Neunzig Tage sind knapp, aber sie reichen. Entscheidend ist nicht das Tempo einzelner Schritte, sondern ihre Reihenfolge. ISO-27001-Projekte scheitern selten an technischen Hürden. Sie scheitern daran, dass Dokumente entstehen, bevor die Risiken bewertet sind, dass das interne Audit vergessen wird oder dass die Managementbewertung erst zwei Tage vor dem externen Audit auffällt.
Dieser Leitfaden richtet sich an kleine und mittlere Unternehmen ohne bestehende Zertifizierung. Wer heute, Ende Oktober, beginnt, hat Ende Januar ein prüfbares Managementsystem. Jede Phase setzt auf der vorherigen auf; wer eine überspringt, produziert Lücken, die im Audit sichtbar werden.
„Die Unternehmen, die zügig durchkommen, sind nicht die mit der besten IT. Es sind die, die früh entschieden haben, was zum Geltungsbereich gehört – und was nicht.“ – Nadeesh Lötscher, Vertriebspartner Schweiz und ECA-Auditor ISO 9001/27001
Vorab: Der Geltungsbereich entscheidet über den Aufwand
Bevor Tag 1 beginnt, braucht es eine Entscheidung: Welche Standorte, Systeme und Informationen fallen unter das Managementsystem? Ein zu breit gefasster Geltungsbereich ist der teuerste Fehler am Anfang, weil er jede weitere Aufgabe vergrößert – jede Risikobewertung, jedes Dokument, jeden Audittag.
Die Grenze muss fachlich vertretbar sein, nicht bequem. Wer den Bereich schneidet, in dem die schützenswerten Kundendaten liegen, produziert ein Zertifikat, das der Kunde beim Lesen des Geltungsbereichs sofort ablehnt. Die Maßstäbe dazu stehen auf unserer Seite zu ISO 27001.
Phase 1, Tage 1 bis 30: Wissen, was Sie schützen
Die erste Phase beantwortet eine Frage: Was steht auf dem Spiel? Beginnen Sie mit einer Übersicht Ihrer Informationswerte. Welche Daten verarbeiten Sie, wo liegen sie, wer hat Zugriff? Die Übersicht muss mehr umfassen als Server: Cloud-Dienste, Notebooks und Mobilgeräte, externe Dienstleister, Papierunterlagen, Zugänge ausgeschiedener Mitarbeitender.
Darauf folgt die Risikobewertung. Sie ist der Kern jedes Managementsystems für Informationssicherheit – auch das BSI beschreibt mit seinem Standard 200-1 allgemeine Anforderungen an ein ISMS und setzt dabei auf eine strukturierte Vorgehensweise. ISO 27001 schreibt keine bestimmte Methode vor, verlangt aber ein systematisches und wiederholbares Vorgehen: Für jeden Wert oder jede Gruppe identifizieren Sie Bedrohungen, schätzen Eintrittswahrscheinlichkeit und Auswirkung ein und leiten den Handlungsbedarf ab. Wiederholbar heißt: Eine andere Person käme mit derselben Methode zu vergleichbaren Ergebnissen.
Zwei Praxishinweise. Erstens: Arbeiten Sie mit Gruppen statt mit Einzelgeräten, sonst ertrinkt ein kleines Unternehmen in Zeilen. Zweitens: Orientieren Sie sich bei den Bedrohungen an der realen Lage. Der Lagebericht des BSI zur IT-Sicherheit in Deutschland 2025 nennt für den Zeitraum vom 1. Juli 2024 bis 30. Juni 2025 durchschnittlich 119 neue Schwachstellen pro Tag, rund 24 Prozent mehr als im Vorjahreszeitraum, und weist rund 80 Prozent der angezeigten Angriffe kleinen und mittleren Unternehmen zu. Ungepatchte, aus dem Internet erreichbare Systeme gehören danach in jede KMU-Risikobewertung.
Am Ende von Phase 1 liegen vor: die Übersicht der Informationswerte, die dokumentierte Risikobewertung und ein Risikobehandlungsplan.
Phase 2, Tage 31 bis 60: Maßnahmen wählen und Regeln aufschreiben
Jetzt werden aus Risiken Maßnahmen. Der Anhang A von ISO 27001 enthält 93 Maßnahmen in vier Themenfeldern: organisatorisch, personenbezogen, physisch und technologisch. Sie müssen nicht alle umgesetzt werden – aber jede Maßnahme braucht eine begründete Entscheidung, auch die Entscheidung dagegen. Das Ergebnis ist die Erklärung zur Anwendbarkeit, das zentrale Dokument der Zertifizierung: Welche Maßnahme wird angewendet, welche nicht, und warum.
Parallel entstehen die weiteren geforderten Dokumente. Für ein KMU sind das im Kern:
- Informationssicherheitspolitik und Ziele
- Beschreibung des Geltungsbereichs
- Methode und Ergebnisse der Risikobewertung, Risikobehandlungsplan
- Erklärung zur Anwendbarkeit
- Regeln zu Zugängen, Datenträgern und Passwörtern
- Vorgehen bei Sicherheitsvorfällen, einschließlich Meldewegen
- Vorgaben zu Sicherung und Wiederherstellung
- Regeln für Lieferanten und Dienstleister
- Nachweise zu Schulung und Bewusstseinsbildung
Die wichtigste Regel dieser Phase: Qualität vor Menge. Ein knappes Dokument, das dem tatsächlichen Arbeitsalltag entspricht, ist im Audit belastbar. Zwanzig ausführliche Richtlinien, die niemand kennt, sind eine Einladung zur Abweichung – denn geprüft wird nicht der Text, sondern was im Betrieb geschieht.
Schulungen beginnen ebenfalls in dieser Phase und werden dokumentiert. Wer erst in Woche zwölf schult, kann keine Wirksamkeit nachweisen.
Phase 3, Tage 61 bis 90: Selbst prüfen, bevor andere prüfen
Die letzte Phase ist die, die am häufigsten unterschätzt wird. Sie besteht aus zwei Pflichtteilen.
Das interne Audit prüft, ob das Managementsystem die Anforderungen der Norm erfüllt und wirksam ist. Es muss unabhängig durchgeführt werden: Wer einen Bereich verantwortet, prüft ihn nicht selbst. In kleinen Organisationen ist das häufig nur mit einer externen Person lösbar, und das ist ausdrücklich zulässig. Genau diese Rolle übernehmen bei uns die Partner im Partnernetzwerk als interne Auditoren.
Die Managementbewertung ist die dokumentierte Beurteilung des Systems durch die Leitung, mit festgelegten Eingaben und Ergebnissen: Stand der Maßnahmen, Ergebnisse der Audits, Vorfälle, Rückmeldungen, Veränderungen im Umfeld, Ressourcenbedarf, Verbesserungsentscheidungen. Sie ist kein Formular, sondern der Punkt, an dem die Leitung sichtbar Verantwortung übernimmt – und Auditoren erkennen sehr schnell, ob dieser Termin stattgefunden hat oder nachträglich verschriftlicht wurde.
Beide Nachweise sind Voraussetzung für das externe Audit. Dieses läuft in zwei Stufen: In Stufe 1 werden Dokumentation und Zertifizierungsreife bewertet, in Stufe 2 wird die tatsächliche Umsetzung und Wirksamkeit geprüft. Wie dieser Ablauf bei uns aussieht, wer die Audits durchführt und nach welchen Regeln, beschreibt die Seite Unabhängig zertifiziert. Nach dem Zertifizierungsentscheid gilt das Zertifikat drei Jahre ab dem Auditdatum, mit Überwachung zwischen den Audits.
Die fünf Stolpersteine, die 90 Tage zu 180 machen
- Der Geltungsbereich wird während des Projekts noch einmal geändert. Dann beginnt die Risikobewertung von vorn.
- Dokumente werden geschrieben, bevor Risiken bewertet sind. Sie passen dann nicht zu den Maßnahmen und müssen überarbeitet werden.
- Das interne Audit wird als Formalie behandelt und findet zu spät statt. Gefundene Lücken lassen sich dann nicht mehr korrigieren.
- Die Leitung delegiert die Managementbewertung. Das fällt im Audit auf.
- Lieferanten und Dienstleister bleiben unbetrachtet, obwohl dort oft die relevanten Daten liegen.
Wo Werkzeuge helfen und wo nicht
Der Zeitgewinn in der Vorbereitung liegt im Ordnen und Zuordnen. In der Eucerta-Plattform laden Sie vorhandene Unterlagen hoch – auch als Export aus Notion, Confluence oder Google Docs –, die Zuordnung zu den Normkapiteln und offene Punkte werden sichtbar, Erinnerungen laufen automatisch. Was die Plattform nicht übernimmt, ist die inhaltliche Verantwortung: Welche Risiken Sie akzeptieren und welche Regeln in Ihrem Betrieb gelten, entscheiden Sie.
Wer ISO 27001 mit ISO 9001 verbindet, spart zusätzlich: Kontext, Führung, internes Auditprogramm und Managementbewertung fallen dann nur einmal an, wie auf der Seite zum integrierten Managementsystem beschrieben. Die zweite Norm kostet 149 statt 179 Euro im Monat; den Bündelpreis zeigt der Kostenrechner.
Fazit
Neunzig Tage sind machbar, wenn Sie in der richtigen Reihenfolge arbeiten: erst Geltungsbereich, dann Risiken, dann Maßnahmen und Dokumente, dann internes Audit und Managementbewertung. Wer stattdessen mit dem Schreiben von Richtlinien beginnt, arbeitet mehr und braucht länger.
Der ehrlichste Prüfstein für Ihre Vorbereitung ist einfach: Können Sie zu jeder Regel sagen, wer sie im Alltag anwendet und woran man das erkennt? Wenn ja, ist das Audit eine Bestätigung. Wenn nein, wissen Sie, wo die nächsten Tage hingehören.
Ihr nächster Schritt: Wenn Ihr ISMS bereits läuft und nur der Nachweis fehlt, prüfen Sie die Express-Zertifizierung – sonst rechnen Sie Ihren Weg im Kostenrechner durch.
Weiterführend:
