ISO 27001 Zertifizierung einfach erklärt: Ablauf & Kosten

Ein Kunde fragt im Angebotsprozess plötzlich nach einem ISO-27001-Zertifikat. Oder die Geschäftsführung liest im NIS2-Umsetzungsgesetz, dass Lieferanten künftig Nachweise zur Informationssicherheit erbringen müssen. Beides sind typische Auslöser dafür, dass sich Unternehmen zum ersten Mal ernsthaft mit der ISO 27001 Zertifizierung beschäftigen, meist unter Zeitdruck und ohne klare Vorstellung davon, was eigentlich auf sie zukommt.

Dieser Artikel bringt Ordnung in das Thema: Was die Zertifizierung ist, wer sie wirklich braucht, was sie kostet und wie der Weg vom ersten Workshop bis zum Zertifikat konkret aussieht.

Was ist die ISO 27001 Zertifizierung?

ISO 27001 ist eine internationale Norm für Informationssicherheitsmanagementsysteme, kurz ISMS. Die Zertifizierung bestätigt, dass ein Unternehmen ein solches System eingeführt hat und es nachweislich betreibt, nicht nur auf dem Papier, sondern im Tagesgeschäft.

Im Kern verlangt die Norm, dass du drei Schutzziele für deine Informationen systematisch absicherst:

• Vertraulichkeit: Nur berechtigte Personen haben Zugriff auf Daten.
• Integrität: Daten sind vollständig und unverändert, Manipulationen fallen auf.
• Verfügbarkeit: Systeme und Informationen stehen zur Verfügung, wenn sie gebraucht werden.

Ein zertifiziertes ISMS ist damit kein einzelnes Sicherheitsprodukt, sondern ein Rahmen aus Richtlinien, Rollen, Prozessen und technischen Maßnahmen, der regelmäßig überprüft und verbessert wird. Ein unabhängiger Auditor bestätigt am Ende, dass dieser Rahmen tatsächlich funktioniert. Einen tieferen Einstieg in das Konzept ISMS, inklusive Praxisbeispielen aus unterschiedlichen Branchen, findest du in unserem Leitfaden zu Informationssicherheitsmanagementsystemen.

ISO 27001, ISO/IEC 27001 oder DIN EN ISO/IEC 27001: Ist das dasselbe?

In der Praxis werden diese Bezeichnungen oft durcheinandergeworfen, gemeint ist aber fast immer dieselbe Norm:

• ISO/IEC 27001 ist die korrekte internationale Bezeichnung. Sie wird gemeinsam von der International Organization for Standardization (ISO) und der International Electrotechnical Commission (IEC) herausgegeben.
• ISO 27001 ist die verkürzte, umgangssprachliche Form, die im deutschen Sprachraum am häufigsten verwendet wird.
• DIN EN ISO/IEC 27001 ist die deutsche Fassung derselben Norm, übernommen durch das Deutsche Institut für Normung (DIN) und den europäischen Normungsprozess (EN). Inhaltlich ändert sich dadurch nichts, es handelt sich um dieselben Anforderungen in einer national genormten Ausgabe.

Wichtig für deine Recherche: Die aktuell gültige Fassung ist ISO/IEC 27001:2022. Die Vorgängerversion aus dem Jahr 2013 wurde überarbeitet, unter anderem wurden die Maßnahmen im Anhang A neu strukturiert und thematisch zusammengefasst. Wer heute zertifiziert wird, wird nach der 2022er-Version geprüft. Details zu den fachlichen Anforderungen und den Kontrollbereichen findest du auf unserer ISO 27001 Übersichtsseite.

Die Kernkomponenten eines ISMS nach ISO 27001

Bevor eine Zertifizierung überhaupt möglich ist, muss das ISMS als System existieren. Die Norm verlangt dafür mehrere zusammenspielende Bausteine:

• Richtlinien (Policies): Dokumentierte Regeln zu Themen wie Zugriffskontrolle, Passwörter, mobile Geräte oder Lieferantenmanagement.
• Rollen und Verantwortlichkeiten: Wer trägt die Verantwortung für Informationssicherheit, wer ist Asset-Owner, wer genehmigt Ausnahmen?
• Asset-Management: Ein Inventar aller Werte, die geschützt werden müssen, von Servern über Anwendungen bis zu Verträgen und Datenbeständen.
• Risikoanalyse und Risikobehandlung: Systematische Bewertung, welche Risiken für welche Assets bestehen und wie sie behandelt werden, akzeptieren, reduzieren, übertragen oder vermeiden.
• Controls aus Anhang A: Ein Katalog von 93 Maßnahmen, aus dem du die für dich relevanten auswählst und begründest, warum andere nicht anwendbar sind. Das Ergebnis ist die Statement of Applicability (SoA), ein zentrales Prüfdokument im Audit.
• Schulung und Sensibilisierung: Mitarbeitende müssen die für sie relevanten Regeln kennen und anwenden können.
• Incident Response: Ein definierter Prozess, um Sicherheitsvorfälle zu erkennen, zu melden und zu bearbeiten.

Wie so ein Kontrollkatalog konkret aussieht und wie sich die Auswahl der Maßnahmen dokumentieren lässt, zeigen unsere Seiten zu den ISO 27001 Controls und zur Statement of Applicability.

Welchen Nutzen hat die Zertifizierung?

Die Zertifizierung ist mehr als ein Nachweis für Auditoren. Für die meisten Unternehmen zahlt sie auf mehrere Ziele gleichzeitig ein:

• Vertrauen bei Kunden und Partnern: Ein anerkanntes Zertifikat beantwortet Sicherheitsfragebögen und Ausschreibungsanforderungen oft schneller als jede individuelle Erklärung.
• Strukturierte Risikosteuerung: Statt punktueller Maßnahmen entsteht ein systematischer Überblick über Risiken und deren Behandlung, der auch der Geschäftsführung Transparenz verschafft.
• Vorbereitung auf regulatorische Anforderungen: Ein funktionierendes ISMS deckt große Teile dessen ab, was DSGVO, NIS2 oder branchenspezifische Vorgaben an technischen und organisatorischen Maßnahmen fordern.
• Wettbewerbsfaktor: Gerade bei größeren Ausschreibungen und im B2B-Vertrieb ist ISO 27001 häufig ein Ausschlusskriterium, wer es nicht hat, kommt gar nicht erst in die engere Auswahl.
• Internes Aufräumen: Der Prozess selbst zwingt dazu, Zuständigkeiten, Zugriffsrechte und Dokumentation zu klären, was unabhängig vom Zertifikat wertvoll ist.

Wer braucht ISO 27001?

Es gibt keine allgemeine gesetzliche Pflicht zur ISO-27001-Zertifizierung. Trotzdem wird sie für immer mehr Unternehmen faktisch unumgänglich:

• SaaS- und Cloud-Anbieter, deren Enterprise-Kunden Sicherheitsnachweise als Vertragsvoraussetzung verlangen.
• Zulieferer und Dienstleister, die in Lieferketten regulierter Branchen eingebunden sind, etwa Automotive, Finanzsektor oder Gesundheitswesen.
• Unternehmen im Anwendungsbereich der NIS2-Richtlinie, die zwar keine ISO-27001-Pflicht auferlegt, aber vergleichbare Anforderungen an Risikomanagement und technische Maßnahmen stellt, oft entlang der gesamten Lieferkette. Wie sich NIS2, DSGVO und ISO 27001 sinnvoll zusammen denken lassen, erklären wir in unserem Artikel zu NIS2, DSGVO und ISO 27001 in der Praxis.
• Öffentliche Auftraggeber und größere Mittelständler, die Informationssicherheit zunehmend als Bewertungskriterium bei Ausschreibungen und Lieferantenaudits nutzen.

Kurz gesagt: Sobald Kunden, Regulierung oder eine wachsende Lieferkette Nachweise verlangen, wird aus einer freiwilligen Verbesserung schnell eine geschäftskritische Notwendigkeit.

Was kostet eine ISO 27001 Zertifizierung?

Pauschale Zahlen sind bei diesem Thema irreführend, weil die Kosten stark von Unternehmensgröße, Scope und Ausgangslage abhängen. Grob unterscheiden sich drei Kostenblöcke:

1. Interner Aufwand: Arbeitszeit für Risikoanalyse, Dokumentation, Schulungen und die Umsetzung von Maßnahmen. Das ist bei den meisten Erstzertifizierungen der größte Kostenblock.
2. Externe Unterstützung: Beratung, wenn intern nicht genug Kapazität oder Erfahrung vorhanden ist. Das ist kein Widerspruch zu Self-Service-Ansätzen, viele Unternehmen kombinieren eine Plattformlösung mit punktueller Beratung durch Partner.
3. Zertifizierungsstelle: Die eigentlichen Auditgebühren für Stage 1, Stage 2 und die jährlichen Überwachungsaudits, gestaffelt nach Unternehmensgröße und Anzahl der Standorte.

Je nach Ausgangslage reicht die Spanne von niedrigen fünfstelligen Beträgen bei kleinen, klar geschnittenen Scopes bis zu deutlich höheren Summen bei komplexen, mehrstandortigen Organisationen. Eine detaillierte Aufschlüsselung der einzelnen Kostenpositionen findest du auf unserer Seite zu den ISO 27001 Kosten. Für eine erste Einschätzung, die zu deiner Unternehmensgröße passt, kannst du unseren Audit-Kostenrechner nutzen.

Der Zertifizierungsprozess Schritt für Schritt

Der Weg zum Zertifikat folgt einem klaren Ablauf, auch wenn die Dauer je nach Unternehmen variiert.

1. Vorbereitung und Scope-Definition

Am Anfang steht die Frage, welche Bereiche des Unternehmens überhaupt zertifiziert werden sollen. Ein zu breiter Scope verlängert und verteuert das Projekt unnötig, ein zu enger Scope kann bei Kunden und Auditoren Fragen aufwerfen. Parallel werden Rollen benannt, etwa ein Informationssicherheitsbeauftragter, und ein grober Projektplan aufgestellt.

2. Risikoanalyse

Basierend auf dem Asset-Inventar wird systematisch bewertet, welche Risiken für welche Werte bestehen, wie wahrscheinlich sie sind und wie stark sie im Schadensfall wirken würden. Das Ergebnis bestimmt, welche Maßnahmen aus Anhang A tatsächlich notwendig sind, und fließt direkt in die Statement of Applicability ein.

3. Umsetzung der Maßnahmen

Aus der Risikoanalyse entsteht ein Umsetzungsplan: Richtlinien werden geschrieben und freigegeben, technische Kontrollen eingeführt, Schulungen durchgeführt, Verantwortlichkeiten dokumentiert. Dieser Schritt beansprucht in der Regel den größten Teil der Projektlaufzeit.

4. Internes Audit

Bevor die externe Zertifizierungsstelle ins Spiel kommt, prüft das Unternehmen sein eigenes ISMS selbst, idealerweise mit einer Person, die nicht für die geprüften Bereiche verantwortlich ist. Ziel ist, Lücken zu finden, bevor sie im externen Audit zum Problem werden. Wie sich ein internes Audit sinnvoll planen lässt, erklärt unser Glossareintrag zum Internal Audit Plan.

5. Stage 1 Audit: Dokumentenprüfung

Die Zertifizierungsstelle prüft, ob die Dokumentation vollständig und normkonform ist: ISMS-Scope, Risikobewertung, Statement of Applicability, Richtlinien. Stage 1 zeigt in der Regel formale Lücken auf, bevor es an die inhaltliche Prüfung geht. Wie du dich gezielt auf das ISO 27001 Stage 1 Audit vorbereitest, zeigt dir unsere Audit-Vorbereitung.

6. Stage 2: Vor-Ort-Audit

Im Stage-2-Audit prüft der Auditor, ob die dokumentierten Maßnahmen im Alltag tatsächlich gelebt werden. Das umfasst Interviews mit Mitarbeitenden, Stichproben zu einzelnen Controls und die Überprüfung von Nachweisen. Was ein Auditor dabei genau tut und worauf er achtet, beschreibt unser Glossareintrag zum Auditor.

7. Zertifikat, Überwachungsaudits und Rezertifizierung

Nach erfolgreichem Stage-2-Audit wird das Zertifikat ausgestellt, es gilt in der Regel drei Jahre. In diesem Zeitraum finden jährliche Überwachungsaudits statt, bei denen Stichproben aus dem ISMS geprüft werden. Nach Ablauf der drei Jahre steht eine vollständige Rezertifizierung an. Mehr zum grundsätzlichen Aufbau des Prüfprozesses erklärt unser Glossareintrag zum ISO-Audit, einen strukturierten Überblick über den gesamten Weg bietet unsere Seite zur ISO 27001 Zertifizierung.

Typische Herausforderungen und wie du sie löst

Die Dokumentation wächst schneller als die Übersicht. Wer Richtlinien, Risiken und Nachweise in verstreuten Word- und Excel-Dateien pflegt, verliert spätestens beim zweiten Überwachungsaudit den Überblick. Eine zentrale Plattform, auf der Controls, Risiken und Nachweise miteinander verknüpft sind, hält diesen Aufwand beherrschbar.

Der Scope ist unklar oder wächst während des Projekts. Ein sauber abgegrenzter Scope zu Beginn erspart spätere Diskussionen mit dem Auditor. Wer Kopexa als Frameworks-Plattform nutzt, kann Controls und Assets über einen interaktiven Control Explorer strukturieren und den Scope so von Anfang an nachvollziehbar dokumentieren.

Nachweise fehlen im Ernstfall. Viele Unternehmen wissen, dass eine Maßnahme umgesetzt ist, können es aber im Audit nicht belegen. Eine strukturierte Evidence-Verwaltung, in der Nachweise direkt an Controls hängen, verhindert die klassische Nachweis-Panik kurz vor dem Audit.

Interne Kapazität reicht nicht aus. Nicht jedes Unternehmen hat einen dedizierten Informationssicherheitsbeauftragten. Hier lohnt es sich, Self-Service-Werkzeuge mit punktueller Unterstützung durch spezialisierte Partner zu kombinieren, statt entweder alles selbst zu stemmen oder das komplette Projekt outzusourcen.

Auditoren brauchen Zugriff, ohne dass sensible Systeme geöffnet werden müssen. Ein Read-only-Zugang für Auditoren auf die relevanten Nachweise, Risiken und Controls beschleunigt das Audit erheblich und reduziert den Koordinationsaufwand während der Vor-Ort-Prüfung.

Genau an diesen Punkten setzt Kopexa als ISMS-Software an: Frameworks und Controls, Risikomanagement, Richtlinien, IT-Asset-Management, Vendor-Management, Evidence-Verwaltung und Incident-Management sind miteinander verknüpft, sodass du kontinuierlich auditbereit bleibst statt kurz vor dem Termin alles zusammenzusuchen. Das funktioniert im Self-Service ebenso wie in Zusammenarbeit mit einem Partner-CISO.

Fazit und nächster Schritt

Die ISO 27001 Zertifizierung ist kein einmaliges Projekt mit Enddatum, sondern der sichtbare Abschluss eines Prozesses, der mit dem Zertifikat weiterläuft: jährliche Überwachungsaudits, kontinuierliche Risikobewertung, regelmäßige Rezertifizierung. Wer früh eine klare Struktur für Controls, Risiken und Nachweise aufbaut, kommt nicht nur schneller durchs erste Audit, sondern hält den Aufwand auch danach überschaubar.

Wenn du planst, wie sich ISO 27001 mit anderen Zertifizierungen wie ISO 9001 kombinieren lässt, lohnt sich ein Blick in unsere Zertifizierungs-Roadmap für ISO 9001 und ISO 27001. Und für den konkreten Einstieg in dein Projekt findest du auf unserer ISO 27001 Roadmap-Seite eine strukturierte Übersicht der nächsten Schritte.