Wie lange dauert die Einführung von ISO 27001?

Bei kleinen und mittleren Unternehmen üblicherweise sechs bis zwölf Monate bis zur Zertifizierungsreife – abhängig von Ausgangsreifegrad, Umfang des Anwendungsbereichs und verfügbaren Ressourcen.

Wie viele Controls hat ISO 27001:2022?

Annex A der Fassung 2022 enthält 93 Controls in vier Themengruppen: 37 organisatorische, 8 personenbezogene, 14 physische und 34 technologische Maßnahmen. Welche anwendbar sind, wird im Statement of Applicability begründet.

Was ist das Statement of Applicability (SoA)?

Das SoA ist das zentrale Dokument des ISMS: Es listet alle Annex-A-Controls und hält je Control fest, ob es anwendbar ist, mit welcher Begründung und wie es umgesetzt wird. Es verbindet die Risikoanalyse mit den konkreten Maßnahmen.

Wie läuft das Zertifizierungsaudit ab?

Zweistufig: In Stufe 1 prüft die akkreditierte Zertifizierungsstelle die Dokumentation und die Auditreife, in Stufe 2 die tatsächliche Umsetzung vor Ort. Das Zertifikat ist drei Jahre gültig, mit jährlichen Überwachungsaudits.

Wissen · Informationssicherheit

ISO 27001 einführen: Ablauf, Aufwand und Zertifizierung

Ein Informationssicherheits-Managementsystem (ISMS) nach ISO/IEC 27001:2022 führen Sie in acht nachvollziehbaren Schritten ein: Anwendungsbereich festlegen, Risiken analysieren, Maßnahmen (Controls) aus Annex A auswählen, das Statement of Applicability (SoA) erstellen, umsetzen, intern auditieren, managementbewerten – und schließlich das zweistufige Zertifizierungsaudit durchlaufen. Realistisch dauert die Ersteinführung je nach Reife und Unternehmensgröße etwa sechs bis zwölf Monate.

Norm: ISO/IEC 27001:2022
Annex-A-Controls: 93 (organisatorisch/personell/physisch/technisch)
Typische Dauer: 6–12 Monate (Ersteinführung)
Zertifizierung: Stufe 1 + Stufe 2, gültig 3 Jahre
Kern-Artefakt: Statement of Applicability (SoA)

Was ISO 27001 verlangt

ISO/IEC 27001:2022 fordert ein gemanagtes System für Informationssicherheit, keinen einmaligen Zustand. Kern sind die Kapitel 4–10 der Norm (Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung, Verbesserung) und der Maßnahmenkatalog in Annex A. Die Fassung 2022 enthält 93 Controls, gegliedert in vier Themen: organisatorisch (37), personenbezogen (8), physisch (14) und technologisch (34).

Das Herzstück ist der risikobasierte Ansatz: Sie bewerten Ihre Informationswerte, ermitteln Risiken und wählen begründet die Controls, die diese Risiken behandeln. Welche Controls anwendbar sind und wie sie umgesetzt werden, dokumentieren Sie im Statement of Applicability (SoA).

Die 8 Schritte der Einführung

1. Anwendungsbereich (Scope) festlegen: Welche Standorte, Prozesse und Systeme umfasst das ISMS? 2. Kontext und interessierte Parteien klären, Sicherheitsleitlinie und Rollen definieren (Leitungsverantwortung nach Kap. 5). 3. Werte (Assets) erfassen und Risiken analysieren und bewerten. 4. Risikobehandlung planen und Controls aus Annex A auswählen.

5. Statement of Applicability (SoA) erstellen: je Control Anwendbarkeit, Begründung und Umsetzungsstand. 6. Controls umsetzen und Nachweise (Records) führen. 7. Wirksamkeit prüfen: internes Audit und Managementbewertung. 8. Zertifizierungsaudit durch eine akkreditierte Stelle – Stufe 1 (Dokumentenprüfung) und Stufe 2 (Umsetzungsprüfung vor Ort). Das Zertifikat gilt drei Jahre mit jährlichen Überwachungsaudits.

Aufwand und Dauer realistisch einschätzen

Die Ersteinführung dauert bei kleinen und mittleren Unternehmen typischerweise sechs bis zwölf Monate – abhängig vom Ausgangsreifegrad, vom Scope und von den verfügbaren Ressourcen. Der größte Aufwand steckt selten in der Technik, sondern in der Dokumentation, der gelebten Umsetzung und den Nachweisen: Ein Zertifikat verlangt nicht nur Richtlinien, sondern Belege, dass die Maßnahmen tatsächlich wirken.

Ein häufiger Stolperstein ist ein zu großer oder unklarer Scope. Ein bewusst geschnittener Anwendungsbereich reduziert Aufwand und Risiko im Erstaudit erheblich.

Wie MGMSYS die Einführung trägt

Das ISMS-Modul in MGMSYS bildet den kompletten Zyklus ab: Asset- und Risikoregister, Auswahl und Pflege der 93 Annex-A-Controls, das SoA, Maßnahmen mit Fristen, Lieferantenbewertungen, Schulungen, internes Audit und ein KPI-Dashboard zum Reifegrad. Alle Aktionen werden revisionssicher protokolliert – das erleichtert Stufe-1- und Stufe-2-Audit deutlich, weil Nachweise auf Knopfdruck vorliegen.

Häufige Fragen

Wie lange dauert die Einführung von ISO 27001?: Bei kleinen und mittleren Unternehmen üblicherweise sechs bis zwölf Monate bis zur Zertifizierungsreife – abhängig von Ausgangsreifegrad, Umfang des Anwendungsbereichs und verfügbaren Ressourcen.
Wie viele Controls hat ISO 27001:2022?: Annex A der Fassung 2022 enthält 93 Controls in vier Themengruppen: 37 organisatorische, 8 personenbezogene, 14 physische und 34 technologische Maßnahmen. Welche anwendbar sind, wird im Statement of Applicability begründet.
Was ist das Statement of Applicability (SoA)?: Das SoA ist das zentrale Dokument des ISMS: Es listet alle Annex-A-Controls und hält je Control fest, ob es anwendbar ist, mit welcher Begründung und wie es umgesetzt wird. Es verbindet die Risikoanalyse mit den konkreten Maßnahmen.
Wie läuft das Zertifizierungsaudit ab?: Zweistufig: In Stufe 1 prüft die akkreditierte Zertifizierungsstelle die Dokumentation und die Auditreife, in Stufe 2 die tatsächliche Umsetzung vor Ort. Das Zertifikat ist drei Jahre gültig, mit jährlichen Überwachungsaudits.