der Auditor, der prüft, ob das System existiert und läuft |
Was zertifiziert ISO 27001 eigentlich?
Wenn Sie der CTO sind, der auch die Roadmap, die Infrastruktur und den halben Support verantwortet, sollten Sie das verstehen, bevor Sie Geld ausgeben.
ISO 27001 bescheinigt nicht, dass Ihr Unternehmen sicher ist. Sie bescheinigt, dass Sie ein funktionierendes System haben, um zu entscheiden, was geschützt werden muss, festzulegen, was dagegen zu tun ist, es umzusetzen, zu prüfen, ob es geschehen ist, und nachzubessern, wenn nicht. Ein Auditor testet nicht Ihre Firewall. Er testet, ob die Maschinerie existiert und läuft, die sich um Ihre Firewall kümmern soll.
Das hat zwei Folgen. Die gute: Ein kleines Unternehmen kann bestehen, weil die Norm mit Ihrer Größe und Ihrem Risiko skaliert. Die unbequeme: Sie können bestehen und dabei echte Schwachstellen offenlassen, solange Sie bewusst darüber entschieden und die Entscheidung dokumentiert haben. Der letzte Abschnitt kommt darauf zurück.
Welche Entscheidungen kann Ihnen kein Berater abnehmen?
Berater und Plattformen können Dokumente erstellen. Diese fünf Entscheidungen können sie nicht treffen, und jedes Projekt, das abdriftet, ist eines, in dem sie offengeblieben sind.
Was im Geltungsbereich liegt. Welche Teile des Unternehmens, welche Systeme, welche Standorte und welche Leistungen das Zertifikat abdeckt. Diese Entscheidung treibt die Kosten stärker als jede andere. Sie entscheidet auch, ob das Zertifikat die Frage beantwortet, die Ihr Kunde tatsächlich stellt.
Was Sie schützen und vor wem. Keine generische Bedrohungsliste. Was diesem Unternehmen wirklich schaden würde: ein Abfluss Ihres Quellcodes, ein viertägiger Produktionsausfall, eine Verletzung des Schutzes von Kundendaten, ein Zahlungsbetrug, eine Schlüsselperson, die mit der einzigen Kopie von etwas das Unternehmen verlässt.
Wer Sicherheit verantwortet. Eine benannte Person mit der Befugnis, Nein zu sagen, und der Zeit, die Arbeit zu erledigen. Die Norm verlangt das Engagement der obersten Leitung, und genau diese Anforderung täuschen Unternehmen am häufigsten nur vor.
Welches Risiko Sie akzeptieren. Jede Organisation akzeptiert Risiken. ISO 27001 verlangt nur, dass Sie das ausdrücklich tun, auf der richtigen Führungsebene und mit Begründung.
Was Sie nicht tun werden. Die unspektakuläre Hälfte. Wenn Sie dieses Jahr keinen formalen sicheren Entwicklungslebenszyklus einführen, sagen Sie das und begründen Sie es, statt eine Richtlinie zu schreiben, die ein Unternehmen beschreibt, das Sie nicht sind.
Wenn Sie diese fünf Punkte strukturiert klären wollen, bevor Sie Budget freigeben, ist genau dafür ein unabhängiges vCISO-Sicherheitsaudit da (vCISO: externer CISO). Es liefert die Entscheidungen, die priorisierten Lücken und die Roadmap und ist nützlich, ob Sie sich je zertifizieren lassen oder nicht.
Welche Dokumente und Aufzeichnungen verlangt ISO 27001?
Ohne Fachjargon verlangt die Norm eine recht kurze Liste von Dingen, die existieren und lebendig bleiben müssen:
- Ein definierter Geltungsbereich. Ein oder zwei Absätze plus eine Abgrenzung, die Sie verteidigen können.
- Eine Risikomethode und ein Risikoregister. Ein wiederholbares Verfahren, um Risiken zu identifizieren, zu bewerten und zu behandeln, und der Nachweis, dass Sie es angewendet haben. Keine Tabelle, die einmal im März geschrieben wurde.
- Eine Erklärung zur Anwendbarkeit (SoA). Jedes Control aus Anhang A, als anwendbar oder nicht anwendbar markiert, mit Begründung. Auditoren lesen dieses Dokument zuerst, deshalb haben wir Geltungsbereich und Erklärung zur Anwendbarkeit ohne Fachjargon geschrieben.
- Richtlinien, die die Mitarbeitenden tatsächlich angenommen haben. Geschrieben, freigegeben, versioniert und von den Mitarbeitenden bestätigt. Eine ungelesene Richtlinie ist eine Feststellung mit Ansage.
- Nachweise, dass Controls tatsächlich angewendet werden. Zugriffsüberprüfungen mit Datum, Wiederherstellungstests von Backups mit Ergebnis, Nachweise zu Ein- und Austritten, Patch-Nachweise, Lieferantenbewertungen.
- Internes Audit und Managementbewertung. Sie prüfen sich selbst, bevor der Auditor es tut, und die Leitung sieht sich die Ergebnisse formal an.
- Korrekturmaßnahmen. Wenn etwas fehlschlägt, gibt es einen Nachweis darüber, was Sie unternommen haben.
Das meiste davon ist Nachweisführung, nicht Technik. So sieht die Arbeit ehrlich betrachtet aus.
Wie viele Controls hat ISO 27001, und gelten alle?
Die Ausgabe 2022 listet in Anhang A 93 Controls, gruppiert in vier Themen: organisatorisch, personenbezogen, physisch und technologisch. Die Ausgabe 2013 hatte 114. Die Norm ist also kürzer geworden, nicht länger, vor allem durch das Zusammenlegen sich überschneidender Punkte.
Zwei Dinge machen die Zahl weniger beunruhigend:
- Ein erheblicher Teil wird auf Sie nicht zutreffen, und das schriftlich festzuhalten ist eine legitime Antwort.
- Vieles tun Sie bereits informell. Sie arbeiten neue Mitarbeitende bereits ein, machen Backups und beschränken, wer auf die Produktion zugreifen kann. Die Arbeit besteht meist darin, Vorhandenes zu formalisieren und nachzuweisen, nicht darin, bei null anzufangen.
Elf Controls waren 2022 neu. Sie erwischen kleine Unternehmen, weil sie nie Teil der alten Routine waren: Informationen über die Bedrohungslage, Informationssicherheit für Cloud-Dienste, IKT-Bereitschaft für Business Continuity, Überwachung der physischen Sicherheit, Konfigurationsmanagement, Löschung von Informationen, Datenmaskierung, Verhinderung von Datenlecks, Überwachungstätigkeiten, Webfilterung und sichere Codierung. Wenn Sie ein Softwareunternehmen sind, werden Konfigurationsmanagement, sichere Codierung und Überwachung echten Aufwand kosten.
Was hat sich bei ISO 27001 zuletzt geändert?
Vier Punkte zählen in der Praxis.
Die Ausgabe 2013 ist Geschichte. Die Übergangsfrist endete am 31. Oktober 2025. Jedes Audit läuft jetzt gegen die Controls von 2022, also ist jede Vorlage, jedes Richtlinienpaket und jedes Beratungsergebnis, das auf die alte Nummerierung verweist, veraltet. Prüfen Sie das, bevor Sie für irgendetwas bezahlen.
Das Klima steht jetzt in den Abschnitten zum Kontext. Änderung 1 der Norm hat Klimaaspekte in die Abschnitte zu Ihrem Kontext und Ihren interessierten Parteien aufgenommen. Sie müssen prüfen, ob Umweltbedingungen für Ihre Informationssicherheit relevant sind, und das Ergebnis in jedem Fall festhalten. Für die meisten Softwareunternehmen ist die ehrliche Antwort ein kurzer Absatz zur physischen Widerstandsfähigkeit der Einrichtungen, von denen Sie abhängen. Es ist eine Dokumentationsanforderung, keine grüne Transformation.
Änderungen müssen geplant werden. Abschnitt 6.3 verlangt, Änderungen am Managementsystem zu planen, statt es treiben zu lassen. Dieser Abschnitt verhindert, dass Ihr ISMS im ersten Monat stimmt und im vierzehnten Fiktion ist.
Auditoren wollen Aufzeichnungen, keine Momentaufnahmen. Der Schwerpunkt hat sich von der Frage, ob eine Richtlinie existiert, dahin verschoben, ob ein Control nachweislich gelaufen ist. Erwartet werden typischerweise mehrere Monate Betriebsaufzeichnungen, keine Momentaufnahme, die in der Woche vor dem Audit zusammengestellt wurde. Planen Sie das von Anfang an ein, denn sechs Monate Nachweise lassen sich nicht nachträglich erzeugen.
Wie lange dauert ISO 27001 ohne Sicherheitsteam?
Für ein Unternehmen mit 20 bis 250 Personen ohne Sicherheitsteam, bei stetiger statt heldenhafter Arbeit:
| Phase | Dauer |
|---|---|
| Geltungsbereich, Risikobeurteilung und Erklärung zur Anwendbarkeit | 4 bis 8 Wochen |
| Die Lücken schließen, die zählen | 2 bis 5 Monate |
| Das System lange genug betreiben, um Nachweise zu haben | Mindestens 3 Monate, 6 sind komfortabler |
| Internes Audit und Managementbewertung | 2 bis 4 Wochen |
| Stage-1- und Stage-2-Audit | Einige Wochen auseinander, plus Zeit, um Feststellungen abzuarbeiten |
Das Schließen der Lücken schwankt am stärksten, weil es davon abhängt, wie viel echte Arbeit die Bewertung zutage fördert. Neun bis zwölf Monate sind für eine Erstzertifizierung realistisch, wenn ein Unternehmen aus einer normalen, ungesteuerten Ausgangslage startet. Wer drei Monate verspricht, verkauft Ihnen entweder einen sehr engen Geltungsbereich oder plant, Nachweise zusammenzutragen, statt sie zu erzeugen. Was das kostet und wohin das Geld tatsächlich fließt, lesen Sie in unserem Beitrag, ob sich 50.000 € für ISO 27001 lohnen.
Wo bleiben kleine Unternehmen bei ISO 27001 hängen?
Vier Muster, in der Reihenfolge, in der wir sie sehen.
Der Geltungsbereich wurde so gezogen, dass das Audit leicht wird, nicht so, dass er die Frage des Kunden beantwortet. Das Zertifikat kommt, der Kunde liest die Beschreibung des Geltungsbereichs und fragt, warum seine Leistung nicht enthalten ist. Jetzt machen Sie es zweimal.
Nach dem Kick-off verantwortet es niemand. Das Projekt hat sechs Wochen Schwung, dann bekommt der CTO eine Produktdeadline. Das stärkste Anzeichen für ein Projekt, das ins Stocken gerät, ist, dass Sicherheitsverantwortung nie wirklich zu jemandes Aufgaben gehörte.
Nachweise wurden nie zur Gewohnheit. Controls wurden entworfen, aber nichts hält fest, dass sie laufen, und der Monat vor dem Audit wird zur archäologischen Grabung.
Lieferanten kamen erst am Ende dran. Ihre Lieferantenliste ist länger, als Sie denken, und die Norm erwartet, dass Sie die relevanten bewertet und überwacht haben. Dasselbe Problem taucht in anderen Regelwerken auf, wie in Lieferkettensicherheit und Lieferantenrisiko beschrieben.
Wenn NIS2 gleichzeitig auf Sie zukommt, machen Sie die Arbeit einmal. Die Überschneidung ist groß, wie in Zertifizierungsstandards und ISO 27001 unter NIS2 dargelegt. Was Regulierung allgemein von kleineren Unternehmen verlangt, steht in NIS2 für KMU. Den gesamten ISO-27001-Weg finden Sie auf unserer ISO-27001-Lösungsseite.
Was deckt ein ISO-27001-Zertifikat nicht ab?
ISO 27001 prüft, ob Ihre Controls bewusst ausgewählt wurden und wie beschrieben funktionieren. Sie prüft nicht, ob sie gegen einen fähigen Angreifer ausreichen. Das sind verschiedene Prüfungen, und in der Lücke dazwischen passieren die Sicherheitsvorfälle bei zertifizierten Unternehmen.
Ein Unternehmen kann ein gültiges Zertifikat haben, während:
- Mehr-Faktor-Authentifizierung aktiviert, aber auf dem alten Zugangsweg, den alle tatsächlich nutzen, nicht erzwungen ist,
- Backups laufen und getestet werden, indem bestätigt wird, dass der Job erfolgreich war, nie durch eine vollständige Wiederherstellung eines Systems unter Zeitdruck,
- Logs gesammelt werden, aber niemand sie ansieht, weil das Control sammeln verlangte, nicht erkennen,
- eine Abhängigkeit mit bekannter kritischer Schwachstelle in Produktion bleibt, weil das Patch-Fenster als quartalsweise dokumentiert war und das die akzeptierte Entscheidung war,
- eine Offboarding-Checkliste unterschrieben ist, während Tokens und geteilte Zugangsdaten der Person weiter gültig sind.
Jeder dieser Fälle besteht ein Audit. Jeder dieser Fälle ist ausnutzbar.
Sie zu schließen ist eine andere Art von Arbeit: erzwingen statt aktivieren, wiederherstellen statt den Jobstatus prüfen, auf Logs alarmieren statt sie zu speichern, und das Patch-Fenster für das verkürzen, was tatsächlich exponiert ist. Das ist nicht mehr Papierkram. Es ist die operative Hälfte, nach der das Zertifikat nicht fragt und die ein Angreifer nicht auslässt.
Behandeln Sie die Zertifizierung also als die Frist, mit der Budget freigegeben wird, und die Lückenliste darunter als das, was Sie tatsächlich kaufen. Holen Sie sich das Zertifikat. Dann machen Sie weiter, denn das Zertifikat ist die Untergrenze, nicht die Obergrenze.
ISO-27001-Checkliste für ein Unternehmen ohne Sicherheitsteam
- Benennen Sie eine verantwortliche Person mit der Befugnis, Nein zu sagen, und der Zeit, die Arbeit zu erledigen.
- Ziehen Sie den Geltungsbereich um die Frage, die Ihr Kunde stellt, nicht um ein einfaches Audit.
- Halten Sie schriftlich fest, was Sie schützen, welches Risiko Sie akzeptieren und was Sie dieses Jahr nicht tun werden.
- Prüfen Sie, dass jede Vorlage und jedes Richtlinienpaket die Controls von 2022 verwendet, nicht die Nummerierung von 2013.
- Zeichnen Sie Nachweise von Anfang an auf: Zugriffsüberprüfungen, Wiederherstellungstests, Nachweise zu Ein- und Austritten, Patch-Nachweise.
- Bewerten Sie die relevanten Lieferanten früh, nicht am Ende.
- Arbeiten Sie die Lückenliste weiter ab, nachdem das Zertifikat da ist.
Häufige Fragen
Kann ein kleines Unternehmen ohne Sicherheitsteam nach ISO 27001 zertifiziert werden?
Ja. ISO 27001 bescheinigt, dass Sie ein funktionierendes Managementsystem haben, nicht dass das Unternehmen sicher ist, und die Norm skaliert mit Ihrer Größe und Ihrem Risiko. Worauf Sie nicht verzichten können, ist eine benannte verantwortliche Person mit der Befugnis, Nein zu sagen, und der Zeit, die Arbeit zu erledigen.
Wer sollte ISO 27001 in einem kleinen Unternehmen verantworten?
Eine benannte Person mit der Befugnis, Nein zu sagen, und der Zeit, die Arbeit zu erledigen. Die Norm verlangt das Engagement der obersten Leitung, und das stärkste Anzeichen für ein festgefahrenes Projekt ist, dass Sicherheitsverantwortung nie wirklich zu jemandes Aufgaben gehörte.
Kann man ISO 27001 an einen Berater auslagern?
Nur teilweise. Berater und Plattformen können die Dokumente erstellen, aber sie können nicht entscheiden, welchen Geltungsbereich Sie wählen, was Sie schützen, wer Sicherheit verantwortet, welches Risiko Sie akzeptieren oder was Sie nicht tun werden. Projekte driften ab, wenn diese Punkte offenbleiben.
Wie lange dauert ISO 27001 für ein kleines Unternehmen?
Neun bis zwölf Monate sind für eine Erstzertifizierung realistisch, wenn ein Unternehmen mit 20 bis 250 Personen aus einer normalen, ungesteuerten Ausgangslage startet. Das System muss mindestens drei Monate laufen, um Nachweise zu erzeugen, sechs sind komfortabler.
Wie viele Controls hat ISO 27001:2022?
93, aufgeführt in Anhang A und in vier Themen gruppiert: organisatorisch, personenbezogen, physisch und technologisch. Die Ausgabe 2013 hatte 114. Ein erheblicher Teil trifft auf ein kleines Unternehmen nicht zu, und das schriftlich festzuhalten ist eine legitime Antwort.
