ISO/IEC 27001 ist die international führende Norm für Informationssicherheits-Managementsysteme (ISMS). Sie legt fest, wie Unternehmen Vertraulichkeit, Integrität und Verfügbarkeit ihrer Informationen systematisch schützen: über eine Risikoanalyse, klare Verantwortlichkeiten und 93 Maßnahmen aus Anhang A. Ein Zertifikat belegt Kunden und Partnern, dass dieses System unabhängig geprüft wurde.
Kunden schicken Sicherheitsfragebögen, Versicherer fragen nach Nachweisen, und spätestens seit NIS2 verlangen auch Auftraggeber aus regulierten Branchen belastbare Antworten zur Informationssicherheit. Der Begriff, der dabei immer fällt: ISO 27001. Viele Geschäftsführer wissen jedoch nicht genau, was hinter der Norm steckt – und ob sich der Aufwand für das eigene Unternehmen rechtfertigt.
Dieser Artikel erklärt, was ISO/IEC 27001 regelt, wie die Norm aufgebaut ist, für wen sich eine Zertifizierung lohnt und mit welchen Kosten und Zeiträumen Sie realistisch rechnen sollten – ohne Fachchinesisch, dafür mit konkreten Zahlen.
ISO 27001 in einem Satz: die Norm für systematische Informationssicherheit
ISO/IEC 27001 ist die weltweit anerkannte Norm für Informationssicherheits-Managementsysteme, kurz ISMS. Sie beschreibt keine einzelnen technischen Schutzmaßnahmen, sondern ein System aus Regeln, Prozessen und Verantwortlichkeiten, mit dem ein Unternehmen seine Informationen dauerhaft schützt. Aktuell gilt die Version ISO/IEC 27001:2022; die Übergangsfrist für die Vorgängerversion von 2013 endete am 31. Oktober 2025, neue Zertifikate werden ausschließlich nach der Fassung 2022 ausgestellt.
Im Zentrum stehen drei Schutzziele: Vertraulichkeit (nur Befugte haben Zugriff), Integrität (Informationen sind korrekt und unverfälscht) und Verfügbarkeit (Informationen sind da, wenn sie gebraucht werden). Wichtig: Es geht um alle Informationswerte – Kundendaten ebenso wie Konstruktionszeichnungen, Kalkulationen, Zugangsdaten oder das Wissen der Mitarbeitenden. ISO 27001 ist damit deutlich breiter als reine IT-Sicherheit.
Der Ansatz ist risikobasiert: Statt einen festen Katalog abzuarbeiten, ermittelt jedes Unternehmen selbst, welche Risiken es tatsächlich trägt, und leitet daraus passende Maßnahmen ab. Ein Softwarehaus mit zehn Beschäftigten kommt so zu einem völlig anderen Maßnahmenpaket als ein Logistiker mit 200 Mitarbeitenden – beide können normkonform sein.
ISO 27001 ist Teil einer ganzen Normenfamilie: ISO 27002 liefert Umsetzungshinweise zu den einzelnen Maßnahmen, ISO 27005 beschreibt Methoden für das Risikomanagement, ISO 27701 erweitert das ISMS um Datenschutzaspekte. Zertifizieren lassen kann sich ein Unternehmen aber nur nach ISO 27001 selbst – alle anderen Normen der Familie sind Leitfäden ohne Zertifizierungsoption.
Für wen ist ISO 27001 relevant?
Eine allgemeine gesetzliche Pflicht zur Zertifizierung gibt es nicht. Der Druck kommt aus anderer Richtung:
- Kundenanforderungen: Konzerne und größere Mittelständler prüfen ihre Dienstleister zunehmend per Sicherheitsfragebogen. Ein ISO-27001-Zertifikat ersetzt viele dieser Einzelnachweise.
- NIS2 und Lieferkette: Betroffene Einrichtungen müssen die Sicherheit ihrer Lieferkette bewerten – und reichen die Anforderungen an ihre Dienstleister weiter, auch an kleine (Stand: September 2026).
- Ausschreibungen: Öffentliche und private Auftraggeber verlangen in IT-nahen Vergaben immer häufiger ein ISMS-Zertifikat als Eignungsnachweis.
- Cyberversicherungen: Versicherer honorieren ein nachweisbares ISMS mit besseren Konditionen – oder machen es zur Bedingung für den Vertrag.
- Eigenes Risiko: Ransomware trifft längst gezielt kleine Betriebe, weil dort die Hürden niedriger sind als im Konzern.
Typische Kandidaten sind IT-Dienstleister, Softwarehäuser, Agenturen mit Kundendaten, Ingenieurbüros und Zulieferer der Industrie. Eine brauchbare Faustregel: Sobald zwei oder drei wichtige Kunden nach Informationssicherheit fragen, ist ein strukturiertes ISMS günstiger, als jedes Mal einzeln und improvisiert zu antworten.
So ist die Norm aufgebaut: Kapitel 4 bis 10
ISO 27001 folgt der Harmonized Structure, dem einheitlichen Aufbau aller modernen ISO-Managementnormen. Die verbindlichen Anforderungen stehen in den Kapiteln 4 bis 10:
| Kapitel | Thema | Kernanforderung |
|---|---|---|
| 4 | Kontext der Organisation | Umfeld, interessierte Parteien und Geltungsbereich des ISMS festlegen |
| 5 | Führung | Verantwortung der Geschäftsleitung, Sicherheitsleitlinie, Rollen zuweisen |
| 6 | Planung | Risikoanalyse, Risikobehandlung, Statement of Applicability, Sicherheitsziele |
| 7 | Unterstützung | Ressourcen, Kompetenzen, Awareness, dokumentierte Information |
| 8 | Betrieb | Maßnahmen umsetzen, Risikoanalyse in geplanten Abständen wiederholen |
| 9 | Bewertung der Leistung | Kennzahlen, interne Audits, Managementbewertung |
| 10 | Verbesserung | Abweichungen korrigieren, das ISMS fortlaufend verbessern |
Alle sieben Kapitel sind Pflicht – Ausschlüsse sind hier, anders als bei den Maßnahmen des Anhangs A, nicht zulässig. Wer ISO 9001 bereits kennt, findet sich schnell zurecht: Der Grundaufbau ist identisch, nur der Gegenstand wechselt von Qualität zu Informationssicherheit.
Anhang A: 93 Maßnahmen in vier Themenfeldern
Neben den Pflichtkapiteln enthält die Norm den normativen Anhang A mit 93 Sicherheitsmaßnahmen (Controls), seit der Revision 2022 gegliedert in vier Themenfelder:
| Themenfeld | Anzahl | Beispiele |
|---|---|---|
| Organisatorisch (A.5) | 37 | Richtlinien, Lieferantenmanagement, Cloud-Sicherheit, Threat Intelligence |
| Personenbezogen (A.6) | 8 | Überprüfung vor Einstellung, Schulungen, Vertraulichkeitsvereinbarungen |
| Physisch (A.7) | 14 | Zutrittskontrolle, Sicherheitsbereiche, aufgeräumte Arbeitsplätze |
| Technologisch (A.8) | 34 | Zugriffsrechte, Verschlüsselung, Backups, Logging, sichere Entwicklung |
Kein Unternehmen muss alle 93 Controls umsetzen. Über die Risikoanalyse wird ermittelt, welche Maßnahmen nötig sind; das Ergebnis wird im Statement of Applicability (SoA) dokumentiert – inklusive Begründung, warum einzelne Controls nicht anwendbar sind. Genau diese Flexibilität macht die Norm auch für kleine Unternehmen praktikabel: Wer keine eigene Software entwickelt, kann die Entwicklungs-Controls mit einer sauberen Begründung ausschließen.
Was ISO 27001 nicht ist
Um falsche Erwartungen zu vermeiden, lohnt der Blick auf verbreitete Missverständnisse:
- Kein Technik-Zertifikat: Geprüft wird das Managementsystem, nicht ein Produkt oder eine Firewall-Konfiguration. Ein Penetrationstest ist etwas anderes als ein ISMS-Audit – beides ergänzt sich, ersetzt sich aber nicht.
- Kein DSGVO-Nachweis: Die Norm deckt Teile der technischen und organisatorischen Maßnahmen ab, ersetzt aber weder das Verarbeitungsverzeichnis noch die Prüfung von Rechtsgrundlagen.
- Keine Garantie gegen Angriffe: Ein ISMS senkt Eintrittswahrscheinlichkeit und Schadenshöhe, verhindert aber keinen einzelnen Vorfall mit Sicherheit.
- Kein einmaliges Projekt: Das Zertifikat gilt drei Jahre und wird jährlich überwacht. Ein ISMS, das nach dem Audit einschläft, fällt spätestens im Überwachungsaudit auf.
- Kein Bürokratiemonster: Die Norm verlangt deutlich weniger Dokumentation, als viele Beratungsprojekte erzeugen. Umfang und Tiefe dürfen zur Unternehmensgröße passen – das steht so sinngemäß in der Norm selbst.
Zertifizierung: Ablauf, Dauer und Kosten
Der Weg zum Zertifikat läuft bei allen Zertifizierungsstellen ähnlich: Nach der Vorbereitung folgt das Stufe-1-Audit (Prüfung der Dokumentation, oft remote), anschließend das Stufe-2-Audit, in dem die gelebte Praxis geprüft wird. Das Zertifikat gilt drei Jahre, mit jährlichen Überwachungsaudits und anschließender Rezertifizierung.
Realistische Zeiträume: Kleine Unternehmen mit klarem Fokus erreichen die Auditreife in drei bis sechs Monaten, typisch sind sechs bis zwölf. Die Kosten bestehen aus drei Blöcken: interner Aufwand (meist der größte Posten, bei kleinen Unternehmen 15 bis 40 Personentage), optionale Beratung (häufig 8.000 bis 25.000 Euro) und die eigentliche Zertifizierung. Akkreditierte Stellen berechnen für kleine Unternehmen für die Erstzertifizierung häufig 6.000 bis 12.000 Euro, zuzüglich jährlicher Überwachungsaudits.
Daneben gibt es Zertifizierungen im nicht akkreditierten Bereich – deutlich günstiger (KCERT etwa arbeitet mit Festpreisen ab 1.950 Euro netto pro Jahr inklusive Überwachungsaudits) und schneller, aber nicht überall anerkannt: Öffentliche Ausschreibungen, regulierte Branchen und viele Konzern-Einkaufsrichtlinien verlangen ausdrücklich ein Zertifikat einer DAkkS-akkreditierten Stelle. Prüfen Sie deshalb vor der Entscheidung, welchen Nachweis Ihre Kunden konkret fordern.
Unabhängig von der gewählten Stelle gilt: Das Audit prüft gelebte Praxis, nicht nur Papier. Auditoren sprechen mit Mitarbeitenden, lassen sich Berechtigungsvergaben zeigen und wollen Nachweise sehen – etwa Protokolle von Backup-Tests oder die Auswertung des letzten Sicherheitsvorfalls. Wer sein ISMS ernsthaft betreibt, muss das Audit nicht fürchten.
Lohnt sich ISO 27001? Nutzen und Aufwand ehrlich abgewogen
Der Nutzen ist am größten, wenn das Zertifikat Vertriebshürden abbaut: Wer regelmäßig Sicherheitsfragebögen beantwortet, in Ausschreibungen ohne Zertifikat aussortiert wird oder Konzernkunden beliefert, amortisiert den Aufwand oft schon mit einem einzigen gewonnenen Auftrag. Dazu kommt der innere Effekt: klare Verantwortlichkeiten, getestete Backups, geregelte Vergabe von Zugriffsrechten und ein geübter Umgang mit Vorfällen – Dinge, die im Ernstfall darüber entscheiden, ob der Betrieb weiterläuft oder wochenlang stillsteht.
Ehrlich ist aber auch: Wer keinerlei Kundendruck hat, geringe Risiken trägt und nur ein Logo für die Website sucht, wird mit ISO 27001 nicht glücklich. Das ISMS lebt von gelebten Prozessen; ein reines Papierwerk kostet Geld und bringt weder Sicherheit noch Vertrauen. Ein sinnvoller Einstieg für Unentschlossene ist eine Gap-Analyse gegen die Norm: Sie zeigt in wenigen Tagen, wo das Unternehmen steht und was der Weg zum Zertifikat konkret kosten würde.
Häufige Fragen
Für die meisten Unternehmen nicht. Es gibt aber indirekte Pflichten: NIS2-betroffene Einrichtungen müssen ein Risikomanagement nachweisen, das sich stark an ISO 27001 orientiert, und viele Auftraggeber machen das Zertifikat zur Vertragsbedingung. Faktisch wird die Norm damit in vielen Branchen zum Marktstandard, ohne formal Gesetz zu sein (Stand: September 2026).
Bei akkreditierten Stellen kostet die Erstzertifizierung für kleine Unternehmen häufig 6.000 bis 12.000 Euro, plus jährliche Überwachungsaudits von etwa 2.500 bis 5.000 Euro. Nicht akkreditierte Anbieter liegen deutlich darunter, etwa bei 1.950 bis 2.950 Euro netto pro Jahr. Der größte Posten ist aber fast immer der interne Aufwand für Aufbau und Pflege des ISMS.
Kleine Unternehmen mit überschaubarem Geltungsbereich und klarer Verantwortung schaffen die Auditreife in drei bis sechs Monaten. Sechs bis zwölf Monate sind der Normalfall, wenn das Tagesgeschäft parallel weiterläuft. Das anschließende Zertifizierungsverfahren mit Stufe-1- und Stufe-2-Audit dauert je nach Zertifizierungsstelle zusätzlich etwa vier bis acht Wochen.
ISO 27001 enthält die verbindlichen Anforderungen und ist die einzige zertifizierbare Norm der Familie. ISO 27002 ist der zugehörige Leitfaden: Er beschreibt zu jedem der 93 Controls aus Anhang A ausführlich, wie eine Umsetzung aussehen kann. Zertifizieren lassen können Sie sich nur nach ISO 27001 – ISO 27002 dient als Nachschlagewerk für die Praxis.
Drei Jahre. Voraussetzung ist, dass jährlich ein Überwachungsaudit stattfindet und keine schwerwiegenden Abweichungen offenbleiben. Nach drei Jahren folgt die Rezertifizierung mit einem umfassenderen Audit. Wird ein Überwachungsaudit versäumt oder verweigert, kann die Zertifizierungsstelle das Zertifikat aussetzen oder zurückziehen.
Die größte Änderung betrifft Anhang A: Aus 114 Controls in 14 Kapiteln wurden 93 Controls in vier Themenfeldern. Elf Controls kamen neu hinzu, darunter Threat Intelligence, Cloud-Sicherheit, Data Leakage Prevention und sicheres Codieren. Die Pflichtkapitel 4 bis 10 blieben weitgehend unverändert. Seit dem 31. Oktober 2025 gelten nur noch Zertifikate nach der Fassung 2022.
Ja, die Norm kennt keine Mindestgröße. Aufwand und Dokumentationstiefe dürfen zur Organisation passen: Ein Fünf-Personen-Dienstleister braucht kein Rollenkonzept für zwölf Abteilungen. Entscheidend ist, dass Risikoanalyse, Maßnahmen und Nachweise nachvollziehbar sind. Viele Zertifizierungsstellen haben eigene, schlankere Verfahren für Unternehmen unter 25 Mitarbeitenden.
In 4–6 Wochen zum Zertifikat – zum Festpreis.
Kostenloses Erstgespräch: Wir sagen Ihnen ehrlich, ob eine nicht akkreditierte Zertifizierung für Ihren Fall reicht – oder eben nicht.
Erstgespräch vereinbaren
Thomas KowollInhaber und Leitung Zertifizierung bei KCERT. Auditiert Managementsysteme nach ISO 9001, 14001, 45001, 27001 und 50001. Mehr über KCERT