ISO 27001
Die Norm, nach der Ihre Kunden immer wieder fragen.
Beispieldaten
Kein Gesetz verpflichtet ein Softwareunternehmen zur Zertifizierung nach ISO 27001; die Vertragsverlängerung eines Kunden, eine Ausschreibung oder eine Bank unter DORA tut es, und die erste Zahl, die zählt, ist der Aufwand des Audits für ein Unternehmen Ihrer Größe.
Für 25 Personen umfasst das Zertifizierungsaudit 7 Auditorentage nach ISO/IEC 27006-1:2024 Anhang C: 8.400 € bis 14.000 € für das Erstaudit und 14.000 € bis 23.300 € für den Dreijahreszyklus, zu den Tagessätzen akkreditierter Stellen in Europa, nur Auditgebühren.
Kostenrechner mit dieser Personenzahl öffnenAuf einen Blick
Der dreijährige Zertifikatszyklus
- Audit Stufe 1
- Audit Stufe 27 Audittage, Stufe 1 und 2
- Zertifikat
- Überwachung, Jahr 1etwa 2,3 Audittage
- Überwachung, Jahr 2etwa 2,3 Audittage
- Rezertifizierung, Jahr 3
Audittage für 25 Personen im Geltungsbereich, ISO/IEC 27006-1:2024 Annex C; eine Überwachung ist etwa ein Drittel des Erstaudits.
- RechnerWas eine Zertifizierung wirklich kostetZertifizierungsstellen veröffentlichen keine Preise, aber die Audittage sind in ISO/IEC 27006 festgelegt. Sie können Ihre eigene Zahl ausrechnen.
- LeitfadenISO 27001 für ein Unternehmen mit 10 MitarbeiternDas geht in dieser Größe. Die Norm verlangt von 10 Personen dasselbe wie von einem größeren Unternehmen; das Audit ist kürzer.
- LeitfadenWas ISO-27001-Software enthält, und was Sie dem Auditor gesondert zahlenDer Softwarepreis kauft das Managementsystem. Das Zertifikat kommt von einer akkreditierten Zertifizierungsstelle, die Sie selbst beauftragen und bezahlen.
- LeitfadenISO-27001-Software ohne JahresvertragStandardOS wird monatlich abgerechnet. Es gibt keine Mindestlaufzeit und keine Kündigungsfrist, und Sie kündigen in der App.
- LeitfadenCompliance-Software ohne VertriebsgesprächDer Preis steht auf der Seite, der Test braucht keine Karte, und Sie kaufen und kündigen in der App. Niemand muss Sie anrufen.
- DokumentgeneratorDen Anwendungsbereich schreibenAbschnitt 4.3 aus zwölf Antworten: der Satz, den das Zertifikat tragen wird, die Grenzen, die Schnittstellen und Abhängigkeiten, die Ausschlüsse mit ihrer Begründung und die berücksichtigten Themen.
- DokumentgeneratorDie Informationssicherheitsrichtlinie schreibenAbschnitt 5.2 aus zehn Antworten: der Zweck, warum Sicherheit für dieses Unternehmen zählt, die Verpflichtungen, die Ziele, wer verantwortlich ist, die Themenrichtlinien darunter und wie sie kommuniziert und überprüft wird.
- DokumentgeneratorRisikoregister und Risikobehandlungsplan schreibenFünf Antworten wählen die Ausgangsrisiken, jedes bewertet und mit den Maßnahmen aus Anhang A behandelt; Register und Plan so geschrieben, wie der Auditor sie liest, und die Erklärung zur Anwendbarkeit folgt.
- DokumentgeneratorDas interne Auditprogramm schreibenAbschnitt 9.2 aus fünf Antworten: die Kriterien, wie viele Audits im Jahr und was jedes abdeckt, wer auditiert und wie die Unabhängigkeit gewahrt bleibt, die Methoden, der Jahresplan über die Abschnitte der Norm und die Themen von Anhang A, und wie Ergebnisse berichtet werden.
- DokumentgeneratorDas Protokoll der Managementbewertung schreibenAbschnitt 9.3 als Tagesordnung: die sieben Eingaben in der Reihenfolge des Abschnitts mit dem, was zu jeder gesagt wurde, die vier Leistungstrends mit ihren Zahlen, die Entscheidungen, die Maßnahmen mit Verantwortlichem und Datum, und das Protokoll, das ein Auditor liest.
- DokumentgeneratorEine Korrekturmaßnahmen-Aufzeichnung schreibenAbschnitt 10.2 für eine Feststellung: die Nichtkonformität, die Korrektur und ihre Folgen, die Ursache, ob sie anderswo besteht, die Maßnahme mit Verantwortlichem und Termin, die Wirksamkeitsprüfung und die Änderung am System, als die Aufzeichnung, die ein Auditor liest.
- DokumentgeneratorDen Vorfallsreaktionsplan schreibenDie Controls aus Anhang A zu Vorfällen aus wenigen Antworten: wer führt, wie ein Ereignis gemeldet wird, die drei Schweregrade, die Reaktionsschritte, die geltenden Fristen nach DSGVO, NIS2 und CRA, die aufzubewahrenden Belege, die Nachbesprechung, die Übungen.
- DokumentgeneratorDie Nutzungsrichtlinie schreibenDie Regeln, die jede Person unterschreibt, aus wenigen Antworten: Konten und Passwörter, Geräte und private Geräte, Fernarbeit, Umgang mit Informationen, freigegebene Dienste und KI-Werkzeuge, Kommunikation, private Nutzung, Überwachung, Meldung, Austritt, Verstöße, Bestätigung.
- DokumentgeneratorDie Zugangsrichtlinie schreibenWer Zugang wozu bekommt und wie er gewährt, geschützt, überprüft und entzogen wird, aus wenigen Antworten: eine Identität je Person, Multi-Faktor-Authentifizierung, Rollen, privilegierte Konten, Dritte, die Zugangsüberprüfung, Austritte, Protokollierung, Ausnahmen.
- DokumentgeneratorDie Lieferantenrichtlinie schreibenWie das Unternehmen seine Lieferanten und Cloud-Dienste auswählt, vertraglich bindet, beobachtet und verlässt, aus wenigen Antworten: die kritischen Lieferanten, was vor der Unterschrift geprüft wird, die sechs Vertragsklauseln, wo Daten liegen dürfen, die Überprüfung, der Ausstieg.
- DokumentgeneratorDen Notfallplan schreibenWas das Unternehmen tut, wenn das Produkt, die Daten, das Büro oder ein Lieferant ausfällt, aus wenigen Antworten: die abgedeckten Dienste, die Stunden bis zur Wiederherstellung, der tolerierte Datenverlust, wer eine Störung ausruft, wie die Sicherheit dabei hält, die Wiederherstellung, die Übung.
- DokumentgeneratorDie Erklärung zur Anwendbarkeit schreibenDie 93 Maßnahmen aus Anhang A mit je einem Status, eine Begründung für jeden Ausschluss, und die Erklärung so geschrieben, wie der Auditor sie liest, zum Kopieren oder Herunterladen.
- LeitfadenAlle 93 Controls aus Anhang AEine verständliche Zeile je Control, gruppiert nach den vier Themen der Ausgabe 2022.
- LeitfadenWas wir abdecken, Kapitel für KapitelJedes Kapitel von 4 bis 10, wo die zugehörigen Nachweise im Produkt liegen, und wo die Grenzen jeder Software liegen.
- ArtikelWie viele Audittage, nach PersonenzahlDie Rechnung aus ISO/IEC 27006-1:2024 Anhang C, die die Auditgebühr festlegt, bevor Ihnen jemand ein Angebot macht.
- ArtikelISO 27001 oder SOC 2 in Europa3.405 EU-Ausschreibungen nennen ISO 27001, 104 nennen SOC 2. Die Abfrage ist öffentlich; führen Sie sie selbst aus.
- ArtikelWo öffentliche Auftraggeber ISO 27001 nennen, nach LandÖffentliche Auftraggeber in Deutschland nannten ISO 27001 im letzten Jahr in 1.539 Ausschreibungen, 0,93 % von allem, was sie veröffentlicht haben. Deutschland und Polen stellen sieben von zehn Nennungen in Europa.
- ArtikelDer Geltungsbereich, die Zeile, die ein Käufer zuerst liestWarum ein Zertifikat, das den Hauptsitz nennt, ein SaaS-Produkt nicht abdeckt, was Abschnitt 4.3 verlangt, die acht Bedingungen, die ein Finanzkunde unter DORA anlegt, und drei Geltungsbereiche für ein Softwareunternehmen, die bestehen.
- ArtikelDie Erklärung zur Anwendbarkeit, gelesen für ein SoftwareunternehmenDie vier Spalten von Abschnitt 6.1.3 d), die Ausschlüsse, die ein Auditor akzeptiert, und die, die er nie akzeptiert, und wie die Erklärung dem Risikobehandlungsplan folgt.
- ArtikelDie Risikobeurteilung, gelesen für ein SoftwareunternehmenWas Abschnitt 6.1.2 verlangt, eine fünfstufige Methode mit Akzeptanzschwelle, die Ausgangsrisiken eines Softwareunternehmens und warum der Behandlungsplan vor der Erklärung kommt.
- ArtikelDie Informationssicherheitsrichtlinie, gelesen für ein SoftwareunternehmenWas Abschnitt 5.2 verlangt und was nicht, die neun Abschnitte einer zweiseitigen Richtlinie, Ziele, die ein Auditor messen kann, und die Fehler, die das erste Audit anmerkt.
- ArtikelDie Managementbewertung, gelesen als TagesordnungDie sieben Eingaben von Abschnitt 9.3 der Reihe nach, die vier Trends mit Zahlen, die zwei Ergebnisse, was das Protokoll zeigen muss, und die Fehler, die eine Sitzung in eine Feststellung verwandeln.
- ArtikelDie Korrekturmaßnahmen-Aufzeichnung, als Abfolge gelesenWas Abschnitt 10.2 nach einer Nichtkonformität verlangt, die sieben Abschnitte einer Aufzeichnung, die ein Auditor anerkennt, warum Korrektur nicht Korrekturmaßnahme ist, und die Fehler, die eine geschlossene Feststellung wieder öffnen.
- ArtikelISO/IEC 27701:2025, die Datenschutznorm auf 27001Die eigenständige Ausgabe Zeile für Zeile gelesen: die 70 Anforderungen, die ein laufendes ISO 27001-System halb abdeckt, die 33 reinen Datenschutzanforderungen und die DSGVO-Artikel, die jede Maßnahme belegt.
- Kostenlose PrüfungDORA für einen Softwareanbieter: die Vertragsklauseln, die Ihr Bankkunde schicktNeun Klauseln in jedem IKT-Dienstleistungsvertrag und sechs weitere für eine kritische oder wichtige Funktion, aus Artikel 30 gelesen; das Informationsregister, in dem Sie stehen; und für welche Klauseln ein ISO-27001-System bereits die Nachweise erzeugt.
Jede kostenlose Vorlage auf einer Seite
Was es kostet, und wie Sie dorthin kommen
- ArtikelISO 27001 Zertifizierungskosten für ein Unternehmen, nach PersonenzahlDie Audittage stammen aus der Tabelle in ISO/IEC 27006-1:2024 Anhang C, deshalb folgen die Zertifizierungskosten eher der Personenzahl als der Branche.
- ArtikelISO 27001 Implementierungskosten: die Dreijahreszahl, nicht die erste RechnungDie Zertifizierung läuft in einem Dreijahreszyklus mit jährlichen Überwachungsaudits.
- ArtikelGünstigste ISO 27001 Zertifizierung: wie Sie Angebote vergleichen, ohne ein wertloses Zertifikat zu kaufenAngebote von Zertifizierungsstellen schwanken, aber die Audittage dahinter sind durch ISO/IEC 27006-1:2024 Anhang C festgelegt.
- ArtikelDer günstigste Weg zu ISO 27001, und der Teil, den Sie nicht günstiger machen könnenDer größte Teil eines ISO-27001-Budgets sind Audittage, und die legt eine veröffentlichte Tabelle fest, keine Verhandlung.
- ArtikelISO 27001 Checkliste, nach AbschnittenEine Checkliste, die der Struktur der Norm selbst folgt: die Abschnitte 4 bis 10 und was jeder von Ihnen nachweisbar verlangt, plus das, was Anhang A hinzufügt.
- ArtikelBeste ISO 27001 Compliance-Software: was Sie fragen sollten, bevor Sie Funktionen vergleichenIntegrationszahlen lassen sich leicht vergleichen und entscheiden selten ein Audit.
- ArtikelISO 27001 ohne Berater: was Sie übernehmen, in der Reihenfolge, in der Sie es übernehmenUnternehmen zertifizieren sich jedes Jahr ohne Berater.
- ArtikelWie ein Unternehmen die ISO 27001 Zertifizierung erreicht, in der Reihenfolge, in der es tatsächlich passiertDer Weg von nichts zum Zertifikat, was bei Stufe 1 und Stufe 2 geschieht, und die Aufzeichnungen, nach denen ein Auditor an jedem Punkt fragt.
- ArtikelWie Sie einen Sicherheitsfragebogen aus Ihrem ISO 27001 ISMS beantworten: 30 Fragethemen, zugeordnet zu den Controls in Anhang A, die sie beantwortenFast jeder Sicherheitsfragebogen, den ein europäisches Unternehmen erhält, fragt nach denselben 30 Themen.
Das ISO-27001-System und seine Nachweise, an einem Ort
Anhang A als Erklärung zur Anwendbarkeit, mit den Richtlinien, Risiken und Audits, die sie belegen, in einem Arbeitsbereich.
Oder mit Ihnen gemeinsam erledigt: ISO-27001-Gap-Analyse, 1.200 €, 10 Arbeitstage
Was es von Ihnen verlangt
93 Maßnahmen in 4 Themen
Organisatorisch
37- A.5.1 Schriftliche Sicherheitsrichtlinien, genehmigt und aktuell
- A.5.2 Wer wofür in der Sicherheit verantwortlich ist
- A.5.3 Heikle Aufgaben auf mehrere Personen aufteilen
und 34 weitere
Personenbezogen
8- A.6.1 Überprüfung vor der Einstellung
- A.6.2 Sicherheitspflichten im Arbeitsvertrag
- A.6.3 Menschen für sicheres Arbeiten schulen
und 5 weitere
Physisch
14- A.7.1 Die geschützte physische Grenze festlegen
- A.7.2 Steuern, wer durch die Tür kommt
- A.7.3 Die Räume selbst absichern
und 11 weitere
Technologisch
34- A.8.1 Laptops, Telefone und Arbeitsplatzrechner absichern
- A.8.2 Administrative Zugriffe einschränken
- A.8.3 Begrenzen, was jede Person öffnen kann
und 31 weitere
Siehe auch:So finden Sie eine akkreditierte ZertifizierungsstelleWas Compliance-Software kostetFür Berater: jeder Mandant in einem KontoArtikelKostenlose Werkzeuge