Immer öfter kommt der Anstoß nicht aus dem eigenen Haus: Ein Großkunde verlangt die ISO-27001-Zertifizierung als Lieferantenbedingung, eine Ausschreibung setzt sie voraus, oder die Cyber-Versicherung macht sie zur Prämienfrage. Dann stellt sich für den Mittelstand die Frage: Wie kommen wir da realistisch hin — ohne eine Stabsstelle, die wir nicht haben?
Was die Norm heute verlangt
Seit der Revision 2022 umfasst der Anhang A der ISO 27001 93 Controls in vier Themenfeldern (organisatorisch, personell, physisch, technologisch) — darunter ausdrücklich moderne Themen wie Cloud-Sicherheit, Threat Intelligence und sicheres Löschen. Kern der Norm bleibt aber nicht die Checkliste, sondern das Informationssicherheits-Managementsystem (ISMS): Risiken kennen, Maßnahmen ableiten, Wirksamkeit prüfen, nachsteuern.
Der Weg in fünf Etappen
- Gap-Analyse (4–6 Wochen): Wo steht das Unternehmen wirklich? Ehrliche Bestandsaufnahme statt Wunschbild — sie bestimmt Budget und Zeitplan.
- Scope und Risikoanalyse: Der Geltungsbereich entscheidet über den Aufwand. Ein sauber geschnittener Scope (z. B. Kernprozesse + IT) ist legitim und üblich — ein künstlich kleiner Scope fliegt im Kundenaudit auf.
- Maßnahmen umsetzen (der Löwenanteil): Von Zugriffskonzept über Notfallplan bis Lieferantensteuerung. Hier entscheidet sich, ob ein gelebtes ISMS entsteht oder ein Papier-ISMS.
- Internes Audit + Management-Review: Pflicht vor dem Zertifizierungsaudit — und die Generalprobe, die man ernst nehmen sollte.
- Zertifizierungsaudit (Stufe 1 + 2): Dokumentenprüfung, dann Vor-Ort-Audit. Mit realistischer Vorbereitung ist das kein Angstgegner.
Realistischer Zeitrahmen für ein mittelständisches Unternehmen: 9 bis 15 Monate, abhängig vom Reifegrad. Wer mit BSI-IT-Grundschutz-Vorarbeit oder einem gepflegten Datenschutz-Management startet, ist schneller — die Überschneidungen sind erheblich.
Die Abkürzung, die sich rächt: gekaufte Dokumenten-Templates ohne Anpassung. Auditoren erkennen Copy-Paste-ISMS sofort — spätestens, wenn die beschriebenen Prozesse mit der gelebten Realität nichts zu tun haben. Dann wird aus der Abkürzung eine Ehrenrunde.
Interner oder externer Informationssicherheitsbeauftragter?
Die Norm verlangt klare Verantwortlichkeiten. Im Mittelstand scheitert die interne Lösung oft an der Doppelrolle: Der IT-Leiter soll seine eigene Arbeit kontrollieren — ein struktureller Interessenkonflikt. Ein externer Informationssicherheitsbeauftragter bringt Unabhängigkeit und Auditerfahrung mit, ohne eine Vollzeitstelle zu kosten. Wie das im Detail aussieht, zeigt unser Fachportal: informationssicherheitsbeauftragter-dresden.de — inklusive ISO-27001-Begleitung von der Gap-Analyse bis zum Audit.
Fazit
ISO 27001 ist für den Mittelstand machbar — wenn man sie als Organisationsprojekt begreift, nicht als Dokumentenlieferung. Der Nebeneffekt ist oft wertvoller als das Zertifikat selbst: Wer den Weg ernsthaft geht, kennt danach seine Risiken, seine Dienstleister und seine Notfallpläne. Das Zertifikat ist der Beleg; die Widerstandsfähigkeit ist der Gewinn.