ISO 27001 Zertifizierung: So wird ein ISMS geprüft

Stand: Oktober 2026

Wer ISO 27001 einführt, entscheidet sich weniger für ein Zertifikat als für eine Arbeitsweise: Informationswerte werden benannt, Risiken bewertet und Schutzmaßnahmen gezielt ausgewählt. Das Ergebnis lässt sich von Kunden, Auditoren und Aufsichtsbehörden nachvollziehen.

Dieser Beitrag erklärt Aufbau, Zertifizierungsablauf und Aufwand. Außerdem zeigt er, wie sich die Norm zum Branchenstandard TISAX und zu den Pflichten aus NIS2 verhält.

Gerade für kleinere IT-Dienstleister, Agenturen, Softwarehäuser und Produktionsbetriebe wird die Zertifizierung häufig durch Kundenanforderungen ausgelöst. Wer die Norm vorab versteht, kann Umfang, Zeitplan und Kosten deutlich besser einschätzen und vermeidet teure Nacharbeiten.

Was ISO/IEC 27001 verlangt

Die Norm besteht aus zwei Teilen. Der Hauptteil mit den Kapiteln 4 bis 10 beschreibt das Managementsystem: Kontext, Führung, Planung, Unterstützung, Betrieb, Leistungsbewertung und Verbesserung. Der Anhang A listet Maßnahmen, aus denen Sie die für Ihre Risiken passenden auswählen. Die aktuelle Ausgabe stammt von 2022 und führt Anhang A in vier Themenbereichen mit 93 Maßnahmen, die an ISO/IEC 27002:2022 angelehnt sind. 2024 kam eine kurze Änderung zum Klimawandel hinzu.

Wichtig: Die Norm schreibt keine bestimmte Technik vor. Ob Sie Multi-Faktor-Authentisierung, Verschlüsselung oder Netzsegmentierung einsetzen, ergibt sich aus Ihrer Risikobetrachtung, die Sie nachvollziehbar begründen.

Aufbau von Anhang A auf einen Blick

Neu gegenüber der Vorgängerfassung sind unter anderem Maßnahmen zur Bedrohungsanalyse, zur Cloud-Nutzung, zur Bereitschaft der IKT für Geschäftsfortführung, zur Datenmaskierung und zum Schutz vor Datenabfluss.

Risikobewertung und Erklärung zur Anwendbarkeit

Das Kernstück ist die Risikobewertung. Sie benennen Informationswerte, Bedrohungen, Schwachstellen und mögliche Auswirkungen und legen fest, wie Sie mit jedem Risiko umgehen: vermeiden, mindern, übertragen oder akzeptieren. Daraus entsteht der Risikobehandlungsplan.

Die Erklärung zur Anwendbarkeit (Statement of Applicability) listet alle Maßnahmen aus Anhang A, begründet ihre Anwendung oder ihren Ausschluss und verweist auf die Umsetzung. Dieses Dokument lesen Auditoren zuerst. Ein Ausschluss ist zulässig, wenn die Maßnahme für Ihre Risiken nicht relevant ist. Fehlt die Begründung, entsteht schnell eine Abweichung.

Bewährt hat sich, die Methode einfach zu halten. Eine Skala für Eintrittswahrscheinlichkeit und Auswirkung, ein klares Akzeptanzkriterium und eine nachvollziehbare Zuordnung der Informationswerte genügen häufig. Komplexe Rechenmodelle sind nicht erforderlich. Wichtig sind Wiederholbarkeit und Begründung: Ein zweiter Durchlauf mit denselben Daten sollte zu ähnlichen Ergebnissen führen.

Bewerten Sie die Risiken regelmäßig neu, mindestens bei wesentlichen Änderungen wie neuen Cloud-Diensten, Standortumzügen oder Sicherheitsvorfällen.

Rollen: Leitung, ISB und Fachbereiche

Ein ISMS lebt von klaren Zuständigkeiten. Die oberste Leitung legt die Informationssicherheitspolitik fest, stellt Ressourcen bereit und nimmt an der Managementbewertung teil. Die Rolle des Informationssicherheitsbeauftragten (ISB) koordiniert Risikoanalyse, Richtlinien und Schulungen. Sie sollte organisatorisch so angesiedelt sein, dass sie unabhängig berichten kann und nicht allein der IT-Leitung untersteht, die zugleich Maßnahmen umsetzt.

Die Fachbereiche besitzen die Informationswerte, etwa Kundendaten im Vertrieb oder Konstruktionsdaten in der Entwicklung. Sie bewerten, wie schutzbedürftig diese Daten sind. Wer diese Besitzerrolle benennt, vermeidet, dass die IT allein über Schutzbedarfe entscheidet, die sie fachlich nicht beurteilen kann.

Der Weg zur ISO-27001-Zertifizierung

1. Geltungsbereich festlegen: Standorte, Prozesse, Systeme und Schnittstellen. Ein zu großer Scope macht das Projekt teuer, ein zu kleiner wirkt gegenüber Kunden schwach.
2. Lückenanalyse: Vergleich des Ist-Zustands mit der Norm.
3. Risikoanalyse und Maßnahmenplan: Methode festlegen, Risiken bewerten, Maßnahmen auswählen.
4. Umsetzung: Richtlinien, technische Maßnahmen, Schulungen, Lieferantensteuerung.
5. Internes Audit und Managementbewertung: verpflichtend vor dem Zertifizierungsaudit, siehe internes Audit.
6. Stufe 1: Dokumentenprüfung durch die Zertifizierungsstelle, Bewertung der Bereitschaft.
7. Stufe 2: Wirksamkeitsprüfung vor Ort und im Gespräch mit Mitarbeitenden.
8. Entscheidung und Zertifikat: nach Behebung etwaiger Abweichungen.
9. Überwachung: jährlich, nach drei Jahren Rezertifizierung.

Dauer und Aufwand realistisch einschätzen

Wie lange ein Projekt dauert, hängt von Reifegrad, Größe und Ressourcen ab. Unternehmen mit etablierten Prozessen und vorhandenen Richtlinien kommen schneller voran als solche, die Rollen und Verantwortlichkeiten erst festlegen müssen. Für kleine Organisationen sind einige Monate üblich, für große Konzerne mehr als ein Jahr.

Planen Sie die Zeit nicht nur auf das Audit hin, sondern auf die Nachweisbarkeit. Zahlreiche Maßnahmen wie Protokollauswertung, Zugriffsüberprüfung oder Notfalltests müssen vor dem Audit mindestens einmal durchgeführt sein, damit Aufzeichnungen existieren.

Ein weiterer Hebel ist die Wiederverwendung vorhandener Strukturen. Betreiben Sie bereits ein Qualitätsmanagement nach ISO 9001, können Dokumentenlenkung, internes Audit, Managementbewertung und Korrekturmaßnahmen gemeinsam genutzt werden. Das spart Doppelarbeit und senkt die Einstiegshürde.

Dokumentierte Informationen: so viel wie nötig

Die Norm verlangt bestimmte Nachweise, unter anderem den Geltungsbereich, die Informationssicherheitspolitik, die Methode und Ergebnisse der Risikobewertung, den Risikobehandlungsplan, die Erklärung zur Anwendbarkeit, Ziele sowie Belege für Kompetenz, Audits und Managementbewertung. Darüber hinaus dokumentieren Sie nur, was für wirksame Steuerung nötig ist.

Typische Regelwerke im Mittelstand sind eine Richtlinie zur Zugriffssteuerung, zur Nutzung von Geräten und Cloud-Diensten, zur Datensicherung, zum Umgang mit Vorfällen und zur Lieferantenbewertung. Halten Sie Richtlinien kurz, versionieren Sie sie und machen Sie sie den Beschäftigten zugänglich. Auditoren fragen oft Mitarbeitende, ob sie die Regeln kennen.

Kosten: Rechenlogik statt Pauschalpreis

Pauschale Preise für ISO 27001 sind nicht belastbar. Die Kosten bestehen aus Auditgebühren der Zertifizierungsstelle, interner Arbeitszeit, eventuell externer Beratung und technischen Maßnahmen, etwa Backup, Protokollierung oder Schwachstellenscans. Die Auditgebühr richtet sich nach der Auditzeit, die Zertifizierungsstellen nach den Vorgaben der Norm ISO/IEC 27006 aus Mitarbeiterzahl, Komplexität und Standorten ableiten.

Mit dem Zertifizierungskosten-Rechner sehen Sie eine nachvollziehbare Rechenlogik. Sie ersetzt kein Angebot. Vergleichen Sie bei Angeboten die angesetzten Auditzeiten und fragen Sie nach Zusatzkosten für Reisen, Nachaudits und Zertifikatsverwaltung.

Lieferanten, Cloud und Auslagerung

Kaum ein Unternehmen betreibt seine gesamte IT selbst. Cloud-Dienste, Rechenzentren, Support-Dienstleister und Softwarehersteller sind Teil der Risikolage. Die Norm verlangt, dass Sie Informationssicherheit in Lieferantenbeziehungen berücksichtigen: Anforderungen in Verträgen, Prüfung von Nachweisen wie eigenen Zertifikaten und laufende Überwachung der Leistung.

Prüfen Sie bei Zertifikaten von Dienstleistern den Geltungsbereich und die Gültigkeit. Ein Zertifikat für ein Rechenzentrum sagt nichts über die Software, die Sie dort betreiben. Legen Sie zudem fest, wie Vorfälle bei Dienstleistern an Sie gemeldet werden und wie Sie im Ausstiegsfall Ihre Daten zurückerhalten.

Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz

Eine deutsche Besonderheit ist die Zertifizierung nach ISO 27001 auf der Basis von IT-Grundschutz. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) vergibt sie nach einem Verfahren, bei dem die Prüfung durch vom BSI zertifizierte Auditoren erfolgt. Dabei werden zusätzlich die Vorgaben des IT-Grundschutzes geprüft. Das Verfahren ist anspruchsvoller als eine reine ISO-Zertifizierung, wird aber von Behörden und Betreibern kritischer Infrastrukturen geschätzt.

Ob dieser Weg sinnvoll ist, hängt von Kunden und Auflagen ab. Für viele privatwirtschaftliche Anforderungen genügt ein ISO-27001-Zertifikat einer akkreditierten Zertifizierungsstelle.

ISO 27001 und TISAX im Vergleich

Automobilzulieferer und deren Dienstleister begegnen häufig dem Branchenstandard TISAX. Er nutzt den VDA-ISA-Fragenkatalog, der sich eng an ISO/IEC 27001 anlehnt, ergänzt ihn aber um branchenspezifische Anforderungen wie Prototypenschutz. Ein ISO-27001-Zertifikat ersetzt ein TISAX-Label nicht automatisch, erleichtert die Vorbereitung jedoch erheblich, weil Risikomanagement, Richtlinien und Nachweise bereits existieren.

Eine vertiefte Gegenüberstellung bietet der Ratgeber ISO 27001 vs. TISAX.

ISO 27001 und NIS2

Die europäische NIS-2-Richtlinie und das deutsche Umsetzungsgesetz verpflichten bestimmte Unternehmen zu Maßnahmen des Cybersicherheits-Risikomanagements. Die Maßnahmenbereiche decken sich inhaltlich in weiten Teilen mit Themen aus ISO 27001, etwa Risikoanalyse, Vorfallbehandlung, Lieferkettensicherheit und Kryptografie. Ein betriebenes ISMS ist deshalb eine gute Grundlage.

Das Zertifikat allein beweist aber nicht automatisch die Erfüllung gesetzlicher Pflichten. Prüfen Sie Ihre Betroffenheit auf der Seite NIS2 und im Ratgeber NIS2-Betroffenheit prüfen.

Häufige Schwächen im Audit

• Der Geltungsbereich ist unklar oder passt nicht zu den Kundenanforderungen.
• Die Risikobewertung ist eine Tabelle ohne nachvollziehbare Methode.
• Zugriffsrechte werden eingerichtet, aber nie überprüft.
• Sicherungen existieren, doch die Wiederherstellung wurde nie getestet.
• Lieferanten und Dienstleister sind nicht in das Risikomanagement einbezogen.
• Die Leitung nimmt an der Managementbewertung nicht teil.

Die Wirksamkeit eines ISMS zeigt sich außerdem an Kennzahlen, die für das Unternehmen relevant sind, beispielsweise Zeit bis zur Behebung kritischer Schwachstellen, Anteil geschulter Mitarbeitender, Dauer der Wiederherstellung nach einem Test oder Zahl der gemeldeten Vorfälle. Die Norm verlangt Überwachung und Messung, legt aber nicht fest, welche Größen Sie wählen.

Dokumentieren Sie bei jeder Kennzahl, wer sie erhebt, wie oft sie ausgewertet wird und welche Entscheidung daraus folgt.

Passende Zertifizierungsstelle auswählen

Wählen Sie eine Stelle, die für ISO/IEC 27001 akkreditiert ist. Das Verzeichnis führt Zertifizierungsstellen für Managementsysteme, die Suche nach Ort starten Sie über /stellen/. Achten Sie auf Auditoren mit IT-Hintergrund, auf den Umgang mit Cloud-Diensten im Scope und auf eine klare Auditzeitberechnung. Eine Orientierungshilfe bietet der Ratgeber Zertifizierungsstelle auswählen.