ISO 27001: ISMS aufbauen und zertifizierungsreif werden
Ein Informationssicherheits-Managementsystem nach ISO 27001 ist der am häufigsten verlangte Nachweis in Ausschreibungen, Lieferketten und Regulierung. NMS baut es auf und ist selbst zertifiziert.
ISO 27001 · Microsoft Solutions Partner
Kunden verlangen es in Ausschreibungen, Konzerne in der Lieferantenbewertung, Versicherer in der Risikoprüfung: den Nachweis, dass Informationssicherheit systematisch gesteuert wird. ISO 27001 ist dafür der international etablierte Standard. Für viele Unternehmen ist dies der pragmatischste Weg, Sicherheit nachweisbar zu machen.
Welches Problem ISO 27001 löst
Die meisten Unternehmen tun bereits eine Menge für ihre IT-Sicherheit: Firewalls, Backups, Virenschutz, Schulungen. Was fehlt, ist der Nachweis, dass das kein Zufall ist, sondern System hat. Dieser Nachweis belegt, dass Risiken bewertet, Maßnahmen priorisiert, Wirksamkeit gemessen und Abweichungen korrigiert werden.
Genau das leistet ein Informationssicherheits-Managementsystem (ISMS). ISO 27001 beschreibt die Anforderungen an dieses System, Anhang A liefert einen Katalog konkreter Maßnahmen. Das Zertifikat ist am Ende die von außen prüfbare Bestätigung.
Was ein ISMS für Regulierung bedeutet
Ein ISMS nach ISO 27001 kann ein geeigneter Nachweisbaustein für regulatorische Anforderungen sein. Das gilt etwa im Kontext von NIS2, KRITIS oder Anforderungen aus dem Finanzsektor. Ob und in welchem Umfang ein Zertifikat im Einzelfall gefordert oder anerkannt ist, hängt vom jeweiligen Regelwerk, dem Sektor und der Einstufung des Unternehmens ab und ist im Einzelfall zu prüfen. Deckungsgleich sind die Anforderungen nicht: NIS2 ergänzt unter anderem Meldepflichten, Lieferketten-Anforderungen und die persönliche Verantwortung der Geschäftsleitung.
Wie NMS vorgeht
- Gap-Analyse: Abgleich des Ist-Zustands mit den Anforderungen der Norm und den Maßnahmen aus Anhang A. Ergebnis ist eine priorisierte Lückenliste mit Aufwandsschätzung.
- ISMS-Aufbau: Geltungsbereich, Risikomethodik, Richtlinien, Rollen und Verantwortlichkeiten, Kennzahlen und Review-Zyklen. Diese Bestandteile werden schlank gehalten und auf die tatsächliche Organisation zugeschnitten.
- Technische Umsetzung: Härtung der Microsoft-365- und Azure-Umgebung, Identity- und Zugriffskonzept, Logging, Backup- und Wiederanlauftests sowie Endpoint-Schutz. Diese Maßnahmen müssen im Audit belegt werden.
- Audit-Vorbereitung: internes Audit, Management-Review, Nachweisakte. NMS begleitet Zertifizierungs- und Überwachungsaudits.
- Betrieb: Ein ISMS lebt von Wiederholung. Als Managed Service übernimmt NMS Monitoring, Schwachstellen-Management, Awareness-Programm und die regelmäßigen Reviews.
Wichtig zur Abgrenzung: NMS berät und übernimmt den Aufbau bis zur Zertifizierungsreife. Die Zertifizierung selbst erfolgt durch eine akkreditierte Zertifizierungsstelle. Diese Trennung ist normativ vorgeschrieben und wird von uns eingehalten.
- Schritt 1 von 5Gap-AnalyseAbgleich des Ist-Zustands mit den Anforderungen der Norm.
- Schritt 2 von 5ISMS-AufbauGeltungsbereich, Risikomethodik, Richtlinien und Verantwortlichkeiten.
- Schritt 3 von 5Technische UmsetzungHärtung der Microsoft-365- und Infrastruktur-Seite.
- Schritt 4 von 5Audit-VorbereitungInternes Audit und Managementbewertung vor der Zertifizierung.
- Schritt 5 von 5BetriebEin ISMS lebt von Wiederholung: Reviews, Nachweise, Reifegrad.
Fünf Schritte in fester Reihenfolge: erst wissen, wo man steht, dann bauen, dann nachweisen.
Aufwand und Dauer
Der Aufwand hängt von Geltungsbereich, Standorten, Mitarbeiterzahl und Reifegrad ab. In der Praxis liegen zwischen Gap-Analyse und Zertifizierungsreife typischerweise sechs bis zwölf Monate. Die Kosten der Zertifizierung selbst werden von der Zertifizierungsstelle erhoben und sind vom Beratungsaufwand getrennt zu betrachten.
Womit führen wir das ISMS?
Mit dem, was zur Größe passt. Ein ISMS ist ein Satz von Regeln, Nachweisen und Wiederholungen: Führen lässt es sich mit einer Tabellensammlung, mit einem Fachwerkzeug oder mit etwas dazwischen. Die Entscheidung fällt am Anfang und ist später teuer zu korrigieren.
Drei Wege, die wir in Projekten sehen:
Tabellen und Dokumente: günstig, sofort verfügbar, und ab etwa 30 Maßnahmen unübersichtlich. Der Aufwand steckt in der Pflege, nicht in der Anschaffung.
Fachwerkzeug für ISMS: führt Maßnahmen, Risiken, Nachweise und Fristen an einer Stelle, erinnert an Wiederholungen und erzeugt die Berichte für das Audit. Kostet Lizenz und Einarbeitung.
Vorhandene Werkzeuge erweitern: wer ohnehin ein Ticketsystem oder Microsoft 365 nutzt, kann Teile dort abbilden. Spart Lizenzen, verlangt aber Disziplin bei der Struktur.
Woran erkennt man das passende Werkzeug?
Nicht am Funktionsumfang, sondern daran, ob es im Alltag benutzt wird. Ein ISMS, das nur vor dem Audit gepflegt wird, fällt beim ersten Überwachungsaudit auf.
Wie viele Menschen pflegen es? Bei drei Personen ist ein großes Werkzeug Ballast.
Gibt es schon eine Zertifizierung im Haus, an die man anschließen kann?
Bringt es die Nachweise in der Form, die ein Auditor annimmt, oder muss man sie nachbauen?
Was passiert bei einem Normenwechsel? Die ISO 27001 wurde 2022 überarbeitet; das nächste Mal kommt bestimmt.
Wer betreibt es, und was kostet das über drei Jahre: Nicht über ein Jahr.
Wir gehen die Auswahl mit Ihnen durch, bevor Sie sich binden, und sagen auch, wenn Tabellen für Ihre Größe reichen. Eine Empfehlung ohne Kenntnis Ihrer Lage wäre Verkauf, nicht Beratung; deshalb steht hier keine Rangliste von Produkten.
Wie läuft die Begleitung bis zum Zertifikat?
In der Regel neun bis achtzehn Monate, abhängig davon, wie viel bereits dokumentiert ist. Der Ablauf ist in allen Projekten derselbe:
Bestandsaufnahme und Anwendungsbereich festlegen: was gehört ins ISMS, was nicht
Lückenanalyse gegen Anhang A der Norm, mit ehrlicher Bewertung statt Wunschliste
Maßnahmen umsetzen, Richtlinien schreiben, Verantwortliche benennen
Interne Auditierung und Managementbewertung, beides verlangt die Norm
Zertifizierungsaudit in zwei Stufen bei einer akkreditierten Stelle
Danach: jährliche Überwachungsaudits, alle drei Jahre die Rezertifizierung
Das Zertifikat stellt eine akkreditierte Zertifizierungsstelle aus, nicht wir. Unsere Aufgabe endet dort, wo der Auditor anfängt, und beginnt wieder beim nächsten Überwachungsaudit. Für Betreiber kritischer Infrastrukturen greift zusätzlich der Nachweis nach BSI-Gesetz, dazu mehr auf der Seite zur KRITIS-Beratung.
Warum NMS
NMS ist selbst nach ISO 27001 zertifiziert. Das hier beschriebene ISMS betreiben wir im eigenen Haus. Dazu kommen Microsoft-Solution-Partner-Status für die technische Umsetzung in Microsoft 365 und Azure sowie ITIL-orientiertes Service-Management für den Dauerbetrieb.
Rechtlicher Hinweis: NMS erbringt technische und organisatorische IT-Beratung, keine Rechtsberatung im Sinne des Rechtsdienstleistungsgesetzes. Die hier genannten Fristen, Schwellenwerte und Bußgeldrahmen geben den Informationsstand zum genannten Datum wieder und ersetzen keine rechtliche Einzelfallprüfung. Verbindliche Auskünfte erteilen die zuständigen Behörden (insbesondere das BSI) sowie spezialisierte Rechtsberatung. Stand: Juli 2026
Was ist der Unterschied zwischen ISO 27001 und BSI IT-Grundschutz?
ISO 27001 ist der internationale Standard und beschreibt Anforderungen an das Managementsystem. Der BSI IT-Grundschutz ist ein deutscher Ansatz mit sehr konkreten Bausteinen und wird häufig von Behörden und KRITIS-Betreibern genutzt; er lässt sich als "ISO 27001 auf Basis IT-Grundschutz" zertifizieren. Welcher Weg passt, hängt von Kundenanforderungen, Sektor und vorhandener Dokumentation ab.
Wie lange dauert der Weg zur ISO-27001-Zertifizierung?
Von der Gap-Analyse bis zur Zertifizierungsreife vergehen in der Praxis meist sechs bis zwölf Monate. Entscheidend sind Geltungsbereich, Reifegrad der bestehenden Dokumentation und die Verfügbarkeit interner Ansprechpartner.
Reicht ISO 27001 aus, um NIS2 zu erfüllen?
ISO 27001 deckt einen großen Teil der geforderten Risikomanagement-Maßnahmen ab, ist aber nicht automatisch gleichbedeutend mit NIS2-Konformität. Ergänzend zu prüfen sind insbesondere Melde- und Registrierungspflichten, Anforderungen an die Lieferkette sowie Schulungs- und Leitungspflichten.
Führt NMS die Zertifizierung selbst durch?
Nein. NMS berät, baut das ISMS auf und führt zur Zertifizierungsreife. Das Zertifizierungsaudit führt eine akkreditierte Zertifizierungsstelle durch: Diese Trennung ist normativ vorgeschrieben. Bei Auswahl und Begleitung der Stelle unterstützen wir.
Lösungen in einer neuen Dimension.
Ein Gespräch genügt, um herauszufinden, wo IT, Microsoft Cloud und KI den Arbeitsalltag wirklich entlasten können.
Ihr Ansprechpartner: Jan Emmerich, Geschäftsführer