Die Frage nach ISO 27001 kommt in einem kleinen Unternehmen meist von außen, nicht von innen. Ein großer Kunde schickt einen Lieferantenfragebogen mit der Zeile „Haben Sie ein ISO-27001-Zertifikat?“. Oder eine Anforderung taucht in den Bedingungen einer öffentlichen Ausschreibung auf, und ein Angebot, das sie nicht erfüllt, wird gar nicht erst gewertet. Dann beginnt der Geschäftsführer zu rechnen: Lohnt es sich, wie viel Zeit kostet es, und gibt es einen einfacheren Weg?
Die Antwort hängt davon ab, wer das Zertifikat braucht und was der Kunde tatsächlich erwartet. Für manche Unternehmen öffnet das Zertifikat Märkte, die sonst verschlossen blieben. Anderen genügt es, die Sicherheit nach der Norm in Ordnung zu bringen und das ohne den Stempel einer Zertifizierungsstelle nachzuweisen.
In diesem Artikel erklären wir, was ISO 27001 wirklich ist, wann ein Zertifikat notwendig ist, welche Etappen vor Ihnen liegen und wie lange sie bei einem Unternehmen mit 20 bis 100 Mitarbeitenden realistisch dauern.
Was ISO 27001 ist und was ein ISMS bedeutet
ISO 27001 ist die internationale Norm für das Management der Informationssicherheit. Sie verlangt keine bestimmte Technik und keine bestimmte Software. Sie verlangt, dass das Unternehmen ein funktionierendes Informationssicherheits-Managementsystem (ISMS) hat.
Ein ISMS ist kein Programm und kein Ordner mit Richtlinien. Es ist die Art, wie ein Unternehmen fortlaufend vier Fragen beantwortet: Welche Informationen schützen wir, was bedroht sie, was tun wir, damit sich die Bedrohungen nicht verwirklichen, und woher wissen wir, dass es funktioniert. Die Norm legt fest, wie dieser Zyklus zu organisieren ist, und der Anhang mit einer Liste von Maßnahmen (organisatorische, personenbezogene, physische und technologische) bietet eine Auswahl konkreter Maßnahmen, aus der das Unternehmen entsprechend seinen Risiken wählt.
Wichtig für ein kleines Unternehmen: Die Norm ist verhältnismäßig. Das ISMS eines Softwareentwicklers mit zehn Mitarbeitenden kann in ein Dutzend Dokumente und ein Risikoregister passen. Niemand verlangt eine eigene Sicherheitsabteilung.
Wann ein Zertifikat wirklich nötig ist
Ein Zertifikat ist die Bestätigung einer unabhängigen Zertifizierungsstelle, dass Ihr ISMS der Norm entspricht. Es wird gebraucht, wenn jemand von außen genau das verlangt und nicht Ihr Wort.
- Kundenanforderungen. Große Unternehmen, besonders im Finanzwesen, in der Telekommunikation und in internationalen Konzernen, verlangen von Lieferanten, die ihre Daten verarbeiten oder an ihre Systeme angebunden sind, zunehmend ein Zertifikat. Ohne dieses dauert die Lieferantenbewertung Monate oder findet gar nicht statt.
- Ausschreibungen. Bei öffentlichen und privaten Ausschreibungen ist ein Zertifikat oft eine Eignungsanforderung. Ohne es wird das Angebot abgelehnt, ohne bewertet zu werden.
- Export. Beim Verkauf von IT-Dienstleistungen oder Software nach Skandinavien, Deutschland oder ins Vereinigte Königreich ist ein Zertifikat oft die erste Frage, die das Sicherheitsteam des Käufers stellt.
- Regulierte Kunden. Wenn Ihre Kunden unter NIS2 oder DORA fallen, müssen sie die Sicherheit ihrer Lieferanten bewerten, und ein Zertifikat vereinfacht diese Bewertung erheblich.
Wenn keiner dieser Fälle auf Sie zutrifft, kann ein Zertifikat ein teures Abzeichen sein, nach dem niemand fragt.
Wann es genügt, „nach den Anforderungen“ zu arbeiten
Ein guter Teil der Unternehmen wählt den Mittelweg: Sie führen ein ISMS nach der Norm ein, lassen es aber nicht zertifizieren. Das ist sinnvoll, wenn Kunden nicht nach einem Zertifikat fragen, sondern nach Belegen, dass Sicherheit gesteuert wird: Richtlinien, eine Risikobewertung, ein Verfahren für Vorfälle, Backup-Tests.
Dieser Weg ist günstiger und schneller, weil das Zertifizierungsaudit und die jährlichen Überwachungsaudits entfallen. Das Unternehmen erhält fast den ganzen Nutzen: Ordnung, klare Verantwortlichkeiten, weniger Vorfälle und die Bereitschaft, später bei Bedarf zu zertifizieren. MDP CLOUD erbringt seine Leistungen selbst nach den Anforderungen von ISO 27001, daher füllen wir Kundenfragebögen aus vorhandenen Dokumenten aus, statt Antworten von Grund auf zu schreiben.
Wichtig ist, sich nichts vorzumachen: „Nach den Anforderungen“ bedeutet, dass das ISMS tatsächlich funktioniert. Wenn es nur eine Sammlung von Richtlinien ist, an die sich niemand hält, deckt das erste ernsthafte Kundenaudit es auf.
Ein guter Kompromiss ist, das ISMS so einzuführen, dass eine Zertifizierung innerhalb weniger Monate möglich bleibt, falls ein Kunde auftaucht, der sie braucht. Dann wird die Entscheidung zur Zertifizierung zu einem kommerziellen Projekt und nicht zu einem dringenden.
Etappen und realistischer Zeitplan
Für ein kleines Unternehmen, das bei null anfängt, dauert der Weg zum Zertifikat meist sechs bis zwölf Monate. Hier sind die Etappen und ihre ungefähre Dauer nach unserer Erfahrung.
Festlegung des Geltungsbereichs und Lückenanalyse (2 bis 4 Wochen)
Sie legen fest, was zum ISMS gehört: das ganze Unternehmen oder nur eine Leistung, welche Standorte, Systeme und Lieferanten. Dann wird der Ist-Zustand mit den Anforderungen der Norm verglichen. Das Ergebnis ist eine klare Liste dessen, was fehlt.
Risikobewertung und Auswahl der Maßnahmen (4 bis 6 Wochen)
Es wird ein Verzeichnis der Werte erstellt, Risiken werden bewertet, Maßnahmen ausgewählt und eine Erklärung zur Anwendbarkeit vorbereitet. Das ist die wichtigste Etappe, denn sie bestimmt, wie viele Dokumente und technische Maßnahmen nötig sein werden. Die Risikobewertung führen wir oft als eigenständige Arbeit durch, auch wenn sich das Unternehmen noch nicht für eine Zertifizierung entschieden hat.
Dokumentation und Umsetzung der Maßnahmen (2 bis 4 Monate)
Richtlinien und Verfahren werden geschrieben, und technische Maßnahmen werden umgesetzt: Multi-Faktor-Authentifizierung, Endpunktschutz, Trennung der Backups, Überprüfung von Zugriffen, Sammlung von Protokollen. Der größte Teil der Arbeit entfällt hier auf den IT-Dienstleister.
Betriebsphase (mindestens 2 bis 3 Monate)
Der Zertifizierungsauditor prüft Aufzeichnungen: das Vorfallprotokoll, Zugriffsprüfungen, Schulungsnachweise, Ergebnisse der Managementbewertung. Die Aufzeichnungen müssen sich ansammeln, daher muss das ISMS vor dem Audit einige Zeit laufen. Diese Etappe lässt sich nicht verkürzen.
Internes Audit, Managementbewertung und Zertifizierungsaudit (1 bis 2 Monate)
Es wird ein internes Audit durchgeführt, die Leitung bewertet das System und trifft Entscheidungen, dann folgt das zweistufige Zertifizierungsaudit: Dokumentation und Betrieb. Nach einem erfolgreichen Audit wird das Zertifikat für drei Jahre mit jährlichen Überwachungsaudits ausgestellt.
Die häufigsten Fehler
Erstens werden Dokumentvorlagen gekauft und einfach umbenannt. Binnen einer halben Stunde sieht der Auditor, dass die Richtlinie Abteilungen erwähnt, die das Unternehmen nicht hat. Zweitens wird der Geltungsbereich zu weit gewählt. Wenn das Zertifikat für eine Leistung gebraucht wird, muss nicht das gesamte Unternehmen ins ISMS einbezogen werden. Drittens beteiligt sich die Leitung nur durch Unterschriften. Die Norm verlangt eine Managementbewertung mit echten Entscheidungen, und der Auditor wird insbesondere den Geschäftsführer befragen. Viertens wird der technische Teil auf den letzten Monat verschoben, obwohl die Trennung der Backups oder das Ordnen der Zugriffe länger dauern kann als die Dokumente.
Was der IT-Dienstleister tut und was das Unternehmen
Eine klare Aufgabenteilung spart am meisten Zeit.
Der IT-Dienstleister: Umsetzung technischer Maßnahmen und ihrer Nachweise, Backup- und Wiederherstellungstests, Schwachstellenmanagement, Zugriffsverwaltung, Sammlung von Protokollen, technische Richtlinien und Verfahren, Vorbereitung auf den technischen Teil des Audits. Wenn der IT-Support bereits ausgelagert ist, sollte das meiste davon Teil des IT-Supports sein.
Das Unternehmen selbst: Entscheidungen über Geltungsbereich und Risikobereitschaft, Benennung von Informationsverantwortlichen, Schulung der Mitarbeitenden und deren Nachweise, Personalverfahren (Einstellung, Austritt, Vertraulichkeit), Lieferantenverträge, Managementbewertung. Der Dienstleister kann das nicht für Sie erledigen, denn der Auditor prüft, dass das Unternehmen seine Sicherheit selbst steuert.
Wo Sie anfangen
- Fragen Sie sich, wer das Zertifikat braucht. Gibt es einen konkreten Kunden oder eine Ausschreibung, notieren Sie deren Frist: Von ihr aus rechnen Sie rückwärts.
- Legen Sie den Geltungsbereich so eng fest, wie es für den Kunden noch sinnvoll ist.
- Beauftragen Sie eine Lückenanalyse und eine Risikobewertung. Sie erhalten damit eine echte Aufgabenliste und eine Dauer statt Vermutungen.
- Bringen Sie die technischen Grundlagen sofort in Ordnung, ohne auf Dokumente zu warten: Authentifizierung, Schutz, Backups.
- Benennen Sie im Unternehmen eine verantwortliche Person. Gibt es niemanden, sorgt CISO as a Service dafür, dass das ISMS einen Verantwortlichen hat, ohne zusätzliche Einstellung.
Unser Team mit aktuellen ISACA-Zertifizierungen hilft sowohl bei der Zertifizierung als auch einfach dabei, die Sicherheit nach den Anforderungen in Ordnung zu bringen. Im ersten Gespräch sagen wir Ihnen ehrlich, welcher Weg in Ihrem Fall sinnvoller ist.
