ISMS

Die Beratungs-Phase liefert die methodischen Grundlagen — Schutzbedarfs-Register, Risiko-Register, Gap-Analyse mit SoA-Vor-Entwurf und Roadmap. Der ISMS-Aufbau ist die operative Umsetzung dieser Grundlagen: Implementierung der ausgewählten Controls, Dokumentations-Erstellung, Schulungs-Rollout, internes Audit, externes Zertifizierungs-Audit. Beide Mandate sind sequenziell aufgebaut, finanziell und zeitlich klar getrennt und liefern jeweils klar abgegrenzte Output-Artefakte.

Sechs bis zwölf Monate ab Start des Aufbau-Mandats, abhängig von Geltungs­bereich, vorhandener Reife und Komplexität der IT-Landschaft. Mandanten mit abgeschlossener Beratungs-Phase erreichen den unteren Korridor-Rand, weil der SoA-Vor-Entwurf und das Risiko-Register bereits vorliegen. Mandanten ohne Vorarbeiten sollten zwölf bis sechzehn Monate einplanen — in diesem Fall stellen wir der Aufbau-Phase typischerweise eine verkürzte Workshop-Phase voran.

Im mittleren bis höheren fünf­stelligen Bereich, je nach Geltungs­bereich. Bei einem typischen Mittelständler mit 100 bis 300 Mitarbeitenden, drei bis fünf kritischen Prozessen und einer klar abgegrenzten IT-Landschaft sind 60.000 bis 120.000 EUR netto realistisch. Wir kalkulieren ein Festpreis-Angebot mit Phasen-Abrechnung — die Beratungs-Output präzisiert die Aufwands-Schätzung erheblich, deshalb empfehlen wir, beide Mandate sequenziell zu denken.

Nein. Die Annex-A-Controls werden nach Anwendbarkeit ausgewählt — das ist der Kern des Statement of Applicability. Welche Controls auf Ihr Geschäfts­modell zutreffen, welche begründet ausgeschlossen werden können und welche bereits umgesetzt sind, entscheidet sich im Workshop und ergibt das SoA-Dokument. Typischerweise sind 70 bis 85 Controls anwendbar, der Rest wird mit dokumentierter Begründung ausgeschlossen — etwa Anlieferungs-Sicherheit (A.7.4) bei rein digitalen Geschäfts­modellen.

DEKRA, DQS, TÜV SÜD, TÜV Rheinland und TÜV NORD sind die in Deutschland am häufigsten gewählten Stellen mit DAkkS-Akkreditierung für ISO 27001. Wir haben mit allen genannten zusammen­gearbeitet und vermitteln den Kontakt nach Branche, Konzern-Vorgaben und gegebenenfalls Bündelung mit bereits gewählten Stellen für weitere Zertifikate. Wichtig: Beratung und Zertifizierung dürfen nach ISO/IEC 17021 nicht aus einer Hand kommen — die Stelle wählen Sie unab­hängig von uns.

Die wesentlichste Änderung betrifft den Annex A: aus 114 Controls in 14 Bereichen wurden 93 Controls in vier Themenbereichen (Organisatorisch, Personell, Physisch, Technologisch). Neu sind unter anderem Threat Intelligence (A.5.7), Cloud-Sicherheit (A.5.23), Sichere Codierung (A.8.28), Data Leakage Prevention (A.8.12) und Web-Filtering (A.8.23). Die Hauptkapitel 4 bis 10 sind weitgehend unverändert. Die Übergangsfrist für Altzertifikate nach ISO 27001:2013 ist Ende Oktober 2025 ausgelaufen — Neu-Zertifizierungen erfolgen ausschließlich nach der Fassung von 2022.

Eine Major-Nicht-Konformität verhindert die Zertifikats-Erteilung bis zur dokumentierten Behebung. In der Praxis wird Stage 2 mit der Feststellung abgeschlossen, der Mandant hat typischerweise 60 bis 90 Tage Zeit, die Abweichung zu beheben und den Nachweis zu erbringen. Nach Behebung folgt ein Nach-Audit, vor Ort oder doku-basiert. Wir bereiten unsere Mandate so vor, dass Major-Abweichungen hochgradig unwahrscheinlich werden — durch das interne Audit nach Klausel 9 mit externer Auditor-Rolle und durch dokumentierte Vorbereitung jedes Audit-Themas.

Das ISMS lebt weiter. Risiko-Register und SoA werden mindestens jährlich aktualisiert, internes Audit und Management-Review regelmäßig durchgeführt, Vorfälle ausgewertet, Schulungen erneuert. Vor dem ersten Surveillance-Audit, typischerweise zwölf Monate nach Zertifizierung, müssen Wirksamkeits-Nachweise dokumentiert sein. Die laufende Steuerung übernehmen wir auf Wunsch über die externe Informations­sicherheits-Beauftragten-Funktion — als feste Ansprechperson mit definierten Rollen und Reporting-Rhythmus.