ISO 27001: die IT für die Zertifizierung vorbereiten
ISO 27001 ist der internationale Standard für Informationssicherheit, und immer mehr Kunden, Konzerne und Ausschreibungen verlangen ihn. Zertifiziert wird dein Managementsystem (ISMS) von einer akkreditierten Stelle. Wir bringen die IT auf den Stand, den der Standard verlangt, und liefern die Nachweise, die im Audit gebraucht werden.
Was dazugehört
Aufträge sichern
Großkunden und Konzerne fragen in Lieferantenaudits nach ISO 27001. Mit Zertifikat beantwortest du viele Fragebögen mit einem Dokument.
Technische Maßnahmen
Zugriffskontrolle, Verschlüsselung, Backups, Protokollierung und Patch-Management so umsetzen, wie es der Standard verlangt.
Nachweise aus der IT
Dokumentation, Berichte und Belege, die der Auditor sehen will, aus den Systemen statt aus dem Gedächtnis.
Dauerhaft einhalten
Die Maßnahmen im Alltag aufrechterhalten, damit auch die jährlichen Überwachungsaudits und die Rezertifizierung nach drei Jahren bestanden werden.
Weniger Risiko
Ein ISMS zwingt dazu, Risiken systematisch zu bewerten. Das senkt die Wahrscheinlichkeit und die Folgen eines Angriffs spürbar.
Synergien mit NIS2 und TISAX
Wer ISO 27001 umsetzt, erfüllt einen großen Teil von NIS2 und TISAX gleich mit.
Was ISO 27001 von der IT verlangt
Anhang A der ISO 27001:2022 beschreibt 93 Maßnahmen in vier Themen. Ein großer Teil davon landet direkt in der IT.
93Maßnahmen gesamt
Organisatorische Maßnahmen
37 MaßnahmenRichtlinien, Rollen, Umgang mit Lieferanten und Cloud-Diensten, Vorfallmanagement und Notfallplanung. Wir liefern die IT-Seite: Prozesse, die wirklich gelebt werden.
Personelle Maßnahmen
8 MaßnahmenSchulung und Sensibilisierung, Vertraulichkeit, Ein- und Austritt von Mitarbeitenden. Wir schulen dein Team und automatisieren das Anlegen und Sperren von Konten.
Physische Maßnahmen
14 MaßnahmenZutritt zu Serverraum und Büro, Schutz der Geräte, sichere Entsorgung von Datenträgern. Wir sorgen für Serverraum, Kameras und zertifizierte Datenlöschung.
Technologische Maßnahmen
34 MaßnahmenBerechtigungen, Mehrfaktor-Anmeldung, Verschlüsselung, Backups, Protokollierung, Überwachung, Schwachstellen- und Patch-Management. Das ist unser Kerngeschäft.
Der Weg zum Zertifikat
Typisch sind sechs bis zwölf Monate, je nachdem, was schon vorhanden ist.
Schritt 1: Geltungsbereich festlegen
Welche Standorte, Abteilungen und Systeme gehören zum ISMS? Ein klarer Rahmen spart später Aufwand.
Schritt 2: Gap-Analyse
Wir gleichen deine IT mit den 93 Maßnahmen ab und zeigen, was fehlt, mit Aufwand und Priorität.
Schritt 3: Risikoanalyse und Erklärung zur Anwendbarkeit
Risiken bewerten und festlegen, welche Maßnahmen gelten. Wir liefern die technische Bewertung zu jedem IT-Risiko.
Schritt 4: Maßnahmen umsetzen
Härtung, Berechtigungskonzept, Backups, Monitoring, Verschlüsselung und Geräteverwaltung: Wir setzen um und dokumentieren.
Schritt 5: Internes Audit und Managementbewertung
Probelauf vor dem echten Audit. Lücken fallen hier auf, nicht vor dem Auditor.
Schritt 6: Zertifizierungsaudit
Stufe 1 prüft die Dokumentation, Stufe 2 die Umsetzung im Alltag. Wir sind beim IT-Teil dabei und beantworten die Fragen des Auditors.
Was du von uns bekommst
IT-Dokumentation
Netzplan, Systemübersicht, Berechtigungsmatrix und Datensicherungskonzept, aktuell gehalten.
Belege aus den Systemen
Patch-Berichte, Backup- und Wiederherstellungstests, Protokolle und Monitoring-Auswertungen für jedes Audit.
Technische Richtlinien
Passwort-, Geräte-, Backup- und Zugriffsrichtlinien, abgestimmt auf das, was in deiner IT wirklich eingestellt ist.
Begleitung im Audit
Wir erklären dem Auditor die IT-Maßnahmen und zeigen die Nachweise direkt in den Systemen.
Passende Leistungen
Pflichten und Förderung
- Zertifizierung durch akkreditierte Stelle
- Das Zertifikat gilt drei Jahre, dazwischen finden jährliche Überwachungsaudits statt. Wir bereiten die IT darauf vor, die Zertifizierung selbst macht die Zertifizierungsstelle.
- Synergien mit NIS2 und TISAX
- Ein ISMS nach ISO 27001 deckt viele Anforderungen aus NIS2 und TISAX mit ab.
Bis zu 15.000 € Förderung
Das Land NRW fördert IT-Sicherheit und digitale Prozesse in kleinen und mittleren Unternehmen. Wir prüfen, ob dein Vorhaben passt, und erstellen den Maßnahmenplan.
Häufige Fragen
Zertifiziert ihr uns?
Nein. Wir setzen die IT-Seite um und begleiten dich, zertifiziert wird durch eine akkreditierte Zertifizierungsstelle.
Brauchen wir ISO 27001 für NIS2?
Nein, NIS2 schreibt kein Zertifikat vor. ISO 27001 ist aber ein bewährter Weg, die Anforderungen strukturiert zu erfüllen.
Wer ist für das ISMS verantwortlich?
Das ISMS verantwortet dein Unternehmen, meist mit einem Informationssicherheitsbeauftragten. Für die IT-Seite liefern wir umgesetzte Maßnahmen, technische Beschreibungen und Nachweise.
Wir haben schon einen IT-Dienstleister. Arbeitet ihr mit ihm zusammen?
Ja. Wir legen gemeinsam fest, wer welche Maßnahmen umsetzt und wer welche Nachweise liefert, damit im Audit nichts offenbleibt.
Wie geht es nach der Zertifizierung weiter?
Die Maßnahmen müssen im Alltag weiterlaufen, denn jedes Jahr steht ein Überwachungsaudit an. Wir halten die IT auf Stand und aktualisieren die Nachweise.
Fang mit der kostenfreien Potenzialanalyse an
Du schickst uns deine IT-Rechnungen und Verträge der letzten 12 Monate, wir zeigen dir, wo sich sparen lässt. Kostenfrei und ohne Verkaufsdruck.