Wer das lesen sollte: Gründerinnen und Gründer, CTOs, IT-Leitungen und Betriebsverantwortliche in Unternehmen mit 20 bis 250 Personen, von denen ein Kunde, ein Versicherer oder ein Investor ISO 27001 verlangt hat, und die niemanden haben, in dessen Jobtitel das Wort Sicherheit vorkommt.
Die meisten Erklärungen zu ISO 27001 richten sich an Menschen, die bereits eine Sicherheitsfunktion leiten. Sie sprechen vom ISMS, vom Risikobehandlungsplan und von Anhang A, als wäre das selbsterklärend. Wenn Sie der CTO sind, der zusätzlich Roadmap, Infrastruktur und den halben Support verantwortet, hilft Ihnen das nicht. Hier steht also, was die Norm einem Unternehmen wie Ihrem wirklich abverlangt, in der richtigen Reihenfolge, samt der Punkte, vor denen Sie niemand warnt.
ISO 27001 ist ein Managementsystem, keine Sicherheitsnote
Das ist die nützlichste Erkenntnis, bevor Sie einen Euro ausgeben.
ISO 27001 bescheinigt nicht, dass Ihr Unternehmen sicher ist. Sie bescheinigt, dass Sie ein funktionierendes System haben, um zu entscheiden, was geschützt werden muss, was Sie dagegen tun, es umzusetzen, zu prüfen, ob es geschehen ist, und nachzubessern, wenn nicht. Ein Auditor prüft nicht Ihre Firewall. Er prüft, ob die Maschinerie, die sich um Ihre Firewall kümmern soll, existiert und läuft.
Das hat zwei Folgen. Die gute: Ein kleines Unternehmen kann bestehen, weil die Norm mit Größe und Risiko skaliert. Die unbequeme: Sie können bestehen und dabei echte Schwachstellen offenlassen, solange Sie bewusst entschieden und die Entscheidung dokumentiert haben. Darauf kommen wir am Ende zurück, denn genau darum geht es in diesem Artikel.
Die fünf Entscheidungen, die Ihnen niemand abnimmt
Beratungen und Plattformen können Dokumente liefern. Diese Entscheidungen können sie nicht treffen, und jedes Projekt, das entgleist, ist ein Projekt, in dem sie offengeblieben sind.
Was im Anwendungsbereich liegt. Welche Teile des Unternehmens, welche Systeme, welche Standorte und welche Leistungen das Zertifikat abdeckt. Diese Entscheidung treibt die Kosten stärker als jede andere. Sie entscheidet auch, ob das Zertifikat die Frage beantwortet, die Ihr Kunde tatsächlich stellt.
Was Sie schützen und wovor. Keine generische Bedrohungsliste. Was diesem Unternehmen wirklich wehtäte: abfließender Quellcode, ein viertägiger Produktionsausfall, eine Verletzung von Kundendaten, ein Zahlungsbetrug, der Weggang einer Schlüsselperson mit der einzigen Kopie von etwas.
Wer Sicherheit verantwortet. Eine benannte Person mit der Befugnis, nein zu sagen, und der Zeit, die Arbeit zu tun. Die Norm verlangt das Engagement der obersten Leitung, und das ist die Anforderung, die Unternehmen am häufigsten vortäuschen.
Welches Risiko Sie akzeptieren. Jede Organisation akzeptiert Risiko. ISO 27001 verlangt nur, dass Sie es ausdrücklich tun, auf der richtigen Führungsebene, mit einer Begründung.
Was Sie nicht tun werden. Die undankbare Hälfte. Wenn Sie in diesem Jahr keinen formalen sicheren Entwicklungsprozess einführen, sagen Sie das und begründen Sie es, statt eine Richtlinie zu schreiben, die ein Unternehmen beschreibt, das Sie nicht sind.
Wenn Sie diese fünf Punkte strukturiert klären wollen, bevor Budget fließt, ist genau das der Zweck eines unabhängigen vCISO-Sicherheitsaudits: Es liefert die Entscheidungen, die priorisierten Lücken und die Roadmap, und es nützt Ihnen unabhängig davon, ob Sie sich je zertifizieren lassen.
Was die Norm Sie aufbauen lässt
Ohne Fachjargon verlangt ISO 27001 eine recht kurze Liste von Dingen, die existieren und am Leben bleiben müssen.
- Ein definierter Anwendungsbereich. Ein bis zwei Absätze plus eine Grenze, die Sie verteidigen können.
- Eine Risikomethode und ein Risikoregister. Ein wiederholbares Verfahren, Risiken zu erkennen, zu bewerten und zu behandeln, und der Nachweis, dass Sie es getan haben. Keine Tabelle, die einmal im März gefüllt wurde.
- Eine Erklärung zur Anwendbarkeit. Jede Maßnahme aus Anhang A, als anwendbar oder nicht anwendbar markiert, mit Begründung. Auditoren lesen dieses Dokument zuerst, und es verdient eine eigene Erklärung, deshalb haben wir Anwendungsbereich und Erklärung zur Anwendbarkeit ohne Fachjargon geschrieben.
- Richtlinien, die Menschen tatsächlich angenommen haben. Geschrieben, freigegeben, versioniert und von den Mitarbeitenden bestätigt. Eine ungelesene Richtlinie ist eine Abweichung im Wartestand.
- Nachweise, dass Maßnahmen wirken. Datierte Zugriffsüberprüfungen, Wiederherstellungstests mit Ergebnis, Ein- und Austrittsunterlagen, Patch-Nachweise, Lieferantenprüfungen.
- Internes Audit und Managementbewertung. Sie prüfen sich selbst, bevor der Auditor es tut, und die Leitung sieht sich die Ergebnisse formal an.
- Korrekturmaßnahmen. Wenn etwas fehlschlägt, existiert ein Nachweis, was Sie unternommen haben.
Beachten Sie, wie viel davon Dokumentation ist und wie wenig Technik. Das ist die ehrliche Gestalt der Arbeit.
Die 93 Maßnahmen, und warum die Zahl mehr Angst macht als nötig
Die Ausgabe 2022 von ISO 27001 listet 93 Maßnahmen in Anhang A, gruppiert in vier Themen: organisatorisch, personenbezogen, physisch und technologisch. Die Ausgabe 2013 hatte 114. Die Norm ist also kürzer geworden, vor allem durch das Zusammenlegen überlappender Punkte.
Zwei Dinge entschärfen die Zahl. Erstens wird ein erheblicher Teil auf Sie nicht zutreffen, und das schriftlich festzuhalten ist eine legitime Antwort. Zweitens tun Sie vieles bereits informell: Sie führen Menschen ein, Sie haben Sicherungen, Sie beschränken den Zugriff auf die Produktion. Die Arbeit besteht meist darin, Vorhandenes zu formalisieren und nachzuweisen, nicht darin, bei null anzufangen.
Elf Maßnahmen waren 2022 neu, und genau sie erwischen kleine Unternehmen, weil sie nie Teil der alten Routine waren: Bedrohungsinformationen, Informationssicherheit bei Cloud-Diensten, IKT-Bereitschaft für die Geschäftskontinuität, Überwachung der physischen Sicherheit, Konfigurationsmanagement, Löschung von Informationen, Datenmaskierung, Verhinderung von Datenlecks, Überwachungstätigkeiten, Webfilterung und sichere Programmierung. Wenn Sie Software herstellen, liegt der reale Aufwand bei Konfigurationsmanagement, sicherer Programmierung und Überwachung.
Was sich zuletzt geändert hat und was das für Sie bedeutet
Drei Punkte, die in der Praxis zählen.
Die Übergangsfrist von der Ausgabe 2013 endete am 31. Oktober 2025. Jedes Audit läuft jetzt gegen die Maßnahmen von 2022, also ist jede Vorlage, jedes Richtlinienpaket und jedes Beratungsergebnis mit der alten Nummerierung veraltet. Prüfen Sie das, bevor Sie etwas bezahlen.
Änderung 1 hat Klimaaspekte in die Klauseln zu Ihrem Kontext und Ihren interessierten Parteien aufgenommen. Im Klartext: Sie müssen prüfen, ob Umweltbedingungen für Ihre Informationssicherheit relevant sind, und das Ergebnis in beide Richtungen festhalten. Für die meisten Softwareunternehmen ist die ehrliche Antwort ein kurzer Absatz zur physischen Widerstandsfähigkeit der Einrichtungen, von denen Sie abhängen. Es ist eine Dokumentationsanforderung, keine grüne Transformation.
Klausel 6.3 verlangt, Änderungen am Managementsystem zu planen, statt es treiben zu lassen. Diese ist wirklich nützlich. Sie verhindert, dass Ihr ISMS im ersten Monat zutrifft und im vierzehnten Fiktion ist.
Das Verhalten der Auditoren hat sich parallel verschoben. Der Schwerpunkt liegt nicht mehr darauf, ob eine Richtlinie existiert, sondern darauf, ob eine Maßnahme nachweislich gelaufen ist, und erwartet werden typischerweise mehrere Monate an Betriebsaufzeichnungen statt einer Momentaufnahme aus der Woche vor dem Audit. Planen Sie das von Anfang an ein, denn sechs Monate Nachweise nachträglich zu erzeugen ist unmöglich.
Der ehrliche Zeitplan
Für ein Unternehmen mit 20 bis 250 Personen ohne Sicherheitsteam, bei stetiger statt heldenhafter Arbeitsweise:
- Anwendungsbereich, Risikobeurteilung und Erklärung zur Anwendbarkeit: vier bis acht Wochen.
- Schließen der Lücken, die zählen: zwei bis fünf Monate, und dieser Teil schwankt am stärksten, weil er davon abhängt, wie viel echte Arbeit die Bewertung zutage fördert.
- Das System lange genug betreiben, um Nachweise zu haben: mindestens drei Monate, sechs sind komfortabler.
- Internes Audit und Managementbewertung: zwei bis vier Wochen.
- Audits Stufe 1 und Stufe 2: einige Wochen auseinander, plus Zeit für die Abarbeitung von Feststellungen.
Neun bis zwölf Monate sind ein realistischer Zeitraum bis zur Erstzertifizierung, wenn Sie aus einer normalen, ungesteuerten Ausgangslage starten. Wer drei Monate verspricht, verkauft Ihnen entweder einen sehr engen Anwendungsbereich oder plant, Nachweise zusammenzutragen statt sie zu erzeugen. Zu den Kosten und dazu, wohin das Geld tatsächlich fließt, haben wir separat geschrieben: Sind 50.000 Euro für ISO 27001 das wert.
Wo Unternehmen ohne Sicherheitsteam wirklich hängen bleiben
Vier Muster, in der Reihenfolge, in der wir sie sehen.
Der Anwendungsbereich wurde gezogen, um das Audit einfach zu machen, nicht um dem Kunden zu antworten. Das Zertifikat kommt, der Kunde liest die Bereichsangabe und fragt, warum seine Leistung nicht enthalten ist. Jetzt machen Sie es zweimal.
Nach dem Kickoff verantwortet es niemand. Das Projekt hat sechs Wochen Schwung, dann bekommt der CTO eine Produktfrist. Der stärkste Vorhersagewert für ein festgefahrenes Projekt ist, dass Sicherheitsverantwortung nie der tatsächliche Job von jemandem war.
Nachweise wurden nie zur Gewohnheit. Maßnahmen wurden entworfen, aber nichts hält fest, dass sie laufen, und der Monat vor dem Audit wird zur archäologischen Grabung.
Lieferanten wurden ans Ende geschoben. Ihre Lieferantenliste ist länger, als Sie denken, und die Norm erwartet, dass Sie die relevanten bewertet und überwacht haben. Dasselbe Problem taucht unter anderen Regimen auf, was wir in Lieferkettensicherheit und Lieferantenrisiko behandelt haben.
Wenn ISO 27001 gleichzeitig mit NIS2 auf Sie zukommt, machen Sie die Arbeit einmal statt zweimal. Die Überschneidung ist groß und die Zuordnung gut dokumentiert, wie wir in Zertifizierungsstandards und ISO 27001 unter NIS2 darlegen, und einen breiteren Blick darauf, was Regulierung von kleineren Unternehmen verlangt, gibt unser Beitrag zu NIS2 für KMU. Eine strukturierte Übersicht über den gesamten ISO-27001-Weg finden Sie auf unserer ISO-27001-Lösungsseite.
Die technische Realität: was das Zertifikat offenlässt
Hier kommt der Teil, den die meisten Leitfäden auslassen.
ISO 27001 prüft, ob Ihre Maßnahmen bewusst ausgewählt wurden und wie beschrieben funktionieren. Sie prüft nicht, ob sie gegen einen fähigen Angreifer ausreichen. Das sind zwei verschiedene Prüfungen, und in der Lücke dazwischen passieren die Vorfälle bei zertifizierten Unternehmen.
Konkret kann ein Unternehmen ein gültiges Zertifikat halten, während:
- Mehrfaktor-Authentifizierung aktiviert, aber auf dem Altpfad, den alle tatsächlich nutzen, nicht erzwungen ist,
- Sicherungen laufen und getestet werden, indem der Erfolg des Jobs bestätigt wird, nie durch eine vollständige Wiederherstellung unter Zeitdruck,
- Protokolle gesammelt werden, aber niemand hineinsieht, weil die Maßnahme sammeln hieß, nicht erkennen,
- eine Abhängigkeit mit bekannter kritischer Schwachstelle in der Produktion bleibt, weil das Patch-Fenster als quartalsweise dokumentiert und genau das die akzeptierte Entscheidung war,
- eine Austrittscheckliste unterschrieben wird, während Token und geteilte Zugangsdaten der Person gültig bleiben.
Jeder dieser Punkte besteht ein Audit. Jeder dieser Punkte ist ausnutzbar.
Sie zu schließen ist eine andere Art von Arbeit: erzwingen statt aktivieren, wiederherstellen statt den Jobstatus prüfen, auf das Protokoll alarmieren statt es zu speichern, und das Patch-Fenster für das verkürzen, was tatsächlich exponiert ist. Das ist nicht mehr Papierkram. Das ist die operative Hälfte, nach der das Zertifikat nicht fragt und die ein Angreifer nicht auslässt.
Der sinnvolle Weg, ein ISO-27001-Projekt in einem Unternehmen ohne Sicherheitsteam zu führen, ist deshalb: die Zertifizierung als die Frist zu behandeln, die Budget freigibt, und die Lückenliste darunter als das, was Sie tatsächlich kaufen. Holen Sie das Zertifikat. Dann machen Sie weiter, denn das Zertifikat ist der Boden, nicht die Decke.
