Braucht ein kleines Unternehmen ISO 27001?

ISO 27001 ist die weltweit am weitesten anerkannte Sicherheitszertifizierung, und kleinen Unternehmen wird oft gesagt, dass sie diese brauchen. Das Beschaffungsformular eines großen Kunden fragt danach; eine Ausschreibung verlangt sie; ein Berater empfiehlt sie. Die ehrliche Antwort auf die Frage „Brauchen wir sie?“ lautet: Es hängt davon ab, wer fragt, und es ist nie alles oder nichts.

Wann es sich lohnt

• Kunden oder Ausschreibungen verlangen sie. Wenn Käufer aus dem Unternehmens- oder öffentlichen Sektor ausdrücklich eine ISO-27001-Zertifizierung fordern, erspart ein Zertifikat bei jedem Geschäft einen Fragebogen und kann entscheidend sein.
• Sie verkaufen international. Außerhalb der USA ist ISO 27001 die gängige Währung für die Sicherheit von Lieferanten.
• Sie wollen ein Programm, kein Projekt. Das Managementsystem (Risikobewertung, Ziele, interne Audits, Managementbewertung) schafft Gewohnheiten, die jede einzelne Prüfung überdauern.

Wann zuerst etwas anderes kommt

• US-Kunden fragen nach SOC 2. Dann ist der SOC-2-Bericht das eigentliche Ergebnis; siehe welches Framework man zuerst angehen sollte.
• Noch fragt niemand danach. Eine solide technische Baseline, etwa die Implementation Group 1 der CIS Controls oder ein staatliches Baseline-Schema, bringt pro Stunde mehr Sicherheit als ein Managementsystem, das Sie nicht zertifizieren müssen.
• Sie sind vor dem Produktstart. Bauen Sie den gemeinsamen Kern auf, den jedes Framework verlangt (Asset-Inventar, Patching, MFA, Backups und Incident Response), und zertifizieren Sie, wenn das Geschäft es braucht.

Verhältnismäßig bleiben

ISO 27001 verlangt keinen Papierkram in der Größenordnung eines großen Unternehmens. Ein Unternehmen mit zehn Beschäftigten kann sich zertifizieren lassen mit:

• einem engen Scope (dem Produkt und den Menschen, die es entwickeln und betreiben);
• kurzen Richtlinien, die beschreiben, was Sie tatsächlich tun;
• einer realistischen Risikobewertung mit vielleicht einigen Dutzend Risiken, jeweils mit Verantwortlichen;
• einer Erklärung zur Anwendbarkeit mit ehrlichen Ausschlüssen (siehe wie man sie schreibt);
• internen Audits durch eine unabhängige Person, was bei einem kleinen Unternehmen oft eine externe Teilzeitkraft bedeutet.

Der Großteil der Überlastung, unter der kleine Unternehmen leiden, entsteht durch die Übernahme von Vorlagen, die für Großunternehmen gedacht sind.

Was es ein kleines Unternehmen tatsächlich kostet

Die Gebühr für das externe Audit ist meist der kleinere Teil. Die eigentlichen Kosten sind Zeit: Jemand muss das Programm verantworten, und bei einem kleinen Unternehmen ist das oft ein Gründer oder eine Engineering-Leitung, die sechs Monate oder länger jede Woche einen Teil der Arbeit darauf verwendet und danach einige Tage pro Monat, um es am Laufen zu halten. Hinzu kommen eventuell Werkzeuge und ein externer interner Auditor, falls niemand Unabhängiges im Haus ist.

Der Nutzen entsteht durch Geschäfte. Wenn ein Unternehmenskunde pro Jahr das Zertifikat verlangt, amortisiert es sich meist; wenn keiner es verlangt, bringt dieselbe Zeit für technische Maßnahmen mehr Sicherheit. Deshalb sollte die Entscheidung bei der Frage beginnen, wer fragt. Einen Eindruck davon, wie viel von anderen Frameworks ein ISO-Programm abdeckt, bietet unsere Ausgangsanalyse, und für die Sicht Anforderung für Anforderung die Seite zum ISO-27001-Framework.

Die wichtigsten Punkte

• ISO 27001 holen, wenn Kunden oder Ausschreibungen sie verlangen; andernfalls zuerst die Sicherheit aufbauen.
• ISMS auf das Unternehmen zuschneiden: enger Scope, kurze Richtlinien, eine realistische Risikobewertung.
• Die meisten Probleme kleiner Unternehmen entstehen durch Vorlagen für Großunternehmen, nicht durch den Standard selbst.

Das Fazit

Wenn Kunden das Zertifikat verlangen, holen Sie es und passen Sie es an Ihr Unternehmen an. Wenn nicht, bauen Sie zuerst die Sicherheit auf und das Zertifikat, sobald es sich lohnt. In jedem Fall bleibt die Arbeit erhalten: ISO 27001 ist auf die meisten Frameworks abbildbar, denen kleine Unternehmen als Nächstes begegnen.

Richtung	Zugeordnet	Lose verwandt	Keine Zuordnung
Haben ISO 27001 → benötigen SOC 2	41 von 61 (67%)	0	20	Bericht →
Haben SOC 2 → benötigen ISO 27001	98 von 123 (80%)	21	4	Bericht →

Der ISO-27001-Leitfaden erklärt die Zertifizierung Schritt für Schritt.

Fragen

Ist ISO 27001 zu viel für ein Startup?

Nicht unbedingt, wenn es auf das Unternehmen zugeschnitten ist: ein kleiner Scope, kurze Richtlinien und eine Risikobewertung, die die tatsächlichen Risiken abbildet. Es wird zu viel, wenn Vorlagen für Großunternehmen unverändert übernommen werden.

Was sollte ein kleines Unternehmen zuerst tun, wenn kein Kunde nach ISO 27001 fragt?

Eine solide technische Baseline (etwa die CIS Controls IG1) und den gemeinsamen Kern umsetzen, den jedes Framework verlangt: Asset-Inventar, Patching, MFA, Backups und Incident Response.

Kann ein kleines Unternehmen die ISO-27001-Zertifizierung ohne Berater bestehen?

Ja. Der Standard ist kurz, und viele kleine Unternehmen lassen sich mit eigenem Aufwand und einem unabhängigen internen Auditor zertifizieren. Berater können den Prozess beschleunigen, aber das ISMS muss in jedem Fall Ihres sein.