Leitfaden · ISO/IEC 27001:2022

So erlangen Sie die ISO-27001-Zertifizierung

Nach Paul Gillet · Aktualisiert 2026-10-17

ISO/IEC 27001 ist die internationale Norm für ein Informationssicherheits-Managementsystem (ISMS): die Art und Weise, wie eine Organisation festlegt, welche Sicherheitsrisiken relevant sind, diese behandelt und sich kontinuierlich verbessert. Anders als SOC 2 endet sie mit einem Zertifikat, das von einer akkreditierten Zertifizierungsstelle ausgestellt wird, drei Jahre gültig ist und dazwischen durch Überwachungsaudits begleitet wird.

Was die Norm verlangt

Abschnitte 4–10 sind verpflichtend: Kontext und Anwendungsbereich (4), Führung und Richtlinie (5), Risikobewertung, Risikobehandlung und Ziele (6), Ressourcen, Kompetenz, Sensibilisierung, Kommunikation und dokumentierte Informationen (7), Umsetzung des Plans (8), Überwachung, internes Audit und Managementbewertung (9) sowie Korrekturmaßnahmen und Verbesserung (10).
Anhang A enthält 93 Maßnahmen in vier Themenbereichen: organisatorisch, personenbezogen, physisch und technologisch. Sie sind eine Referenzsammlung, keine Checkliste: Maßnahmen wählen Sie über die Risikobehandlung aus und begründen jede Aufnahme und jeden Ausschluss in der Erklärung zur Anwendbarkeit (SoA).

Die aktuelle Fassung ist ISO/IEC 27001:2022 (mit einer Änderung von 2024, die den Klimawandel in die Kontextabschnitte aufnimmt). Die Übergangsfrist von der Fassung 2013 endete am 31. Oktober 2025, daher basiert heute jedes gültige Zertifikat auf der Fassung 2022.

Die Schritte

Anwendungsbereich festlegen (4.3): welche Teile der Organisation, welche Standorte und welche Dienste. Kunden lesen den Anwendungsbereich auf Ihrem Zertifikat, achten Sie daher darauf, dass er alles abdeckt, was sie beziehen.
Verpflichtung der Leitung sicherstellen (5): eine Informationssicherheitsrichtlinie, zugewiesene Rollen und Verantwortlichkeiten sowie Ressourcen.
Risikobewertungsmethode festlegen und durchführen (6.1.2): Risiken für Vertraulichkeit, Integrität und Verfügbarkeit identifizieren, mit Risikoeigentümern, Eintrittswahrscheinlichkeit und Auswirkung.
Risiken behandeln (6.1.3): Maßnahmen auswählen, mit Anhang A abgleichen und die SoA sowie einen von den Risikoeigentümern genehmigten Risikobehandlungsplan erstellen.
Messbare Sicherheitsziele festlegen (6.2) und planen, wie Sie diese erreichen.
Umsetzen und betreiben (7–8): Richtlinien, Verfahren, Schulungen und Sensibilisierung, Maßnahmen sowie die dokumentierten Nachweise, dass diese wirksam sind.
Messen und überprüfen (9): das ISMS überwachen, ein internes Audit durch eine von der geprüften Tätigkeit unabhängige Person durchführen und eine Managementbewertung abhalten.
Feststellungen beheben (10): Nichtkonformitäten und Korrekturmaßnahmen erfassen.
Stage-1-Audit: Die Zertifizierungsstelle prüft Ihre Dokumentation und Ihre Bereitschaft.
Stage-2-Audit: Die Zertifizierungsstelle prüft, ob das ISMS in der Praxis funktioniert. Hauptabweichungen (Major Nonconformities) müssen vor Ausstellung des Zertifikats geschlossen sein.

Auswahl einer Zertifizierungsstelle

Wählen Sie eine Stelle, die von einer nationalen Akkreditierungsstelle, die dem International Accreditation Forum angehört, für ISO/IEC 27001 akkreditiert ist (zum Beispiel UKAS, ANAB, DAkkS oder JAS-ANZ), und prüfen Sie, ob ihre Akkreditierung Ihren Anwendungsbereich abdeckt. Zertifikate nicht akkreditierter Stellen sind zwar günstiger, werden von Kunden jedoch häufig nicht anerkannt.

Typischer Zeitplan

Viele kleine und mittelständische Organisationen benötigen von Projektbeginn bis zum Zertifikat sechs bis zwölf Monate. Das ISMS muss lange genug laufen, um vor dem Stage-2-Audit aussagekräftige Nachweise zu erzeugen: mindestens ein internes Audit, eine Managementbewertung und Belege dafür, dass die Maßnahmen wirksam sind. Nach der Zertifizierung sind Überwachungsaudits in den Jahren eins und zwei sowie ein Re-Zertifizierungsaudit im dritten Jahr zu erwarten.

Nachweise, auf die Auditoren achten

der Anwendungsbereich, die Sicherheitsrichtlinie und die Ziele, mit Messwerten;
die Risikobewertungsmethode, das Risikoregister und der Risikobehandlungsplan;
die Erklärung zur Anwendbarkeit mit Begründungen;
Nachweise über Kompetenz und Schulungen;
Berichte der internen Audits und Protokolle der Managementbewertung;
Protokolle zu Nichtkonformitäten und Korrekturmaßnahmen;
Betriebsnachweise für die ausgewählten Maßnahmen: Zugriffsprüfungen, Änderungsprotokolle, Lieferantenbewertungen, Vorfallprotokolle, Backups.

Stolpersteine

Standardisierte Risikobewertungen aus Vorlagen: Auditoren fragen, wie Ihre Risiken identifiziert wurden und warum jede Maßnahme gewählt wurde. Eine generische Liste ohne Risikoeigentümer besteht diese Prüfung nicht.
Unbegründete Ausschlüsse in der SoA: Der Ausschluss einer Maßnahme erfordert eine Begründung, die mit Ihren Risiken oder Ihrem Anwendungsbereich zusammenhängt.
Fehlende Unabhängigkeit des internen Audits: Die Person, die das ISMS aufgebaut hat, sollte ihre eigene Arbeit nicht prüfen.
Ein zu enger Anwendungsbereich: Ein Zertifikat, das nur ein Büro abdeckt, genügt nicht einem Kunden, der Ihren Cloud-Dienst bezieht.

Wie diese Seite hilft

ControlMapping listet jede Maßnahme aus Anhang A und jeden ISMS-Abschnitt mit ihren Entsprechungen in zehn weiteren Frameworks auf. Die Verknüpfungen von Anhang A mit NIST CSF 2.0 und SP 800-53 stammen aus veröffentlichten Crosswalks; der Maßnahmentext unterliegt dem Urheberrecht der ISO, daher zeigen wir nur die Titel. Wenn Sie bereits SOC 2, NIST oder NIS2 umsetzen, zeigen die untenstehende Tabelle und die Lückenanalyse, was sich übertragen lässt. Das Managementsystem nach den Abschnitten 4–10 ist meist die größte neue Aufgabe.

Bereits ein anderes Framework im Einsatz?

Wie viele ISO 27001-Anforderungen jedes Framework, das Sie möglicherweise bereits erfüllen, abdeckt. Öffnen Sie einen Lückenbericht für die Liste Anforderung für Anforderung.

Wie viel von ISO 27001 andere Frameworks abdecken
Wenn Sie bereits haben:	ISO 27001 Anforderungen zugeordnet	Nur lose verwandt	Keine Zuordnung
800-53	121 von 123	1	1	Lückenbericht → · Vergleich
NIS2	104 von 123	13	6	Lückenbericht → · Vergleich
SOC 2	98 von 123	21	4	Lückenbericht → · Vergleich
NIST CSF 2.0	79 von 123	34	10	Lückenbericht → · Vergleich
PCI DSS	76 von 123	37	10	Lückenbericht → · Vergleich
DORA	70 von 123	36	17	Lückenbericht →
CMMC	65 von 123	41	17	Lückenbericht →
HIPAA	58 von 123	46	19	Lückenbericht → · Vergleich
CIS v8.1	53 von 123	38	32	Lückenbericht → · Vergleich
GDPR	47 von 123	47	29	Lückenbericht → · Vergleich
CPS 234	35 von 123	40	48	Lückenbericht →
Essential Eight	23 von 123	39	61	Lückenbericht → · Vergleich
Cyber Essentials	20 von 123	19	84	Lückenbericht →

Crosswalk eine veröffentlichte Crosswalk (NIST, ENISA, CIS, PCI SSC) stellt die Verbindung her · Redaktionell Einschätzung von ControlMapping, wo kein Crosswalk existiert; die Begründung wird angezeigt · Lose verwandt teilt nur ein CSF-2.0-Ergebnis: einer Prüfung wert, aber keine Zuordnung · Keine Zuordnung in unseren Daten In unseren Daten nichts zugeordnet; oft neue Arbeit, aber prüfen Sie die Hinweise zur Abdeckung. Die Zählungen stammen aus denselben Daten wie Lückenanalyse. Eine Zuordnung bedeutet verwandte Anforderungen, nicht den Nachweis, dass eine die andere erfüllt.

Fragen

Wie lange ist ein ISO-27001-Zertifikat gültig?

Drei Jahre, vorausgesetzt, die jährlichen Überwachungsaudits werden bestanden. Vor Ablauf ist ein Re-Zertifizierungsaudit fällig.

Müssen wir alle 93 Maßnahmen aus Anhang A umsetzen?

Nein. Maßnahmen wählen Sie über die Risikobehandlung aus und begründen jede Aufnahme und jeden Ausschluss in der Erklärung zur Anwendbarkeit.

Ist ISO 27001 oder SOC 2 besser?

Keines ist grundsätzlich besser; Kunden fragen nach unterschiedlichen Dingen. ISO 27001 ist eine international anerkannte Zertifizierung; SOC 2 ist ein Prüfbericht nach US-amerikanischem Muster. Siehe ISO 27001 vs SOC 2.

Lückenanalyse → ISO 27001 Alle Anforderungen von ISO 27001

Keine Rechts- oder Compliance-Beratung. Prüfen Sie vor einer Verwendung den amtlichen Wortlaut und sprechen Sie mit Ihrem Auditor, Prüfer oder Ihrer Aufsichtsbehörde.