ISO 27001 Beratung
für Ihr Unternehmen.
Von der Gap-Analyse bis zum ISMS-Zertifikat in 4-8 Monaten. BAFA-Förderung bis 80 %. Über 500 Unternehmen erfolgreich beraten. Seit 2008, mit IAF-anerkannten Partnern.
Was ist ISO 27001?
ISO/IEC 27001 ist der international anerkannte Standard für Informationssicherheits-Managementsysteme (ISMS). Er bietet einen systematischen Ansatz zum Schutz vertraulicher Informationen und zur Sicherstellung der Geschäftskontinuität, branchenübergreifend, vom IT-Dienstleister bis zum Gesundheitswesen.
Die aktuelle Version ISO/IEC 27001:2022 brachte eine grundlegende Neustrukturierung des Annex A: von 114 Controls in 14 Domänen auf 93 Controls in 4 klar definierten Kategorien. 11 neue Controls wurden eingeführt, darunter Threat Intelligence und Cloud-Sicherheit.
Eine ISO 27001 Beratung unterstützt Ihr Unternehmen dabei, ein wirksames ISMS aufzubauen und die Normanforderungen effizient umzusetzen. Unsere erfahrenen Berater kennen die Stolpersteine und führen Sie auf dem kürzesten Weg zur erfolgreichen Zertifizierung – ohne unnötige Komplexität.
Durch die High Level Structure (HLS) lässt sich ISO 27001 als Integriertes Managementsystem mit ISO 9001, ISO 14001, ISO 45001 und ISO 50001 kombinieren.
„Informationssicherheit ist kein Projekt. Sie ist eine dauerhafte Verpflichtung zum Schutz Ihrer wertvollsten Assets.“
Die CIA-Triade
ISO 27001 basiert auf den drei fundamentalen Schutzzielen der Informationssicherheit.
Vertraulichkeit
Confidentiality
Informationen sind nur für autorisierte Personen zugänglich. Zugriffskontrollen, Verschlüsselung und Need-to-Know-Prinzip sichern die Vertraulichkeit.
Integrität
Integrity
Informationen sind korrekt und vollständig. Datenvalidierung, Änderungskontrolle und Audit-Trails schützen vor unberechtigter Manipulation.
Verfügbarkeit
Availability
Informationen sind bei Bedarf verfügbar. Business Continuity, Backup-Strategien und Redundanz gewährleisten den Zugriff.
Sie möchten Ihre Informationssicherheit systematisch aufbauen?
Unsere ISO 27001 Berater analysieren Ihren aktuellen Stand und erstellen einen individuellen Fahrplan für Ihre ISMS-Zertifizierung.
Die Säulen von ISO 27001
Ein wirksames ISMS basiert auf diesen fundamentalen Elementen.
Vertraulichkeit
Sicherstellen, dass Informationen nur autorisierten Personen zugänglich sind, durch Zugriffskontrollen, Verschlüsselung und Need-to-Know.
Integrität
Gewährleistung der Richtigkeit und Vollständigkeit von Informationen durch Datenvalidierung, Änderungskontrolle und Audit-Trails.
Verfügbarkeit
Sicherstellen, dass Informationen bei Bedarf verfügbar sind, durch Business Continuity, Backup-Strategien und Redundanz.
Risikomanagement
Systematische Identifikation, Bewertung und Behandlung von Informationssicherheitsrisiken als Kern des ISMS.
Richtlinien & Verfahren
Dokumentierte Vorgaben für den sicheren Umgang mit Informationen: Security Policies, Prozesse und Arbeitsanweisungen.
Kontinuierliche Verbesserung
Ständige Optimierung des Informationssicherheitsniveaus durch PDCA-Zyklus, Incident-Analyse und Lessons Learned.
Plan. Do.
Check. Act.
Der PDCA-Zyklus ist das Herzstück der ISO 27001. Er stellt sicher, dass Ihr ISMS sich systematisch und messbar verbessert – Zyklus für Zyklus, ohne Stillstand.
Im Rahmen unserer ISO 27001 Beratung implementieren wir den PDCA-Zyklus so, dass er zu Ihren bestehenden Sicherheitsprozessen passt – praxisnah und ohne unnötige Komplexität.
Planen
ISMS-Scope definieren, Risiken bewerten, Sicherheitsziele und Controls festlegen
Umsetzen
Maßnahmen implementieren, Mitarbeiter schulen, Sicherheitsprozesse einführen
Prüfen
Wirksamkeit messen, interne Audits durchführen, Incidents auswerten
Handeln
Korrekturmaßnahmen ableiten, System optimieren, nächsten Zyklus starten
8 Schritte zur
ISMS-Zertifizierung
Klar definiert, transparent geplant. In 4 bis 8 Monaten führen wir Sie von der Gap-Analyse zum ISMS-Zertifikat. So läuft der Ablauf der ISO 27001 Zertifizierung bei Verinorm.
Gap-Analyse
Bewertung des aktuellen Sicherheitsniveaus. Identifikation von Lücken und Handlungsbedarf.
Scope & Kontext
Festlegung des ISMS-Anwendungsbereichs und Analyse des organisatorischen Umfelds.
Risikobewertung
Systematische Identifikation und Bewertung aller Informationssicherheitsrisiken.
Maßnahmenauswahl
Auswahl geeigneter Controls aus Annex A und Erstellung des Statement of Applicability (SoA).
Implementierung
Umsetzung der ausgewählten Sicherheitsmaßnahmen in allen relevanten Bereichen.
Awareness & Training
Schulung aller Mitarbeiter in Informationssicherheit und Security Awareness.
Internes Audit
Überprüfung der Wirksamkeit des ISMS. Letzte Nachbesserungen vor dem Zertifizierungsaudit.
Zertifizierungsaudit
Externe Auditierung durch akkreditierte, IAF-anerkannte Zertifizierungsstelle.
Struktur der ISO 27001
Die Norm folgt der High Level Structure, identisch aufgebaut wie ISO 9001, ISO 14001, ISO 45001 und weitere Standards. Ideal für ein IMS.
Kontext der Organisation
Umfeld, interessierte Parteien, ISMS-Anwendungsbereich
Führung
Verpflichtung, IS-Politik, Rollen & Verantwortlichkeiten
Planung
Risiken & Chancen, IS-Ziele, Änderungsplanung
Unterstützung
Ressourcen, Kompetenz, Awareness, Dokumentation
Betrieb
Risikobewertung, Risikobehandlung, operative Planung
Leistungsbewertung
Überwachung, Messung, Audit, Managementbewertung
Verbesserung
Nichtkonformitäten, Korrekturmaßnahmen, KVP
93 Controls in 4 Kategorien
Die ISO 27001:2022 hat den Annex A grundlegend neu strukturiert. 93 Controls in 4 klar definierten Kategorien ersetzen die bisherigen 114 Controls in 14 Domänen.
Organisatorische Controls
Richtlinien, Rollen, Asset-Management, Zugangssteuerung, Lieferantenbeziehungen, Compliance
Personenbezogene Controls
Vor der Anstellung, während der Anstellung, Beendigung, Awareness, Disziplinarverfahren
Physische Controls
Sicherheitsbereiche, Zutrittssteuerung, Schutz vor Umweltbedrohungen, Geräte- und Medienhandhabung
Technologische Controls
Endgeräte, Zugriffsrechte, Kryptographie, Netzwerksicherheit, Secure Development, Cloud-Sicherheit
Die 11 neuen Controls der Ausgabe 2022
Diese Controls existierten in der Ausgabe 2013 nicht. Sie sind in der Praxis der häufigste Nachbesserungspunkt bei Unternehmen, die ihr ISMS vor 2022 aufgebaut haben:
Neu: fünf Attribute je Control
Die Ausgabe 2022 versieht jedes Control mit Attributen, über die sich der Katalog filtern lässt. Sie sind kein Auditgegenstand, erleichtern aber die Zuordnung zu bestehenden Frameworks erheblich:
- Art der Maßnahme (präventiv, detektierend, korrigierend)
- betroffene Sicherheitseigenschaft (Vertraulichkeit, Integrität, Verfügbarkeit)
- Cybersecurity-Konzept (identifizieren, schützen, erkennen, reagieren, wiederherstellen)
- operative Fähigkeit (z. B. Asset-Management, Governance)
- Sicherheitsdomäne (z. B. Schutz, Resilienz)
Statement of Applicability (SoA)
Das Statement of Applicability ist das nach Kapitel 6.1.3 d) verpflichtende Dokument, in dem für jedes der 93 Annex-A-Controls festgehalten wird, ob es anwendbar ist, wie es umgesetzt wird und – bei Ausschluss – mit welcher Begründung. Es ist das zentrale Prüfdokument im Zertifizierungsaudit.
Der häufigste Fehler: Das SoA wird als Tabelle aus einer Vorlage gefüllt, ohne Bezug zur eigenen Risikobeurteilung. Der Auditor prüft aber genau diesen Bezug – jede Anwendbarkeitsentscheidung muss sich aus Ihrer Risikoanalyse, aus Rechtsvorschriften oder aus Vertragspflichten herleiten lassen.
Anwendungsbereich festlegen
Welche Standorte, Prozesse, Systeme und Personen umfasst das ISMS? Diese Entscheidung bestimmt Aufwand, Audittage und Kosten stärker als jede andere.
Risiken bewerten
Risikobeurteilung nach 6.1.2 durchführen. Das Ergebnis ist die Begründungsgrundlage für jede Control-Entscheidung im SoA.
Controls zuordnen
Für jedes nicht akzeptable Risiko die geeigneten Annex-A-Controls bestimmen und ergänzen, wenn der Katalog eine Lücke lässt – das ist ausdrücklich zulässig.
SoA dokumentieren
Je Control: anwendbar ja/nein, Begründung, Umsetzungsstand, Verweis auf die umsetzende Richtlinie oder Maßnahme.
Zulässiger Ausschluss
„Control 8.25 bis 8.28 (sichere Entwicklung) nicht anwendbar, da keine eigene Software entwickelt wird; sämtliche Anwendungen werden als Standardsoftware bezogen.“ Nachvollziehbar und im Audit unproblematisch.
Unzulässiger Ausschluss
„Control 8.24 (Kryptographie) nicht anwendbar, da bisher nicht umgesetzt.“ Der Umsetzungsaufwand ist kein Ausschlussgrund. Führt regelmäßig zu einer Abweichung, weil das Risiko fortbesteht.
Risikoanalyse und Risikobehandlung
ISO 27001 schreibt keine Methode vor, sondern verlangt ein Verfahren, das wiederholbare und vergleichbare Ergebnisse liefert. Anleitung dazu gibt ISO/IEC 27005. Der Prüfstein im Audit ist einfach: Zwei Personen müssen bei gleichem Sachverhalt zum gleichen Ergebnis kommen.
Die vier Behandlungsoptionen
Reduzieren (modify)
Controls umsetzen, um Eintrittswahrscheinlichkeit oder Auswirkung zu senken. Der Regelfall – hier entsteht die Verbindung zum Annex A.
Akzeptieren (retain)
Risiko bewusst tragen, wenn es innerhalb der definierten Akzeptanzkriterien liegt. Erfordert die dokumentierte Zustimmung der Risikoeigentümer.
Vermeiden (avoid)
Die risikoauslösende Tätigkeit einstellen oder anders gestalten – etwa einen Dienst nicht selbst betreiben.
Übertragen (share)
Risiko teilen, durch Versicherung oder vertragliche Verlagerung auf einen Dienstleister. Die Verantwortung für die Informationssicherheit bleibt bei Ihnen.
Beispiel aus der Praxis
Diese Kette – Wert, Bedrohung, Schwachstelle, Bewertung, Option, Control, Restrisiko – ist genau der Nachweis, den der Auditor sehen will. Fehlt eines der Glieder, ist die Control-Auswahl im SoA nicht begründet.
NIS2: Sind Sie betroffen?
Das deutsche Umsetzungsgesetz zur NIS2-Richtlinie ist seit dem 6. Dezember 2025 in Kraft. Damit unterliegen in Deutschland rund 29.500 Unternehmen der Aufsicht des BSI – zuvor waren es etwa 4.500. Wichtig für die Einordnung: Eine ISO-27001-Zertifizierung ist gesetzlich nicht vorgeschrieben. Verlangt werden angemessene Risikomanagementmaßnahmen – ein ISMS nach ISO 27001 ist der etablierte Weg, sie nachzuweisen.
Stand: Juli 2026. Fristen und Verwaltungspraxis ändern sich; verbindlich ist die Betroffenheitsprüfung des BSI.
Schwellenwerte
Wichtige Einrichtungen: ab 50 Mitarbeitenden oder 10 Mio. € Jahresumsatz.
Besonders wichtige Einrichtungen: ab 250 Mitarbeitenden oder 50 Mio. € Umsatz.
Einzelne Einrichtungen sind unabhängig von der Größe erfasst, etwa im Bereich digitale Infrastruktur.
18 Sektoren
Energie, Verkehr, Finanzwesen, Gesundheit, Wasser und Abwasser, digitale Infrastruktur, IT-Dienstleistungsmanagement, öffentliche Verwaltung, Weltraum, Post und Kurier, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe (u. a. Maschinenbau, Fahrzeugbau, Medizinprodukte, Elektronik), digitale Dienste, Forschung.
Sanktionen
Bei Verstoß gegen die Registrierungspflicht bis zu 500.000 €. Für besonders wichtige Einrichtungen bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes.
Das Gesetz begründet zudem eine persönliche Verantwortung der Leitungsorgane samt Schulungspflicht.
Registrierungspflicht beim BSI
Betroffene Einrichtungen müssen sich selbst beim BSI registrieren – eine Aufforderung durch die Behörde gibt es nicht. Die gesetzliche Frist lief am 6. März 2026 ab, das BSI hat eine Nachfrist bis zum 31. Juli 2026 gesetzt. Die Pflicht entfällt danach nicht: Wer nicht registriert ist, bleibt registrierungspflichtig und im Verstoß. Die Registrierung läuft über das Melde- und Unterrichtungsportal des BSI; der Zugang erfordert „Mein Unternehmenskonto“ mit Organisationszertifikat, was organisatorisch Vorlauf braucht.
Die Registrierung ist die formale Pflicht. Inhaltlich verlangt das Gesetz Risikomanagementmaßnahmen, Vorfallmeldungen an das BSI innerhalb kurzer Fristen und Nachweise über die Sicherheit der Lieferkette. Diese Anforderungen sind mit einem ISMS nach ISO 27001 vollständig abbildbar.
NIS2-Pflicht und ihre Entsprechung im Annex A
| Anforderung nach NIS2 / BSIG | Abdeckung durch ISO 27001 |
|---|---|
| Risikoanalyse und Konzepte für die Informationssicherheit | Kapitel 6.1.2 und 6.1.3, Control 5.1 |
| Bewältigung von Sicherheitsvorfällen | Controls 5.24 bis 5.28 |
| Aufrechterhaltung des Betriebs, Backup, Krisenmanagement | Controls 5.29, 5.30, 8.13, 8.14 |
| Sicherheit der Lieferkette | Controls 5.19 bis 5.23 |
| Sicherheit bei Erwerb, Entwicklung und Wartung | Controls 8.25 bis 8.32 |
| Bewertung der Wirksamkeit der Maßnahmen | Kapitel 9.1, 9.2, 9.3 |
| Schulung und Cyberhygiene | Controls 6.3, 8.7 |
| Kryptographie und Verschlüsselung | Control 8.24 |
| Zugriffskontrolle und Asset-Management | Controls 5.9 bis 5.18 |
| Mehrfaktor-Authentifizierung, gesicherte Kommunikation | Controls 8.5, 8.20, 8.21 |
ISO 27001, TISAX, SOC 2 oder IT-Grundschutz?
Ein ISMS ist das Managementsystem für Informationssicherheit – ISO 27001 ist die Norm, gegen die es zertifiziert werden kann. Die Begriffe werden häufig gleichgesetzt: Jedes Unternehmen kann ein ISMS betreiben, ohne zertifiziert zu sein; zertifizierungsfähig ist es erst, wenn es die Anforderungen der Kapitel 4 bis 10 erfüllt.
Welcher Nachweis der richtige ist, entscheidet Ihr Markt – nicht die inhaltliche Qualität des Standards.
| Merkmal | ISO/IEC 27001 | TISAX | SOC 2 | BSI IT-Grundschutz |
|---|---|---|---|---|
| Ergebnis | Zertifikat, 3 Jahre | Label über ENX, 3 Jahre | Prüfungsbericht | Zertifikat auf Basis ISO 27001 |
| Grundlage | internationale Norm | VDA ISA | AICPA Trust Services Criteria | BSI-Standards 200-1 bis 200-3 |
| Typischer Markt | international, Ausschreibungen | Automobilindustrie | US-Kunden, SaaS | öffentliche Auftraggeber in DE |
| Prüfende Stelle | akkreditierte Zertifizierungsstelle | TISAX-Prüfdienstleister | Wirtschaftsprüfer | BSI-zertifizierter Auditor |
| Besonderheit | risikobasiert, Anwendungsbereich frei wählbar | Prüfziele, u. a. Prototypenschutz | Typ I punktuell, Typ II über Zeitraum | maßnahmenorientiert, hohe Detailtiefe |
Mehrere Nachweise, eine Basis
Wer ISO 27001 aufbaut, kann TISAX und SOC 2 auf derselben Kontrollbasis betreiben. Wir richten das ISMS so ein, dass die Nachweise gemeinsam nutzbar sind, statt drei parallele Systeme zu pflegen.
Der Anwendungsbereich entscheidet
ISO 27001 lässt zu, den Anwendungsbereich auf einen Unternehmensteil zu begrenzen – etwa den Rechenzentrums- oder Entwicklungsbetrieb. Das senkt Aufwand und Audittage erheblich. Er muss aber fachlich sinnvoll abgegrenzt sein; ein zu enger Bereich wird von Kunden nicht akzeptiert.
Warum ISO 27001?
Drei Dimensionen, ein Ziel: nachhaltig sichere Informationen.
Sicherheit
- Schutz sensibler Informationen
- DSGVO-Compliance Unterstützung
- Schutz vor Cyberangriffen
- Incident Response Prozesse
- Schwachstellenmanagement
Vertrauen
- Kundenvertrauen stärken
- Wettbewerbsvorteile sichern
- Internationale Anerkennung
- Vorteile bei Ausschreibungen
- Lieferantenanforderungen erfüllen
Wirtschaftlich
- Reduzierte Breach-Kosten
- Versicherungsvorteile
- BAFA-Förderung bis 80 %
- Neue Geschäftsmöglichkeiten
- Schneller Return on Investment
Warum Verinorm als ISO 27001 Berater?
Was uns von anderen ISO 27001 Beratungen unterscheidet.
Anwendungsbereich zuerst
Wir schneiden den Scope, bevor wir Controls diskutieren. Er bestimmt Aufwand, Audittage und Gebühren stärker als jede andere Entscheidung im Projekt – und lässt sich später nur schwer korrigieren.
SoA aus Ihrer Risikoanalyse
Kein befülltes Vorlagen-SoA. Jede Anwendbarkeitsentscheidung ist an Ihre Risikobeurteilung, Rechtspflichten oder Verträge geknüpft – genau die Verbindung, die der Auditor prüft.
NIS2 mitgedacht
Wir prüfen Ihre Betroffenheit nach dem BSIG und richten das ISMS so aus, dass Registrierung, Meldewege und Lieferkettennachweise abgedeckt sind – statt in einem zweiten Projekt.
Unabhängig von Tool und Prüfstelle
Wir verkaufen keine ISMS-Software und sind keiner Zertifizierungsstelle angeschlossen. Bestehende Werkzeuge nutzen wir weiter, wenn sie taugen – kein Vendor-Lock-in.
Datenschutz und Sicherheit zusammen
Informationssicherheit und DSGVO überschneiden sich bei Löschkonzepten, Auftragsverarbeitung und Meldepflichten. Wir bearbeiten beides gemeinsam statt in getrennten Projekten.
Zertifizierung im ersten Anlauf
Alle von uns begleiteten Unternehmen haben das Audit beim ersten Versuch bestanden. Grundlage ist das interne Audit vor Stufe 2, in dem wir Abweichungen vorwegnehmen.
ISO 27001 neben bestehenden Managementsystemen
ISO 27001 folgt derselben Kapitelstruktur wie ISO 9001, unterscheidet sich aber in einem Punkt grundlegend: Sie verlangt eine eigene, dokumentierte Risikobeurteilung je Informationswert und mit dem SoA ein Dokument, das keine andere Norm kennt. Gemeinsam nutzbar sind Kontext, Führung, Dokumentenlenkung, interne Audits und Managementbewertung – das senkt den Aufwand deutlich, ersetzt aber nicht die ISMS-spezifische Arbeit. Enge Berührungspunkte bestehen zur DSGVO, insbesondere bei Löschkonzepten, Auftragsverarbeitung und Meldepflichten.
FAQ zur ISO 27001 Beratung
Die wichtigsten Fragen und Antworten rund um Kosten, Ablauf, Dauer und Anforderungen der ISO 27001 Zertifizierung.
Wie lange dauert eine ISO 27001 Zertifizierung?
Welche Anforderungen stellt ISO 27001 an Unternehmen?
Gibt es eine Förderung für die ISO 27001 Beratung?
Welche Version der ISO 27001 ist zertifizierungsfähig?
Was ist der Unterschied zwischen ISO 27001:2022 und ISO 27001:2013?
Was ist ein Statement of Applicability (SoA)?
Müssen alle 93 Controls aus Annex A umgesetzt werden?
Wie läuft die Risikoanalyse nach ISO 27001 ab?
Verpflichtet NIS2 zu einer ISO-27001-Zertifizierung?
Ist mein Unternehmen von NIS2 betroffen?
Was ist der Unterschied zwischen ISO 27001 und TISAX?
Was ist der Unterschied zwischen ISO 27001 und SOC 2?
Was kostet eine ISO 27001 Zertifizierung?
Was ist ein ISMS (Informationssicherheits-Managementsystem)?
Braucht mein Unternehmen ISO 27001?
Was sind die 93 Controls im Annex A?
Weitere ISO-Normen und Leistungen
Bereit für Ihre
ISO 27001 Zertifizierung?
Wir beginnen mit dem Anwendungsbereich und einer Gap-Analyse gegen die ISO/IEC 27001:2022 – und prüfen dabei Ihre NIS2-Betroffenheit nach dem BSIG mit.
- Scope-Festlegung, bevor Aufwand entsteht
- Risikoanalyse und SoA, die im Audit tragen
- NIS2-Betroffenheitsprüfung inklusive, BAFA-Förderung möglich