ISO 27001 erklärt: was es zertifiziert, wer es braucht und was es wirklich kostet

Was ISO 27001 ist, und was das Zertifikat wirklich aussagt

ISO/IEC 27001 ist die internationale Norm für ein Informationssicherheitsmanagementsystem, meist kurz ISMS genannt. Die aktuelle Ausgabe ist ISO/IEC 27001:2022, veröffentlicht am 25. Oktober 2022, mit einer kleinen Ergänzung aus dem Jahr 2024, auf die ich weiter unten komme.¹² Herausgegeben wird sie gemeinsam von der Internationalen Organisation für Normung (ISO) und der Internationalen Elektrotechnischen Kommission (IEC), daher trägt der volle Name beide Kürzel.

Der Kern ist leicht gesagt und schwerer gelebt. ISO 27001 reicht dir keine Liste an Sicherheitsgeräten zum Einbauen. Die Norm verlangt, dass du Sicherheit als gemanagtes System betreibst: deine Risiken verstehen, für jedes entscheiden, was du damit tust, das aufschreiben, eine verantwortliche Person benennen, messen, ob es wirkt, und es über die Zeit verbessern. Das Zertifikat, wenn ein Unternehmen es erlangt, sagt aus, dass eine unabhängige dritte Stelle dieses System geprüft und für normkonform befunden hat. Es sagt nicht, dass das Unternehmen nie angegriffen werden kann. Es sagt, dass das Unternehmen Informationssicherheit bewusst betreibt, nachweisbar und unter laufender Kontrolle.

Diese Unterscheidung zieht sich durch alles hier. Ein Zertifikat ist eine Aussage über eine Organisation, ausgestellt von jemandem Unabhängigen. Es ist nichts, was dir ein Entwickler überreichen kann, und keine Technologie, die du kaufst. Ich baue die Kontrollen und bereite das Managementsystem vor, damit ein Audit gelingen kann. Das Zertifikat selbst kommt von ganz woanders her, und das ist das Erste, was man klar verstehen muss.

Wer das Zertifikat ausstellt, und warum das nie ich sein kann

Hier geht das meiste Marketing in die Irre. ISO schreibt die Norm. ISO zertifiziert niemanden danach. In den eigenen Worten der ISO: Sie "führt keine Zertifizierungen durch und akkreditiert keine Zertifizierungsstellen" und "entwickelt internationale Normen, steuert die Zertifizierungsprozesse aber nicht direkt".³ Niemand ist also "von ISO zertifiziert", und wer das behauptet, nimmt es schon mit den Fakten nicht genau.

Ein Zertifikat kommt von einer akkreditierten Zertifizierungsstelle: einem unabhängigen Unternehmen, das dein Managementsystem auditiert und, wenn es besteht, das Zertifikat ausstellt. Diese Stelle wird selbst geprüft, nämlich von einer nationalen Akkreditierungsstelle, die ihre Kompetenz und Unparteilichkeit bestätigt. In Österreich ist das Akkreditierung Austria, eine Organisationseinheit im Wirtschaftsministerium, eingerichtet nach dem Akkreditierungsgesetz 2012.⁴ Dasselbe Modell einer einzigen Stelle je Land gilt über die EU, festgelegt in der Verordnung (EG) Nr. 765/2008: in Deutschland ist es die Deutsche Akkreditierungsstelle (DAkkS), im Vereinigten Königreich der United Kingdom Accreditation Service (UKAS).⁵⁴

Die Kette lautet also: ISO schreibt die Norm, eine Akkreditierungsstelle lässt Zertifizierungsstellen zu, eine Zertifizierungsstelle auditiert dich und stellt das Zertifikat aus, und dein Unternehmen hält es. Ich stehe bewusst außerhalb dieser Kette. Ich bin der, der baut und vorbereitet. Ich entwerfe und schreibe die Software so, dass die Kontrollen existieren, wirken und Nachweise hinterlassen, und ich helfe, das Managementsystem aufzubauen, das die Norm verlangt. Das Zertifikat kann ich nicht ausstellen, und ich würde es nie behaupten. Der ganze Wert des Zertifikats liegt darin, dass die unterschreibende Person unabhängig von jener ist, die das System gebaut hat. Diese beiden auseinanderzuhalten ist keine Einschränkung meines Angebots. Es ist der Grund, warum das Zertifikat überhaupt etwas bedeutet.

Sicherheit als System: die Kapitel, nicht nur die Kontrollen

Wer von ISO 27001 gehört hat, denkt meist an die lange Liste der Sicherheitskontrollen. Die zählen, und ich komme unten dazu, aber sie sind die hintere Hälfte der Norm. Die vordere Hälfte, die Kapitel 4 bis 10, macht sie erst zum Managementsystem statt zur Checkliste, und genau daran lassen Auditoren Unternehmen am häufigsten scheitern.

Die sieben Kapitel, in einfachen Worten:

Kapitel 4, Kontext. Klär, was deine Organisation tut, wer ein Interesse an ihrer Sicherheit hat (Kunden, Behörden, Mitarbeitende), und zieh die Grenze dessen, was das ISMS abdeckt.
Kapitel 5, Führung. Die Geschäftsleitung muss das System besitzen, eine Sicherheitsleitlinie setzen und klare Verantwortungen vergeben. Das hakt nicht die IT allein ab.
Kapitel 6, Planung. Beurteile deine Risiken, entscheide über die Behandlung jedes einzelnen und setz messbare Sicherheitsziele.
Kapitel 7, Unterstützung. Stell die Personen, Fähigkeiten, das Bewusstsein, die Kommunikation und die dokumentierten Informationen bereit, die das System braucht.
Kapitel 8, Betrieb. Führ die geplante Risikobehandlung tatsächlich durch und halt fest, dass du es getan hast.
Kapitel 9, Bewertung der Leistung. Miss, wie das System läuft, führ interne Audits durch und halt eine Managementbewertung ab.
Kapitel 10, Verbesserung. Geht etwas schief oder fehlt etwas, korrigier es und sorg dafür, dass es nicht wiederkehrt.

Die Ergänzung von 2024 brachte eine kleine, aber bezeichnende Änderung in Kapitel 4: eine Organisation muss nun prüfen, ob der Klimawandel ein relevantes Thema für ihre Sicherheit ist und ob interessierte Parteien klimabezogene Anforderungen stellen.² Es ist eine geringfügige, prozedurale Änderung, aber sie zeigt die Richtung: die Norm behandelt Sicherheit als etwas, das in den weiteren Risiken eines Unternehmens steckt, nicht als abgeschotteten technischen Winkel.

Warum diese vordere Hälfte für dich zählt, ist eine Frage von Kosten und Ehrlichkeit. Ein Unternehmen kann jede Firewall der Welt besitzen und trotzdem am Audit scheitern, weil niemand die Risiken prüft, die Geschäftsleitung nie etwas unterschrieben hat und nie ein internes Audit gelaufen ist. Das Managementsystem ist die Arbeit, und es ist laufende Arbeit, kein einmaliges Projekt.

Die Risikobeurteilung und die Anwendbarkeitserklärung

Zwei Dokumente stehen im Zentrum eines ISO 27001 Systems, und es lohnt sich, sie zu verstehen, bevor dir jemand von Kontrollen erzählt.

Das erste ist die Risikobeurteilung. Du benennst, was für die Informationen, die du hältst, schiefgehen kann (ein Datenleck bei Kundendaten, ein Ransomware Ausfall, eine abtrünnige Administration, ein versagender Lieferant), schätzt, wie wahrscheinlich und wie schädlich jedes ist, und entscheidest, was zu tun ist: das Risiko verringern, akzeptieren, die Tätigkeit meiden oder es über Versicherung oder Vertrag teilen. Hier verdient die Norm ihr Geld, denn sie erzwingt die Frage "was schützen wir eigentlich, und wovor", bevor jemand Geld ausgibt.

Das zweite ist die Anwendbarkeitserklärung, meist SoA genannt (Statement of Applicability). Die Norm bringt einen Katalog von Referenzkontrollen in ihrem Anhang A mit, und in der SoA hältst du Kontrolle für Kontrolle fest, ob du sie anwendest, und wenn nicht, warum nicht. Sie ist die Brücke zwischen deinen Risiken und den gewählten Kontrollen und eines der ersten Dinge, die ein Auditor liest. Eine Kontrolle, die du weglässt, ist in Ordnung, solange deine SoA einen ehrlichen Grund nennt, den die Risikobeurteilung trägt. Eine Kontrolle, die du beanspruchst, aber nicht belegen kannst, ist der Punkt, an dem Audits scheitern.

Anhang A: 93 Kontrollen in vier Themen

Anhang A ist der Katalog der Referenzkontrollen, und seine ausführliche Anleitung steht in einer Begleitnorm, ISO/IEC 27002:2022.⁶ Die Überarbeitung von 2022 hat ihn neu geordnet. Wo die Ausgabe von 2013 noch 114 Kontrollen in 14 Bereichen führte, gruppiert die aktuelle Fassung 93 Kontrollen in nur vier Themen.¹⁶ Weniger Kontrollen heißt nicht weniger Arbeit: die Überarbeitung hat überlappende Punkte zusammengeführt und elf echt neue hinzugefügt, etwa zu Bedrohungsinformationen, Sicherheit von Cloud Diensten, Datenmaskierung und sicherer Programmierung.⁶

Die vier Themen, mit der Anzahl je Thema und ein paar Beispielen:

Thema	Kontrollen	Was es abdeckt, mit Beispielen
Organisatorisch	37	Leitlinien, Rollen und Prozesse: Informationssicherheitsleitlinien, Lieferantenbeziehungen, Zugriffsregeln, Vorfallsmanagement und der Umgang mit Bedrohungsinformationen.
Personell	8	Die menschliche Seite: Überprüfung vor der Anstellung, Bewusstseinsbildung und Schulung, Vertraulichkeitsvereinbarungen und was mit Zugriffen passiert, wenn jemand geht.
Physisch	14	Die physische Welt: gesicherte Bereiche, Zutrittskontrollen, Schutz von Geräten und Verkabelung, aufgeräumter Arbeitsplatz und Bildschirm sowie sichere Entsorgung alter Technik.
Technologisch	34	Die Technik: Authentifizierung und Zugriff, Kryptografie, Protokollierung und Überwachung, Sicherung, sichere Entwicklung, Webfilterung und Schutz vor Schadsoftware.

Die Themen ergeben genau 93. Für ein Softwareunternehmen landet die meiste Aufmerksamkeit im Alltag beim technologischen Thema, weil dort der Bau liegt, aber das Audit wiegt alle vier. Eine perfekte technische Aufstellung ohne Austrittsprozess (Personell) oder ohne Lieferantenprüfungen (Organisatorisch) fällt trotzdem durch.

Die Geschwister für Cloud und Datenschutz: ISO 27017 und 27018

Zwei weitere Normen erweitern ISO 27001 für alle, die in der Cloud betreiben, und das ist heute fast jeder.

ISO/IEC 27017:2015 ist ein Leitfaden für Informationssicherheitskontrollen speziell für Cloud Dienste.⁷ Sie nimmt die einschlägigen Kontrollen aus Anhang A und ergänzt cloudspezifische Hinweise, und entscheidend ist, dass sie die Verantwortung zwischen Cloud Anbieter und Cloud Kunde aufteilt. Diese geteilte Verantwortung ist das meistmissverstandene Thema der Cloud Sicherheit: welche Kontrollen Sache der Plattform sind und welche deine. ISO 27017 zwingt dich, es aufzuschreiben.

ISO/IEC 27018:2015, überprüft 2019, ist ein Leitfaden zum Schutz personenbezogener Daten in öffentlichen Clouds, die als Auftragsverarbeiter handeln.⁸ Sie ist das datenschutznahe Geschwister, gedacht für Anbieter, die fremde personenbezogene Daten im Auftrag verarbeiten, und sie liegt natürlich neben dem Datenschutzrecht.

Keine der beiden ist eine eigene Zertifizierung, die Käufer für sich allein verlangen. Meist werden sie dem ISO 27001 Geltungsbereich hinzugefügt, um einem Kunden zu zeigen, dass die Cloud und der Datenschutz sauber behandelt wurden. Sind deine Kunden nervös, wo ihre Daten liegen und wer sie berühren kann, sind das die zwei, die die Frage beantworten.

Wie die Zertifizierung läuft: Stufe 1, Stufe 2 und der Dreijahreszyklus

Wie eine Zertifizierungsstelle ein Managementsystem auditiert, ist selbst genormt, in ISO/IEC 17021 Teil 1, daher ist der Ablauf weitgehend gleich, welche Stelle du auch wählst.⁹

Eine Erstzertifizierung läuft in zwei Stufen. Stufe 1 ist die Dokumentenprüfung: der Auditor prüft, dass das Managementsystem auf dem Papier existiert, dass Geltungsbereich, Leitlinien, Risikobeurteilung und SoA vorliegen und dass du für das eigentliche Audit bereit bist. Dabei kommen oft Lücken ans Licht, die du vor dem Weitergehen schließt. Stufe 2 ist das eigentliche Zertifizierungsaudit: der Auditor prüft, dass das System tatsächlich umgesetzt ist und funktioniert, zieht Nachweise quer über deine Kontrollen, befragt Personen und sucht die Aufzeichnungen, die belegen, dass das System läuft und nicht bloß existiert.

Bestehst du Stufe 2, bekommst du ein Zertifikat mit drei Jahren Gültigkeit. Diese drei Jahre sind kein Urlaub. Jedes Jahr führt die Zertifizierungsstelle ein Überwachungsaudit durch, eine leichtere Prüfung, dass das System weiter läuft und sich verbessert, und am Ende der drei Jahre erneuert ein Rezertifizierungsaudit, breiter als ein Überwachungsbesuch, das Zertifikat für den nächsten Zyklus.⁹ Das Kostenmuster folgt: ein größeres erstes Jahr, dann kleinere jährliche Überwachungskosten, dann alle drei Jahre eine Rezertifizierung nahe am ursprünglichen Betrag.

Die Botschaft für ein Unternehmen lautet: ISO 27001 ist eine stehende Verpflichtung, keine Plakette. Du verpflichtest dich, das System am Leben zu halten und einen Auditor jedes Jahr wieder hereinzulassen.

ISO 27001 oder SOC 2: das europäische Zertifikat und der amerikanische Bericht

Die beiden werden ständig verglichen, weil sie dieselbe Käuferfrage beantworten ("kann ich dir meine Daten anvertrauen"), aus zwei verschiedenen Traditionen. Die ehrliche Kurzfassung: meist entscheidet die Geografie.

ISO 27001 ist die internationale und besonders die europäische Erwartung. Es ist eine Zertifizierung: ein Zertifikat, ausgestellt von einer akkreditierten Stelle, in einem festen Dreijahreszyklus. SOC 2 ist die nordamerikanische Erwartung. Es ist gar kein Zertifikat, sondern ein Prüfbericht (Attestation), geschrieben von einem lizenzierten Wirtschaftsprüfer, der beschreibt, ob deine Kontrollen gut gestaltet waren und, im Fall eines Type II Berichts, über einen Zeitraum wirksam liefen.¹⁰

	ISO/IEC 27001	SOC 2
Was es ist	Zertifizierung eines Managementsystems	Ein Prüfbericht
Was du bekommst	Ein Zertifikat	Ein langer Bericht für einen bestimmten Leser
Wer es ausstellt	Eine akkreditierte Zertifizierungsstelle	Ein lizenzierter Wirtschaftsprüfer (eine CPA Kanzlei)
Zyklus	Drei Jahre, mit jährlicher Überwachung	Je Bericht, über ein gewähltes Fenster
Wo es erwartet wird	Europa und international	Nordamerika

Sind deine Kunden europäisch oder global, ist ISO 27001 meist das, was sie nennen. Sind sie amerikanisch, verlangen sie meist SOC 2. Manche Unternehmen, die auf beiden Seiten des Atlantiks verkaufen, halten am Ende beides, was mehr Arbeit, aber weniger Doppelung ist, als es klingt, weil die darunterliegende Technik und ein Großteil der Nachweise sich überschneiden. Wie die ganze Familie zusammenpasst, lege ich in meinem Überblick über die Qualitätsstufen für geschäftskritische Software dar.

Wer es braucht, und wer Geld für ein Zertifikat ausgibt, nach dem niemand gefragt hat

ISO 27001 verdient seine beträchtlichen Kosten in einer bestimmten Lage. Du verkaufst, oder willst verkaufen, an Enterprise oder öffentliche Auftraggeber, und deren Beschaffung verlangt es, bevor sie deine Software überhaupt in die Nähe ihrer Daten lassen. In dieser Welt ist das Zertifikat oft das, was dich erst in den Raum bringt. Es kürzt auch die endlosen Sicherheitsfragebögen ab, die Enterprise Käufer schicken, weil vieles davon schon durch das Zertifikat und seinen Geltungsbereich beantwortet ist. Und sobald NIS2 und ähnliche Regeln große Organisationen zwingen, ihre Lieferanten härter zu prüfen, ist ein ISO 27001 Zertifikat für einen Lieferanten ein sauberer Weg, dieser Prüfung in einem Dokument zu begegnen.¹¹ Über diesen Lieferantendruck von der anderen Seite habe ich in Vendor Risk und Due Diligence geschrieben.

Genauso wichtig ist zu wissen, wann du es nicht brauchst. Ein Shop, der eigene Waren an Verbraucher verkauft, braucht kein ISO 27001. Ein kleines Unternehmen ohne Enterprise Käufer und ohne jemanden, der danach fragt, braucht es ebenso wenig. Hat niemand in deiner Vertriebspipeline es je erwähnt, gibst du eine ernste Summe aus, um eine Frage zu beantworten, die niemand stellt. Das sage ich dir lieber klar, als dir ein Zertifikat zu verkaufen, das du nicht nutzen kannst. Der richtige Zeitpunkt ist, wenn ein echter Käufer, oder ein echter Plan, diesen Käufer zu erreichen, die stehende Verpflichtung lohnend macht.

Es lohnt sich auch, klar zu sein, was das Zertifikat nicht tut. Es ist keine Garantie gegen Angriffe. Es ist kein Beweis, dass du das Gesetz erfüllst. Das Datenschutzrecht etwa gilt aus eigenem Recht, egal welche Zertifikate du hältst, samt der Pflicht, bestimmte Datenschutzverletzungen binnen 72 Stunden zu melden.¹² Ein Zertifikat ist ein starker Beleg, dass du Sicherheit ernst nimmst und bewusst steuerst. Es ist kein Schild gegen jeden Vorfall und kein Ersatz für gesetzliche Pflichten.

Was es kostet, und wie lange es dauert

Kosten und Zeitpläne schwanken stark mit deiner Größe, deinem Geltungsbereich und der Reife deiner Kontrollen, nimm die Zahlen unten also als Planungsgrößen, nicht als Angebote. Sie stammen von aktuellen Praktikern im Feld, und die Quellen sind in den Fußnoten. Für die Einordnung rechne ich sie in Euro, Zertifizierungsstellen in Österreich und Deutschland rechnen ohnehin in Euro.

Es gibt eigentlich zwei getrennte Rechnungen, und sie zu vermischen ist der Punkt, an dem Leute überrascht werden. Die erste ist das Audithonorar der Zertifizierungsstelle, das du der unabhängigen Stelle direkt zahlst. Für ein kleines bis mittleres Unternehmen kann das über die Auditarbeit hinweg bis zu rund 25.000 € laufen, und für eine größere Organisation sind Honorare von 50.000 € keine Seltenheit; bei sehr kleinem Geltungsbereich kann die wiederkehrende Auditsumme über den Dreijahreszyklus im niedrigen vierstelligen Bereich pro Jahr liegen.¹³¹⁴ Die jährlichen Überwachungsaudits kosten weniger als die Erstzertifizierung, und die Rezertifizierung alle drei Jahre kostet ungefähr so viel wie das erste Mal.¹³

Die zweite Rechnung ist die Vorbereitung, und sie ist meist die größere der beiden, auch wenn sie selten in der Überschriftszahl auftaucht. Das ist die Vorarbeit: die Risikobeurteilung, die Leitlinien, die Anwendbarkeitserklärung, die eigentliche Technik zum Schließen der Lücken, das interne Audit und die Managementbewertung, die die Norm vor Stufe 2 verlangt. Ein Teil davon ist Werkzeug, vieles ist Zeit, und ein guter Teil ist der Bau selbst. Das ist der ehrliche Punkt, den man festhalten muss: Software nach der Norm zu bauen fügt dem Bau echte Kosten hinzu, bevor irgendein Zertifikat den Besitzer wechselt. Das Zertifikat ist die kleinere, spätere Ausgabe. Die Disziplin darunter ist, wo das Geld und die Monate hingehen.

Zum Zeitplan: ein fokussiertes kleines Unternehmen mit halbwegs reifen Kontrollen kann die Zertifizierung in rund drei Monaten erreichen, während sechs bis zwölf Monate für die meisten realistischer sind, und ein Unternehmen, das bei sehr wenig startet, kann länger brauchen, weil die Zertifizierungsstelle das System tatsächlich in Betrieb sehen muss, nicht nur aufgeschrieben.¹³¹⁴ Rechne noch ein paar Wochen Vorlaufzeit für die Buchung des Audits dazu.

Ein durchgerechnetes Beispiel: ein Linzer SaaS Unternehmen auf der Jagd nach einem Enterprise Deal

Donauplan ist ein erfundenes Unternehmen in Linz mit 28 Beschäftigten und etwa 3,5 Mio. € Umsatz. Es verkauft eine Planungsplattform, die im Browser genutzt wird, unter donauplan.example, und es ist in der Beschaffungsphase seines bislang größten Geschäfts angekommen, mit einem großen österreichischen Gesundheitsdienstleister, dessen Sicherheitsteam ohne ein ISO 27001 Zertifikat nicht weitermacht. Donauplan hat nie eines verfolgt.

Der erste Impuls der Gründerin ist zu fragen, ob ein schnelleres Papier genügt. Es genügt nicht: der Käufer hat das Zertifikat genannt, und nichts darunter öffnet das Beschaffungstor. Also entscheidet sich Donauplan dafür, und ich mache eine Lückenanalyse gegen die Managementsystemkapitel und die Themen aus Anhang A.

Das Bild ist das übliche. Beim technologischen Thema sind die Grundlagen passabel: verschlüsselte Verbindungen, nächtliche Sicherungen, Zugriffsrollen in der Anwendung. Aber die Mehrfaktorauthentifizierung ist auf der Cloud Konsole der Entwickler und nicht auf dem Admin Bereich des Supports. Sicherungen laufen, aber niemand hat seit einem Jahr eine zurückgespielt. Beim organisatorischen und beim personellen Thema sind die Lücken breiter: keine Risikobeurteilung auf dem Papier, keine Anwendbarkeitserklärung, keine Lieferantenprüfungen, kein Austrittsprozess, der Zugriffe verlässlich entzieht, und die Geschäftsleitung hat nie eine Sicherheitsleitlinie unterschrieben oder eine Bewertung abgehalten. Entscheidend: nie ist ein internes Audit gelaufen, was allein ein Stufe 2 Audit stoppen würde.

Die Behebung dauert rund drei Monate. Wir schreiben die Risikobeurteilung und die SoA und holen die Geschäftsleitung in die Entscheidungen, damit Kapitel 5 wirklich erfüllt ist. Die Mehrfaktorauthentifizierung kommt auf jeden Admin Pfad. Eine Rückspielübung auf der Staging Umgebung dauert 44 Minuten, und diese Zahl geht mit dem Zeitpunkt der nächtlichen Sicherung in den Notfallplan. Lieferantenprüfungen werden für den Zahlungsanbieter und den E Mail Dienst dokumentiert. Eine Austrittscheckliste wird geschrieben und befolgt. Ein internes Audit läuft, findet drei weitere kleine Lücken, und die werden geschlossen. Die Geschäftsleitung hält ihre erste Bewertung ab.

Donauplan beauftragt dann eine von Akkreditierung Austria akkreditierte Zertifizierungsstelle und zahlt sie direkt. Stufe 1, die Dokumentenprüfung, merkt zwei kleine Formulierungsfragen im Leitlinienwerk an, die in einer Woche behoben sind. Stufe 2, ein paar Wochen später, prüft das System im Betrieb, zieht Nachweise quer über die Kontrollen, und der Auditor empfiehlt die Zertifizierung. Etwa sieben Monate nach der ersten Lückenanalyse wird das Zertifikat ausgestellt, innerhalb der obigen Spanne. Donauplan reicht es dem Sicherheitsteam des Gesundheitsdienstleisters, die Beschaffungssperre fällt, und die nächsten zwei Enterprise Fragebögen, die ankommen, sind weit schneller zu beantworten, weil das Zertifikat und sein Geltungsbereich das meiste schon beantworten.

Was Donauplan gekauft hat, war kein Logo für die Website. Es war ein Sicherheitsmanagementsystem, das es jetzt wirklich betreibt, unabhängig geprüft, das zufällig genau das war, was ein bestimmter Käufer verlangt hat. Das jährliche Überwachungsaudit hält es ehrlich.

Wie das in einem Rails oder Solidus Bau aussieht

Ein ISO 27001 Zertifikat beschreibt Kontrollen, aber Kontrollen sind Technik, die du zeigen kannst, kein Papier, das du ablegst. Für eine SaaS Plattform auf Ruby on Rails oder einen Solidus Shop ist das meiste des technologischen Themas gewöhnliche gute Praxis, ordentlich gemacht und prüfbar hinterlegt.

Zugriffskontrolle und das Prinzip der minimalen Rechte kommen zuerst: Mehrfaktorauthentifizierung auf dem Admin Bereich, den Produktionsservern, der Deployment Pipeline und der Cloud Konsole, mit rollenbasiertem Zugriff, damit Personen nur erreichen, was ihre Aufgabe braucht, und ein sauberer Prozess, der Zugriffe am Tag des Austritts entzieht. Kryptografie heißt Transportsicherheit auf jeder Verbindung und verschlüsselte Daten im Ruhezustand und in den Sicherungen, und Rails bietet Active Record Encryption für sensible Attribute auf Anwendungsebene. Protokollierung und Überwachung müssen zentral sein, mit Alarmen, die eine echte Person erhält, denn ein Auditor fragt, wer was wann gesehen hat.

Änderungsmanagement ist der Ort, an dem mehrere Kontrollen aus Anhang A und eine Aufzeichnung nach Kapitel 8 zusammentreffen: jede Änderung an der Produktion läuft über eine Prüfung und hinterlässt eine Spur. Genau diese Disziplin beschreibe ich in Compliance nachweisen mit Release Registern und Sicherheitstests pro Release, und genau das zieht ein Auditor als Stichprobe. Sicherung und Wiederherstellung heißen eine getestete Rückspielung mit festgehaltener Wiederherstellzeit und möglichem Datenverlust, kein Sicherungsjob, den nie jemand zurückgelesen hat. Lieferantenbeziehungen heißen eine dokumentierte Prüfung der Dienste, auf die sich deine Plattform stützt, ihrer Sicherheitslage und ihrer Vorfallsbedingungen.

Diese Technik baue ich von Anfang an, sodass die Vorbereitung auf die Zertifizierung ein Sammeln von Nachweisen wird statt eines Umbaus des Systems. Jede Plattform, die ich liefere, bekommt außerdem einen Penetrationstest mit dem Kali Linux Werkzeugkasten, bevor sie ins Internet geht, mit Werkzeugen wie Nmap, Burp Suite und OWASP ZAP, und die Befunde werden nach Schwere und Behebung dokumentiert. Diese Aufzeichnung ist genau die Art von Nachweis, die ein Stufe 2 Audit sehen will.

Die ehrliche Position

ISO 27001 lohnt sich, wenn ein echter Käufer danach fragt, oder wenn ein konkreter Plan, Enterprise Käufer zu erreichen, die stehende Verpflichtung rechtfertigt, und es ist schlecht angelegtes Geld, wenn niemand fragt und niemand fragen wird. Wenn es sich lohnt, teilt sich die Arbeit sauber. Ich baue das normkonforme System und bereite das Managementsystem für dich vor: die Risikobeurteilung, die Anwendbarkeitserklärung, das Zugriffsmodell, das Änderungsmanagement und das Release Register, die Protokollierung, die Verschlüsselung, die Lieferantenprüfungen, die getestete Wiederherstellung, alles so gebaut, dass es die Nachweise hinterlässt, die ein Auditor zieht. Dann beauftragst du eine unabhängige, akkreditierte Zertifizierungsstelle, es zu auditieren und das Zertifikat auszustellen, und du zahlst diese Stelle direkt. Ich stelle es nie aus, zertifiziere nie etwas und packe das Honorar der Zertifizierungsstelle nie in meines. Diese Trennung ist keine Schwäche meines Angebots. Sie ist, was das Zertifikat, und mein Wort darüber, vertrauenswürdig macht.

Wenn du nach ISO 27001 gefragt wurdest und unsicher bist, ob du es wirklich brauchst, wie weit du den Geltungsbereich ziehst oder ob deine jetzigen Systeme ein Stufe 2 Audit überstehen würden, buch den kostenlosen Workshop, und ich klär es mit dir. Die ersten zwei Wochen Arbeit gehen auf meine Rechnung.

International Organization for Standardization und International Electrotechnical Commission, ISO/IEC 27001:2022 Information security, cybersecurity and privacy protection, Information security management systems, Requirements, Katalogseite, iso.org, abgerufen am 13. November 2026, https://www.iso.org/standard/27001 ↩ ↩²
International Organization for Standardization und International Electrotechnical Commission, ISO/IEC 27001:2022/Amd 1:2024 Climate action changes, Katalogseite, iso.org, abgerufen am 13. November 2026, https://www.iso.org/standard/88435.html ↩ ↩²
International Organization for Standardization, How to verify an accredited certification (ISO führt keine Zertifizierungen durch und akkreditiert keine Zertifizierungsstellen; akkreditierte Zertifizierungsstellen stellen die Zertifizierungen aus), help.iso.org, abgerufen am 13. November 2026, https://help.iso.org/en/articles/424922-how-to-verify-an-accredited-certification ↩
Europäisches Parlament und Rat, Verordnung (EG) Nr. 765/2008 über die Vorschriften für die Akkreditierung, Artikel 4 (jeder Mitgliedstaat benennt eine einzige nationale Akkreditierungsstelle), EUR-Lex, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32008R0765 ↩ ↩²
The Accreditation Regulations 2009 (SI 2009/3155), Regulation 3, mit der der United Kingdom Accreditation Service als nationale Akkreditierungsstelle benannt wird, legislation.gov.uk, https://www.legislation.gov.uk/uksi/2009/3155/regulation/3 ↩
International Organization for Standardization und International Electrotechnical Commission, ISO/IEC 27002:2022 Information security controls, Katalogseite (die Begleitnorm, die die Kontrollen aus Anhang A ausführt, 93 Kontrollen in vier Themen), iso.org, abgerufen am 13. November 2026, https://www.iso.org/standard/75652.html ↩ ↩² ↩³
International Organization for Standardization und International Electrotechnical Commission, ISO/IEC 27017:2015 Code of practice for information security controls based on ISO/IEC 27002 for cloud services, Katalogseite, iso.org, abgerufen am 13. November 2026, https://www.iso.org/standard/43757.html ↩
International Organization for Standardization und International Electrotechnical Commission, ISO/IEC 27018:2019 Code of practice for protection of personally identifiable information (PII) in public clouds acting as PII processors, Katalogseite, iso.org, abgerufen am 13. November 2026, https://www.iso.org/standard/76559.html ↩
International Organization for Standardization und International Electrotechnical Commission, ISO/IEC 17021-1:2015 Requirements for bodies providing audit and certification of management systems, Part 1, Katalogseite (Stufe 1 und Stufe 2 Audits, Überwachung und Rezertifizierung), iso.org, abgerufen am 13. November 2026, https://www.iso.org/standard/61651.html ↩ ↩²
AICPA & CIMA, System and Organization Controls: SOC Suite of Services, aicpa-cima.com, abgerufen am 13. November 2026, https://www.aicpa-cima.com/resources/landing/system-and-organization-controls-soc-suite-of-services ↩
Europäisches Parlament und Rat, Richtlinie (EU) 2022/2555 (NIS2 Richtlinie), Artikel 21, Risikomanagementmaßnahmen einschließlich Sicherheit der Lieferkette, EUR-Lex, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32022L2555 ↩
Europäisches Parlament und Rat, Verordnung (EU) 2016/679 (Datenschutz Grundverordnung), Artikel 33, Meldung einer Verletzung des Schutzes personenbezogener Daten, EUR-Lex, https://eur-lex.europa.eu/eli/reg/2016/679/oj ↩
DataGuard, How much does it cost to achieve ISO 27001 certification, dataguard.com, abgerufen am 13. November 2026, https://www.dataguard.com/iso-27001/certification/cost/ ↩ ↩² ↩³
Hicomply, ISO 27001 for small businesses: scope, cost and timeline, hicomply.com, abgerufen am 13. November 2026, https://www.hicomply.com/iso-27001/iso-27001-for-small-businesses ↩ ↩²