Der Nachweis, den Ihre Kunden vor dem Vertrag verlangen

Anhang A wurde von 114 auf 93 Massnahmen umstrukturiert, in vier statt vierzehn Themen gegliedert und um elf neue Massnahmen ergänzt — unter anderem Threat Intelligence, Cloud-Sicherheit, Data Leakage Prevention und sichere Programmierung. Wer nach der alten Fassung aufgebaut hat, braucht ein Mapping, keinen Neustart.

Das zentrale Dokument der Norm: eine Liste aller Anhang-A-Massnahmen mit Ihrer Entscheidung, ob sie anwendbar ist, wie sie umgesetzt wird und warum sie gegebenenfalls ausgeschlossen ist. Auditoren beginnen fast immer hier.

NIS2 ist Gesetz, ISO 27001 ist eine Norm. Ein zertifiziertes ISMS erfüllt NIS2 nicht automatisch, deckt aber einen erheblichen Teil der geforderten Risikomanagementmassnahmen ab und liefert die Nachweisstruktur, die Aufsichtsbehörden erwarten.

In der Regel verkürzt es ihn massiv. Viele Einkaufsprozesse akzeptieren Zertifikat plus Erklärung zur Anwendbarkeit statt eines Fragenkatalogs mit dreistelliger Fragenzahl.

Ab 179 € im Monat, inklusive Vorbereitung, Audit, Zertifikat und Überwachungsaudits. Klassisch liegen die Gesamtkosten für ein KMU im ersten Zyklus meist deutlich höher, weil Beratung, Zertifizierungsstelle und interner Aufwand getrennt anfallen. Der Kostenrechner zeigt die Differenz für Ihre Grösse.

Beim Neuaufbau realistisch sechs bis acht Wochen; bei laufendem ISMS deutlich weniger, im Wechselfall bis hinunter zu 48 Stunden, wenn Risikobewertung und Massnahmen gelebt werden. Der Engpass ist fast immer die Risikobewertung, nicht das Audit.

Nein. Sie müssen für jede Massnahme begründet entscheiden, ob sie anwendbar ist. Der Ausschluss muss nachvollziehbar sein — das ist der Zweck der Erklärung zur Anwendbarkeit.

Ein Mapping auf die Struktur von 2022, Bewertung der elf neuen Massnahmen und Anpassung der Erklärung zur Anwendbarkeit. Kein Neuaufbau. Laden Sie einfach Ihre vorhandenen Dokumente auf unsere Plattform und überarbeiten Sie die KI Vorschläge.

Nein. NIS2 ist Gesetz und geht in Teilen darüber hinaus, unter anderem bei Meldepflichten und der persönlichen Verantwortung der Leitung. Ein ISMS deckt aber einen grossen Teil der geforderten Massnahmen ab und liefert die Nachweisstruktur.

Ja. Entscheidend ist, dass Sie Ihre Anbieter steuern und die Verantwortungsteilung dokumentiert ist.

Wir zertifizieren auch Organisationen mit unter zehn Mitarbeitenden. Der Aufwand skaliert mit Komplexität, nicht nur mit Kopfzahl.

Das ist kein Ausschlusskriterium. Geprüft wird, ob Sie ihn erkannt, behandelt und daraus gelernt haben. Genau dafür ist das System da. Hier gilt es die kontinuierliche Verbesserung sichtbar zu machen.

Ihr Zertifikat stellt die Länderorganisation aus, die für Ihren Markt zuständig ist; welchen Status sie hat, sehen Sie vor Vertragsschluss. Für ISO/IEC 27001 ist eine Akkreditierung nur in einzelnen, gesetzlich geregelten Sektoren vorgeschrieben — betrifft Sie das, sagen wir es Ihnen im Erstgespräch. Im Regelfall gilt: Geprüft wird dieselbe Norm nach demselben Massstab, und öffentliche Auftraggeber müssen gleichwertige Nachweise zulassen. Alles dazu auf Unabhängig zertifiziert.

Nur, wenn Ihr ISMS bereits läuft: Risikobewertung, Erklärung zur Anwendbarkeit und die gewählten Anhang-A-Massnahmen müssen vorliegen und gelebt sein. Beim Wechsel von einer anderen Zertifizierungsstelle ist das häufig der Fall, beim Neuaufbau fast nie. Wir sagen es Ihnen im Express-Check, bevor Sie buchen.

Das ist der eigentliche Punkt. Ihr ISMS lebt in der Plattform: Erklärung zur Anwendbarkeit, Risiken, Massnahmen und Vorfälle werden dort gepflegt, unsere KI zeigt Abweichungen und erinnert an Überprüfungszyklen. Ein ISMS, das zwischen zwei Audits einschläft, hält keinem Kundenaudit stand.

Plattform und KI decken den Regelfall ab. Wo Sie mehr brauchen — etwa für die Risikomethodik oder ein unabhängiges internes Audit — vermitteln wir unabhängige Beratung aus unserem Partnernetzwerk. Wer Sie beraten hat, auditiert Sie bei uns nicht.