ISO 27001 ist der international anerkannte Standard für Informationssicherheit. Er verlangt ein Managementsystem (ISMS), mit dem Unternehmen Risiken systematisch steuern. Für den Mittelstand wird er wichtig, weil Kunden, Ausschreibungen und Lieferketten ihn zunehmend voraussetzen. Die Zertifizierung erfolgt in zwei Stufen durch eine unabhängige, akkreditierte Stelle...

Was ist ISO 27001?
ISO 27001 ist die maßgebliche Norm für den Schutz von Informationen in Unternehmen. Der Kern ist ein Informationssicherheits-Managementsystem, kurz ISMS. Das ISMS ist kein einzelnes Werkzeug, sondern ein strukturierter Rahmen aus Prozessen, Regeln und Verantwortlichkeiten. Damit werden Risiken für die Vertraulichkeit, Verfügbarkeit und Integrität von Daten erkannt, bewertet und gesteuert. Die aktuelle Fassung ist die ISO/IEC 27001:2022.

Warum wird ISO 27001 gerade für den Mittelstand wichtig?
Viele mittelständische Unternehmen kommen erstmals mit dem Standard in Berührung, weil ein Kunde oder eine Ausschreibung ihn verlangt. Wer als Zulieferer oder Dienstleister arbeitet, muss zunehmend nachweisen, dass Informationen sicher verarbeitet werden. Große Auftraggeber prüfen ihre Lieferketten und setzen die Zertifizierung als Vergabekriterium voraus. Für Verantwortliche, die sich orientieren möchten, liefert der Beitrag ISO 27001 einfach erklärt einen ersten Überblick. So lässt sich früh einschätzen, welcher Aufwand realistisch ist und welche Chancen sich ergeben.

Wie ist die Norm aufgebaut?
Die Norm gliedert sich in die Kapitel 4 bis 10. Sie beschreiben unter anderem den Kontext der Organisation, die Führung, die Planung, die Unterstützung, den Betrieb, die Bewertung der Leistung und die kontinuierliche Verbesserung. Ergänzend enthält der Annex A einen Katalog von 93 Controls, also konkreten Sicherheitsmaßnahmen. Diese sind in vier Themenbereiche gegliedert: organisatorische, personenbezogene, physische und technologische Maßnahmen. Ausführliche Hilfestellungen bietet auch das BSI.

Wie läuft eine ISO-27001-Zertifizierung ab?
Die eigentliche Zertifizierung übernimmt eine unabhängige, akkreditierte Zertifizierungsstelle. Deren Kompetenz wird in Deutschland durch die DAkkS bestätigt.

Ablauf in zwei Stufen
Das Zertifizierungsaudit erfolgt in zwei Stufen. In Stufe 1 prüft die Zertifizierungsstelle die Dokumentation und die grundsätzliche Bereitschaft des ISMS. In Stufe 2 folgt das Vor-Ort-Audit, bei dem die praktische Umsetzung geprüft wird. Nach erfolgreichem Abschluss gilt das Zertifikat drei Jahre, verbunden mit jährlichen Überwachungsaudits. Der gesamte Weg von der Vorbereitung bis zur Zertifizierung lässt sich in mehrere Phasen gliedern.

Was kostet und wie lange dauert die Umsetzung?
Feste Zahlen lassen sich seriös nicht nennen, da Aufwand und Kosten stark von der Unternehmensgröße abhängen. Als grobe Orientierung reicht die Vorbereitung von wenigen Monaten bis über ein Jahr, je nach Größe und Reifegrad. Ein kleines Unternehmen mit klaren Prozessen kommt deutlich schneller ans Ziel als ein komplexer Betrieb mit vielen Standorten und Systemen. Entscheidend sind der bestehende Reifegrad der Sicherheitsprozesse und die verfügbaren personellen Ressourcen.

Wie startet ein Mittelständler am besten?
Der Einstieg beginnt sinnvollerweise mit einer Ist-Analyse, die den Abstand zum Standard sichtbar macht. Anschließend werden Verantwortlichkeiten klar zugewiesen, damit Informationssicherheit nicht nebenbei läuft. Darauf folgt die schrittweise Dokumentation der Prozesse. So entsteht ein belastbares Fundament, bevor die Zertifizierungsstelle ins Spiel kommt.

FAQ
Was ist ISO 27001 einfach erklärt?
ISO 27001 ist der internationale Standard für Informationssicherheit. Unternehmen setzen ihn über ein Managementsystem, das ISMS, um.

Wie viele Controls hat ISO 27001?
Der Annex A der Fassung 2022 umfasst 93 Controls, gegliedert in vier Themenbereiche.

Wie läuft die Zertifizierung ab?
Sie erfolgt in zwei Stufen: einer Dokumentenprüfung und einem Vor-Ort-Audit durch eine akkreditierte Zertifizierungsstelle.

Wie lange gilt ein ISO-27001-Zertifikat?
Ein Zertifikat gilt drei Jahre, begleitet von jährlichen Überwachungsaudits.

Was kostet ISO 27001?
Die Kosten sind größenabhängig, eine pauschale Zahl gibt es nicht.

Lohnt sich ISO 27001 für kleine Unternehmen?
Ja, insbesondere wenn Kunden oder Ausschreibungen den Nachweis fordern.

Fazit
ISO 27001 macht Informationssicherheit systematisch und nachprüfbar. Für den Mittelstand ist der Standard oft der Schlüssel zu Aufträgen. Wer strukturiert mit einer Ist-Analyse startet, gestaltet den Weg zur Zertifizierung planbar.