Kleine IT-Dienstleister erreichen ISO 27001 in drei bis sechs Monaten mit 15 bis 40 internen Personentagen. Die Hebel: Geltungsbereich klein schneiden, Dokumentation auf 15 bis 25 schlanke Dokumente begrenzen und früh klären, ob Kunden ein akkreditiertes Zertifikat verlangen oder ein nicht akkreditierter Nachweis genügt – das entscheidet über Kosten und Anbieterwahl.
Der typische Auslöser ist eine E-Mail vom Kunden: ein Sicherheitsfragebogen mit 120 Fragen, eine Ausschreibung mit Zertifikatspflicht oder die Ankündigung, dass ab nächstem Jahr nur noch zertifizierte Dienstleister beauftragt werden. Für kleine IT-Dienstleister, Systemhäuser und Softwarebetriebe stellt sich dann die Frage: Schaffen wir ISO 27001 – neben dem Tagesgeschäft, ohne eigene Stabsstelle, ohne Konzernbudget?
Die kurze Antwort: ja, wenn der Zuschnitt stimmt. Dieser Artikel liefert die lange Antwort – mit ehrlichen Zahlen zu Aufwand und Kosten, einem Fahrplan in vier Phasen, den typischen Fehlern kleiner Unternehmen und der Frage, wann ein akkreditiertes Zertifikat nötig ist und wann nicht.
Warum es gerade kleine IT-Dienstleister trifft
Kleine IT-Dienstleister stehen doppelt im Fokus. Zum einen sind sie ein bevorzugtes Angriffsziel: Wer die IT von zwanzig Kunden administriert, ist für Angreifer ein Multiplikator – ein kompromittierter Fernwartungszugang öffnet zwanzig Türen auf einmal. Vorfälle bei Managed-Service-Providern gehören seit Jahren zu den folgenreichsten Angriffsmustern überhaupt.
Zum anderen wächst der Nachweisdruck aus der Lieferkette. NIS2-regulierte Unternehmen müssen die Sicherheit ihrer Dienstleister steuern und geben die Anforderungen vertraglich weiter – gerade an IT-Dienstleister mit privilegierten Zugängen (Stand: September 2026). Dazu kommen Cyberversicherer, die den Fragenkatalog jedes Jahr verschärfen, und Konzern-Einkaufsabteilungen, die Lieferanten ohne Sicherheitsnachweis aussortieren, bevor überhaupt ein Fachgespräch stattfindet.
Die gute Nachricht: Für kleine Unternehmen ist die Norm leichter zu stemmen, als ihr Ruf sagt. Kurze Wege, wenige Systeme, überschaubare Prozesse – was dem Konzern Jahre kostet, ist im Zehn-Personen-Betrieb in Monaten machbar. Die Norm selbst skaliert mit: Sie verlangt Angemessenheit, nicht Konzernbürokratie.
Der Aufwand in ehrlichen Zahlen
Seriös lässt sich der Aufwand nur als Spanne angeben – er hängt vom Ausgangszustand der IT und der verfügbaren Zeit ab. Erfahrungswerte für IT-Dienstleister:
| Größe | Interner Aufwand | Dauer bis Auditreife | Externe Kosten (Spannen) |
|---|---|---|---|
| Bis 5 Mitarbeitende | 10–25 Personentage | 2–4 Monate | Beratung optional 5.000–15.000 Euro; Zertifizierung akkreditiert häufig 6.000–10.000 Euro, nicht akkreditiert ab ca. 1.950 Euro/Jahr |
| 5–25 Mitarbeitende | 15–40 Personentage | 3–6 Monate | Beratung optional 8.000–25.000 Euro; Zertifizierung akkreditiert häufig 8.000–15.000 Euro, nicht akkreditiert ab ca. 2.950 Euro/Jahr |
| 25–50 Mitarbeitende | 30–60 Personentage | 6–12 Monate | Beratung häufig 15.000–40.000 Euro; Zertifizierung akkreditiert häufig 12.000–20.000 Euro |
Drei Anmerkungen zur Ehrlichkeit dieser Zahlen: Der interne Aufwand ist fast immer der größte Kostenblock – er fehlt in vielen Angebotsvergleichen. Die Beratungskosten sind vermeidbar, wenn intern Kompetenz und Zeit vorhanden sind; ganz ohne eigene Auseinandersetzung mit der Norm geht es aber auch mit Berater nicht. Und: Nach dem Zertifikat ist nicht Schluss – für Pflege, Schulungen und Überwachungsaudits sind laufend zwei bis fünf Stunden pro Woche plus die jährlichen Auditkosten einzuplanen.
Hebel Nummer eins: den Geltungsbereich klug schneiden
Die wichtigste Einzelentscheidung fällt ganz am Anfang: der Geltungsbereich (Scope) des ISMS. Er bestimmt, was auditiert wird – und damit Aufwand, Dauer und Kosten. Für die meisten kleinen IT-Dienstleister ist das gesamte Unternehmen der richtige Scope: Bei einem Betrieb mit einem Standort und einem Leistungsportfolio kostet künstliches Herausschneiden mehr Abgrenzungsaufwand, als es spart.
Anders sieht es aus, wenn klar trennbare Bereiche existieren: Wer neben Managed Services auch einen Hardware-Handel betreibt, kann das ISMS zunächst auf die Managed Services begrenzen – sofern die Bereiche organisatorisch und technisch sauber trennbar sind. Wichtig ist die Kundenperspektive: Der Scope steht wörtlich auf dem Zertifikat. Ein Kunde, der Cloud-Betrieb einkauft, will „Betrieb und Support der Kundeninfrastruktur“ im Geltungsbereich lesen – nicht nur „interne Verwaltung“. Ein zu schmaler Scope ist der häufigste Grund, warum Zertifikate im Vertrieb nicht ziehen.
Praktischer Tipp: Formulieren Sie den Scope-Satz früh und legen Sie ihn den zwei, drei wichtigsten Kunden formlos vor, bevor das Projekt startet. Deren Reaktion zeigt, ob der Zuschnitt trägt – und erspart teure Nachbesserungen nach dem Audit.
Schlanke Dokumentation: was wirklich reicht
Das Schreckgespenst der 80-Seiten-Handbücher stammt aus einer anderen Zeit und aus anderen Unternehmensgrößen. Die Norm verlangt dokumentierte Information an definierten Stellen – nicht mehr. Für einen kleinen IT-Dienstleister hat sich ein Set von 15 bis 25 Dokumenten bewährt: der Geltungsbereich, eine zweiseitige Sicherheitsleitlinie, die Risikoanalyse mit Behandlungsplan, das Statement of Applicability, Sicherheitsziele sowie eine Handvoll Richtlinien zu den Themen, die der Alltag wirklich braucht – Zugriffs- und Berechtigungsverwaltung, Passwörter und MFA, Backup, mobiles Arbeiten, Lieferanten, Vorfallsmanagement, On- und Offboarding.
Dazu kommen die Nachweise aus dem Betrieb: Schulungsbelege, Restore-Testprotokolle, Berechtigungsreviews, der interne Auditbericht und die Managementbewertung. Faustregeln für jedes Dokument: so kurz wie möglich, ein Eigentümer, ein jährlicher Review-Termin – und nichts dokumentieren, was niemand tut. Auditoren stören sich selten an knapper Dokumentation; sie stören sich an Widersprüchen zwischen Papier und Praxis.
Vorlagen können den Start beschleunigen, bergen aber die größte Einzelgefahr des ganzen Projekts: ungeprüft übernommene Musterdokumente, die Prozesse beschreiben, die es im Unternehmen nicht gibt. Jede Vorlage muss auf den eigenen Betrieb umgeschrieben werden – sonst kauft man sich Abweichungen ins Audit.
Der Fahrplan: in vier Phasen zur Auditreife
Ein realistischer Ablauf für einen IT-Dienstleister mit 10 bis 25 Mitarbeitenden:
- Phase 1 – Bestandsaufnahme (Woche 1–4): Gap-Analyse gegen die Norm, Scope festlegen, Rollen benennen (wer koordiniert das ISMS?), Projektplan mit Meilensteinen. Ergebnis: eine ehrliche Lückenliste statt Bauchgefühl.
- Phase 2 – Fundament (Woche 5–10): Informationswerte erfassen, Risikoanalyse durchführen, Behandlungsplan und Statement of Applicability erstellen, Leitlinie und Kernrichtlinien schreiben. Hier entsteht die Substanz des ISMS.
- Phase 3 – Umsetzung (Woche 11–18): Maßnahmen abarbeiten – MFA ausrollen, Backup-Tests etablieren, Offboarding-Checkliste einführen, Lieferanten bewerten. Parallel: alle Mitarbeitenden schulen und den Vorfallsprozess einmal durchspielen.
- Phase 4 – Prüfung (Woche 19–24): Internes Audit durch eine unabhängige Person, gefundene Abweichungen beheben, Managementbewertung durchführen. Danach ist das Unternehmen bereit für Stufe-1- und Stufe-2-Audit der Zertifizierungsstelle.
Zwei Erfolgsfaktoren entscheiden mehr als jede Methodik: ein fester Wochenblock für das Projekt (halber Tag pro Woche, unverhandelbar) und eine Person, die den Hut aufhat. ISMS-Projekte scheitern in KMU fast nie an der Norm – sondern daran, dass sie neben dem Tagesgeschäft zerrieben werden.
Akkreditiert oder nicht akkreditiert: die ehrliche Entscheidung
Bei der Wahl der Zertifizierungsstelle gibt es zwei Welten. Akkreditierte Stellen werden von der DAkkS überwacht; ihre Zertifikate sind über das internationale IAF-System weltweit anerkannt. Das kostet: höhere Auditpreise, längere Vorläufe, formalere Verfahren. Nicht akkreditierte Stellen auditieren ebenfalls nach der Norm, unterliegen aber keiner Akkreditierungsaufsicht – die Zertifikate sind günstiger und schneller zu bekommen, formal jedoch nicht gleichwertig. KCERT arbeitet bewusst in diesem Bereich und weist auf jedem Zertifikat transparent darauf hin.
Wann brauchen Sie zwingend die akkreditierte Variante? Bei öffentlichen Ausschreibungen, die ein akkreditiertes Zertifikat fordern. Bei Konzernkunden, deren Einkaufsrichtlinien DAkkS- oder IAF-Anerkennung verlangen. Bei regulatorischen Nachweisen, etwa im KRITIS- und NIS2-Umfeld, wo Behörden akkreditierte Nachweise erwarten. Und im TISAX-Umfeld der Automobilindustrie, das ohnehin ein eigenes Prüfverfahren hat. Fragen Sie im Zweifel Ihre wichtigsten Kunden schriftlich – die Antwort entscheidet über mehrere tausend Euro pro Jahr.
Wann kann die nicht akkreditierte Variante genügen? Wenn Kunden einen strukturierten, extern geprüften Sicherheitsnachweis wollen, ohne eine Akkreditierung zu fordern – das ist bei mittelständischen Auftraggebern häufig der Fall. Als Einstieg, um das ISMS unter realen Auditbedingungen zu erproben, bevor später auf ein akkreditiertes Zertifikat gewechselt wird. Oder als Disziplin-Anker für das eigene Haus. Unseriös wird es nur, wenn ein nicht akkreditiertes Zertifikat als gleichwertig verkauft wird – genau diese Verwechslung sollten Sie selbst im Vertrieb sauber auflösen, bevor es ein kritischer Einkäufer tut.
Diese Fehler kosten kleine Unternehmen am meisten
Aus Projekten mit kleinen IT-Dienstleistern wiederholen sich sechs Muster:
- Konzernvorlagen kaufen: Ein 200-Dokumente-Paket für 500 Euro erzeugt monatelange Anpassungsarbeit und ein ISMS, das niemand wiedererkennt. Schlank selbst aufbauen ist schneller.
- Das ISMS der IT überlassen: Ohne sichtbares Engagement der Geschäftsführung fehlen Entscheidungen, Budget und Rückhalt – und Kapitel 5 der Norm wird im Audit zum Problem.
- Technik vor Organisation: Erst Firewalls kaufen, dann über Risiken nachdenken, ist die teuerste Reihenfolge. Die Risikoanalyse zeigt oft, dass die wirksamsten Maßnahmen wenig kosten: Offboarding, MFA, Backup-Tests.
- Zertifizierungsstelle zu spät wählen: Wer erst nach der Vorbereitung anfragt, wartet bei akkreditierten Stellen mitunter Monate auf einen Audittermin.
- Das interne Audit unterschätzen: Es ist Pflicht, es braucht eine unabhängige Person, und es muss vor dem Zertifizierungsaudit vollständig gelaufen sein – inklusive Bericht.
- Nach dem Zertifikat abschalten: Das erste Überwachungsaudit kommt nach zwölf Monaten. Wer das ISMS bis dahin ruhen lässt, verliert genau dann die Glaubwürdigkeit, wenn Kunden anfangen, sich auf das Zertifikat zu verlassen.
Alle sechs Fehler haben dieselbe Wurzel: Das Zertifikat wird als Ziel behandelt statt als Nebenprodukt eines funktionierenden Systems. Wer es umgekehrt angeht, bekommt beides.
Häufige Fragen
Ja, wenn Kundenanforderungen es tragen – etwa bei Managed-Service-Providern mit privilegierten Zugängen zu Kundensystemen. Der Aufwand liegt bei 10 bis 25 Personentagen und ist mit klarem Scope in zwei bis vier Monaten machbar. Ohne jeden Kundendruck gilt: erst ein schlankes ISMS aufbauen und leben, die Zertifizierungsentscheidung später treffen.
Realistisch drei Blöcke: interner Aufwand von 10 bis 40 Personentagen (der größte Posten), optionale Beratung von 5.000 bis 25.000 Euro und die Zertifizierung selbst – akkreditiert häufig 6.000 bis 15.000 Euro für die Erstzertifizierung plus jährliche Überwachungsaudits, nicht akkreditiert ab etwa 1.950 bis 2.950 Euro netto pro Jahr inklusive Überwachung.
Mit klarem Geltungsbereich und einem festen Wochenblock: zwei bis vier Monate bis zur Auditreife bei bis zu fünf Mitarbeitenden, drei bis sechs Monate bei bis zu 25. Danach folgt das Zertifizierungsverfahren mit Stufe-1- und Stufe-2-Audit, das je nach Stelle und Terminlage weitere vier bis acht Wochen benötigt.
Nicht zwingend. Wer eine Person mit Zeit, Normverständnis und Rückhalt der Geschäftsführung hat, schafft es in Eigenregie – die Norm und gute Fachliteratur reichen als Grundlage. Sinnvoll ist punktuelle Unterstützung: eine Gap-Analyse am Anfang und ein kritischer Blick auf Risikoanalyse und SoA vor dem Audit. Wichtig: Wer berät, darf nicht zugleich zertifizieren – auf diese Trennung sollten Sie bei jedem Anbieter achten.
Das entscheiden Ihre Kunden, nicht der Anbieter. Mittelständische Auftraggeber akzeptieren häufig jeden extern geprüften Nachweis; öffentliche Ausschreibungen, Konzern-Einkaufsrichtlinien und regulatorische Nachweise verlangen dagegen regelmäßig ein Zertifikat einer DAkkS-akkreditierten Stelle. Fragen Sie Ihre zwei, drei wichtigsten Kunden schriftlich, bevor Sie sich festlegen – die Antwort bestimmt Budget und Anbieterwahl.
Als Startpunkt ja, als Abkürzung nein. Vorlagen liefern Struktur und sparen Schreibarbeit – aber jedes Dokument muss auf die eigenen Prozesse umgeschrieben werden. Auditoren erkennen ungeprüfte Musterdokumente sofort, etwa wenn Rollen oder Systeme beschrieben werden, die es gar nicht gibt. Faustregel: Eine Vorlage, die Sie nicht in eigenen Worten erklären können, gehört nicht in Ihr ISMS.
In 4–6 Wochen zum Zertifikat – zum Festpreis.
Kostenloses Erstgespräch: Wir sagen Ihnen ehrlich, ob eine nicht akkreditierte Zertifizierung für Ihren Fall reicht – oder eben nicht.
Erstgespräch vereinbaren
Thomas KowollInhaber und Leitung Zertifizierung bei KCERT. Auditiert Managementsysteme nach ISO 9001, 14001, 45001, 27001 und 50001. Mehr über KCERT