ISO 27001 für KMU ist 2026 für viele Schweizer Tech‑Unternehmen keine freiwillige Kür mehr. Sobald ein wichtiger Kunde in einer Ausschreibung ein Zertifikat oder eine belastbare Roadmap verlangt, wird Informationssicherheit zum Vertragsbestandteil. Dieser Beitrag zeigt Schritt für Schritt, wie ISO 27001 für KMU pragmatisch eingeführt wird: vom Geltungsbereich über die Vorarbeit mit NIST CSF 2.0 bis zur Auswahl geeigneter Tools und zur Zwölfmonats‑Roadmap.
📑 Inhaltsübersicht
Warum ISO 27001 für KMU 2026 zur Geschäftsfrage wird · Was verlangt ISO 27001 für KMU in der Fassung 2022? · Worauf KMU bei der Zertifizierung achten müssen · Welche Daten und Artefakte Sie vor dem Kick‑off zusammentragen sollten · NIST CSF 2.0 als Vorarbeit für ISO 27001 für KMU · Wie Tools den ISO‑27001‑Prozess unterstützen · Zwölfmonats‑Roadmap für ISO 27001 für KMU · Fazit – drei Entscheidungen vor dem Start · FAQ
Warum ISO 27001 für KMU 2026 zur Geschäftsfrage wird
Noch vor wenigen Jahren galt ISO 27001 in vielen Schweizer KMU als freiwilliger Zusatz für stark regulierte Branchen. 2026 ist die Lage spürbar anders. Drei Entwicklungen treiben den Wandel. Erstens ist die Übergangsfrist von ISO/IEC 27001:2013 auf ISO/IEC 27001:2022 am 31. Oktober 2025 ausgelaufen. Neue Zertifizierungen richten sich damit nach der Fassung von 2022 mit 93 Annex‑A‑Controls. Diese sind den Bereichen Organisation, Personen, physische Sicherheit und Technik zugeordnet. Zweitens steigt der Druck entlang der Lieferkette. Schweizer Tech‑KMU, die deutsche oder andere europäische Kunden bedienen, treffen in Ausschreibungen und Lieferantenaudits immer häufiger auf Vorgaben für Sicherheit und Compliance. Drittens gilt seit September 2023 das revidierte Datenschutzgesetz (nDSG). ISO 27001 ist zwar kein rechtlicher Nachweis für die Einhaltung des nDSG. Die Norm schafft jedoch einen grossen Teil der organisatorischen und technischen Grundlage, die Unternehmen für Datenschutz und Informationssicherheit benötigen.
Bei einem Software‑ oder SaaS‑KMU mit rund 50 Mitarbeitenden kommt der direkte Impuls heute meist aus dem Vertrieb. Ausschreibungen verlangen ISO 27001 oder zumindest eine glaubwürdige Roadmap. Gleichzeitig werden Kunden‑Audits genauer, und Sicherheitsfragebogen wachsen zur Daueraufgabe. Wer ISO 27001 für KMU sauber aufbaut, kann die geforderten Nachweise vereinheitlichen. Das Unternehmen muss dann nicht für jeden Kunden neue Fragen und Belege zusammentragen. Genau dieser Nutzen – weniger wiederkehrende Kundenaudits dank eines zentralen ISMS‑Nachweises – wird auch in Fallbeispielen aus dem Technologieumfeld beschrieben (vgl. Guardian Certification: ISO 27001 Case Studies).
Eine ehrliche Vorbemerkung: Konkrete Frankenbeträge, Tagessätze oder interne Arbeitstage lassen sich erst nach der Klärung des Geltungsbereichs und des Reifegrads seriös schätzen. Dieser Beitrag verzichtet deshalb auf scheinpräzise Zahlen, die ohne Kenntnis Ihrer Ausgangslage wenig aussagen. In einem kostenlosen Erstgespräch kann Techway den möglichen Aufwand, die Roadmap und den Bedarf an Tools pragmatisch einordnen.
ISO 27001 für KMU: Was die Fassung 2022 konkret verlangt
ISO/IEC 27001:2022 ist vor allem ein Standard für Führung und Steuerung. Er verlangt weder ein bestimmtes Tool noch eine perfekte IT‑Architektur. Im Mittelpunkt steht ein Informationssicherheits‑Managementsystem (ISMS), das geplant, umgesetzt, überprüft und laufend verbessert wird. Die Kapitel 4 bis 10 behandeln unter anderem den Unternehmenskontext, die Führung, die Planung, den Betrieb und die Verbesserung. Annex A ergänzt die Norm um 93 Controls in den Bereichen Organisation, Personen, physische Sicherheit und Technik. Gegenüber der Fassung von 2013 wurde dieser Teil gestrafft und modernisiert. Cloud‑Nutzung und sichere Softwareentwicklung erhalten mehr Gewicht, was für Tech‑KMU besonders wichtig ist.
Für ein KMU mit 50 Mitarbeitenden bedeutet das in der Praxis: Der Geltungsbereich, häufig auch Scope genannt, sollte selten die ganze Firma auf einmal umfassen. Sinnvoller ist eine klare Abgrenzung, etwa «Entwicklung und Betrieb der SaaS‑Produkte X und Y einschliesslich der zugehörigen Cloud‑Infrastruktur und Supportprozesse». Das ist keine Abkürzung, sondern saubere ISMS‑Methodik (vgl. ISMS‑Ratgeber: Anleitung zur ISMS‑Einführung). Ein zu breiter Geltungsbereich erhöht den Aufwand für Dokumentation, Rollen und Nachweise, lange bevor das erste Audit beginnt.
Mit einem klaren Geltungsbereich und dem Rückhalt der Geschäftsleitung sind 9 bis 14 Monate vom Kick‑off bis zum erfolgreichen Stage‑2‑Audit realistisch. Das Zertifikat markiert jedoch nicht den Abschluss, sondern den Übergang in den Regelbetrieb. Ein reifes ISMS entsteht durch laufende Verbesserungen über mehrere Jahre. ISO 27001 für KMU bleibt damit ein mehrmonatiges Vorhaben mit spürbarem internem Aufwand. Je nach Ausgangslage kommen externe Begleitung, das Zertifizierungsaudit und geeignete Tools hinzu. Der Nutzen muss zur Geschäftsrealität passen, sonst wird die Norm zur Pflichtübung.
Worauf KMU bei der Zertifizierung achten müssen
Vier Entscheidungen bestimmen, ob ISO 27001 für KMU im Alltag trägt oder zur Dauerbaustelle wird.
Wahl der Zertifizierungsstelle
Nur akkreditierte Zertifizierungsstellen stellen Zertifikate aus, die in Audits und Lieferkettenanforderungen tatsächlich akzeptiert werden. Für die Schweiz führt die Schweizerische Akkreditierungsstelle (SAS) die entsprechende Liste. International tätige Zertifizierer bringen oft Routine aus vielen Branchen mit; Schweizer Anbieter punkten in der Praxis häufig mit Nähe, Sprache und einem guten Verständnis für KMU‑Realitäten. Holen Sie mehrere Angebote ein und achten Sie weniger auf einzelne Positionen als auf die Erfahrung der Auditorinnen und Auditoren mit Geltungsbereichen für Software und Cloud‑Dienste.
Geltungsbereich sauber abgrenzen
Bei ISO 27001 für KMU ist ein zu weit gefasster Geltungsbereich einer der häufigsten Fehler. Halten Sie genau fest, welche Produkte, Prozesse, Standorte, Systeme, Mitarbeitenden und Lieferanten dazugehören und welche nicht. Nur ein klar abgegrenzter Bereich lässt sich in der Risikoanalyse, im Statement of Applicability (SoA) und im Audit schlüssig nachweisen. Beschreiben Sie auch externe Schnittstellen wie Cloud‑Provider, Subunternehmen oder ausländische Entwicklungsstandorte. Zuständigkeiten und Sicherheitsanforderungen müssen dabei eindeutig sein.
Risikobasierter Ansatz – nicht «alles implementieren»
ISO 27001 verlangt nicht, dass Sie alle 93 Annex‑A‑Controls in gleicher Tiefe umsetzen. Im Statement of Applicability (SoA) halten Sie fest, welche Kontrollmassnahmen für Ihren Geltungsbereich gelten und welche nicht. Jede Entscheidung muss aus der Risikoanalyse hervorgehen. Wer Massnahmen ohne Bezug zu den eigenen Risiken einführt, schafft zusätzlichen Aufwand für Dokumentation und Betrieb. Im Alltag bringt das wenig und kann bei späteren Audits zur Last werden.
Kontinuierliche Verbesserung – die Zertifizierung ist der Startpunkt
Das Zertifikat gilt drei Jahre. In dieser Zeit finden jährliche Überwachungsaudits statt; am Ende folgt die Rezertifizierung. Entscheidend ist deshalb der Regelbetrieb. Dazu gehören die Bewertung durch die Geschäftsleitung, interne Audits, eine aktuelle Risikoanalyse und die Auswertung von Vorfällen. Wer nach dem Stage‑2‑Audit einfach zur Tagesordnung übergeht, riskiert bereits im ersten Überwachungsaudit neue Feststellungen.
Welche Daten und Artefakte Sie vor dem Kick‑off zusammentragen sollten
Für ISO 27001 für KMU ist saubere Grundlagenarbeit wichtiger als zusätzliche Tools. Tragen Sie die folgenden Informationen deshalb vor dem Projektstart zusammen. Auch unvollständige Unterlagen sind wertvoller als ein Neustart bei null.
Systeme, Daten und Zugriffsrechte
Beginnen Sie mit einem Bestandsverzeichnis der Werte und Systeme, dem sogenannten Asset‑Inventar. Es umfasst Hardware, Software, Datenbestände, Lieferanten und Cloud‑Services sowie die Zuständigkeiten und den Betriebsort. Danach folgt die Datenklassifikation: Welche Informationen sind öffentlich, intern, vertraulich oder besonders schützenswert? Halten Sie auch fest, welche Daten personenbezogen sind und wo Kunden‑ oder Betriebsgeheimnisse liegen. Ergänzen Sie diese Übersicht durch ein Verzeichnis der Mitarbeitenden, Rollen und Zugriffsrechte. Damit lässt sich nachweisen, dass Berechtigungen geordnet vergeben und regelmässig überprüft werden, unter anderem für Annex A 5.15 bis 5.18 sowie 8.2 und 8.3.
Prozesse, Lieferanten und Notfallvorsorge
Sammeln Sie als Nächstes die bestehenden Richtlinien und Prozessbeschreibungen, auch wenn sie noch Lücken haben. Dazu gehören etwa die Sicherheitsrichtlinie, der Ein‑ und Austrittsprozess, das Änderungsmanagement, Backup und Wiederherstellung, Protokollierung sowie sichere Softwareentwicklung. Hinzu kommt eine Lieferantenliste mit Bewertung ihrer Bedeutung für den Betrieb für Annex A 5.19 bis 5.23. Sie sollte zeigen, wer auf welche Daten zugreifen kann, welche Anbieter für den Betrieb wichtig sind und wo Abhängigkeiten bestehen. Dokumentieren Sie zudem die Sicherheitsvorfälle der vergangenen 12 bis 24 Monate sowie die daraus abgeleiteten Massnahmen. Prüfen Sie schliesslich den Stand der technischen Basis‑Controls, darunter Backups, Patches, Mehrfaktor‑Authentifizierung, Endgeräteschutz und Protokollierung. Vorhandene Pläne für die Aufrechterhaltung des Betriebs gehören ebenfalls in diese Sammlung, selbst wenn sie noch einfach gehalten sind.
Damit wird die frühe Planungsphase greifbar: Bestand aufnehmen, Zuständigkeiten ordnen und benötigte Nachweise festlegen. Sorgfältige Vorarbeit senkt den Zeitdruck vor dem Audit deutlich.
NIST CSF 2.0 als Vorarbeit für ISO 27001 für KMU
Bevor Sie ISO 27001 für KMU formell starten, lohnt sich eine Selbsteinschätzung nach NIST CSF 2.0. Diese Vorphase schafft aus drei Gründen Klarheit.
Erstens ist NIST CSF 2.0 auf Ergebnisse ausgerichtet. Die sechs Funktionen Govern, Identify, Protect, Detect, Respond und Recover beschreiben, was ein Unternehmen erreichen soll, statt nur eine Liste von Kontrollen abzuarbeiten. Das lässt sich mit der Geschäftsleitung meist leichter besprechen. Zweitens ermöglicht die Einordnung in vier Reifegradstufen, die sogenannten Tiers, eine verständliche Standortbestimmung. Dieses Bild kann intern und in Kundengesprächen genutzt werden. Drittens gibt es etablierte Zuordnungen zwischen NIST CSF und ISO 27001 sowie weiteren Rahmenwerken. Erkenntnisse aus der Selbsteinschätzung lassen sich dadurch leichter in ISO‑Dokumente übertragen. Eine kompakte Einordnung der Framework‑Landschaft findet sich bei ThreatLocker: Cybersecurity Frameworks Explained.
Planen Sie für diese Vorarbeit mehrere Wochen ein, intern oder mit externer Begleitung. Am Ende sollten ein verständliches Bild des Reifegrads, eine nach Priorität geordnete Lückenliste und eine belastbare Grundlage für den Geltungsbereich und die Toolwahl vorliegen. NIST CSF 2.0 ersetzt jedoch keine ISO‑Zertifizierung. Es ist eine strukturierte Standortbestimmung, nicht das Zertifikat.
Wenn Sie die Vorarbeit zudem mit einer Aussenperspektive und einer strukturierten Lieferantenbewertung ergänzen möchten, lesen Sie auch unsere Beiträge zu External Attack Surface Management und Security Ratings.
Wie Tools den ISO‑27001‑Prozess unterstützen
Bei ISO 27001 für KMU gilt eine einfache Regel: Tools ersetzen kein Managementsystem. Die Norm verlangt klare Rollen, eine nachvollziehbare Risikoanalyse und gelebte Prozesse. Fehlen diese Grundlagen, hilft auch die beste Software weder im Stage‑1‑ noch im Stage‑2‑Audit. Richtig eingesetzt, beschleunigen Tools einzelne Aufgaben und liefern verlässliche Nachweise. Risikoanalyse, Statement of Applicability, Bewertung durch die Geschäftsleitung und internes Audit bleiben jedoch Aufgabe des Unternehmens.
Steuerung und Auditvorbereitung: Drata
Plattformen wie Drata können Nachweise aus Cloud‑Konten, Identitätsdiensten, Ticketsystemen und Code‑Ablagen zentral sammeln. Sie bieten meist Vorlagen für ISO‑27001‑Controls, Richtlinien, Aufgaben und Schulungsnachweise. Für ein KMU liegt darin oft der grösste Nutzen: Informationen, die sonst in Excel‑Dateien und Ablagen verteilt sind, werden geordnet, einheitlich und leichter wiederverwendbar. Vor der Beschaffung muss jedes Schweizer KMU prüfen, wo die Daten gespeichert werden und ob die Plattform zum eigenen Betrieb passt.
Lieferantenrisiken: BitSight
Für die Annex‑A‑Controls 5.19 bis 5.23 liefert BitSight Security Ratings und weitere Daten zur von aussen sichtbaren Sicherheitslage von Lieferanten. Die Bewertung stützt sich damit nicht nur auf Selbstauskünfte in Fragebogen. Im Audit hilft dies, wenn kritische Lieferanten nach klaren Kriterien eingestuft, überwacht und bei Auffälligkeiten angesprochen werden. Diese Sicht ist wichtig, weil Betriebsstörungen und Sicherheitsvorfälle häufig an den Schnittstellen zu Dienstleistern, Plattformen und SaaS‑Anbietern beginnen.
Technische Schutzmassnahmen: Coro
Coro bündelt mehrere Funktionen für die Cybersicherheit. Je nach Einrichtung kann die Plattform technische Nachweise für den Schutz vor Schadsoftware nach Annex A 8.7, die Überwachung nach 8.16 und Teile der Netzwerksicherheit nach 8.20 liefern. Für ein KMU ohne eigenes Security Operations Center liegt der Nutzen vor allem in geringerer Komplexität: weniger Einzellösungen, weniger Schnittstellen und klarere Zuständigkeiten. Das erleichtert sowohl den Betrieb als auch die Nachweise im Audit.
Privilegierte Zugriffe und Insider‑Risiken: Syteca
Syteca unterstützt die Verwaltung privilegierter Zugriffe, die Überwachung von Aktivitäten und die Aufzeichnung von Sitzungen. Das ist vor allem dort relevant, wo besonders weitreichende Berechtigungen bestehen, unter anderem bei Annex A 5.15 bis 5.18 sowie 8.2 und 8.3. Auch die Überwachung nach 8.16 kann damit unterstützt werden. Praktisch ist dies für KMU, die externen Entwicklungs‑ oder Hosting‑Partnern Zugriff gewähren und diesen Zugriff kontrolliert sowie nachvollziehbar gestalten wollen. In der Schweiz muss der Einsatz Art. 26 ArGV 3 und das nDSG berücksichtigen. Die Überwachung von Mitarbeitenden ist rechtlich und kulturell sensibel und verlangt klare Regeln, Transparenz und Verhältnismässigkeit. Mehr dazu erfahren Sie in unserem Beitrag zum Insider‑Threat‑Program.
Erkennung und Reaktion: Dropzone AI
Dropzone AI unterstützt die erste Prüfung, Priorisierung und Dokumentation von Sicherheitsmeldungen. Für ISO‑Nachweise zählt vor allem, ob ein Unternehmen einen klaren Ablauf für Erkennung und Reaktion eingerichtet hat, unter anderem für Annex A 5.24 bis 5.28 sowie 8.16. Ein KMU mit 50 Mitarbeitenden kann selten rund um die Uhr jede Meldung von Hand bewerten. Automatisierte Abläufe helfen, Alarme einheitlich zu bearbeiten und die Ergebnisse als Nachweis im ISMS festzuhalten.
Für ISO 27001 für KMU bietet sich im Tech‑Umfeld häufig folgende Reihenfolge an: zuerst Steuerung und Nachweise mit Drata sowie eine technische Basis mit Coro. Danach folgen je nach Risiko das Lieferanten‑Rating mit BitSight, die Bearbeitung von Sicherheitsmeldungen mit Dropzone AI und zusätzliche Kontrollen für privilegierte Zugriffe mit Syteca. Welche Bausteine wirklich passen, lässt sich erst nach der Klärung des Geltungsbereichs und des Reifegrads seriös beurteilen.
Zwölfmonats‑Roadmap für ISO 27001 für KMU
Die folgende Roadmap ist ein pragmatischer Vorschlag für ein Software‑KMU mit rund 50 Mitarbeitenden, einem klaren Geltungsbereich und echtem Rückhalt der Geschäftsleitung. Sie bietet Orientierung, ist aber keine starre Schablone. Der genaue Ablauf hängt von der Ausgangslage, den gewählten Tools und den verfügbaren Audit‑Terminen ab.
Vorbereitung: Monate 0 bis 4
Den Auftakt bildet in Monat 0–1 die Standortbestimmung: Führen Sie eine Selbsteinschätzung nach NIST CSF 2.0 durch, ordnen Sie den Reifegrad ein und vergleichen Sie den Ist‑Zustand mit ISO 27001:2022. Daraus entsteht eine erste Annahme für den Geltungsbereich.
In Monat 1–2 folgt der organisatorische Aufbau: Legen Sie den Geltungsbereich fest, sichern Sie den formellen Rückhalt der Geschäftsleitung und benennen Sie eine verantwortliche Person für Informationssicherheit. Bei Bedarf wird externe Beratung einbezogen; zugleich kann der Aufbau in Drata beginnen.
Zwischen Monat 2 und 4 stehen Risiken und Richtlinien im Mittelpunkt: Führen Sie die Risikoanalyse durch, leiten Sie das Statement of Applicability ab und erstellen oder überarbeiten Sie die benötigten Richtlinien. Parallel können Coro, BitSight und bei Bedarf Syteca geprüft und schrittweise eingeführt werden.
Umsetzung und Zertifizierung: Monate 4 bis 12
Die Umsetzung prägt Monat 4–7: Setzen Sie die priorisierten Controls technisch und organisatorisch um, schulen Sie die Mitarbeitenden und testen Sie den Ablauf für Sicherheitsvorfälle. Erste interne Audits werden geplant und durchgeführt. Dropzone AI kann in dieser Phase die Bearbeitung von Sicherheitsmeldungen unterstützen.
In Monat 7–9 wird die Zertifizierungsreife geprüft: Ein internes oder extern begleitetes Probeaudit zeigt verbleibende Lücken. Schliessen Sie die Feststellungen, führen Sie die Bewertung durch die Geschäftsleitung durch und vervollständigen Sie die Dokumentation.
Darauf folgt in Monat 9–10 das Stage‑1‑Audit: Die Zertifizierungsstelle prüft die zentralen ISMS‑Dokumente. Erkannte Lücken sollten zeitnah geschlossen werden.
Den Abschluss bilden in Monat 11–12 das Stage‑2‑Audit und das Zertifikat: Geprüft wird nun die gelebte Praxis. Nach möglichen Korrekturmassnahmen kann das Zertifikat ausgestellt werden. Anschliessend beginnt der Regelbetrieb mit jährlichen Überwachungsaudits.
Fazit – drei Entscheidungen vor dem Start
ISO 27001 für KMU ist 2026 für viele Schweizer Tech‑Unternehmen zur Eintrittskarte in neue Aufträge geworden. Vor dem Start sollten deshalb drei Entscheidungen fallen.
Geschäftsfall: Welche konkrete Anforderung rechtfertigt die Investition? Häufig sind es eine Kundenvorgabe, die Abgrenzung vom Wettbewerb oder der Druck aus Lieferantenaudits.
Verantwortung: Wer führt das Vorhaben intern? Rollen und Entscheidwege müssen so klar sein, dass das ISMS nicht am Tagesgeschäft oder an wechselnden Prioritäten scheitert.
Tools: Welche Anschaffungen sind im kommenden Jahr geplant, und welche konkrete Lücke im Prozess sollen sie schliessen?
Sind diese drei Fragen beantwortet, lassen sich Geltungsbereich, Risikoanalyse und Zertifizierungsplanung zielgerichtet aufsetzen. Fehlt die Klarheit noch, lohnt sich eine zusätzliche Vorbereitungsphase. NIST CSF 2.0 bietet dafür einen belastbaren Rahmen.
Kostenloses Erstgespräch zur ISO‑27001‑Zertifizierungsreife
Der Aufwand und die Kosten hängen vom Geltungsbereich, vom Reifegrad und von der bestehenden Sicherheitsarchitektur ab. In einem unverbindlichen Erstgespräch ordnet Techway diese Ausgangslage ein. Sie erhalten eine erste Einschätzung zum Geltungsbereich, zu sinnvollen Tools und zu den nächsten drei Schritten. Als unabhängiger Schweizer Begleiter unterstützt Techway beim Aufbau des ISMS sowie bei der Vorbereitung auf Stage 1 und Stage 2.
🎯 Key Take‑Aways für Entscheider
Zusammenfassung für Geschäftsleitung, Verwaltungsrat und IT‑Leitung:
✓ ISO 27001 für KMU folgt heute der Fassung 2022: Die Übergangsfrist endete am 31. Oktober 2025; Annex A umfasst 93 neu strukturierte Controls.
✓ Realistische Projektdauer: Vom Kick‑off bis zum bestandenen Stage‑2‑Audit sind 9 bis 14 Monate realistisch. Ein reifes ISMS entwickelt sich danach weiter.
✓ Der Geltungsbereich ist entscheidend: Zertifizieren Sie nicht automatisch die ganze Firma, sondern einen klar abgegrenzten und prüfbaren Bereich.
✓ NIST CSF 2.0 eignet sich als Vorphase: Die Standortbestimmung macht Reifegrad, Lücken und Prioritäten sichtbar.
✓ Tools unterstützen, ersetzen aber keine Führung: Drata, BitSight, Coro, Dropzone AI und Syteca können einzelne Prozessphasen erleichtern. Klare Zuständigkeiten und gelebte Abläufe bleiben unverzichtbar.
Häufig gestellte Fragen: FAQ zu ISO 27001 für KMU
Wie lange dauert ISO 27001 für ein KMU?
Für ein Schweizer Tech‑KMU mit rund 50 Mitarbeitenden und einem klaren Geltungsbereich sind 9 bis 14 Monate vom Kick‑off bis zum bestandenen Stage‑2‑Audit realistisch. Danach beginnt der laufende Betrieb des ISMS. Die Zertifizierung ist somit ein wichtiger Meilenstein, aber nicht der Endpunkt.
Was sind die wichtigsten Vorarbeiten vor dem Projektstart?
Wichtig sind ein Bestandsverzeichnis, eine Datenklassifikation, ein Rollen‑ und Zugriffsverzeichnis, bestehende Richtlinien, eine bewertete Lieferantenliste, die Vorfälle der vergangenen 12 bis 24 Monate und der Stand der technischen Basis‑Controls. Diese Unterlagen bilden die Grundlage für den Geltungsbereich, die Risikoanalyse und das Statement of Applicability. Ohne sie verzögert sich ISO 27001 für KMU fast zwangsläufig.
Reicht NIST CSF 2.0 als Alternative zu ISO 27001?
Nein. NIST CSF 2.0 ist eine sehr gute Standortbestimmung, aber kein Zertifikat. Verlangen Kunden ausdrücklich ISO 27001, ist eine formale Zertifizierung nötig. NIST CSF 2.0 ergänzt die Norm durch verständliche Reifegradstufen, ersetzt sie jedoch nicht.
Brauche ich Drata, BitSight, Coro, Dropzone AI und Syteca alle?
Nein. Die Auswahl richtet sich nach dem Geltungsbereich, dem Risikoprofil und der vorhandenen technischen Basis. Häufig kommen zuerst eine Plattform für Steuerung und Nachweise sowie die technischen Basis‑Controls. Lieferanten‑Rating, Abläufe zur Erkennung von Vorfällen und zusätzliche Zugriffskontrollen folgen nur bei Bedarf.
Was ist der Unterschied zwischen Stage‑1‑ und Stage‑2‑Audit?
In Stage 1 prüft die Zertifizierungsstelle die zentralen ISMS‑Dokumente. Dazu gehören die Risikoanalyse, das Statement of Applicability und wichtige Richtlinien. In Stage 2 steht die gelebte Praxis im Mittelpunkt: Werden die beschriebenen Abläufe tatsächlich umgesetzt und durch Belege gestützt? Erst nach beiden Stufen kann das Zertifikat ausgestellt werden.
Was passiert nach der Zertifizierung?
Das Zertifikat gilt drei Jahre. Während dieser Zeit finden jährliche Überwachungsaudits statt; danach folgt die Rezertifizierung. Das Unternehmen muss das ISMS laufend pflegen, Risiken aktualisieren, interne Audits durchführen und Vorfälle auswerten. Werden diese Aufgaben vernachlässigt, entstehen im nächsten Überwachungsaudit rasch neue Feststellungen.
