ISO 27001 – vom Scope bis zum Zertifikat.

Vor allem Unternehmen, die Informationen für andere verarbeiten und das nachweisen müssen: IT-, Cloud- und Softwareanbieter, Zulieferer von Konzernen, Bewerber in öffentlichen Vergaben sowie Betreiber kritischer Infrastrukturen. Maßgeblich ist die konkrete Kunden-, Vertrags- oder Vergabeanforderung – nicht allein die Branche.

Für die meisten Unternehmen nicht. Eine ausdrückliche Pflicht gibt es etwa für Strom- und Gasnetzbetreiber über den IT-Sicherheitskatalog der Bundesnetzagentur. In der Praxis entsteht die Pflicht über Verträge, Ausschreibungen und Lieferantenaudits – und dort ist sie genauso verbindlich.

Das Zertifikat erteilt ausschließlich eine akkreditierte Stelle, in Deutschland von der DAkkS akkreditiert. UBESAFE ist keine akkreditierte Stelle und erteilt keine Zertifikate. Wir bauen das ISMS mit Ihnen auf, setzen technische Maßnahmen um, prüfen intern und begleiten das Zertifizierungsaudit. Beratung und Zertifizierung bleiben getrennt – das verlangen die Akkreditierungsregeln.

Die Erklärung zur Anwendbarkeit, englisch Statement of Applicability, führt alle 93 Controls aus Anhang A auf. Je Control steht dort, ob es angewendet wird, warum – aus Risiko, Gesetz oder Vertrag – und ob es umgesetzt ist. Ausschlüsse sind zulässig, wenn sie begründet sind. An der SoA hangelt sich das Zertifizierungsaudit entlang.

Nein. Umgesetzt wird, was die Risikobehandlung, Gesetze oder Verträge erfordern. Was in Ihrem Geltungsbereich nicht zutrifft, setzen Sie in der SoA auf „nicht anwendbar“ – mit einer belastbaren Begründung, warum es nicht zutrifft. Aufwand oder Kosten zählen dabei nicht, und der Auditor prüft jede Begründung. Trägt sie, müssen Sie das Control weder umsetzen noch beschreiben. Die Kapitel 4 bis 10 der Norm sind dagegen ohne Ausnahme Pflicht. Anders bei TISAX®: Dort wird der ISA-Katalog für die Assessment-Ziele vollständig bewertet, auch für Themen, die es im Unternehmen heute nicht gibt.

Nur so viel wie Geltungsbereich und SoA dahinter. Ein Zertifikat kann einen einzelnen Standort oder Service abdecken und Controls begründet ausschließen. Wer einen Dienstleister prüft, schaut deshalb auf den Geltungsbereich auf dem Zertifikat und lässt sich die SoA-Version zeigen, auf die es verweist – erst dort steht, was tatsächlich umgesetzt wurde.

Mit Bezug auf Geltungsbereich, Prozesse und Risikobeurteilung – und mit einem Beleg. Beispiel: „Im Geltungsbereich wird keine Software entwickelt, siehe Scope-Dokument und Prozesslandkarte.“ Aufwand, Kosten oder „brauchen wir nicht“ tragen nicht. Gibt es das Thema, soll das Risiko aber nicht behandelt werden, ist das eine Risikoakzeptanz durch den Risikoeigentümer, kein Ausschluss. Ändert sich der Geltungsbereich, wird die Begründung neu bewertet.

Ausgangspunkt sind die Anforderung Ihres Kunden, Ihre interessierten Parteien und die Prozesse, die Sie schützen wollen. Der Geltungsbereich kann einen Standort, einen Service oder das ganze Unternehmen umfassen – entscheidend ist, dass er begründet ist und die Schnittstellen nach außen geregelt sind. Ein zu kleiner Scope wird vom fordernden Kunden oft nicht akzeptiert.

Ja, sofern sie Informationen im Geltungsbereich verarbeiten. Bei Homeoffice zählen Regeln, Endgeräte, Identitäten und Datentransfer. Cloud-Dienste haben seit 2022 ein eigenes Control. Bei Dienstleistern werden Auswahl, Verträge, Sicherheitsanforderungen, Überwachung und Exit-Strategie betrachtet.

Bei einem Standort sind 9 bis 12 Monate bis zum Zertifizierungsaudit realistisch. Das ISMS muss vor Stufe 2 nachweisbar laufen, inklusive internem Audit und Managementbewertung. Der Zeitraum hängt von Scope, Reifegrad, technischer Lücke, Zuarbeit, Entscheidungswegen und der Verfügbarkeit der akkreditierten Stelle ab.

In Stufe 1 prüft der Auditor Dokumentation, Geltungsbereich, Risikoprozess und SoA und entscheidet, ob Sie für Stufe 2 bereit sind. In Stufe 2 bewertet er vor Ort die Wirksamkeit: Interviews, Stichproben an Systemen und Räumen, Nachweise. Zwischen beiden liegen meist einige Wochen, damit offene Punkte geschlossen werden können.

Weil die Norm sie in Kapitel 9 verlangt und der Auditor in Stufe 2 die Wirksamkeit des Managementsystems prüft. Ohne durchlaufenes internes Audit und dokumentierte Managementbewertung fehlt der Nachweis, dass sich das ISMS selbst überwacht – das führt regelmäßig zu einer Hauptabweichung.

Ein Unternehmen mit 10 bis 50 Mitarbeitenden kommt im ersten Jahr realistisch auf 25.000 bis 60.000 € netto, ein Mittelständler mit 50 bis 250 Mitarbeitenden auf 50.000 bis 80.000 € und mehr. Darin stecken eigene Personenzeit, externe Begleitung und das Zertifizierungsaudit mit rund 6.000 bis 15.000 € bei 10 bis 50 Mitarbeitenden. Der größte Block steht auf keiner Rechnung: die eigene Zeit.

Den UBESAFE-Anteil kalkulieren wir nach einem kurzen Scoping für Ihren Geltungsbereich – Ausgangsgröße ist ein Standort mit rund 50 Prozent eigener Zuarbeit. Planbar sind die Einstiege: der Microsoft 365 Security Check für 1.750 € netto und das interne Audit für 3.500 bis 6.500 € netto, abhängig von Größe, Standorten und technischem Scope.

Eine entscheidungsfähige Projektleitung, erreichbare Fachbereiche, Zugang zu vorhandenen Richtlinien und Systeminformationen sowie zeitnahe Freigaben. Leitlinie, Risikoakzeptanz und Managementbewertung verantwortet die Leitung selbst – das lässt sich nicht delegieren. Je mehr Sie beisteuern, desto niedriger fällt der Aufwand aus.

Deutlich weniger als ein neues Projekt. Der VDA ISA orientiert sich eng an ISO 27001; Risikoregister, Richtlinien und viele technische Nachweise lassen sich übernehmen. Zusätzlich verlangt ISO 27001 ein vollständiges Managementsystem: Kontext und Scope, SoA, Ziele und Kennzahlen, internes Audit nach Normvorgabe und Managementbewertung. Das Delta ermitteln wir im Gap-Schritt.

Ja. NIS2 verlangt Risikomanagementmaßnahmen nach Artikel 21 und eine Geschäftsleitung, die sie billigt und überwacht – aber keine Zertifizierung. Ein ISMS nach ISO 27001 deckt die Maßnahmen strukturiert ab und macht sie belegbar. Ob Sie betroffen sind, klärt unsere Seite zu NIS2.

cert+ ist ein eigenständiges Audit-Verfahren für kleine und mittlere Unternehmen: Geprüft wird ein Basisschutz, am Ende stehen ein Dokument nach DIN SPEC 27076 und eines für die Cyberversicherung. ISO 27001 verlangt ein vollständiges Managementsystem mit Risikoprozess und wird von einer akkreditierten Stelle zertifiziert. Für viele kleinere Unternehmen ist cert+ der schlankere Einstieg.

Eine Akzeptanz ist zulässig, wenn der Risikoeigentümer sie begründet und formal freigibt – bei hohen Risiken aber nicht unbegrenzt. UBESAFE dokumentiert Verantwortlichen, Behandlung, Restrisiko, Freigabe, Prüfdatum und Wiedervorlage.

Ja. Abhängig von Lücke und Risiko übernimmt UBESAFE unter anderem Microsoft-365-Härtung, MFA, Berechtigungsreviews, Firewall und Segmentierung, Endpoint-Security, SIEM/MDR, Restore-Tests, Schwachstellenmanagement, Penetrationstests und die technische Nachweisführung.

Bei einer Nebenabweichung reicht in der Regel ein akzeptierter Korrekturplan, das Zertifikat kann erteilt werden; die Umsetzung wird im nächsten Audit geprüft. Bei einer Hauptabweichung muss die Korrektur erst verifiziert sein – spätestens sechs Monate nach Stufe 2, sonst wird Stufe 2 wiederholt. UBESAFE strukturiert Ursache, Maßnahme, Verantwortlichen, Frist und Nachweis.

Drei Jahre. Im ersten und zweiten Folgejahr findet je ein Überwachungsaudit statt, mit rund einem Drittel des Aufwands des Erstaudits; im dritten Jahr folgt die Rezertifizierung. Dazu kommen jährliches internes Audit, Managementbewertung und laufende Pflege – als Faustregel 10 bis 15 Prozent der Erstinvestition pro Jahr.

Die Übergangsfrist ist am 31. Oktober 2025 abgelaufen, Zertifikate nach der Fassung von 2013 sind seitdem nicht mehr gültig. Nötig ist die Umstellung auf ISO/IEC 27001:2022 mit neuer SoA und den elf neuen Controls, geprüft durch die akkreditierte Stelle. Wir ermitteln das Delta und bringen die Dokumentation auf den aktuellen Stand.

Auf Wunsch den laufenden ISMS-Betrieb als externer ISB – inklusive Risiko- und Maßnahmenreviews, Nachweisplanung, Awareness, internen Audits, Managementbewertung und Vorbereitung der Überwachungsaudits. Technische Maßnahmen betreiben wir auf Wunsch als Managed IT oder Managed Security.