Beratung & Zertifizierung ISO/IEC 27001

Der IT-Grundschutz des BSI ist ein sehr detaillierter Methodenkatalog mit konkreten Bausteinen und Maßnahmen. Die ISO/IEC 27001 ist eine international anerkannte Managementnorm, die den Rahmen vorgibt, aber die konkreten Maßnahmen aus Ihrer eigenen Risikoanalyse ableitet.

Für kleine und mittlere Unternehmen ist ISO/IEC 27001 in der Regel der praktikablere Weg – schlanker, international anerkannt und in Lieferketten weiter verbreitet. Eine Zertifizierung nach IT-Grundschutz ist ebenfalls möglich, aber deutlich aufwendiger.

Der Anhang A wurde neu strukturiert: aus 114 Controls in 14 Kapiteln wurden 93 Controls in vier Themenbereichen – organisatorisch, personenbezogen, physisch und technologisch.

Neu hinzugekommen sind unter anderem Maßnahmen zu Cloud-Diensten, Bedrohungsanalyse, Datenmaskierung und sicherer Softwareentwicklung. Wer heute neu einsteigt, arbeitet direkt mit der aktuellen Fassung.

Nein. Die Norm verlangt, dass das ISMS an Größe und Struktur Ihres Unternehmens angepasst wird. Ein Betrieb mit zwölf Mitarbeitenden und ausgelagerter IT braucht ein völlig anderes System als ein Rechenzentrum.

Wichtig ist, dass jemand die Verantwortung trägt und die Maßnahmen im Alltag umgesetzt werden. Die fachliche Arbeit übernehmen wir – gemeinsam mit Ihrem IT-Dienstleister, falls vorhanden.

Ein Dokument, in dem Sie für jede der 93 Maßnahmen aus Anhang A festhalten, ob sie in Ihrem Unternehmen angewendet wird – und wenn nicht, warum nicht. Im englischen Original heißt es Statement of Applicability.

Das ist eines der wenigen Dokumente, die die Norm ausdrücklich fordert. Der Auditor prüft es genau, weil daraus hervorgeht, wie ernst die Risikobetrachtung genommen wurde.

Eine unmittelbare gesetzliche Zertifizierungspflicht besteht nicht. NIS-2 und andere Regelwerke fordern aber nachweisbare Sicherheitsmaßnahmen – und ein zertifiziertes ISMS ist der etablierte Weg, diesen Nachweis zu führen.

In der Praxis kommt der Druck meist von Kunden: Wer in eine Lieferkette mit sensiblen Daten liefert, wird früher oder später nach einem Nachweis gefragt.

Drei Jahre. In dieser Zeit finden jährliche Überwachungsaudits durch die Zertifizierungsstelle statt, danach folgt ein Rezertifizierungsaudit.

Auf Wunsch begleiten wir Sie bei den Überwachungsaudits oder übernehmen als externer Informationssicherheitsbeauftragter die laufende Betreuung.

Ja. Beide Normen folgen derselben Grundstruktur – Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung, Verbesserung. Dokumentenlenkung, interne Audits und Managementbewertung lassen sich zusammenlegen.

Wer zwei getrennte Beratungsvorhaben durchführt, kann zudem die BAFA-Förderung zweimal nutzen – insgesamt bis zu 3.500 € Zuschuss.