Compliance · ISO 27001
ISO 27001: Nachweise statt Absichten.
Ein ISMS nach ISO 27001 überzeugt im Audit mit Belegen, nicht mit Absichten. Wir begleiten Sie von der Standortbestimmung bis zur Zertifizierung, die eine unabhängige Stelle vornimmt: organisatorisch und technisch, in einer Kette von der Anforderung bis zum Nachweis. Die Arbeit übernehmen wir, die Entscheidungen treffen Sie.
kostenlos · 30 Minuten · telefonisch oder online
Die Norm
Was ISO 27001 von Ihnen verlangt.
Ein ISMS, also ein Managementsystem, das Informationssicherheit planbar und überprüfbar macht. Die Norm schreibt nicht vor, welche Technik Sie einsetzen. Sie verlangt, dass Sie Ihre Risiken kennen, begründet behandeln und belegen, dass das wirkt.
Rahmen setzen
Geltungsbereich festlegen, Rollen und Verantwortung der Leitung klären, eine Leitlinie beschließen.
Risiken behandeln
Risiken bewerten und behandeln. In der Anwendbarkeitserklärung steht, welche Maßnahmen aus dem Anhang der Norm für Sie gelten und warum, auch bei Ausschlüssen.
Wirksamkeit belegen
Interne Audits, Managementbewertung und laufende Verbesserung. Das ISMS muss im Alltag funktionieren, nicht nur im Ordner.
Stand: Oktober 2026
Zertifiziert wird nach der Fassung ISO/IEC 27001:2022. Ein Zertifikat gilt drei Jahre, mit jährlichen Überwachungsaudits.
Anwendbarkeitserklärung: die Übersicht nach ISO 27001, welche Maßnahmen der Norm für Ihr Unternehmen gelten und warum.
Stolpersteine
Dokumentiert ist schnell. Gelebt ist die eigentliche Arbeit.
Aus der Norm entsteht oft eine Sammlung aus Tabellen, Dokumenten und E-Mail-Ketten, die niemand mehr vollständig überblickt. Und die zweite Hälfte fehlt ganz: ob das Dokumentierte technisch überhaupt noch wirkt.
Excel-Listen
Stand von gestern, drei Versionen im Umlauf.
Word-Dokumente
Richtlinien ohne Freigabe, ohne Historie.
E-Mail-Abstimmung
Entscheidungen, die niemand wiederfindet.
Unklare Zuständigkeit
Jeder Punkt gehört irgendwie allen.
Ausschlüsse ohne Begründung
In der Anwendbarkeitserklärung fehlt, warum eine Maßnahme nicht gilt. Genau danach fragt der Auditor.
Risiko ohne Unterschrift
Restrisiken werden getragen, aber niemand aus der Leitung hat sie akzeptiert.
Werteinventar ohne Produktion
Altsysteme, Maschinensteuerungen und Produktionsnetze fehlen in der Liste, weil sie nie jemand erfasst hat.
Nachweise von gestern
Der Screenshot belegt den Stand von letztem Juni.
Unterschied
Ein Ordner voller Dokumente oder ein ISMS, das antwortet.
Heute oftAnforderungen in einer Tabelle, Maßnahmen in einer zweiten, Nachweise in einem Ordner
Mit NetzExpertenEine Anforderung, eine Maßnahme, ein Nachweis am richtigen Ort
Heute oftRichtlinien ohne Freigabe und ohne Versionsstand
Mit NetzExpertenRichtlinien mit Freigabe, Historie und Zuständigkeit
Heute oftVor dem Audit wird zusammengesucht
Mit NetzExpertenNachweise mit Ablaufdatum, das Auditoren-Paket ist auf Abruf da
Heute oftOb eine Maßnahme technisch wirkt, weiß niemand genau
Mit NetzExpertenTechnische Prüfung zeigt, ob das Dokumentierte im Netz stimmt
Vorgehen
Von der Standortbestimmung bis zum Zertifizierungsaudit.
Jeder Schritt hängt am vorherigen und bleibt bis zum Audit nachvollziehbar.
- 1
Standortbestimmung
Ein strukturierter Blick auf den Ist-Stand, organisatorisch und technisch, bevor irgendein Werkzeug eingeführt wird. Sie legen fest, welche Standorte, Bereiche und Systeme dazugehören.
- 2
Gap-Analyse
ISO 27001:2022 mit Kapitel 4–10 und Annex A. Pro Anforderung: Einstufung, benötigter Nachweis, Maßnahme mit Aufwand.
- 3
Risiken, Richtlinien, Anwendbarkeitserklärung
Wir moderieren die Risikoworkshops mit Ihren Verantwortlichen, bewerten Risiken ohne und mit Ihren Maßnahmen, entwerfen die Richtlinien und bereiten die Anwendbarkeitserklärung vor. Was gilt, entscheiden Sie.
- 4
Umsetzen und nachweisen
Jede Maßnahme wird eine Aufgabe mit Zuständigkeit, Frist und benötigtem Nachweis. Technische Maßnahmen setzen wir mit um.
- 5
Internes Audit und Managementbewertung
Bevor die Zertifizierungsstelle kommt, prüfen wir intern, mit Personen, die Sie nicht beraten haben. Die Leitung bewertet, ob das ISMS wirkt.
- 6
Audit vorbereiten und begleiten
Nachweise gebündelt im Auditoren-Paket mit Prüfsummen-Manifest, Vorbereitung auf die Gespräche mit den Auditoren. Auf Wunsch sind wir beim Audit dabei und arbeiten Abweichungen mit Ihnen nach. Zertifizieren tun wir nicht selbst.
Wo stehen Sie heute? Der Compliance-Readiness-Check gibt einen ersten Eindruck, Ihre Antworten werden nicht gespeichert.
Nach dem Start
Ein Zertifikat ist ein Dreijahreszyklus.
Mit dem Zertifikat beginnt der Betrieb. Die Zertifizierungsstelle kommt jedes Jahr wieder, und nach drei Jahren wird das ISMS als Ganzes erneut geprüft.
- Stufe 1Die Zertifizierungsstelle prüft die Dokumentation: Geltungsbereich, Risiken, Anwendbarkeitserklärung. Wir bereiten die Unterlagen vor und sind auf Wunsch dabei.
- Stufe 2Die Zertifizierungsstelle prüft, ob das ISMS im Alltag gelebt wird, mit Gesprächen und Stichproben. Sie und Ihre Mitarbeitenden stehen Rede und Antwort, wir haben Sie vorbereitet und sind auf Wunsch dabei.
- Überwachungsaudit, Jahr 1Stichprobe der Zertifizierungsstelle. Dazwischen: Nachweise aktuell halten, interne Audits, Managementbewertung.
- Überwachungsaudit, Jahr 2Wie im Vorjahr, mit dem, was sich seither geändert hat.
- Rezertifizierung, Jahr 3Das ISMS wird als Ganzes erneut geprüft. Dieselbe Grundlage, aktualisiert. Sie fangen nicht von vorn an.
Die Arbeit zwischen den Audits übernehmen wir laufend: Managed Compliance
Im Audit
Vorbereitet ins Audit. Auf Wunsch begleitet.
Das Zertifikat vergibt die Zertifizierungsstelle. Bis dahin sind Sie nicht auf sich gestellt: Wir bereiten vor, sind auf Wunsch dabei und arbeiten nach.
Qualifikation im Team
Unser Team bringt die Qualifikation Lead Auditor ISO 27001 mit, dazu IT-Security-Auditor. Wir wissen, wie ein Zertifizierungsaudit abläuft und worauf es ankommt.
Dabei in Stufe 1 und 2
Auf Wunsch sind wir in beiden Stufen dabei. Rede und Antwort stehen Sie und Ihre Mitarbeitenden, vorbereitet haben wir Sie vorher.
Abweichungen nacharbeiten
Stellt die Zertifizierungsstelle Abweichungen fest, arbeiten wir sie mit Ihnen nach: Maßnahme, Zuständigkeit, Frist, Nachweis.
Wer berät, prüft nicht dasselbe Unternehmen: Wir bereiten Sie auf die Zertifizierung vor, das Zertifikat vergibt eine unabhängige Stelle. Interne Audits führen bei uns Personen durch, die Sie nicht beraten haben.
Technische Prüfung
Eingerichtet heißt nicht, dass es heute noch wirkt.
Ein Nachweis sagt, was einmal eingerichtet wurde. Er sagt nicht, ob es heute noch so ist. Deshalb prüfen wir mit eigenem Prüfwerkzeug technisch nach, durch Netzwerk-Scan und automatisierte Pentests, deren Ergebnisse direkt an der betroffenen Anforderung landen.
Was geprüft wird
- Erreichbare Dienste und Systeme, auch solche, die in keiner Liste stehen
- Bekannte Schwachstellen und veraltete Versionen
- Verschlüsselung und Zertifikate an erreichbaren Diensten
- Abgleich mit dem, was in Richtlinien und Werteinventar steht
Wie geprüft wird
- Nur gegen freigegebene Ziele, jeder Lauf im Audit-Log
- Takt nach Ihrer Wahl: täglich, wöchentlich, monatlich, quartalsweise oder vor dem nächsten Audit
- Sie legen fest, was, wie tief und wann. Nichts läuft ungeplant.
- Findet ein Prüflauf etwas, setzen wir die technische Maßnahme mit um, und der nächste Prüflauf zeigt, ob sie wirkt.
Für die Tiefe gibt es den manuellen Pentest durch unsere Sicherheitsforscher. Netzwerk-Scan und automatisierte Pentests ergänzen ihn und prüfen dazwischen, damit neue Lücken nicht bis zum nächsten Test unbemerkt bleiben.
Rollen
Beraten, entscheiden, zertifizieren: drei getrennte Rollen.
Das übernehmen wir
- Gap-Analyse, Risikoworkshops, Richtlinien, Anwendbarkeitserklärung, Nachweise, technische Maßnahmen und interne Audits.
Das entscheiden Sie
- Geltungsbereich, Einstufungen, welche Risiken Sie tragen, welche Richtlinien gelten, welche Nachweise Sie freigeben.
Das prüft eine unabhängige Stelle
- Die akkreditierte Zertifizierungsstelle prüft und vergibt das Zertifikat.
Im Team
Lead Auditor ISO 27001 · IT-Security-Auditor
Wer berät, prüft nicht dasselbe Unternehmen: Wir bereiten Sie auf die Zertifizierung vor, das Zertifikat vergibt eine unabhängige Stelle. Interne Audits führen bei uns Personen durch, die Sie nicht beraten haben.
Ergebnis
Was Sie am Ende vorlegen können.
- Gap-Analyse mit Herkunft: zu jeder Einstufung der Weg, auf dem sie entstanden ist
- Risikoregister mit Bewertung ohne und mit Ihren Maßnahmen
- Maßnahmenplan mit verantwortlichen Personen, Fristen und benötigten Nachweisen
- Anwendbarkeitserklärung mit begründeten Ausschlüssen, die erst nach Ihrer Bestätigung wirkt
- Bericht des internen Audits und Unterlagen für die Managementbewertung
- Nachweise mit Freigabe und Ablaufdatum
- Exportpaket für das Audit mit Prüfsummen-Manifest und Auditoren-Portal mit begrenztem Zugriff
- Auf Wunsch: Begleitung im Zertifizierungsaudit und Nacharbeit von Abweichungen
FAQ
Häufige Fragen
Wo steht Ihr ISMS heute, und was fehlt bis zum Audit?
Im kostenlosen Erstgespräch klären wir Anlass, Geltungsbereich und Ausgangslage und schlagen einen ersten Schritt vor. Wenn etwas nicht nötig ist, sagen wir das auch. Auf Ihre Anfrage meldet sich unser Team.
kostenlos · 30 Minuten · telefonisch oder online