ISO 27001-Checkliste für SMBs

ISO 27001 ist der internationale Standard für Informationssicherheitsmanagement, der gemeinsam von ISO und IEC veröffentlicht wird. Er definiert die Anforderungen an ein Informationssicherheits-Managementsystem (ISMS), einschließlich Richtlinien, Risikobewertungen und Sicherheitsmaßnahmen zum Schutz von Unternehmens- und Kundendaten. Die aktuelle Version ist ISO/IEC 27001:2022.

Die meisten KMU führen ISO 27001 nicht aus Compliance-Gründen ein, sondern weil ihre Kunden dies verlangen. Die Zertifizierung ist häufig Voraussetzung für den Abschluss von Enterprise-Deals, das Bestehen von Sicherheitsprüfungen im Beschaffungsprozess oder die Teilnahme an Ausschreibungen, bei denen nicht zertifizierte Anbieter ausgeschlossen werden. Für viele KMU ist ISO 27001 daher vor allem ein Wachstumstreiber – nicht primär ein umfassendes Sicherheitsprojekt.

Diese Checkliste umfasst die 17 Schritte von der Einführung des ISMS bis zur Zertifizierung – einschließlich strategischer Planung nach dem Plan-Do-Check-Act-Modell, Festlegung des ISMS-Geltungsbereichs, Governance, Asset-Bewertung, Risikobewertung, Statement of Applicability (SoA), Informationssicherheitsrichtlinie, Mitarbeiterschulungen, internem Audit sowie den externen Stage-1- und Stage-2-Audits. Für jeden Schritt werden die konkreten Maßnahmen beschrieben, die Ihr Team umsetzen muss.

Kleine Teams erreichen die Auditbereitschaft in der Regel schneller mit einer Compliance-Automatisierungsplattform als bei einer manuellen Umsetzung oder mit externer Beratung. Wie lange die Vorbereitung dauert, hängt davon ab, welche Sicherheitsmaßnahmen bereits etabliert sind, wie eng der Geltungsbereich des ISMS definiert wird und wie schnell Ihr Team Richtlinien prüfen und Nachweise sammeln kann. Die meisten KMU schaffen dies ohne eine dedizierte Sicherheitsfachkraft.

Bei ISO 27001 fallen grundsätzlich zwei Kostenblöcke an: die Plattform oder Beratung, die Sie bei der Vorbereitung unterstützt, sowie das Audit selbst, das an eine akkreditierte Zertifizierungsstelle wie TÜV oder DEKRA gezahlt wird. Die Kosten für eine Security-Compliance-Automatisierungsplattform wie Secfix beginnen bei 10.000 € für das erste Framework – transparent und ohne versteckte Zusatzkosten. Die Auditgebühren variieren je nach Unternehmensgröße und Umfang des ISMS.

Ja. Die meisten KMU, die ISO 27001 einführen, beschäftigen keinen eigenen CISO. Mit einer Compliance-Automatisierungsplattform, einem persönlichen Customer Success Manager und dem Zugang zu internen Compliance-Expert:innen kann das Projekt problemlos von der Geschäftsführung, dem COO oder der IT-Leitung verantwortet werden – ohne zusätzliche Sicherheitsfachkraft. Für Teams, die Compliance vollständig auslagern möchten, bietet Secfix außerdem CISO as a Service (CISOaaS) an.

Ja. Die meisten KMU, die eine Compliance-Automatisierungsplattform nutzen, bereiten sich ohne externe Berater auf ISO 27001 vor. Die Plattform ersetzt einen Großteil der klassischen Beratungsleistungen durch geführte Workflows, auditorengeprüfte Richtlinienvorlagen und die kontinuierliche Sammlung von Nachweisen. Ein persönlicher Customer Success Manager sowie interne Compliance-Expert:innen unterstützen Sie bei Fragen – ohne die üblichen Tagessätze externer Berater.

Stage 1 ist die Dokumentationsprüfung. Ein unabhängiger ISO-27001-Auditor überprüft Ihre ISMS-Dokumentation und bewertet, ob Sie für Stage 2 bereit sind. Stage 2 ist das eigentliche Zertifizierungsaudit. Dabei prüft der Auditor, ob Ihr ISMS angemessen konzipiert, wirksam umgesetzt und im operativen Betrieb verankert ist. Mit dem erfolgreichen Bestehen von Stage 2 erhalten Sie das ISO-27001-Zertifikat.