ISO 27001 Beratung: Brauchen Sie wirklich einen Berater?

Nein. ISO 27001:2022 schreibt nicht vor, wer Ihr ISMS aufbaut. Entscheidend ist, dass es existiert, dass es zu Ihren Risiken passt und dass es im Alltag gelebt wird. Ob Sie das intern, mit Ihrem IT-Dienstleister oder mit einem Berater erreichen, ist Ihre Entscheidung.

Trotzdem engagieren viele Firmen einen Berater. Der Grund ist selten das Zertifikat selbst, sondern die Arbeit davor: Risiken bewerten, Kontrollen aus Anhang A auswählen, die Erklärung zur Anwendbarkeit schreiben, Richtlinien verfassen. Wer das zum ersten Mal macht, braucht dafür Wochen.

Zwei Fragen sollten Sie daher trennen. Die erste lautet: Wie baue ich ein ISMS auf? Die zweite: Wie komme ich zu einem Zertifikat, das meine Kunden akzeptieren? Eine Beratung beantwortet vor allem die erste.

• ISO 27001:2022 im Überblick

Ein Beratungsprojekt folgt meist dem Aufbau der Norm. Die Leistungen unterscheiden sich je nach Anbieter, die Bausteine sind aber ähnlich.

Gap-Analyse

Der Berater vergleicht Ihren Ist-Zustand mit den Anforderungen und zeigt, was fehlt. Das ist der Ausgangspunkt für den Projektplan.

Risikobewertung

Gemeinsam mit Ihnen erfasst er Werte, Bedrohungen und Schwachstellen und bewertet die Risiken. Daraus ergibt sich, welche Kontrollen Sie brauchen (Kapitel 6, Planung).

Erklärung zur Anwendbarkeit

Er hilft, die SoA zu erstellen: welche Kontrollen aus Anhang A gelten, welche nicht, und mit welcher Begründung.

Richtlinien und Prozesse

Sicherheitspolitik, Zugriffsregeln, Vorfallmanagement, Lieferantenbewertung. Der Berater liefert Vorlagen und passt sie an Ihren Betrieb an.

Schulung

Mitarbeitende und Geschäftsleitung lernen, was die Regeln im Arbeitsalltag bedeuten und wie ein Sicherheitsvorfall gemeldet wird.

Internes Audit und Managementbewertung

Vor dem Zertifikat prüft er, ob das System funktioniert, und begleitet die Bewertung durch die Geschäftsleitung (Kapitel 9).

Die folgenden Zahlen sind Richtwerte für ein kleineres Unternehmen mit überschaubarer IT. Sie ersetzen kein Angebot. Tagessätze liegen je nach Anbieter und Region grob zwischen 1'000 und 2'000 CHF.

• Was ISO-Zertifizierung kostet

Ein Berater lohnt sich, wenn Sie kaum Erfahrung mit Informationssicherheit haben, mehrere Standorte oder eine komplexe Systemlandschaft betreiben oder wenn ein Kunde ausdrücklich ein extern begleitetes Projekt verlangt. Auch wer intern keine Zeit hat, Richtlinien zu schreiben, spart mit Unterstützung Wochen.

Anders liegt der Fall bei Firmen, die ihre Sicherheit bereits organisiert haben. Es gibt Zugriffsregeln, ein Backup-Konzept, einen Meldeweg für Vorfälle, und jemand kennt die Risiken. Was fehlt, ist der Nachweis gegenüber dem Einkauf oder in der Lieferantenbefragung. Hier ist ein mehrmonatiges Beratungsprojekt oft mehr Aufwand, als die Lage verlangt.

Prüfen Sie zuerst, wo Sie stehen. Das lässt sich in einer Stunde klären, bevor Sie ein Angebot einholen.

• ISO-Normen für KMU

Zertify führt Sie in einer Online-Selbstbeurteilung durch die Anforderungen von ISO 27001:2022. Es gibt keinen Audit vor Ort. Das Zertifikat stellt die G6 Agency AG unter Lizenz von SICE aus, und SICE prüft jede Beurteilung, bevor das Zertifikat erteilt wird.

1. 01

   48 Ja/Nein-Fragen beantworten

   Die Fragen decken die Anforderungen der Norm ab, von der Risikobewertung über die Sicherheitspolitik bis zum Umgang mit Vorfällen. Sie brauchen dafür kein Konto.

2. 02

   Bestehen

   13 Fragen sind zwingende Anforderungen der Norm und müssen alle mit Ja beantwortet sein. Von den übrigen 35 Fragen müssen mindestens 24 mit Ja beantwortet sein.

3. 03

   Zertifikat erhalten

   Nach bestandener Beurteilung und Zahlung liegt das Zertifikat innerhalb von 4 Stunden vor.

4. 04

   Nachweisen

   Jedes Zertifikat trägt eine Nummer und einen QR-Code auf dem PDF. Ihr Kunde prüft die Echtheit auf der öffentlichen Verifizierungsseite.

• Kostenlose Selbstbeurteilung starten
• Preise im Detail
• Zertifikat ISO 27001:2022

Zertify ist keine Beratung. Die Plattform schreibt Ihre Richtlinien nicht und baut Ihr ISMS nicht auf. Die Fragen verlangen, dass Sie die Anforderungen tatsächlich erfüllen, und Sie bestätigen das mit Ihrer Antwort. Ein Nein bei einer der 13 Pflichtfragen bedeutet: Hier fehlt noch etwas, bevor ein Zertifikat möglich ist.

Das ist ein Vorteil gegenüber einem Beratungsvertrag, der erst nach der Gap-Analyse zeigt, wie viel Arbeit ansteht. Die Selbstbeurteilung zeigt Ihnen sofort, wo Sie stehen. Fehlen nur einzelne Punkte, schliessen Sie diese intern oder mit Ihrem IT-Dienstleister. Fehlt viel, kann eine gezielte Beratung für genau diese Lücken sinnvoll sein, und Sie wiederholen die Beurteilung danach.

Wer ausserdem wissen will, wie sich die Wege unterscheiden, findet den Vergleich mit der klassischen Route und einem Audit vor Ort in unserem Leitfaden.

• Zertifizierungswege im Vergleich
• Zertifizierung ohne Audit vor Ort