ISO 27001-Beratung
Wir begleiten Sie durch den gesamten Weg zur ISO-27001-Zertifizierung: von der Scope-Definition über Risikoanalyse, Statement of Applicability und interne Audits bis durchs Zertifizierungsaudit der akkreditierten Stelle. Dabei bauen wir ein ISMS, das zu Ihrer Organisation passt und im Alltag gelebt wird – statt nur die Norm abzuhaken.
Wann Sie ISO 27001 brauchen
ISO 27001 ist der international anerkannte Standard für Informationssicherheits-Managementsysteme – und in vielen Situationen der geforderte Nachweis: wenn Großkunden ein Zertifikat zur Bedingung machen, in Ausschreibungen, als belastbarer Nachweis der Risikomanagement-Pflichten aus NIS2, gegenüber Cyber-Versicherern oder schlicht als sichtbares Signal an Markt und Partner, dass Informationssicherheit systematisch betrieben wird.
Ebenso klar ist: Nicht jedes Unternehmen braucht ein zertifiziertes ISMS. Ohne Nachweispflicht führt der Weg über die CIS Controls oft schneller zu echter Sicherheit – und wer später doch das Zertifikat braucht, verliert nichts. Ob sich die Zertifizierung für Sie lohnt, klären wir im Erstgespräch ehrlich – auch wenn die Antwort lautet: noch nicht.
Die Bausteine eines ISMS nach ISO 27001
Ein ISMS nach ISO/IEC 27001:2022 besteht aus klar benennbaren Bausteinen – vom Geltungsbereich über das Risikomanagement bis zur fortlaufenden Verbesserung. Wir arbeiten entlang der Systematik, die auch der Implementierungsleitfaden des ISACA Germany Chapters beschreibt; jeder Baustein wird so ausgeprägt, wie es zu Größe und Reifegrad Ihrer Organisation passt. Die Farben zeigen die Phase im PDCA-Zyklus (Plan, Do, Check, Act), dem die Norm folgt – so wird sichtbar, dass ein ISMS ein Kreislauf ist, kein Dokumentenstapel:
So begleiten wir Sie zum Zertifikat
Unsere ISO 27001-Beratung startet mit einer Gap-Analyse gegen die Norm: Was ist vorhanden, was fehlt, was ist überdimensioniert? Daraus entsteht ein priorisierter Umsetzungsplan entlang der Bausteine – und dann bauen wir gemeinsam: Scope und Kontext, Risikomethodik und Risikoanalyse, Statement of Applicability, Leitlinie und Richtlinien, Maßnahmenumsetzung, Kennzahlen und Management-Review. Das interne Audit führen wir unabhängig durch, mit belastbaren Befunden statt Gefälligkeitsbericht.
Durch das Zertifizierungsaudit der akkreditierten Stelle begleiten wir Sie in beiden Stufen – von der Dokumentenprüfung (Stage 1) bis zum Vor-Ort-Audit (Stage 2) – und bleiben auf Wunsch auch danach an Bord: für Überwachungsaudits, die Weiterentwicklung des ISMS oder als externer Informationssicherheitsbeauftragter. Wir kennen beide Seiten des Tisches – aus vielen bestandenen Audits als Berater und als Auditor.
Ein ISMS, das Angreifer stoppt – nicht nur Auditoren überzeugt
Die Norm verlangt eine risikobasierte Ausrichtung – sie sagt aber nicht, welche Risiken für Ihre Organisation real sind. Genau hier unterscheidet sich unser Ansatz: Wir priorisieren Risikoanalyse und Maßnahmenauswahl entlang der Techniken, die Ihre tatsächlichen Angreifer einsetzen (Threat-Informed Defense). Als technisches Rückgrat der Annex-A-Umsetzung nutzen wir, wo es passt, die CIS Controls – deren Wirksamkeit gegen reale Angriffstechniken gemessen ist.
Das Ergebnis: ein ISMS, in dem jede Maßnahme eine nachvollziehbare Begründung hat – gegenüber dem Auditor und gegenüber der Geschäftsleitung. Compliance entsteht dabei als dokumentiertes Ergebnis wirksamer Sicherheit, nicht als deren Ausgangspunkt.
Häufige Fragen zur ISO-27001-Beratung
Was ist ISO 27001?
ISO/IEC 27001 ist der international führende, zertifizierbare Standard für Informationssicherheits-Managementsysteme (ISMS). Er legt fest, wie eine Organisation Informationssicherheit systematisch steuert: mit Risikoanalyse, klaren Verantwortlichkeiten, ausgewählten Maßnahmen aus 93 Annex-A-Controls und fortlaufender Verbesserung. Die aktuelle Fassung ist die ISO/IEC 27001:2022.
Wie lange dauert der Weg zum Zertifikat?
Das hängt ehrlicherweise von Größe, Komplexität und Reifegrad Ihrer Organisation ab – wer bereits strukturiert arbeitet, ist deutlich schneller als eine Organisation, die bei null beginnt. Nach der Gap-Analyse können wir den Weg für Ihre Situation konkret einschätzen; eine pauschale Zahl wäre unseriös.
Was kostet eine ISO-27001-Zertifizierung?
Es gibt drei Kostenblöcke: die interne Umsetzung (eigener Aufwand), externe Beratung und das Zertifizierungsaudit der akkreditierten Stelle, dessen Umfang sich nach Mitarbeiterzahl und Scope richtet. Alle drei hängen vom Zuschnitt des Geltungsbereichs ab – auch deshalb ist ein sauber geschnittener Scope die erste und wirtschaftlich wichtigste Entscheidung.
Brauchen wir eine spezielle ISMS-Software?
Nein. Die Norm verlangt gelenkte, dokumentierte Information – aber kein bestimmtes Werkzeug. Ob sich eine spezialisierte ISMS-Software lohnt, ist sehr individuell und hängt von Größe, Reifegrad und Ihrer Werkzeuglandschaft ab. Wir haben sehr gute Erfahrungen damit gemacht, ein ISMS dokumentenlos in Werkzeugen abzubilden, die ohnehin im Einsatz sind – etwa Confluence oder SharePoint: gepflegte, verlinkte, versionierte Inhalte statt eines Word-Friedhofs. Eine teure Speziallösung ist kein Auditkriterium.
Brauchen wir überhaupt ein zertifiziertes ISMS?
Nur, wenn jemand den Nachweis verlangt – Kunden, Ausschreibungen, Aufsicht. Ohne Nachweispflicht führt der Weg über die CIS Controls oft schneller zu echter Sicherheit; dank des offiziellen Mappings auf die Annex-A-Controls geht dabei keine Vorarbeit verloren, falls die Zertifizierung später dazukommt. Diese Frage beantworten wir im Erstgespräch ergebnisoffen.
Was ist das Statement of Applicability (SoA)?
Das zentrale Dokument des ISMS: die begründete Erklärung, welche der 93 Annex-A-Controls angewendet werden und welche nicht – abgeleitet aus der Risikobehandlung. Im Audit ist die SoA der rote Faden; in unserer Arbeit entsteht sie aus Ihrer realen Bedrohungslage statt aus Copy-Paste.
Wie läuft das Zertifizierungsaudit ab?
In zwei Stufen: Stage 1 prüft Dokumentation und Auditreife, Stage 2 die gelebte Umsetzung vor Ort. Das Zertifikat gilt drei Jahre, mit jährlichen Überwachungsaudits und anschließender Rezertifizierung. Wir bereiten Sie auf beide Stufen vor und begleiten die Audits – wir kennen die Prüflogik von beiden Seiten des Tisches.
Daniel Thomas Heessel ist zertifizierter ISO 27001 Senior Lead Auditor, CISSP und CISM und wurde als CISO des Jahres 2026 ausgezeichnet. Er hat Managementsysteme als Berater aufgebaut, als Verantwortlicher betrieben und als Auditor geprüft – und weiß deshalb, was im Audit wirklich zählt und was nur Papier produziert.
Fachlich geprüft im August 2026. Die ISMS-Bausteine folgen dem Implementierungsleitfaden ISO/IEC 27001:2022 des ISACA Germany Chapters.