Wissensdatenbank · ISO 27001
ISO 27001 für ein KMU: die Schritte, die Dauer und was dazugehört
ISO 27001 ist ein zertifizierbares Managementsystem für Informationssicherheit und kein IT-Projekt. Diese Seite stellt die Schritte vom Geltungsbereich bis zum Zertifikat dar und sagt, wer welche Arbeit übernimmt. Sie ist außerdem ehrlich in dem, was Ihnen vorab niemand versprechen kann: die Dauer. Die gültige Ausgabe ist ISO/IEC 27001:2022.
Entscheidungshilfe
ISO 27001 oder CyFun: Die Frage ist, wer den Nachweis verlangt
Beide können als Nachweis für NIS2 dienen. Ob NIS2 auf Ihr Unternehmen anwendbar ist, bestimmt der offizielle Anwendungsbereichstest des CCB und nicht diese Tabelle.
| Ihre Situation | Richtung |
|---|---|
| Kunden oder Ausschreibungen verlangen ausdrücklich ein ISO-27001-Zertifikat | ISO 27001 |
| Sie müssen vor allem nachweisen, dass Sie das belgische NIS2-Gesetz einhalten | CyFun genügt oft: Eine validierte Umsetzung begründet eine Konformitätsvermutung |
| Sie sind international tätig und Ihre Abnehmer kennen CyFun nicht | ISO 27001 ist international bekannter. Fragen Sie zuerst bei Ihren wichtigsten Abnehmern nach |
| Sie sind eine wesentliche Einrichtung und möchten ein System für beide Zwecke | Das ist möglich, sofern der Zertifizierungsbereich alle relevanten Systeme abdeckt (siehe den Abschnitt zum Geltungsbereich) |
| Sie wissen noch nicht, was Ihre Kunden verlangen werden | Ein CyFun-Schritt ist kein verpflichtender Zwischenschritt auf dem Weg zu ISO 27001. Entscheiden Sie danach, wer den Nachweis verlangt |
Die Schritte
Vom Geltungsbereich zum Zertifikat in neun Schritten
Die Reihenfolge ist fest. Unterschiedlich ist, wie viel von jedem Schritt Sie bereits erledigt haben.
| Schritt | Ergebnis | Wer die Arbeit leistet |
|---|---|---|
| 1. Entscheidung und Mandat | Ziel, Budget und eine benannte interne Projektverantwortung | Geschäftsleitung |
| 2. Geltungsbereich abgrenzen | Schriftlicher Geltungsbereich: Standorte, Prozesse, Systeme, beteiligte Parteien | Geschäftsleitung und interne Projektverantwortung, gemeinsam mit dem Begleiter |
| 3. Risikobeurteilung | Risikomethode, Risikoregister und Risikobehandlungsplan | Interne Projektverantwortung und Prozessverantwortliche, der Begleiter überwacht die Methode |
| 4. Maßnahmen auswählen | Erklärung zur Anwendbarkeit: welche Maßnahmen aus Anhang A gelten und warum | Interne Projektverantwortung, IT-Partner und Begleiter |
| 5. Maßnahmen einführen | Richtlinien, Verfahren, technische und organisatorische Maßnahmen | Der IT-Partner führt den technischen Teil aus, Ihre Mitarbeitenden befolgen die Verfahren, der Begleiter steuert die Planung |
| 6. Das System betreiben | Nachweise: Messungen, Schulungen, Vorfälle | Interne Projektverantwortung |
| 7. Internes Audit | Auditbericht und Liste der Abweichungen | Jemand, der das System nicht selbst aufgebaut hat |
| 8. Managementbewertung | Entscheidungen zu Ergebnissen, Ressourcen und Verbesserungen | Geschäftsleitung |
| 9. Zertifizierungsaudit | Das Zertifikat oder eine Liste von Abweichungen zur Nachverfolgung | Zertifizierungsstelle. Der Begleiter bereitet vor, zertifiziert aber nicht |
Dokumentation
Die Norm verlangt weniger Papier, als viele Angebote vermuten lassen
Die Norm zählt selbst auf, welche dokumentierten Informationen verpflichtend sind. Diese Liste ist kürzer, als viele Dokumentenpakete glauben machen. Nutzen Sie den Normtext als endgültige Checkliste.
Zu pflegende Dokumente
Geltungsbereich, Informationssicherheitsleitlinie, Informationen zum Prozess der Risikobeurteilung und Risikobehandlung, Erklärung zur Anwendbarkeit, Risikobehandlungsplan, Ziele, Nachweis der betrieblichen Steuerung und ein Auditprogramm.
Aufzubewahrende Nachweise
Kompetenz, Ergebnisse der Risikobeurteilung und Risikobehandlung, Messergebnisse, Auditergebnisse, Ergebnisse der Managementbewertung sowie die Art der Abweichungen mit den ergriffenen Maßnahmen.
Was nicht verpflichtend ist
Anhang A umfasst 93 Maßnahmen in vier Themenfeldern: organisatorisch, personenbezogen, physisch und technologisch. Sie dokumentieren nur die Maßnahmen, die Sie in Ihre Erklärung zur Anwendbarkeit aufnehmen. Zusätzliche Dokumentation ist erlaubt, die Norm verlangt sie jedoch nicht.
Dauer
Eine ehrliche Antwort zur Dauer ist eine Liste von Einflussfaktoren
Anbieter veröffentlichen gern eine Anzahl Monate. Eine solche Zahl sagt ohne Ihren Ausgangspunkt wenig, und einen unabhängigen belgischen Durchschnitt gibt es nicht. Was die Dauer tatsächlich bestimmt:
Ihre Ausgangslage
Vorhandene Richtlinien, ein Systeminventar und ein funktionierendes Qualitätssystem verkürzen den Weg.
Die Größe des Geltungsbereichs
Mehr Standorte, Systeme und Personen bedeuten mehr Risikobeurteilung, mehr Maßnahmen und ein längeres Audit.
Die Zeit der internen Projektverantwortung
Ohne freigeschaufelte Stunden im Kalender verschiebt sich alles. Das ist der am meisten unterschätzte Faktor.
Das Tempo des IT-Partners
Technische Maßnahmen hängen von der Verfügbarkeit desjenigen ab, der sie umsetzt.
Nachweis, dass das System läuft
Internes Audit und Managementbewertung gehören zur Norm. Sie sind erst möglich, wenn das System eine Zeit lang gelaufen ist.
Die Planung der Zertifizierungsstelle
Audittermine liegen nicht immer zum gewünschten Zeitpunkt fest.
Das Audit
Zwei Auditphasen, ein befristetes Zertifikat und eine Akkreditierung, die zählt
Das Zertifizierungsaudit verläuft in zwei Phasen. In Phase 1 prüft der Auditor Ihre Dokumentation und Ihre Bereitschaft. In Phase 2 folgt das vollständige Audit der Umsetzung in der Praxis. Das Zertifikat gilt drei Jahre, mit jährlichen Überwachungsaudits und einer Rezertifizierung vor Ablauf. Wie lange das Audit dauert, wählt die Stelle nicht frei: ISO/IEC 27006 legt eine Berechnung auf Grundlage der Personenzahl im Geltungsbereich fest. Fragen Sie bei jedem Angebot nach dieser Berechnung, damit Sie die Stellen auf derselben Basis vergleichen. Akkreditierung ist kein Detail. Eine akkreditierte Stelle steht selbst unter der Aufsicht einer Akkreditierungsstelle, in Belgien BELAC, und ihre Zertifikate werden international anerkannt. Möchten Sie das Zertifikat in Belgien für NIS2 nutzen, muss die Stelle laut CCB-FAQ zusätzlich vom CCB ermächtigt sein. Prüfen Sie beides, bevor Sie unterschreiben.
ISO 27001 für NIS2
Nicht das Zertifikat zählt, sondern der GeltungsbereichEin Zertifikat mit zu engem Geltungsbereich beweist für NIS2 nichts
Möchten Sie ISO 27001 auch für NIS2 nutzen, müssen alle relevanten Netz- und Informationssysteme in den Zertifizierungsbereich fallen. Laut CCB-FAQ müssen Geltungsbereich und Erklärung zur Anwendbarkeit die gesamte NIS2-Einrichtung abdecken, und das Zertifikat einer Muttergesellschaft beweist nichts für eine Tochtergesellschaft. Die Gleichwertigkeit mit CyFun prüfen Sie anhand der Entsprechungstabelle auf der CyFun-Website, mit den Spalten für Important und Essential. Für wesentliche Einrichtungen räumt der Inspektionsdienst bis zum 18. April 2027 Maßnahmen Vorrang ein, die CyFun Important gleichwertig sind. Wer am 18. April 2027 keine Zertifizierung hat, die Essential gleichwertige Maßnahmen abdeckt, reicht einen Remediationsplan ein: ein ISO 27001-Zertifikat, das mindestens Important gleichwertige Maßnahmen abdeckt, mit einem Plan in Richtung Essential. Bis zum 18. April 2028 muss das Niveau Essential abgedeckt sein (Mitteilung NCCA/JK/INS/2026-002 vom 11. August 2026). Wichtige Einrichtungen entscheiden freiwillig. Die vollständige Erläuterung finden Sie auf den Seiten zu NIS2 im Vergleich zu ISO 27001 und zur Frist.
ISO 9001
Wenn Sie ISO 9001 haben, beginnen Sie nicht bei null
ISO 27001 und ISO 9001 teilen dieselbe harmonisierte Struktur mit den Kapiteln 4 bis 10. Kontext, Führung, Kompetenz, Dokumentenlenkung, internes Audit, Managementbewertung und Korrekturmaßnahmen können Sie größtenteils wiederverwenden. Neu sind die Risikobeurteilung für Informationssicherheit, die Erklärung zur Anwendbarkeit und die Maßnahmen selbst. Was Ihr bestehendes System pro Anforderung bereits abdeckt, sehen Sie auf der Seite zur Wiederverwendung von ISO 9001.
Nach dem Zertifikat
Das Zertifikat ist der Beginn eines jährlichen Zyklus
Internes Audit
Gemäß Ihrem Auditprogramm, in der Praxis jedes Jahr. Die Norm verlangt Audits in geplanten Abständen.
Managementbewertung
Die Geschäftsleitung prüft Ergebnisse, Vorfälle und Ressourcen und hält Entscheidungen fest.
Risiken und Erklärung aktualisieren
Neue Systeme, Lieferanten oder Bedrohungen gehören in das Register und in die Erklärung zur Anwendbarkeit.
Abweichungen bearbeiten
Jede Abweichung erhält eine Ursache, eine Maßnahme und eine Wirksamkeitskontrolle.
Überwachungsaudit
Jährlicher Besuch der Zertifizierungsstelle. Im dritten Jahr folgt eine Rezertifizierung.
Sensibilisierung und Kompetenz
Neue Mitarbeitende, neue Werkzeuge und neue Risiken erfordern Schulungen, die Sie nachweisen können.
Häufig gestellte Fragen
Kurz beantwortet
Möchten Sie wissen, welcher Weg zu Ihnen passt?
In einem ersten, kostenlosen Gespräch betrachten wir gemeinsam Geltungsbereich und Route. RGI leitet den Prozess, die Zertifizierung selbst übernimmt eine akkreditierte Stelle.