Die ISO-27001-Zertifizierung läuft in Luxemburg wie überall: Sie bauen ein Informationssicherheits-Managementsystem (ISMS) auf, betreiben es etwa drei Monate und bestehen ein zweistufiges Audit durch eine akkreditierte Zertifizierungsstelle, die ein Zertifikat mit drei Jahren Laufzeit ausstellt. Lokal ist, wer die Auditoren akkreditiert (OLAS), wie das NIS2-Gesetz auf Normen verweist und der PSDC-Status für Archivierungsdienstleister, der an ISO/IEC 27001 gekoppelt ist.
Dieser Leitfaden behandelt, wer Sie zertifizieren kann, den Ablauf, die Kosten, die Frage, ob luxemburgisches Recht ISO 27001 vorschreibt, was der PSDC-Status zusätzlich bedeutet, und eine Checkliste.
| ISO-27001-Zertifizierung in Luxemburg | |
|---|---|
| Norm | ISO/IEC 27001:2022; Zertifikate nach der Ausgabe 2013 sind mit dem Ende der Übergangsfrist am 31. Oktober 2025 abgelaufen |
| Wer zertifiziert | Eine Zertifizierungsstelle, akkreditiert nach ISO/IEC 17021-1 und ISO/IEC 27006, durch OLAS oder eine andere EA-Akkreditierungsstelle |
| Audits | Stage 1 (ist das System aufgebaut?) und Stage 2 (ist es gelaufen?), vier bis sechs Wochen auseinander |
| Nachweiszeitraum | Etwa drei Monate Betrieb vor dem Stage-2-Audit |
| Zertifikat | Drei Jahre; Überwachungsaudits im zweiten und dritten Jahr, Rezertifizierung im vierten Jahr |
| Dauer | Neun bis zwölf Monate von null an, bei 20 bis 250 Beschäftigten |
| Kosten | Audit etwa 7.000 bis 26.000 € nach Beschäftigtenzahl; 50.000 bis 150.000 € alles inklusive im ersten Jahr, bei 26 bis 125 Beschäftigten |
Wer darf in Luxemburg nach ISO 27001 zertifizieren?
Eine Zertifizierungsstelle, die für ISO/IEC 27001 akkreditiert ist. Akkreditierung bedeutet, dass eine Akkreditierungsstelle die Zertifizierungsstelle anhand von ISO/IEC 17021-1, den allgemeinen Regeln für die Zertifizierung von Managementsystemen, und ISO/IEC 27006, den zusätzlichen Regeln für die Informationssicherheit, geprüft hat.
In Luxemburg ist diese Akkreditierungsstelle OLAS (Office luxembourgeois d’accréditation et de surveillance). Sie gehört zum ILNAS, dem nationalen Institut für Normung, Akkreditierung und Produktsicherheit. OLAS akkreditiert Zertifizierungsstellen für ISMS und veröffentlicht die Liste der von ihr akkreditierten Stellen im Portail Qualité. ISO/IEC 27006 wurde als ISO/IEC 27006-1:2024 überarbeitet; für die PSDC-Zertifizierung akzeptierte das ILNAS eine Akkreditierung nach der Ausgabe 2015 nur bis zum 31. März 2026.
Sie müssen keine luxemburgische Stelle beauftragen. Eine Zertifizierungsstelle, die von einer beliebigen an den Abkommen der Europäischen Kooperation für Akkreditierung (EA) beteiligten Akkreditierungsstelle akkreditiert ist, etwa von BELAC in Belgien oder der DAkkS in Deutschland, stellt ein ebenso gültiges Zertifikat aus. Luxemburgs eigene Regeln für den PSDC-Status sagen genau das: Zertifizierung durch eine Stelle, die von OLAS oder einem anderen EA-Unterzeichner akkreditiert ist.
Bevor Sie Angebote vergleichen, prüfen Sie drei Dinge:
- Die Akkreditierung der Stelle umfasst ISO/IEC 27001, nicht nur ISO 9001 oder ISO 14001.
- Die Akkreditierung ist aktuell und nennt ISO/IEC 27006.
- Die Auditoren können in der Sprache auditieren, in der Ihre Mitarbeitenden arbeiten: Französisch, Deutsch oder Englisch.
Wie läuft die ISO-27001-Zertifizierung ab?
Der Ablauf hat sechs Schritte:
- Geltungsbereich und Erklärung zur Anwendbarkeit. Legen Sie fest, welche Teile des Unternehmens das Zertifikat abdeckt, und dann, welche der 93 Controls aus Anhang A gelten und warum. Siehe Geltungsbereich und Erklärung zur Anwendbarkeit nach ISO 27001.
- Risikobeurteilung und Gap-Analyse. Finden Sie heraus, was fehlt, und priorisieren Sie es.
- Lücken schließen und das System betreiben. Setzen Sie die Controls um und lassen Sie das Managementsystem etwa drei Monate laufen, damit es Aufzeichnungen gibt, die sich auditieren lassen.
- Internes Audit und Managementbewertung. Prüfen Sie sich selbst, bevor der Auditor es tut, und lassen Sie die Leitung die Ergebnisse formell bewerten.
- Stage-1- und Stage-2-Audit. Das Stage-1-Audit prüft die Dokumente; das Stage-2-Audit, vier bis sechs Wochen später, testet, ob das System tatsächlich gelaufen ist. Siehe Stage 1 und Stage 2 im Vergleich.
- Zertifikat und Überwachung. Die Zertifizierungsstelle entscheidet und stellt das Zertifikat aus. Im zweiten und dritten Jahr folgen Überwachungsaudits.
Ein Unternehmen mit 20 bis 250 Beschäftigten, das bei null anfängt, sollte neun bis zwölf Monate einplanen. Wo die Zeit hingeht, steht in Wie lange ISO 27001 wirklich dauert. Wenn Sie kein Sicherheitsteam haben, beginnen Sie mit ISO 27001 ohne Sicherheitsteam.
Was kostet ISO 27001 in Luxemburg?
Das Audithonorar richtet sich nach der Zahl der Personen im Geltungsbereich, nach denselben Akkreditierungsregeln wie überall:
| Beschäftigte im Geltungsbereich | Audittage Zertifizierungsaudit | Typisches Honorar zu westeuropäischen Tagessätzen |
|---|---|---|
| 1 bis 10 | 5 | 7.000 bis 9.000 € |
| 16 bis 25 | 7 | 10.000 bis 13.000 € |
| 26 bis 45 | 8,5 | 12.000 bis 16.000 € |
| 46 bis 65 | 10 | 14.500 bis 19.000 € |
| 86 bis 125 | 12 | 17.500 bis 22.500 € |
Überwachungsaudits kosten jedes Jahr etwa ein Drittel des Erstaudits, die Rezertifizierung etwa zwei Drittel. Das Audit ist der kleinste Posten. Alles inklusive, also mit Beratung, der Zeit Ihrer eigenen Mitarbeitenden und dem Schließen der Lücken, sollte ein Unternehmen mit 26 bis 125 Beschäftigten im ersten Jahr rund 50.000 bis 150.000 € einplanen. Die vollständige Aufschlüsselung steht in Kosten der ISO-27001-Zertifizierung.
Ist ISO 27001 in Luxemburg Pflicht?
Nein. Kein luxemburgisches Gesetz schreibt die ISO-27001-Zertifizierung allgemein vor. Sie spielt auf drei Wegen eine Rolle:
- NIS2. Das Gesetz vom 5. Mai 2026 verpflichtet wesentliche und wichtige Einrichtungen, die Risikomanagementmaßnahmen nach Artikel 12 zu ergreifen. Artikel 12(1) besagt, dass diese Maßnahmen den Stand der Technik und gegebenenfalls die einschlägigen europäischen und internationalen Normen berücksichtigen. ISO 27001 ist der gängigste Weg, sie umzusetzen und das nachzuweisen. Artikel 15 erlaubt der zuständigen Behörde, Produkte, Dienste oder Prozesse zu verlangen, die im Rahmen europäischer Schemata für die Cybersicherheitszertifizierung zertifiziert sind. Das ist etwas anderes als eine ISO-27001-Zertifizierung. Die Zuordnung der beiden Rahmenwerke steht in ISO 27001 und NIS2.
- Kunden. Regulierte Kunden müssen die Sicherheit ihrer Lieferanten steuern, und ein Zertifikat beantwortet einen großen Teil ihrer Sicherheitsfragebögen.
- PSDC-Status. Für Archivierungs- und Digitalisierungsdienstleister ist die nationale Zertifizierung an ISO/IEC 27001 gekoppelt, wie unten beschrieben.
Was ist der PSDC-Status, und wie hängt er mit ISO 27001 zusammen?
PSDC ist ein luxemburgischer Status für Organisationen, die Papierdokumente digitalisieren oder digitale Archive aufbewahren. Die Abkürzung steht für einen Dienstleister für Digitalisierung oder Aufbewahrung (prestataire de services de dématérialisation ou de conservation). Der Status geht auf das Gesetz vom 25. Juli 2015 über die elektronische Archivierung zurück.
- Das ILNAS verleiht den Status einer Organisation, die nach der nationalen Norm ILNAS 106 zertifiziert ist. Seit dem 8. September 2025 muss die Zertifizierung nach ILNAS 106:2024 erfolgen.
- ILNAS 106 ist an ISO/IEC 27001 gekoppelt: Das ILNAS erwartet, dass die Umstellung auf ILNAS 106:2024 spätestens sechs Monate, nachdem die Organisation die Zertifizierung nach ISO/IEC 27001:2022 erhalten hat, abgeschlossen ist.
- Nur eine Zertifizierungsstelle, die von OLAS oder einem anderen EA-Unterzeichner nach ISO/IEC 17021-1 und ISO/IEC 27006 akkreditiert ist, darf die Zertifizierung ausstellen.
- Das OLCN (Organisme luxembourgeois de la confiance numérique), die luxemburgische Stelle für digitales Vertrauen, beaufsichtigt die PSDC. Wer die Zertifizierung verliert, verliert den Status.
Wenn Sie für Kunden Dokumente digitalisieren oder archivieren oder wenn Ihre eigenen Archive rechtlichen Wert haben sollen, planen Sie ISO 27001 und ILNAS 106 als ein Programm. Die Details stehen im Portail Qualité.
Checkliste zur ISO-27001-Zertifizierung für Unternehmen in Luxemburg
- Legen Sie fest, was das Zertifikat abdecken muss, ausgehend davon, was Ihre Kunden kaufen.
- Erstellen Sie eine Auswahlliste von Zertifizierungsstellen, die für ISO/IEC 27001 akkreditiert sind, durch OLAS oder ein anderes EA-Mitglied, und prüfen Sie die Auditsprache.
- Budgetieren Sie drei Jahre: Zertifizierung, zwei Überwachungsaudits, dann Rezertifizierung.
- Beginnen Sie in der ersten Woche, Nachweise aufzuzeichnen; das Stage-2-Audit braucht davon etwa drei Monate.
- Wenn NIS2 für Sie gilt, ordnen Sie Ihre ISO-27001-Controls den Maßnahmen nach Artikel 12 zu und führen Sie ein Programm.
- Wenn Sie Dokumente archivieren oder digitalisieren, planen Sie ILNAS 106 parallel zu ISO 27001.
- Buchen Sie die Zertifizierungsstelle früh; Stage-1- und Stage-2-Audit liegen vier bis sechs Wochen auseinander.
Wie CloudSoul das Programm von der Gap-Analyse bis zum Zertifikat umsetzt, steht auf der ISO-27001-Seite.
Quellen
- ILNAS, Portail Qualité, Prestataires de services de dématérialisation ou de conservation, aktualisiert am 14. Juli 2025.
- ILNAS, Portail Qualité, Übergangsregelung von OLAS für ISO/IEC 27006, 5. Oktober 2020.
- Gesetz vom 5. Mai 2026 über Maßnahmen zur Gewährleistung eines hohen Cybersicherheitsniveaus (loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité), Legilux.
- IAF MD 5, Auditzeit für Überwachungs- und Rezertifizierungsaudits.
Häufige Fragen
Wer stellt ISO-27001-Zertifikate in Luxemburg aus?
Zertifizierungsstellen, die für ISO/IEC 27001 nach ISO/IEC 17021-1 und ISO/IEC 27006 akkreditiert sind. In Luxemburg ist die Akkreditierungsstelle OLAS. Sie gehört zum ILNAS und veröffentlicht die Liste der von ihr akkreditierten Stellen. Ebenso gültig ist eine Stelle, die von einer anderen europäischen Akkreditierungsstelle akkreditiert wurde, die an den EA-Abkommen beteiligt ist.
Ist ISO 27001 in Luxemburg Pflicht?
Nein. Kein luxemburgisches Gesetz schreibt die ISO-27001-Zertifizierung allgemein vor. Das NIS2-Gesetz vom 5. Mai 2026 verlangt Risikomanagementmaßnahmen, die einschlägige europäische und internationale Normen berücksichtigen, und ISO 27001 ist der gängigste Weg, diese Maßnahmen umzusetzen und nachzuweisen.
Wie lange dauert die ISO-27001-Zertifizierung in Luxemburg?
Neun bis zwölf Monate sind für ein Unternehmen mit 20 bis 250 Beschäftigten, das bei null anfängt, realistisch. Das Managementsystem muss vor dem Stage-2-Audit etwa drei Monate laufen, und das Stage-2-Audit folgt meist vier bis sechs Wochen nach dem Stage-1-Audit.
Was kostet die ISO-27001-Zertifizierung in Luxemburg?
Das Zertifizierungsaudit wird nach der Zahl der Personen im Geltungsbereich bepreist: etwa 5 Audittage für 1 bis 10 Personen und 12 für 86 bis 125, also rund 7.000 bis 22.500 € zu westeuropäischen Tagessätzen. Alles inklusive sollte ein Unternehmen mit 26 bis 125 Beschäftigten im ersten Jahr rund 50.000 bis 150.000 € einplanen.
Ist ein Zertifikat einer ausländischen Zertifizierungsstelle in Luxemburg gültig?
Ja, wenn die Stelle für ISO/IEC 27001 von einer Akkreditierungsstelle akkreditiert ist, die die Abkommen der Europäischen Kooperation für Akkreditierung (EA) unterzeichnet hat. Luxemburgs eigene Regeln für den PSDC-Status bei der Archivierung akzeptieren genau das: OLAS oder jeden anderen EA-Unterzeichner.
