ISO 27001 Beratung für den Mittelstand: ISMS aufbauen, Zertifizierung erreichen, Nachweis liefern

Was ist ISO 27001?

ISO/IEC 27001 ist die international anerkannte Norm für Informationssicherheits-Managementsysteme (ISMS). Sie beschreibt nicht, welche Firewall Sie kaufen sollen, sondern wie ein Unternehmen Informationssicherheit systematisch steuert: Risiken erkennen und bewerten, Maßnahmen festlegen, umsetzen, prüfen und verbessern. Der Anhang A der Norm listet 93 Maßnahmen in vier Bereichen – organisatorisch, personell, physisch, technisch –, aus denen Sie die passenden auswählen und begründen.

Am Ende steht ein Zertifikat einer akkreditierten Zertifizierungsstelle, das drei Jahre gilt und jährlich überwacht wird. Es belegt gegenüber Kunden, Partnern, Versicherern und Behörden, dass Ihre Informationssicherheit nicht vom Engagement einzelner abhängt, sondern als Prozess funktioniert.

Für wen lohnt sich ein ISMS im Mittelstand?

Nicht jedes Unternehmen mit 30 Mitarbeitenden braucht ein Zertifikat. Es gibt aber drei Situationen, in denen sich die ISO 27001 für den Mittelstand rechnet – oder unumgänglich wird:

• Zulieferer: Automobil- und Maschinenbaukonzerne, Medizintechnikhersteller und Energieversorger bewerten die Informationssicherheit ihrer Lieferanten. Ein Zertifikat beendet die Fragebögen und Audits – oder ist bereits Bedingung für den Rahmenvertrag.
• KRITIS und NIS2: Wer als wichtige oder besonders wichtige Einrichtung unter das NIS2-Umsetzungsgesetz fällt, muss Maßnahmen umsetzen und nachweisen. Ein ISMS nach ISO 27001 ist der strukturierte Weg dazu und wird als Nachweis anerkannt.
• Ausschreibungen: Öffentliche Auftraggeber, Banken, Versicherungen und Kommunen verlangen die ISO 27001 zunehmend als Eignungskriterium – wer sie nicht hat, wird nicht bewertet.
• Cyber-Versicherung: Ein ISMS senkt das Risiko und erleichtert die Antragstellung; einige Versicherer honorieren das bei der Prämie. Mehr dazu im Cyber-Versicherungs-Check.

Und es gibt den Nutzen, den niemand in Ausschreibungen abfragt: Ein Unternehmen mit ISMS weiß, welche Systeme es hat, wer darauf Zugriff hat, was bei einem Ausfall passiert und wer dann was tut. Das sind genau die Punkte, die im Ernstfall über Tage Stillstand oder Stunden entscheiden.

Der Weg zur ISO 27001 in sechs Schritten

1. Geltungsbereich und Bestandsaufnahme. Was soll das ISMS umfassen – das ganze Unternehmen, ein Standort, ein Geschäftsbereich? Welche Systeme, Daten und Prozesse gehören dazu? Eine saubere IT-Dokumentation mit Docusnap ist hier die halbe Arbeit.
2. Gap-Analyse. Wir prüfen Organisation und Technik gegen die Anforderungen der Norm und die 93 Maßnahmen des Anhangs A. Ergebnis: eine Lückenliste mit Priorität und Aufwandsschätzung.
3. Risikoanalyse und Maßnahmenplan. Gemeinsam bewerten wir Risiken für Ihre Informationswerte und legen fest, welche Maßnahmen Sie umsetzen – und welche begründet nicht. Daraus entsteht das Statement of Applicability, das Herzstück der Zertifizierung.
4. Umsetzung. BES setzt die technischen Maßnahmen um: Netzsegmentierung, Managed Firewall, Endpoint-Schutz mit EDR/XDR, MFA, Patch- und Schwachstellenmanagement, Backup & Disaster Recovery, Monitoring, Protokollierung. CMD Datenschutz & Compliance erarbeitet Richtlinien, Prozesse, Schulungen und den IT-Notfallplan.
5. Internes Audit und Managementbewertung. Bevor der externe Auditor kommt, prüfen wir selbst: Funktionieren die Prozesse, gibt es Nachweise, hat die Geschäftsführung das ISMS bewertet? Abweichungen werden behoben, nicht versteckt.
6. Zertifizierungsaudit. Eine akkreditierte Zertifizierungsstelle prüft in zwei Stufen – Dokumentation, dann Umsetzung vor Ort. Wir begleiten beide Termine, danach beginnt der laufende Betrieb mit jährlichen Überwachungsaudits.

Wir gehen den Weg selbst

BES Systemhaus durchläuft die ISO-27001-Zertifizierung derzeit selbst, mit dem Ziel, sie im ersten Halbjahr 2027 abzuschließen. Das tun wir aus zwei Gründen: Als IT-Dienstleister mit Zugriff auf die Systeme von über 2.500 Arbeitsplätzen sind wir Teil der Lieferkette unserer Kunden – und die fragen zu Recht nach unserem eigenen Sicherheitsniveau. Und weil wir Kunden nur dann glaubwürdig begleiten können, wenn wir Risikoanalyse, Statement of Applicability, internes Audit und die Fragen des Auditors aus eigener Erfahrung kennen.

Für Sie heißt das: Wir wissen, welche Dokumente wirklich gebraucht werden und welche nur Papier erzeugen. Wir kennen den Aufwand realistisch, nicht aus der Broschüre. Und wir können sagen, welche technischen Maßnahmen ein Auditor sehen will – weil wir sie bei uns selbst nachweisen.

Rollen: Wer macht was?

Ein ISMS braucht zwei Kompetenzen, die selten in einer Person stecken: Technik und Managementsystem. In der L&S Unternehmensgruppe sind sie auf zwei Schwesterfirmen verteilt, die seit Jahren zusammenarbeiten:

Beide arbeiten an einem gemeinsamen Maßnahmenplan. Sie müssen nicht zwischen zwei Dienstleistern vermitteln, die sich gegenseitig auf Zuständigkeiten berufen.

ISO 27001, TISAX und NIS2 – was ist was?

Die drei Begriffe tauchen häufig zusammen auf und werden verwechselt. Sie haben unterschiedliche Zwecke, bauen aber inhaltlich aufeinander auf:

Wer ein ISMS nach ISO 27001 aufbaut, legt damit die Grundlage für TISAX und erfüllt den Großteil der NIS2-Mindestmaßnahmen. Ob und wann Sie unter NIS2 fallen, klären wir in der NIS2-Beratung.

Was kostet die ISO 27001 Zertifizierung?

Die Kosten setzen sich aus drei Blöcken zusammen: Beratung und ISMS-Aufbau, technische Maßnahmen, Zertifizierungsstelle. Die Höhe hängt von Größe, Geltungsbereich und Ausgangszustand ab. Als Orientierung für ein Unternehmen mit 50 bis 150 Arbeitsplätzen:

Alle Angaben netto und als Platzhalter; verbindliche Zahlen erhalten Sie nach der Gap-Analyse.

Häufige Fragen