ISO 27001 Checkliste: Schritt für Schritt zur Zertifizierung

Eine ISO 27001 Checkliste bringt Struktur in ein Projekt, das sonst schnell unübersichtlich wird: Sie führt dich entlang der acht relevanten Kapitel der Norm, von der Festlegung des Anwendungsbereichs bis zum externen Zertifizierungsaudit, und macht sichtbar, wo du stehst. Dieser Artikel erklärt jeden Schritt und verlinkt am Anfang direkt zum kostenlosen Download der vollständigen Checkliste mit rund 30 Prüfpunkten.

Wenn du die Checkliste lieber gleich als PDF mitnehmen willst, findest du sie auch auf der eigenen Seite unter ISO 27001 Checkliste zur Zertifizierung. Im Folgenden gehen wir die einzelnen Phasen durch, damit du weißt, was hinter jedem Prüfpunkt steckt.

Kontext und Anwendungsbereich festlegen (Kapitel 4)

Am Anfang steht die Frage, was dein ISMS eigentlich umfassen soll. Der Anwendungsbereich, im Normtext Scope genannt, legt fest, welche Standorte, Abteilungen, Systeme und Prozesse einbezogen werden und wo bewusst eine Grenze gezogen wird. Ein zu weiter Scope verlängert das Projekt unnötig, ein zu enger wirkt beim Audit unglaubwürdig, wenn zentrale Systeme fehlen.

Zum Kontext gehört außerdem, interne und externe Themen zu identifizieren, die deine Informationssicherheit beeinflussen, etwa regulatorische Vorgaben, die IT-Landschaft oder Marktanforderungen. Ebenso wichtig: interessierte Parteien wie Kunden, Aufsichtsbehörden oder Mitarbeitende und ihre konkreten Anforderungen an das ISMS zu erfassen. Wer diesen Schritt sauber macht, spart sich später Nacharbeit an Scope-Dokument und Risikoanalyse.

Führung und Leitlinie verankern (Kapitel 5)

ISO 27001 verlangt sichtbares Commitment der Leitung, nicht nur eine unterschriebene Leitlinie in der Schublade. Die Geschäftsführung muss Ressourcen bereitstellen, Ziele mittragen und im Alltag erkennbar hinter dem ISMS stehen. Die Informationssicherheitsleitlinie selbst beschreibt Ziele und Rahmen und sollte kurz, verständlich und für alle Mitarbeitenden zugänglich sein.

Parallel dazu werden Rollen und Verantwortlichkeiten zugewiesen: Wer ist Informationssicherheitsbeauftragter, wer Risikoeigentümer für welchen Bereich, wer verantwortet einzelne Maßnahmen. Ohne klare Zuordnung bleiben Aufgaben im Zertifizierungsprozess häufig liegen, weil sich niemand zuständig fühlt.

Risikomanagement und Statement of Applicability (Kapitel 6)

Das Risikomanagement ist das Herzstück jedes ISMS. Zuerst legst du eine Methodik fest, nach der Risiken einheitlich identifiziert und bewertet werden, etwa anhand von Eintrittswahrscheinlichkeit und Auswirkung. Darauf folgt die eigentliche Risikoanalyse: Welche Bedrohungen und Schwachstellen betreffen Vertraulichkeit, Integrität und Verfügbarkeit deiner Informationen?

Für jedes identifizierte Risiko braucht es eine Entscheidung im Risikobehandlungsplan, etwa Vermeidung, Minderung, Transfer oder bewusste Akzeptanz. Aus dieser Analyse entsteht das Statement of Applicability (SoA), das für jedes der 93 Controls aus Anhang A dokumentiert, ob es angewendet wird und, falls nicht, warum. Die SoA ist eines der zentralen Dokumente im Audit und sollte durchgängig auf die Risikoanalyse zurückführbar sein.

Ressourcen und Awareness sicherstellen (Kapitel 7)

Ein ISMS lebt von den Menschen, die es tragen. Kapitel 7 verlangt, dass ausreichend Personal, Zeit und Budget bereitstehen und dass Verantwortliche über die nötige Kompetenz verfügen oder sie gezielt aufbauen. Ebenso gehört ein Awareness-Programm dazu, das allen Mitarbeitenden vermittelt, welche Rolle sie für die Informationssicherheit im Alltag spielen, von Passwortverhalten bis zum Umgang mit Phishing-Versuchen.

Zusätzlich muss dokumentierte Information gelenkt werden: Richtlinien und Nachweise brauchen Versionierung, Freigabeprozesse und Schutz vor unautorisierten Änderungen. Das klingt bürokratisch, ist im Audit aber häufig der Punkt, an dem unsauber gepflegte Dokumentationen auffallen.

Betrieb und Annex-A-Maßnahmen umsetzen (Kapitel 8)

Jetzt wird es praktisch: Die in der SoA als anwendbar markierten Maßnahmen müssen tatsächlich umgesetzt und wirksam sein, nicht nur beschrieben. Dazu zählt auch die Sicherheit von Lieferanten und Dienstleistern, etwa durch vertragliche Anforderungen oder Self-Assessments, sowie ein Änderungsmanagement, das sicherheitsrelevante Anpassungen an Systemen und Prozessen kontrolliert.

Ganz wichtig für später: Sammle Nachweise laufend, nicht erst kurz vor dem Audit. Screenshots, Protokolle, Freigaben und Tickets, die im Alltag entstehen, sind im Zertifizierungsaudit oft überzeugender als nachträglich zusammengestellte Dokumente. Eine strukturierte Vorbereitung darauf beschreiben wir ausführlich im Artikel zur Audit-Vorbereitung für ISO 27001.

Leistungsbewertung und Verbesserung (Kapitel 9 und 10)

Bevor die externe Zertifizierungsstelle prüft, muss dein ISMS sich selbst prüfen. Kapitel 9 verlangt Monitoring mit definierten Kennzahlen, ein internes Audit über alle relevanten Bereiche sowie eine Managementbewertung, in der die Leitung Ergebnisse, Risiken und Zielerreichung bespricht. Kapitel 10 schließt den Kreis: Nichtkonformitäten werden dokumentiert, Ursachen analysiert und Korrekturmaßnahmen nachverfolgt, während kontinuierliche Verbesserung sich anhand konkreter Beispiele zeigen lassen sollte, nicht nur als Absichtserklärung im Leitliniendokument.

Stage 1 vs. Stage 2 Audit: Was ist der Unterschied?

Das externe Zertifizierungsaudit läuft in zwei Stufen ab, die unterschiedliche Dinge prüfen:

Merkmal	Stage 1 Audit	Stage 2 Audit
Fokus	Dokumentenprüfung	Wirksamkeitsprüfung vor Ort
Geprüft wird	Scope, Leitlinie, Risikobewertung, SoA	Gelebte Umsetzung der Maßnahmen
Methode	Durchsicht der Dokumentation	Interviews, Stichproben, Nachweise
Ergebnis	Freigabe für Stage 2 oder Nacharbeit	Zertifikatsempfehlung oder Abweichungen

Im Stage-1-Audit prüft die Zertifizierungsstelle, ob dein ISMS auf dem Papier normkonform aufgebaut ist. Fehlt zum Beispiel eine Verbindung zwischen SoA und Risikoanalyse, wird das hier auffallen, bevor es teurer wird. Im Stage-2-Audit geht es dann um die Praxis: Auditoren sprechen mit Verantwortlichen, prüfen Stichproben aus dem laufenden Betrieb und beurteilen, ob die Maßnahmen tatsächlich funktionieren. Erst nach bestandenem Stage-2-Audit wird das Zertifikat ausgestellt, das für drei Jahre gilt und durch jährliche Überwachungsaudits begleitet wird.

Wie der gesamte Weg von der Entscheidung bis zum fertigen Zertifikat aussieht, einschließlich Kosten und typischer Stolpersteine, erklären wir ausführlicher im Artikel ISO 27001 Zertifizierung einfach erklärt. Einen Überblick über die Norm insgesamt, inklusive aller Controls, bietet unser ISO 27001 Hub. Für eine erste Kosteneinschätzung deines Zertifizierungsaudits kannst du außerdem den Audit-Kostenrechner nutzen.

Fazit: Mit Checkliste strukturiert zum Zertifikat

Die ISO 27001 Zertifizierung besteht aus klar abgrenzbaren Phasen, von Scope und Leitlinie über Risikomanagement und Umsetzung bis zu internem Audit und externem Zertifizierungsaudit. Eine Checkliste macht diese Phasen greifbar und verhindert, dass einzelne Anforderungen erst kurz vor dem Stage-1-Audit auffallen.

Lade dir die vollständige ISO 27001 Checkliste mit allen rund 30 Prüfpunkten herunter und arbeite sie Schritt für Schritt ab, egal ob du das ISMS in Eigenregie aufbaust oder mit einem Partner zusammenarbeitest. Wenn du die Anforderungen aus dieser Checkliste direkt in einer Software abbilden willst, unterstützt dich die ISMS Software von Kopexa dabei, mit vorgeladenem ISO-27001-Katalog, Risikomanagement und Statement of Applicability an einem Ort.