ISO 270018 Min. Lesezeit
ISO 27001 Checkliste für Start-ups: 12 Schritte zum Nachweis
Zwölf Schritte zu ISO 27001 für Start-ups: von Geltungsbereich und Risiken über Richtlinien und Massnahmen bis zu Nachweisen und internem Audit.
Von Zertify Redaktion
ISO 27001 lässt sich in zwölf Schritten angehen: Geltungsbereich festlegen, Werte und Risiken erfassen, Richtlinien schreiben, Massnahmen umsetzen, Nachweise sammeln und das System regelmässig prüfen. Eine eigene Sicherheitsabteilung brauchen Sie dafür nicht, wohl aber klare Verantwortlichkeiten und dokumentierte Entscheide.
Die Reihenfolge unten hat sich in jungen Unternehmen bewährt. Wo Start-ups Zeit verlieren und wann eine Selbstbeurteilung nicht genügt, steht weiter hinten.
Was ISO 27001 von einem Start-up verlangt
ISO 27001:2022 beschreibt ein Informationssicherheitsmanagementsystem, kurz ISMS. Das ist weder ein Produkt noch eine Software, sondern die Art, wie Ihr Unternehmen Informationen schützt. Es regelt, wer die Risiken beurteilt, welche Massnahmen gelten und wie Sie kontrollieren, ob diese wirken.
Die Norm folgt der gemeinsamen Struktur der ISO-Managementsysteme mit den Kapiteln 4 bis 10: Kontext der Organisation, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung und Verbesserung. Der Anhang A ergänzt sie mit 93 Massnahmen in vier Themengruppen: organisatorisch, personenbezogen, physisch und technologisch.
Die 93 Massnahmen müssen Sie nicht alle umsetzen. Sie müssen aber begründen, welche für Sie gelten und welche nicht, und zwar in der Erklärung zur Anwendbarkeit (englisch Statement of Applicability). Für ein Start-up wirkt die Norm dadurch weniger als Hürde denn als Ordnungsrahmen.
Wie ISO-Normen in kleinen Unternehmen grundsätzlich funktionieren, erklärt der Überblick zur ISO-Zertifizierung für KMU.
Die Checkliste im Detail
Phase 1: Grundlagen (Kapitel 4 und 5)
1. Kontext und Geltungsbereich klären. Legen Sie fest, welche Teile des Unternehmens das ISMS abdeckt. Bei einem Start-up ist das oft die ganze Firma. Benennen Sie Standorte, Systeme, Teams und Dienstleister. Notieren Sie auch, wer ein Interesse an Ihrer Informationssicherheit hat: Kundschaft, Investoren, Mitarbeitende, Aufsichtsstellen.
2. Verantwortung zuweisen. Die Verantwortung liegt bei der Geschäftsleitung. Sie bestimmt eine Person, die das ISMS führt. In kleinen Teams ist das häufig die Geschäftsführung selbst oder die technische Leitung. Die Rolle muss schriftlich festgehalten sein, und die Person braucht Zeit dafür.
3. Informationssicherheitspolitik verfassen. Eine Seite genügt. Darin stehen Ihre Ziele, Ihre Grundsätze und das Bekenntnis der Geschäftsleitung zur ständigen Verbesserung. Alle Mitarbeitenden erhalten die Politik.
Phase 2: Planung (Kapitel 6)
4. Werte erfassen. Listen Sie auf, was geschützt werden muss: Kundendaten, Quellcode, Verträge, Zugangsdaten, Laptops, Cloud-Dienste, Wissen, das nur in einzelnen Köpfen steckt. Eine Tabelle reicht. Jeder Wert erhält eine verantwortliche Person.
5. Risiken bewerten. Fragen Sie pro Wert: Was kann schiefgehen, wie wahrscheinlich ist das, wie gross wäre der Schaden? Eine einfache Skala wie niedrig, mittel, hoch genügt. Die Norm schreibt keine Methode vor. Die gewählte muss nachvollziehbar sein und jedes Mal gleich angewendet werden.
6. Risikobehandlung festlegen. Pro relevantes Risiko entscheiden Sie, ob Sie es vermeiden, verringern, übertragen oder bewusst akzeptieren. Eine Akzeptanz bestätigt die Geschäftsleitung. Ordnen Sie die gewählten Massnahmen dem Anhang A zu und leiten Sie daraus die Erklärung zur Anwendbarkeit ab.
7. Ziele definieren. Setzen Sie wenige Ziele, die sich messen lassen. Zum Beispiel: Alle Mitarbeitenden nutzen Multi-Faktor-Authentifizierung. Das Backup wird pro Quartal getestet. Gemeldete Vorfälle werden innerhalb einer festgelegten Frist bearbeitet.
Phase 3: Unterstützung und Betrieb (Kapitel 7 und 8)
8. Kompetenz und Bewusstsein sichern. Mitarbeitende müssen wissen, was von ihnen erwartet wird. Neue Teammitglieder erhalten eine kurze Einführung, dazu kommt eine jährliche Auffrischung. Halten Sie fest, wer teilgenommen hat. Der Anhang A verlangt Sensibilisierung und Schulung (Massnahme 6.3).
9. Technische und organisatorische Massnahmen umsetzen. In den meisten Start-ups stehen diese Bereiche im Zentrum:
- Zugriffsrechte nach dem Prinzip der minimalen Berechtigung (Massnahme 5.15)
- Multi-Faktor-Authentifizierung und Passwortmanager
- Datensicherung und regelmässiger Wiederherstellungstest (Massnahme 8.13)
- Umgang mit technischen Schwachstellen, also Updates und Patches (Massnahme 8.8)
- Sicherheit bei der Nutzung von Cloud-Diensten (Massnahme 5.23)
- Geräteverwaltung, Verschlüsselung der Laptops, Regeln für Homeoffice
- Ein-/Austrittsprozess für Mitarbeitende und Freelancer
- Prozess für Sicherheitsvorfälle: erkennen, melden, bewerten, lernen
10. Dokumentierte Informationen führen. Es braucht nicht viele Dokumente, aber die richtigen: Geltungsbereich, Politik, Risikomethode, Risikobewertung, Erklärung zur Anwendbarkeit, Ziele, Schulungsnachweise, Vorfallprotokoll. Versionen und Freigaben müssen gelenkt sein. Ein gepflegtes Wiki oder ein Ordner mit klarer Struktur reicht dafür aus.
Phase 4: Prüfen und verbessern (Kapitel 9 und 10)
11. Wirksamkeit prüfen. Messen Sie, ob die Ziele erreicht werden, und führen Sie mindestens ein internes Audit durch. Wer prüft, sollte das geprüfte Thema nicht selbst verantworten. In sehr kleinen Teams übernimmt das eine externe Person oder eine Kollegin aus einem anderen Bereich. Anschliessend folgt die Managementbewertung: Die Geschäftsleitung sichtet Ergebnisse, Vorfälle und Risiken und hält ihre Entscheide fest.
12. Abweichungen korrigieren und verbessern. Funktioniert etwas nicht, dokumentieren Sie Ursache, Korrektur und Wirkungsprüfung. Das ist keine Schwäche, sondern der Kern des Systems.
Die Checkliste zum Abhaken
Die Liste dient als Arbeitsgrundlage für Ihr Team.
Typische Fehler von Start-ups
Zu viel Papier. Viele Teams übernehmen umfangreiche Vorlagen und verlieren sich darin. Ein kurzes Dokument, das tatsächlich gelebt wird, ist mehr wert als fünfzig Seiten, die niemand liest.
Technik ohne Entscheid. Ein neues Tool ersetzt die Risikobewertung nicht. Fehlt der dokumentierte Entscheid, weiss später niemand, warum eine Massnahme gewählt wurde.
Dienstleister vergessen. Junge Unternehmen betreiben fast alles in der Cloud. Wer Ihre Daten hostet, verarbeitet oder unterstützt, gehört in die Risikobetrachtung.
Keine Nachweise. Was nicht belegt ist, gilt im Zweifel als nicht gemacht. Schulungslisten, Testprotokolle und Entscheide sollten Sie von Anfang an ablegen.
Einmalprojekt statt System. ISO 27001 verlangt laufende Pflege. Setzen Sie feste Termine für Risikoüberprüfung, internes Audit und Managementbewertung.
Selbstbeurteilung oder Audit vor Ort?
Ein Zertifikat auf Basis einer Selbstbeurteilung belegt, dass Sie die Anforderungen geprüft und Ihre Antworten dokumentiert haben.
Das genügt, wenn Sie intern Ordnung schaffen, Ihre Kundschaft nachvollziehbar informieren oder erst in ein Managementsystem einsteigen wollen. Der klassische Weg mit einem Audit vor Ort durch eine Zertifizierungsstelle ist nötig, sobald eine Ausschreibung, ein Kundenvertrag oder eine Aufsichtsstelle ein solches Audit ausdrücklich verlangt. Prüfen Sie diese Anforderung, bevor Sie sich festlegen. Eine ausführliche Einordnung bietet der Beitrag klassischer Weg oder Selbstbeurteilung.
Die Vorarbeit geht auch in diesem Fall nicht verloren: Ein späteres Audit baut auf den Schritten der Checkliste auf.
Wie Zertify dazu passt
Zertify stellt ISO-Zertifikate auf Basis einer Selbstbeurteilung aus. Ausgestellt werden sie von der G6 Agency AG in Lizenz des Swiss Institute of Certification and Education (SICE). SICE prüft jede Beurteilung vor der Ausstellung.
Für ISO 27001:2022 Informationssicherheitsmanagement beantworten Sie einen strukturierten Fragenkatalog zu Ihrem ISMS. Die Fragen entsprechen im Kern den Schritten der Checkliste. Wer die Punkte oben erledigt hat, kennt die Antworten bereits.
Nach bestandener Beurteilung und Zahlung stellt Zertify das Zertifikat innerhalb von 4 Stunden aus. Die aktuellen Konditionen stehen auf der Seite Preise. Wenn Sie bereit sind, können Sie die Beurteilung direkt starten.
Fazit
Bei ISO 27001 geht es für ein Start-up vor allem um Klarheit: Was schützen wir, wovor, womit, und wer ist verantwortlich? Sind diese Fragen schriftlich beantwortet, ist der grösste Teil der Arbeit getan. Danach bleibt Routine: regelmässig prüfen, Nachweise führen, Lücken schliessen.
Klären Sie zuerst, ob jemand ein Audit vor Ort von Ihnen verlangt. Falls nicht, ist die Selbstbeurteilung ein pragmatischer und rascher Weg, Ihre Informationssicherheit sichtbar zu machen.
Häufige Fragen
Wie viele Massnahmen muss ein Start-up aus Anhang A umsetzen?
Eine feste Zahl gibt es nicht. Der Anhang A der ISO 27001:2022 enthält 93 Massnahmen. Welche davon gelten, entscheiden Sie anhand Ihrer Risikobewertung. Ausschlüsse begründen Sie in der Erklärung zur Anwendbarkeit.
Brauchen wir als kleines Team eine eigene Sicherheitsperson?
Nein. Die Verantwortung für das ISMS muss aber klar zugewiesen sein. In kleinen Teams übernimmt oft die Geschäftsführung oder die technische Leitung diese Rolle, sofern sie schriftlich festgehalten ist.
Wie funktioniert das Zertifikat von Zertify für ISO 27001?
Das Zertifikat beruht auf einer Online-Selbstbeurteilung ohne Audit vor Ort. Die G6 Agency AG stellt es in Lizenz des Swiss Institute of Certification and Education (SICE) aus, und SICE prüft jede Beurteilung vor der Ausstellung. Auf zertify.ch lässt sich das Zertifikat öffentlich überprüfen. Verlangt eine Ausschreibung, ein Vertrag oder eine Behörde ausdrücklich ein Audit vor Ort durch eine Zertifizierungsstelle, ist der klassische Weg richtig.
Wie schnell erhalte ich das Zertifikat bei Zertify?
Zertify stellt das Zertifikat innerhalb von 4 Stunden nach bestandener Beurteilung und erfolgter Zahlung aus.
Muss ich vor der Beurteilung alle Dokumente fertig haben?
Die wichtigsten Grundlagen sollten vorliegen: Geltungsbereich, Politik, Risikobewertung, Erklärung zur Anwendbarkeit und erste Nachweise. Mit der Checkliste oben klären Sie diese Punkte vorab.
