ISO 27001 Zertifizierung: Ablauf, Kosten und ISB-Pflichten im Mittelstand

Die ISO/IEC 27001:2022 ersetzt seit dem 31. Oktober 2025 die Vorgaengerversion 2013 vollstaendig; bestehende Zertifikate verlieren mit Ablauf der dreijaehrigen Übergangsfrist ihre Gueltigkeit. Wer heute neu zertifiziert oder umstellt, arbeitet entlang der 93 Controls aus Anhang A in den vier Themengruppen organisatorisch, personell, physisch, technologisch. Das macht die Norm zur internationalen Referenz für Informationssicherheits-Managementsysteme (ISMS) und ist Vorbedingung für viele B2B-Vergaben, NIS-2-Compliance und Cyberversicherungsabschluesse.

Dieser Artikel beschreibt den operativen Pfad zur Zertifizierung: Wie laeuft ein Stage-1- und Stage-2-Audit ab, welche Kostenpositionen kommen auf einen Mittelstaendler zu, welche Rolle übernimmt der Informationssicherheitsbeauftragte (ISB) im Tagesgeschaeft, und mit welchen Vorlagen sparen Sie Wochen. Der Text wiederholt nicht den Normtext, sondern ordnet ein, was Sie als Geschäftsfuehrung oder ISB konkret tun muessen.

Die ISO/IEC 27001 ist die internationale Norm für Informationssicherheits-Managementsysteme (ISMS) und wird gemeinsam von ISO und IEC veroeffentlicht. Die aktuelle Fassung traegt den Titel ISO/IEC 27001:2022 und integriert die Aktualisierungen aus ISO/IEC 27002:2022. Zentral ist nicht ein Toolset, sondern ein dokumentierter Managementprozess nach Plan-Do-Check-Act.

Geprueft werden zwei Saeulen. Erstens der Hauptteil der Norm (Kapitel 4 bis 10): Kontext der Organisation, Führung, Planung, Unterstuetzung, Betrieb, Bewertung der Leistung, Verbesserung. Zweitens die 93 Controls aus Anhang A. Diese sind nicht alle verpflichtend, jedoch muessen Ausschluesse im Statement of Applicability (SoA) begruendet sein.

Die Zertifizierung erfolgt durch eine akkreditierte Zertifizierungsstelle, in Deutschland etwa TUEV, DEKRA, DQS oder LRQA. Akkreditiert heisst von der Deutschen Akkreditierungsstelle (DAkkS) überwacht und damit international anerkannt. Ein nicht-akkreditiertes Zertifikat erfuellt selten Anforderungen aus Vergabeverfahren oder Cyberversicherungen.

Geprueft wird, ob das ISMS die Vorgaben der Norm erfuellt UND ob es tatsaechlich gelebt wird. Stage-1-Audit prüft Dokumentation, Stage-2-Audit prüft Umsetzung im Betrieb. Mitarbeiter werden interviewt, Protokolle gesichtet, Logs kontrolliert. Reine Papierdokumentation reicht nicht.

Bezug zur Praxis: Wer NIS-2 erfuellen muss (Umsetzungsgesetz seit 2025), nutzt ISO 27001 als pragmatischen Rahmen, um die Sicherheitsanforderungen aus § 30 NIS2UmsuCG konkret zu strukturieren. Details zum Umsetzungsstand sind in unserem NIS-2-Primer beschrieben.

Mit der Revision 2022 wurde die Struktur des Anhang A deutlich vereinfacht. Frueher 114 Controls in 14 Domaenen, heute 93 Controls in vier klar abgegrenzten Themengruppen. Die Logik ist aktiver auf moderne IT-Realitaeten ausgerichtet, etwa Cloud, Threat Intelligence und Secure Coding.

Themengruppe A.5 Organisatorische Controls umfasst 37 Controls und betrifft Policies, Rollen, Lieferantenbeziehungen, Incident Management und Geschäftskontinuitaet. Themengruppe A.6 Personelle Controls umfasst 8 Controls, von Background-Checks über Verschwiegenheitserklaerungen bis zu Disziplinarprozessen. Themengruppe A.7 Physische Controls umfasst 14 Controls, von Zugangskontrolle bis Kabelfuehrung. Themengruppe A.8 Technologische Controls umfasst 34 Controls, von Endpoint-Security über Verschluesselung bis zu sicherer Entwicklung.

Neu in 2022 sind 11 Controls, darunter A.5.7 Threat Intelligence, A.5.23 Information Security for Cloud Services, A.8.9 Configuration Management, A.8.10 Information Deletion, A.8.11 Data Masking, A.8.12 Data Leakage Prevention und A.8.28 Secure Coding. Wer aus 2013 umsteigt, schliesst genau diese Luecken zuerst.

Fuer jedes Control entscheidet die Organisation: anwendbar oder nicht? Begruendung verpflichtend. Daraus entsteht das Statement of Applicability, das zentrale Prüfdokument im Stage-1-Audit. Die Begruendung muss Risiken aus dem Risikoassessment referenzieren, nicht ad hoc formuliert sein.

CIVAC stellt 490 Audit-Vorlagen bereit, die unter anderem das SoA, die Risikoassessment-Matrix, Policies für alle vier Themengruppen und Evidenzbloecke für den Prüfer abdecken. Audit-fest, dokumentiert, § ISO-27001-fest. Der Informationssicherheitsbeauftragte pflegt diese Vorlagen im Workspace mit Berichtslinie zur Geschäftsfuehrung.

Die Zertifizierungspruefung ist zweistufig und in den Akkreditierungsregeln IAF MD 5 sowie ISO/IEC 27006 verankert. Stage 1 ist die Dokumentenpruefung mit Vor-Ort-Auftakt, Stage 2 das vollwertige Zertifizierungsaudit. Zwischen beiden Stufen liegen typischerweise 4 bis 8 Wochen, um Findings aus Stage 1 zu schliessen.

Stage 1 prüft Existenz und Reife der ISMS-Dokumentation: ISMS-Scope, Kontextanalyse, Risikomanagement-Verfahren, Statement of Applicability, dokumentierte Policies, Aufzeichnungen zu Schulungen und Management Reviews. Der Auditor identifiziert Bereiche, die in Stage 2 besonders intensiv geprueft werden, und gibt eine Major-/Minor-Nonconformity-Vorabklassifikation.

Stage 2 prüft die operative Wirksamkeit. Auditoren interviewen Mitarbeiter, sichten Logs, prüfen Tickets aus dem Incident Management, lesen Backup-Protokolle, sehen sich physische Standorte an, prüfen Lieferantenakten und Prüfberichte. Die Dauer richtet sich nach IAF MD 5 und der Anzahl effektiver Mitarbeiter, für ein 200-Personen-Unternehmen typischerweise 5 bis 7 Auditor-Tage.

Findings werden in drei Stufen klassifiziert: Major Nonconformity blockiert die Zertifikatserteilung, Minor Nonconformity erlaubt das Zertifikat mit Korrekturplan binnen 90 Tagen, Opportunity for Improvement ist eine Empfehlung. Wer Stage 1 ernst nimmt und Findings schliesst, vermeidet Majors in Stage 2.

Nach erfolgreichem Stage 2 stellt die Zertifizierungsstelle das Zertifikat für drei Jahre aus. In Jahr 1 und 2 erfolgen Überwachungsaudits (Surveillance), in Jahr 3 das Rezertifizierungsaudit. Der Prüfer ruft an, der Nachweis liegt bereit, das gilt für alle drei Jahre, nicht nur zur Erstpruefung.

Die Kosten variieren stark nach Größe, Komplexitaet und Reifegrad. Ein realistischer Rahmen für einen Mittelstaendler mit 100 bis 500 Mitarbeitenden liegt bei 35.000 bis 90.000 Euro für den externen Erstaufbau, plus ca. 8.000 bis 18.000 Euro pro Jahr für Surveillance und Pflege. Das sind Marktwerte aus typischen Angeboten der Beratungsbranche, ohne interne Personalaufwaende.

Die Hauptkostenbloecke sind drei. Erstens Beratung und Aufbau: Risikoassessment, SoA, Policies, Schulungsmaterial, Vorbereitung der Mitarbeitenden. Zweitens das eigentliche Audit: Stage 1, Stage 2, anschliessend Surveillance, je nach Zertifizierungsstelle 7.000 bis 18.000 Euro für den ersten Drei-Jahres-Zyklus. Drittens interne Personalkosten: Ein ISB-Vollzeitaequivalent kostet je nach Standort und Erfahrung 80.000 bis 120.000 Euro brutto pro Jahr.

Versteckte Kosten entstehen bei technischen Umsetzungen, etwa MFA-Rollout, SIEM-Einführung, Backup-Architektur, Lieferantenmanagement-Tool, DLP-System. Diese gehoeren strenggenommen nicht zur Zertifizierung, sind aber haeufig Voraussetzung, um Controls aus A.8 wirksam umzusetzen.

Wo Sie sparen: Über strukturierte Vorlagen statt freier Beratung. CIVAC stellt 490 einsatzbereite Audit-Vorlagen, vom SoA-Template bis zum Lieferantenfragebogen. In Verbindung mit dem Workspace reduziert sich der Beratungsbedarf typischerweise um 30 bis 50 Prozent. Bestellurkunde, unterschrieben, abgelegt, belegbar.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Im Officer-as-a-Service-Modell stellt CIVAC den externen ISB mit 2-Werktage-SLA, statt 2 bis 6 Wochen Reaktionszeit klassischer Berater.

Die ISO/IEC 27001 verlangt keine namentlich benannte Rolle ISB, sehr wohl aber eine klare Zuordnung von Verantwortung. In der deutschen Praxis hat sich der Informationssicherheitsbeauftragte (ISB) etabliert. Bei KRITIS-Betreibern nach BSIG ist die Funktion explizit gefordert, bei NIS-2-betroffenen Unternehmen praktisch unverzichtbar.

Pflichten umfassen Aufbau und Betrieb des ISMS, Durchführung des Risikoassessments, Pflege der Policies, Koordination des Incident Managements, Vorbereitung der internen Audits und Reporting an die Geschäftsleitung. Der ISB stimmt sich eng mit dem Datenschutzbeauftragten ab, weil DSGVO und ISO 27001 sich an vielen Stellen überschneiden, etwa beim Vorfallmanagement.

Wichtig ist die Berichtslinie. Der ISB muss direkt an die Geschäftsleitung berichten, idealerweise CISO oder COO. Eine Unterstellung unter den IT-Leiter ist problematisch, weil Interessenkonflikte entstehen: Wer Budget für ein neues System verantwortet, sollte nicht über Sicherheitsmaengel daran entscheiden.

Bestellung: Empfohlen ist eine schriftliche Bestellurkunde mit Aufgaben, Befugnissen, Vertretung und Berichtslinie. Bestellurkunde, unterschrieben, abgelegt, belegbar. Diese Urkunde gehoert in das Stage-1-Audit-Set und wird vom Auditor regelmäßig eingesehen.

Modell intern vs. extern: Wer einen internen ISB ausbildet, investiert in Schulungen (T.I.S.P., ISO 27001 Lead Implementer, BSI IT-Grundschutz Praktiker) und langfristige Bindung. Wer extern besetzt, gewinnt Erfahrung aus mehreren Mandanten und nutzt CIVAC als Compliance-Plattform und Officer-as-a-Service. Beide Wege sind audittauglich.

Eine realistische Timeline über 12 Monate hilft bei der Erwartungssteuerung. Monat 1 bis 2: Scope-Definition, Stakeholder-Mapping, Geschäftskontextanalyse, ISB-Bestellung, Kickoff mit Geschäftsleitung. Hier entstehen Scope-Statement, Kontext-Dokument und initiale RACI-Matrix.

Monat 3 bis 5: Risikoassessment nach ISO/IEC 27005-Methodik, Identifikation von Informations-Assets, Bedrohungen, Schwachstellen, Auswirkungen, Eintrittswahrscheinlichkeiten. Daraus folgt die Risikobehandlungsstrategie und das erste Statement of Applicability. Parallel werden die Policies in der A.5-Gruppe geschrieben.

Monat 5 bis 8: Umsetzung der technologischen Controls aus A.8, also MFA, Logging, Backup, Verschluesselung, Konfigurationsmanagement, sichere Entwicklung. In dieser Phase sind die meisten technischen Stolpersteine. Parallel laufen Schulungen, Awareness-Kampagnen und das erste interne Audit.

Monat 9: Management Review, interne Audits abgeschlossen, Korrekturmassnahmen umgesetzt. Hier entscheidet die Geschäftsleitung formell über das ISMS-Funktionieren und gibt die externe Zertifizierung frei. Stage 1 wird mit der Zertifizierungsstelle terminiert.

Monat 10 bis 12: Stage 1, Schliessen der Findings, Stage 2, Zertifikatserstellung. Die Zertifizierungsstelle veroeffentlicht das Zertifikat im IAF CertSearch. Der Prüfer ruft an, der Nachweis liegt bereit. Mit CIVAC reduziert sich die Timeline durch fertige Vorlagen typischerweise auf 9 bis 11 Monate, je nach Reifegrad. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software.

Aus Audit-Erfahrungen kristallisieren sich wiederkehrende Schwachstellen heraus. Erstens das Statement of Applicability ohne Risikobezug: Anwendbarkeit wird mit Standardphrasen begruendet, ohne dass die Begruendung im Risikoassessment auffindbar ist. Auditoren kreuzpruefen das systematisch.

Zweitens das Lieferantenmanagement nach A.5.19 bis A.5.23. Viele Unternehmen halten Lieferantenvertraege, aber keine strukturierten Sicherheitsanforderungen, keine regelmäßigen Reviews, keine Prüfung beim Onboarding. Hier sind Findings fast garantiert, wenn der ISB das Thema nicht aktiv treibt.

Drittens das Incident Management nach A.5.24 bis A.5.26. Vorfaelle werden im Helpdesk-System gehandhabt, aber nicht systematisch klassifiziert, Lessons Learned fehlen, der Bezug zur NIS-2-72-Stunden-Meldung wird nicht abgebildet. Frist laeuft ab Kenntnis, das gilt auch hier.

Viertens die Awareness-Schulungen nach A.6.3. Eine jaehrliche Powerpoint-Schulung reicht nicht. Erforderlich sind rollenbasierte Programme, Phishing-Simulationen, Auswertungen, Nachschulungen. Auditoren stichproben Mitarbeitende auf Inhalte und Frequenz.

Fuenftens das Backup- und Restore-Testing nach A.8.13. Backups werden eingerichtet, aber Restore-Tests fehlen oder sind nicht dokumentiert. Ein Auditor fragt regelmäßig nach dem letzten erfolgreich getesteten Restore. Wer keine Antwort liefert, sammelt Findings. CIVAC bildet alle fuenf Themen in versionierten Vorlagen mit Faelligkeiten und Erinnerungen ab.

Mit dem Zertifikat beginnt der Aufwand, er endet nicht. Im Zwei-Jahres-Rhythmus laufen Surveillance-Audits, im Drei-Jahres-Rhythmus die Rezertifizierung. Jedes Surveillance-Audit prüft einen Ausschnitt des ISMS, typischerweise 30 bis 50 Prozent des Anhang A, plus die Pflichtelemente Management Review, interne Audits und Risikomanagement.

Pflege im Tagesgeschaeft heisst Aktualitaet. Risikoregister wird quartalsweise gepflegt, Policies jaehrlich überprueft, das SoA bei jeder wesentlichen Änderung der Architektur angepasst. Jede Änderung wird versioniert, Freigaben dokumentiert. Audit-fest, dokumentiert, § ISO-27001-fest.

Personelle Stabilitaet ist kritisch. Wenn der ISB das Unternehmen verlaesst, faellt mit ihm haeufig Wissen weg, das nicht dokumentiert war. Eine Stellvertretung ist Pflicht (A.5.4 Management Responsibilities), aber haeufig formal benannt und nicht eingearbeitet. Auditoren fragen aktiv danach.

Integration mit anderen Standards lohnt sich. ISO 27001 laesst sich mit ISO 9001 (Qualität), ISO 14001 (Umwelt) und TISAX (Automotive) zusammenlegen, weil die Hauptteile harmonisiert sind. Wer mehrere Normen plant, profitiert von einer integrierten Managementsystem-Plattform statt mehrerer Aktenordner.

Cyberversicherungen verlangen heute haeufig ISO 27001 oder gleichwertige Strukturen. Wer das Zertifikat hat, verhandelt typischerweise 10 bis 25 Prozent Praemienreduktion. Der Prüfer ruft an, der Nachweis liegt bereit, das gilt auch für den Versicherungsmakler.

ISO 27001 ist Pflicht-Werkzeug für NIS-2, Cyberversicherung, B2B-Vergaben und Kundennachweise. Der Weg dorthin ist planbar, aber arbeitsintensiv. Wer mit fertigen Vorlagen und strukturierter Plattform startet, kommt schneller, guenstiger und mit weniger Findings durch Stage 1 und Stage 2.

CIVAC ist Compliance-Plattform und Officer-as-a-Service. Der Workspace liegt auf EU-Datenresidenz, ist nach ISO/IEC 27001:2022 mit 93 Controls aufgesetzt und enthaelt 490 Audit-Vorlagen, vom SoA und Risikoregister über Policies und Schulungsnachweise bis zum Lieferantenmanagement und Incident-Tracking.

Modell eins: Sie lizenzieren den Workspace für Ihre internen Beauftragten, der ISB nutzt die Plattform als Operating Model, externe Berater werden auf wenige Spezialfragen begrenzt. Modell zwei: Sie lassen unseren externen ISB bestellen, mit Bestellurkunde, Berichtslinie zur Geschäftsfuehrung und 2-Werktage-SLA statt 2 bis 6 Wochen.

Beide Modelle sind kompatibel mit den Anforderungen der Zertifizierungsstellen TUEV, DEKRA, DQS, LRQA. CIVAC liefert dem Auditor genau das, was er sehen will: Bestellurkunde, unterschrieben, abgelegt, belegbar. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Aus dem Lesen einen Auftrag machen: info@civac.de oder Kontaktformular auf civac.de. Innerhalb von 2 Werktagen liegt ein konkreter Vorschlag inklusive Timeline und Kostenrahmen vor.