ISO 27001 umsetzen: So bauen Sie ein ISMS auf, das der Zertifizierung standhält

ISO 27001 umsetzen heißt nicht, Technik einzukaufen, sondern ein Managementsystem aufzubauen, das im Audit trägt. Kundenanforderungen, Ausschreibungen, Lieferkettenaudits: Immer mehr Unternehmen im Mittelstand brauchen ein nachweisbares Informationssicherheitsmanagementsystem – schriftlich festgelegt, im Alltag gelebt und jederzeit prüfbar. Die ISO/IEC 27001 ist dafür der internationale Maßstab. Sie beschreibt allerdings nur, was ein solches System leisten muss – nicht, wie Sie es in Ihrer Organisation aufbauen.

Diese Lücke kostet in der Praxis Monate. Projekte beginnen bei den technischen Maßnahmen statt beim Anwendungsbereich, sammeln Richtlinien, die nicht zueinander passen, und stellen kurz vor dem Audittermin fest, dass die Risikobeurteilung die halbe Dokumentation nicht stützt. Nacharbeit unter Zeitdruck ist die Folge – und in einigen Fällen ein verschobener Zertifizierungstermin.

Dieser Beitrag schließt die Lücke mit einer belastbaren Arbeitsreihenfolge. Sie erfahren, welche Klauseln die Norm verpflichtend fordert, in welchen neun Schritten Sie ein ISMS aufbauen, wie eine Risikobeurteilung aussieht, die im Audit hält, welche Dokumente eine Zertifizierungsstelle sehen möchte, wie Sie mit den 93 Controls aus Anhang A umgehen, wie das zweistufige Zertifizierungsaudit abläuft, mit welchem Aufwand Sie rechnen müssen – und welche fünf Fehler Projekte am häufigsten verzögern. Wer die ISO 27001 umsetzen will, ohne zweimal anzufangen, findet hier die Reihenfolge dafür.

Was ist ein ISMS nach ISO 27001?

Ein Informationssicherheitsmanagementsystem (ISMS) ist ein dokumentierter Satz aus Regeln, Prozessen und Verantwortlichkeiten, mit dem eine Organisation Risiken für die Vertraulichkeit, Integrität und Verfügbarkeit ihrer Informationen systematisch steuert.

Entscheidend ist das Wort Managementsystem. Die ISO/IEC 27001 beschreibt keinen technischen Sollzustand, sondern einen Steuerungskreis: Sie legen fest, welche Informationen schützenswert sind, bewerten die Risiken, wählen Maßnahmen, prüfen deren Wirksamkeit und verbessern nach. Dieser Zyklus – Plan, Do, Check, Act – muss belegbar laufen, nicht nur beschrieben sein. Unternehmen, die die ISO 27001 umsetzen, führen deshalb kein Projekt mit Enddatum ein, sondern einen dauerhaften Regelbetrieb.

Daraus folgt eine Erkenntnis, die viele Projekte zu spät erreicht: Ein ISMS lässt sich nicht einkaufen. Werkzeuge, Vorlagen und Beratung beschleunigen die Einführung, aber die Verantwortung für Bewertung und Entscheidung bleibt in der Organisation. Die oberste Leitung ist nach Klausel 5 ausdrücklich in der Pflicht und kann diese Rolle nicht vollständig delegieren.

Abzugrenzen ist die ISO 27001 vom IT-Grundschutz des BSI, der einen deutlich konkreteren Maßnahmenkatalog vorgibt und sich als Basis für eine ISO-27001-Zertifizierung nutzen lässt. Wer international liefert oder von Kundenseite nach dem ISO-Zertifikat gefragt wird, fährt in der Regel mit der Norm selbst besser.

Welche Anforderungen stellt die ISO 27001:2022?

Die verpflichtenden Anforderungen stehen in den Klauseln 4 bis 10 des Normtextes. Anhang A ergänzt sie um einen Referenzkatalog von Maßnahmen, die je nach Risikolage ausgewählt werden. Wer die ISO 27001 umsetzen möchte, arbeitet diese sieben Klauseln vollständig ab – keine davon ist optional.

Klausel	Thema	Was Sie konkret liefern müssen
4	Kontext der Organisation	Anwendungsbereich, interessierte Parteien, relevante Themen
5	Führung	Politik, Rollen und Verantwortlichkeiten, sichtbares Engagement der Leitung
6	Planung	Risikobeurteilung, Risikobehandlung, Erklärung zur Anwendbarkeit, Sicherheitsziele
7	Unterstützung	Ressourcen, Kompetenz, Bewusstsein, Kommunikation, Dokumentenlenkung
8	Betrieb	Durchführung der geplanten Maßnahmen und der Risikobehandlung
9	Bewertung der Leistung	Kennzahlen, internes Audit, Managementbewertung
10	Verbesserung	Umgang mit Nichtkonformitäten, Korrekturmaßnahmen, fortlaufende Verbesserung

Zwei Änderungen der Fassung 2022 sind praktisch relevant. Erstens wurde Anhang A neu strukturiert: aus 114 Maßnahmen in 14 Kapiteln wurden 93 Maßnahmen in vier Themenbereichen, ergänzt um elf neue Controls, unter anderem zu Cloud-Diensten, Threat Intelligence, Konfigurationsmanagement und Datenlecks. Zweitens ergänzte das Amendment 1:2024 die Klauseln 4.1 und 4.2 um den Aspekt Klimawandel: Sie müssen bestimmen und dokumentieren, ob dieses Thema für Ihr ISMS relevant ist.

Die Übergangsfrist von der Fassung 2013 endete am 31. Oktober 2025. Zertifikate nach der alten Version sind seither ungültig – prüfen Sie bei Lieferanten und Partnern, auf welche Normfassung ein vorgelegtes Zertifikat verweist.

In welchen Schritten sollten Sie die ISO 27001 umsetzen?

Der Aufbau folgt einer Reihenfolge, in der jeder Schritt auf den vorherigen aufbaut. Wer die Maßnahmenauswahl vor die Risikobeurteilung stellt, produziert Dokumente, die im Audit nicht zusammenpassen.

Schritt 1: Anwendungsbereich festlegen. Definieren Sie, welche Standorte, Prozesse, Systeme und Organisationseinheiten das ISMS umfasst. Ein enger, klar begründeter Scope ist einfacher zertifizierbar als ein pauschales „gesamtes Unternehmen“, das Sie anschließend nicht belegen können.

Schritt 2: Leitung einbinden und Rollen besetzen. Benennen Sie eine verantwortliche Rolle für Informationssicherheit mit ausreichender Zeit und Mandat, verabschieden Sie die Informationssicherheitspolitik und legen Sie Berichtswege zur Leitung fest.

Schritt 3: Werte und Informationen erfassen. Erstellen Sie ein Verzeichnis der Informationswerte: Systeme, Anwendungen, Datenbestände, Dienstleistende, Papierakten. Ohne diese Inventur bleibt jede Risikobeurteilung Spekulation.

Schritt 4: Risiken beurteilen. Bewerten Sie systematisch, welche Bedrohungen auf welche Werte wirken und wie hoch Eintrittswahrscheinlichkeit und Auswirkung sind.

Schritt 5: Risiken behandeln und Maßnahmen auswählen. Entscheiden Sie je Risiko über Vermeiden, Vermindern, Übertragen oder Akzeptieren, wählen Sie dazu passende Controls und dokumentieren Sie das Ergebnis in der Erklärung zur Anwendbarkeit.

Schritt 6: Prozesse und Richtlinien ausrollen. Setzen Sie die ausgewählten Maßnahmen in verbindliche Regelungen um: Zugriffsrechte, Umgang mit mobilen Geräten, Meldung von Sicherheitsvorfällen, Lieferantensteuerung, Notfallvorsorge.

Schritt 7: Kompetenz und Bewusstsein aufbauen. Schulen Sie alle Beschäftigten zu den für sie relevanten Regelungen und dokumentieren Sie die Teilnahme.

Schritt 8: Wirksamkeit prüfen. Führen Sie ein internes Audit über alle Klauseln und relevanten Controls durch, erheben Sie Kennzahlen und protokollieren Sie die Managementbewertung.

Schritt 9: Zertifizierungsaudit durchlaufen. Beauftragen Sie eine akkreditierte Zertifizierungsstelle und beheben Sie festgestellte Abweichungen fristgerecht.

Die Reihenfolge ist kein Vorschlag, sondern der eigentliche Hebel: Teams, die die ISO 27001 umsetzen und mit Schritt 1 bis 4 beginnen, sparen den größten Teil der späteren Nacharbeit ein.

Wie führen Sie die Risikobeurteilung praktisch durch?

Die Norm schreibt keine Methode vor, verlangt aber eine dokumentierte und wiederholbar anwendbare Vorgehensweise mit definierten Kriterien für Risikoakzeptanz und Risikobewertung.

In der Praxis bewährt sich ein einfaches Raster mit Skalen von 1 bis 4 für Eintrittswahrscheinlichkeit und Auswirkung. Wichtiger als die Feinheit der Skala ist, dass Sie dieselben Kriterien über alle Risiken hinweg konsistent anwenden und die Bewertung nachvollziehbar begründen.

Informationswert	Bedrohung	Wahrscheinlichkeit	Auswirkung	Risikowert	Behandlung	Maßnahme (Control)	Verantwortlich	Termin
E-Mail-System	Phishing mit Zugangsdatenabfluss	4	3	12	Vermindern	A.5.17, A.6.3, A.8.5	IT-Leitung	Q3
Kundendatenbank	Fehlkonfigurierte Berechtigungen	3	4	12	Vermindern	A.5.15, A.8.2, A.8.9	Fachbereich	Q3
Cloud-Speicher	Ausfall des Anbieters	2	3	6	Übertragen	A.5.23, A.5.30	Einkauf	Q4

Diese Tabelle können Sie unmittelbar als Grundlage Ihres Risikoregisters übernehmen. Drei Punkte werden im Audit regelmäßig geprüft: Erstens muss jedes Risiko einen Verantwortlichen haben. Zweitens brauchen akzeptierte Restrisiken eine dokumentierte Genehmigung durch die zuständige Ebene. Drittens muss die Beurteilung in geplanten Abständen und bei wesentlichen Änderungen wiederholt werden – einmal jährlich ist der übliche Turnus.

Welche Dokumente verlangt die Norm verpflichtend?

Die ISO 27001 fordert an mehreren Stellen ausdrücklich „dokumentierte Informationen“. Diese Liste bildet das Minimum, das eine Zertifizierungsstelle sehen möchte – und damit die Checkliste für alle, die die ISO 27001 umsetzen.

Dokument	Normstelle
Anwendungsbereich des ISMS	4.3
Informationssicherheitspolitik	5.2
Prozess der Risikobeurteilung	6.1.2
Prozess der Risikobehandlung	6.1.3
Erklärung zur Anwendbarkeit (Statement of Applicability)	6.1.3 d)
Informationssicherheitsziele	6.2
Nachweise über Kompetenz der Beschäftigten	7.2
Ergebnisse der Risikobeurteilung	8.2
Ergebnisse der Risikobehandlung	8.3
Nachweise zu Überwachung und Messung	9.1
Auditprogramm und Auditergebnisse	9.2
Ergebnisse der Managementbewertung	9.3
Nichtkonformitäten und Korrekturmaßnahmen	10.2

Zusätzlich verlangen viele der ausgewählten Controls eigene Regelungen, etwa zur Zugriffssteuerung, zum Umgang mit Sicherheitsvorfällen oder zur Auslagerung an Dienstleistende. Halten Sie die Dokumentenlandschaft bewusst schlank: Fünfzig gelebte Seiten überzeugen im Audit mehr als fünfhundert Seiten, die niemand kennt.

Wie setzen Sie die 93 Controls aus Anhang A um?

Anhang A ist ein Referenzkatalog, keine Pflichtliste. Sie prüfen jedes der 93 Controls auf Anwendbarkeit, setzen die relevanten um und begründen jede Nichtanwendung in der Erklärung zur Anwendbarkeit.

Themenbereich	Anzahl	Beispiele
A.5 Organisatorische Maßnahmen	37	Richtlinien, Rollen, Lieferantenbeziehungen, Vorfallmanagement, Cloud-Dienste
A.6 Personenbezogene Maßnahmen	8	Überprüfung vor Einstellung, Arbeitsbedingungen, Bewusstsein und Schulung, Disziplinarverfahren
A.7 Physische Maßnahmen	14	Zutrittssicherung, Überwachung, Arbeiten in Sicherheitsbereichen, Entsorgung
A.8 Technologische Maßnahmen	34	Endgeräteschutz, Berechtigungen, Kryptografie, Protokollierung, sichere Entwicklung

Jedes Control trägt in der Fassung 2022 fünf Attribute, unter anderem Maßnahmenart, betroffene Sicherheitseigenschaft und operative Fähigkeit. Diese Attribute sind kein Selbstzweck: Sie erlauben es, den Katalog nach Ihren eigenen Kriterien zu filtern und etwa alle präventiven Maßnahmen zum Thema Identitätsmanagement gemeinsam zu bearbeiten.

Die häufigste Fehleinschätzung betrifft die Verteilung: Nur 34 der 93 Controls sind technologischer Natur. Die Mehrheit ist organisatorisch und personenbezogen – also abhängig davon, ob Menschen Regeln kennen und anwenden. Genau daran scheitert es häufiger als an fehlender Technik.

Welche Rolle spielen Schulung und Awareness im ISMS?

Schulung ist keine freiwillige Ergänzung, sondern eine prüfbare Anforderung an drei Stellen der Norm: Klausel 7.2 zur Kompetenz, Klausel 7.3 zum Bewusstsein und Control A.6.3 zu Bewusstsein, Ausbildung und Schulung im Bereich Informationssicherheit.

Konkret erwartet ein Auditor Antworten auf vier Fragen: Wer wurde geschult? Zu welchen Inhalten? Wann? Und wie stellen Sie fest, dass die Inhalte verstanden wurden? Eine Präsenzveranstaltung mit Anwesenheitsliste erfüllt die erste und dritte Frage, lässt die zweite und vierte aber offen. Deshalb setzen Organisationen, die die ISO 27001 umsetzen, überwiegend auf E-Learning mit Lernerfolgskontrolle und automatischer Dokumentation der Abschlüsse.

Inhaltlich decken Sie mindestens ab: Bedeutung der Informationssicherheitspolitik, individuelle Beiträge zur Wirksamkeit des ISMS, Konsequenzen von Regelverstößen, Erkennen und Melden von Sicherheitsvorfällen sowie Umgang mit Phishing und Social Engineering. Rollen mit erhöhtem Risiko – Administration, Personalwesen, Buchhaltung, Führungskräfte – brauchen darüber hinaus vertiefende Inhalte.

Wichtig ist die Wiederholung. Ein einmaliges Onboarding genügt nicht, weil das Bewusstsein nachweislich abnimmt und sich Bedrohungen verändern. Ein Jahresrhythmus mit ergänzenden Phishing-Simulationen ist der praktische Standard.

Wenn Sie die Schulungsseite dieses Themas vertiefen möchten – Inhalte, Zielgruppen, Turnus und Formatwahl –, finden Sie das im Beitrag zu Informationssicherheit-Schulungen. Dieser Beitrag hier bleibt bei der Normperspektive.

Wie läuft die Zertifizierung ab und was kostet sie?

Die Zertifizierung erfolgt durch eine akkreditierte Zertifizierungsstelle in einem zweistufigen Erstaudit, gefolgt von jährlichen Überwachungsaudits und einer Re-Zertifizierung nach drei Jahren.

Im Stage-1-Audit prüft die Zertifizierungsstelle die Dokumentation und die grundsätzliche Auditreife. Hier zeigt sich, ob Anwendungsbereich, Risikobeurteilung und Erklärung zur Anwendbarkeit schlüssig zusammenpassen. Im Stage-2-Audit wird die tatsächliche Umsetzung vor Ort und in Interviews geprüft. Festgestellte Abweichungen werden nach Schweregrad klassifiziert; schwerwiegende Abweichungen müssen vor der Zertifikatserteilung behoben sein.

Achten Sie darauf, dass die Zertifizierungsstelle für die ISO 27001 akkreditiert ist – in Deutschland durch die DAkkS. Nicht akkreditierte Zertifikate werden von Kundenseite und in Ausschreibungen häufig zurückgewiesen.

Zum Aufwand einige Orientierungswerte für Organisationen zwischen 50 und 250 Beschäftigten, die die ISO 27001 umsetzen:

Kostenblock	Orientierung
Interner Aufwand	0,3 bis 0,8 Vollzeitstellen über die Projektlaufzeit
Externe Beratung (optional)	abhängig von Reifegrad und Umfang, meist der größte Einzelposten
Zertifizierungsaudit (Stage 1 und 2)	mittlerer vierstelliger bis niedriger fünfstelliger Bereich
Überwachungsaudit je Jahr	rund ein Drittel des Erstaudits
Werkzeuge und Schulungsplattform	laufende Lizenzkosten

Die Zahl der Audittage richtet sich nach der Beschäftigtenzahl im Anwendungsbereich und der Komplexität; die Zertifizierungsstellen kalkulieren sie nach international vorgegebenen Regeln. Verlässliche Angaben erhalten Sie nur über ein konkretes Angebot – vergleichen Sie mindestens zwei Stellen.

Welche Fehler verzögern die Zertifizierung am häufigsten?

Fünf Muster tauchen bei Projekten, die die ISO 27001 umsetzen, immer wieder auf.

Zu weiter Anwendungsbereich. Wer alles einschließt, muss alles belegen. Beginnen Sie mit dem Bereich, für den ein Nachweis geschäftlich gefordert ist, und erweitern Sie später.

Vorlagen ohne Anpassung. Übernommene Musterrichtlinien beschreiben Prozesse, die es in Ihrer Organisation nicht gibt. Diese Diskrepanz fällt im Interview sofort auf, weil Beschäftigte die Regelungen nicht kennen.

Risikobeurteilung als Einmalübung. Ohne dokumentierte Wiederholung und ohne Verknüpfung mit realen Veränderungen – neuen Systemen, neuen Dienstleistenden – verliert das Register seine Gültigkeit.

Fehlende Nachweise über Kompetenz. Klausel 7.2 gehört zu den häufigsten Abweichungen, weil Schulungen stattfinden, aber nicht revisionssicher dokumentiert sind. Eine Plattform, die Teilnahme, Ergebnis und Datum automatisch protokolliert, entschärft diesen Punkt vollständig.

Internes Audit zu spät oder zu oberflächlich. Das interne Audit ist Ihre Gelegenheit, Abweichungen vor der Zertifizierungsstelle zu finden. Planen Sie es mindestens zwei Monate vor dem Stage-2-Audit ein und lassen Sie es von einer Person durchführen, die den geprüften Bereich nicht selbst verantwortet.

Wie unterstützt reteach Ihr ISMS?

reteach deckt die personenbezogenen Anforderungen ab, wenn Sie die ISO 27001 umsetzen – also die Klauseln 7.2 und 7.3 sowie die Controls des Themenbereichs A.6.

Das reteach LMS verteilt Pflichtschulungen automatisiert an Zielgruppen, erinnert an Fristen und dokumentiert Abschlüsse, Ergebnisse und Zeitpunkte auf Personenebene. Genau diese Auswertung legen Sie im Audit als Nachweis über Kompetenz und Bewusstsein vor. Das LMS ist DSGVO-konform und lässt sich an bestehende Personalsysteme anbinden.

Über reteach Kurse stehen mehr als 500 selbstproduzierte Kurse bereit, darunter Inhalte zu Informationssicherheit, Datenschutz, IT-Compliance und sicherem Umgang mit E-Mail und Cloud-Diensten. Sie können diese Kurse direkt zuweisen oder mit eigenen Inhalten zu Ihren spezifischen Richtlinien kombinieren.

reteach Phishing Awareness ergänzt die Wissensvermittlung um wiederkehrende Simulationen. Die Lösung ist datenschutzfreundlich gestaltet, liefert einen auditfähigen Nachweisbeitrag und zeigt im Klick-Moment eine Aufklärungsseite. Als eigenständige Komplettlösung lässt sie sich auch unabhängig vom LMS einsetzen.

Der praktische Effekt: Der Punkt, an dem ISMS-Projekte im Audit am häufigsten Abweichungen sammeln, wird zu einem Bericht, den Sie auf Knopfdruck erzeugen.

Fazit: Nächste Schritte für Ihren ISMS-Aufbau

Die ISO 27001 umsetzen heißt, Informationssicherheit von einem IT-Thema zu einer Managementaufgabe zu machen. Der Normtext gibt dafür einen Rahmen, aber keine Reihenfolge – die müssen Sie selbst setzen. Wer mit Anwendungsbereich, Werteverzeichnis und Risikobeurteilung beginnt, statt zuerst Maßnahmen zu sammeln, kommt mit deutlich weniger Nacharbeit ins Zertifizierungsaudit.

Drei Schritte für die kommenden Wochen:

1. Legen Sie den Anwendungsbereich schriftlich fest und lassen Sie ihn von der Leitung bestätigen.
2. Erstellen Sie ein erstes Werteverzeichnis und bewerten Sie die zehn kritischsten Risiken mit dem Raster aus diesem Beitrag.
3. Prüfen Sie, wie Sie Schulungsnachweise nach Klausel 7.2 heute belegen könnten – und schließen Sie diese Lücke früh, weil sie sich mit vergleichsweise geringem Aufwand vollständig lösen lässt.

Wenn Sie den Schulungsteil Ihres ISMS aufsetzen möchten, sehen Sie sich das reteach LMS in einer Demo an oder testen Sie es 14 Tage kostenfrei.

Häufig gestellte Fragen