ISO 27001: ISMS aufbauen und zertifizierungsreif werden
Ein Informationssicherheits-Managementsystem nach ISO 27001 ist der am häufigsten verlangte Nachweis in Ausschreibungen, Lieferketten und Regulierung. NMS baut es auf und ist selbst zertifiziert.
ISO 27001 · Microsoft Solution Partner
Kunden verlangen es in Ausschreibungen, Konzerne in der Lieferantenbewertung, Versicherer in der Risikoprüfung: den Nachweis, dass Informationssicherheit systematisch gesteuert wird. ISO 27001 ist dafür der international etablierte Standard. Für viele Unternehmen ist dies der pragmatischste Weg, Sicherheit nachweisbar zu machen.
Welches Problem ISO 27001 löst
Die meisten Unternehmen tun bereits eine Menge für ihre IT-Sicherheit: Firewalls, Backups, Virenschutz, Schulungen. Was fehlt, ist der Nachweis, dass das kein Zufall ist, sondern System hat. Dieser Nachweis belegt, dass Risiken bewertet, Maßnahmen priorisiert, Wirksamkeit gemessen und Abweichungen korrigiert werden.
Genau das leistet ein Informationssicherheits-Managementsystem (ISMS). ISO 27001 beschreibt die Anforderungen an dieses System, Anhang A liefert einen Katalog konkreter Maßnahmen. Das Zertifikat ist am Ende die von außen prüfbare Bestätigung.
Was ein ISMS für Regulierung bedeutet
Ein ISMS nach ISO 27001 kann ein geeigneter Nachweisbaustein für regulatorische Anforderungen sein. Das gilt etwa im Kontext von NIS2, KRITIS oder Anforderungen aus dem Finanzsektor. Ob und in welchem Umfang ein Zertifikat im Einzelfall gefordert oder anerkannt ist, hängt vom jeweiligen Regelwerk, dem Sektor und der Einstufung des Unternehmens ab und ist im Einzelfall zu prüfen. Deckungsgleich sind die Anforderungen nicht: NIS2 ergänzt unter anderem Meldepflichten, Lieferketten-Anforderungen und die persönliche Verantwortung der Geschäftsleitung.
Wie NMS vorgeht
- Gap-Analyse: Abgleich des Ist-Zustands mit den Anforderungen der Norm und den Maßnahmen aus Anhang A. Ergebnis ist eine priorisierte Lückenliste mit Aufwandsschätzung.
- ISMS-Aufbau: Geltungsbereich, Risikomethodik, Richtlinien, Rollen und Verantwortlichkeiten, Kennzahlen und Review-Zyklen. Diese Bestandteile werden schlank gehalten und auf die tatsächliche Organisation zugeschnitten.
- Technische Umsetzung: Härtung der Microsoft-365- und Azure-Umgebung, Identity- und Zugriffskonzept, Logging, Backup- und Wiederanlauftests sowie Endpoint-Schutz. Diese Maßnahmen müssen im Audit belegt werden.
- Audit-Vorbereitung: internes Audit, Management-Review, Nachweisakte. NMS begleitet Zertifizierungs- und Überwachungsaudits.
- Betrieb: Ein ISMS lebt von Wiederholung. Als Managed Service übernimmt NMS Monitoring, Schwachstellen-Management, Awareness-Programm und die regelmäßigen Reviews.
Wichtig zur Abgrenzung: NMS berät und übernimmt den Aufbau bis zur Zertifizierungsreife. Die Zertifizierung selbst erfolgt durch eine akkreditierte Zertifizierungsstelle. Diese Trennung ist normativ vorgeschrieben und wird von uns eingehalten.
- Schritt 1 von 5Gap-AnalyseAbgleich des Ist-Zustands mit den Anforderungen der Norm.
- Schritt 2 von 5ISMS-AufbauGeltungsbereich, Risikomethodik, Richtlinien und Verantwortlichkeiten.
- Schritt 3 von 5Technische UmsetzungHärtung der Microsoft-365- und Infrastruktur-Seite.
- Schritt 4 von 5Audit-VorbereitungInternes Audit und Managementbewertung vor der Zertifizierung.
- Schritt 5 von 5BetriebEin ISMS lebt von Wiederholung: Reviews, Nachweise, Reifegrad.
Fünf Schritte in fester Reihenfolge: erst wissen, wo man steht, dann bauen, dann nachweisen.
Aufwand und Dauer
Der Aufwand hängt von Geltungsbereich, Standorten, Mitarbeiterzahl und Reifegrad ab. In der Praxis liegen zwischen Gap-Analyse und Zertifizierungsreife typischerweise sechs bis zwölf Monate. Die Kosten der Zertifizierung selbst werden von der Zertifizierungsstelle erhoben und sind vom Beratungsaufwand getrennt zu betrachten.
Warum NMS
NMS ist selbst nach ISO 27001 zertifiziert. Das hier beschriebene ISMS betreiben wir im eigenen Haus. Dazu kommen Microsoft-Solution-Partner-Status für die technische Umsetzung in Microsoft 365 und Azure sowie ITIL-orientiertes Service-Management für den Dauerbetrieb.
Rechtlicher Hinweis: NMS erbringt technische und organisatorische IT-Beratung, keine Rechtsberatung im Sinne des Rechtsdienstleistungsgesetzes. Die hier genannten Fristen, Schwellenwerte und Bußgeldrahmen geben den Informationsstand zum genannten Datum wieder und ersetzen keine rechtliche Einzelfallprüfung. Verbindliche Auskünfte erteilen die zuständigen Behörden (insbesondere das BSI) sowie spezialisierte Rechtsberatung. Stand: Juli 2026
Was ist der Unterschied zwischen ISO 27001 und BSI IT-Grundschutz?
ISO 27001 ist der internationale Standard und beschreibt Anforderungen an das Managementsystem. Der BSI IT-Grundschutz ist ein deutscher Ansatz mit sehr konkreten Bausteinen und wird häufig von Behörden und KRITIS-Betreibern genutzt; er lässt sich als "ISO 27001 auf Basis IT-Grundschutz" zertifizieren. Welcher Weg passt, hängt von Kundenanforderungen, Sektor und vorhandener Dokumentation ab.
Wie lange dauert der Weg zur ISO-27001-Zertifizierung?
Von der Gap-Analyse bis zur Zertifizierungsreife vergehen in der Praxis meist sechs bis zwölf Monate. Entscheidend sind Geltungsbereich, Reifegrad der bestehenden Dokumentation und die Verfügbarkeit interner Ansprechpartner.
Reicht ISO 27001 aus, um NIS2 zu erfüllen?
ISO 27001 deckt einen großen Teil der geforderten Risikomanagement-Maßnahmen ab, ist aber nicht automatisch gleichbedeutend mit NIS2-Konformität. Ergänzend zu prüfen sind insbesondere Melde- und Registrierungspflichten, Anforderungen an die Lieferkette sowie Schulungs- und Leitungspflichten.
Führt NMS die Zertifizierung selbst durch?
Nein. NMS berät, baut das ISMS auf und führt zur Zertifizierungsreife. Das Zertifizierungsaudit führt eine akkreditierte Zertifizierungsstelle durch: Diese Trennung ist normativ vorgeschrieben. Bei Auswahl und Begleitung der Stelle unterstützen wir.
Lösungen in einer neuen Dimension.
Ein Gespräch genügt, um herauszufinden, wo IT, Microsoft Cloud und KI den Arbeitsalltag wirklich entlasten können.
Ihr Ansprechpartner: Jan Emmerich, Geschäftsführer