ISO 27001 kompakt erklärt
ISO 27001 kompakt erklärt
ISO 27001 schafft einen international anerkannten Rahmen für Informationssicherheit. Wir helfen, Scope, Risiken, Controls und Nachweise so aufzubauen, dass Zertifizierung und Alltag zusammenpassen.
ISO-27001-Lead-Auditoren · 40+ KMU-Mandate · TISAX® & NIS2-Erfahrung · seit 2018
ISO 27001 in 3 Punkten
Geschäftsdruck klären
Kunden, Ausschreibungen, Regulierung und Risiken bestimmen, ob ein Zertifikat sinnvoll ist.
ISMS strukturiert aufbauen
Rollen, Risikologik, Controls und Nachweise nachvollziehbar dokumentieren.
Zertifizierung vorbereiten
Stage 1/2, interne Audits und Management-Review in eine realistische Roadmap bringen.
Scope · Risiko · SoA · Controls · Nachweise
Kundenanforderungen, Regulatorik, Cyberrisiken — Sicherheit gehört auf die GL-Agenda.
Kunden und Ausschreibungen
Regulatorische Rahmenbedingungen
Cyberrisiken
Ist ISO 27001 für Sie sinnvoll?
1
Kunden- oder Konzern-Druck
2
Schützenswerte Daten
3
Steuerbar statt reaktiv
Schon eine Frage mit „Ja" genügt: Dann lohnt sich ein genauerer Blick auf ISO 27001.
Der internationale Standard für Informationssicherheit.
Weltweit anerkannt
Management-System
Zertifizierbar
Aktuelle VERSION : ISO 27001:2022 i— sie ersetzt ISO 27001:2013 seit Oktober 2022 mit konsolidierten 93 Sicherheits-Massnahmen in 4 Themenbereichen.
Vertrauen, Compliance, Risikokontrolle — drei greifbare Vorteile.
Vertrauen schaffen
Pflichten erfüllen
Risiken kontrollieren
Acht zentrale Anforderungen — verdichtet.
Top-Management-Verantwortung
GL definiert Leitlinie, stellt Ressourcen, überprüft regelmässig (Kap. 5).
Risikomanagement
Systematisch erfassen, was schützenswert ist und welche Massnahmen Priorität haben (Kap. 6.1).
Schutz-Massnahmen
Zugriff, MFA, Verschlüsselung, Backup, Logging, Netzwerkschutz (Anhang A.8).
Incident-Management
Strukturierter Ablauf: erkennen, bewerten, bewältigen, auswerten (A.5.24–5.28).
Lieferketten-Kontrolle
IT-Dienstleister und kritische Lieferanten vertraglich absichern (A.5.19–5.23).
Business Continuity
Notfallpläne und Wiederanlaufverfahren — getestet und wirksam (A.5.29, A.5.30).
Awareness und Schulungen
Mitarbeitende regelmässig zu Cyberrisiken und Phishing schulen (A.6.3).
Kontinuierliche Verbesserung
Dokumentieren, messen, schrittweise verbessern (Kap. 7, 9, 10).
RAHMEN : Norm-Klauseln (Kap. 4–10) und 93 Sicherheits-Massnahmen im Anhang A — risikobasiert ausgewählt, nachvollziehbar dokumentiert.
Zwei Säulen — Management-System und Anhang A.
Management-System
- Kap. 4 · Kontext der Organisation
- Kap. 5 · Führung und Top-Management
- Kap. 6 · Planung und Risikomanagement
- Kap. 7 · Unterstützung (Ressourcen, Awareness)
- Kap. 8 · Betrieb
- Kap. 9 · Bewertung (Audits, Reviews)
- Kap. 10 · Verbesserung
Anhang A · 93 Controls
- A.5 · Organizational · 37 Controls
- A.6 · People · 8 Controls
- A.7 · Physical · 14 Controls
- A.8 · Technological · 34 Controls
VERBINDUNG
Anhang A im Detail — vier Themenbereiche.
Organizational
People
Physical
Technological
SCOPE
ISO 27001 in fünf Phasen — typisch ca. 6 Monate für KMU.
1
Scope & Analyse
2
Risiko-Logik
3
Massnahmen
4
ISMS leben
5
Audit
Intern 25–100 PT (Personentage) · Beratung 15 – 50 PT · Auditgebühren CHF 8'000–25'000 — bei KMU 25–250 Mitarbeitenden, abhängig von Scope, Reife, Komplexität und Vielfalt.
Stage 1, Stage 2 und der 3-Jahres-Zyklus.
Erst-Zertifizierung
Stage 1 · Dokumentenprüfung
1 Tag (remote oder vor Ort). Prüfung der ISMS-Dokumentation, SoA, Risikoeinschätzung. Vorbereitung auf Stage 2.
Stage 2 · Vor-Ort-Audit
2–4 Tage vor Ort. Prüfung der gelebten Umsetzung — Interviews, Stichproben, Nachweise. Abschluss mit Audit-Bericht und Zertifikats-Empfehlung.
3-Jahres-Zyklus
Jahr 1 · Überwachungs-Audit
1–2 Tage. Stichprobenartige Prüfung. Fokus auf Veränderungen und Korrekturmassnahmen aus Stage 2.
Jahr 2 · Überwachungs-Audit
1–2 Tage. Tieferer Fokus auf andere Bereiche des ISMS.
Jahr 3 · Re-Zertifizierungs-Audit
Vollständige Wiederholung — neuer 3-Jahres-Zyklus.
AUDITOREN-TIPP
Der Aufwand-Schwerpunkt liegt im Erstjahr. Ab Jahr 2 wird der Zyklus zur Routine — wenn das ISMS lebt, nicht nur dokumentiert ist.
FAQ zu ISO 27001: Kosten, Dauer und Abgrenzung
Wie lange dauert eine ISO 27001-Zertifizierung für KMU?
Was kostet eine ISO 27001-Zertifizierung?
Ist ISO 27001 Pflicht?
Was ist der Unterschied zwischen ISO 27001 und TISAX®?
Reicht ISO 27001 für NIS2-Compliance?
Brauchen wir externe Beratung oder schaffen wir das alleine?
ISO 27001 – Ihr strukturierter Weg zu verlässlicher Informationssicherheit
Warum ISO 27001 – und warum jetzt?
ISO 27001 ist der weltweit anerkannte Standard für Informationssicherheits-Managementsysteme (ISMS). Für Schweizer KMU stellt sich immer häufiger nicht mehr die Frage ob, sondern wann – weil Kunden, Partner und der Gesetzgeber den Druck erhöhen.
Die kurze Antwort: ISO 27001 ist selten Pflicht – aber immer häufiger Voraussetzung, um Aufträge zu gewinnen und Risiken im Griff zu behalten.
Die Ausgangslage: Sicherheit ist kein Kür-Thema mehr
Informationssicherheit ist in der Schweiz in den letzten Jahren vom IT-internen Thema zum Geschäftsführungs-Thema geworden. Dafür gibt es drei Treiber:
- Kunden und Ausschreibungen: Immer mehr Schweizer und internationale Auftraggeber verlangen Sicherheitsnachweise – oft ISO 27001 oder gleichwertig.
- revDSG und branchenspezifische Regulierungen: Datenschutz-Vorfälle können meldepflichtig sein (Art. 24 revDSG), insbesondere wenn ein hohes Risiko für betroffene Personen besteht. Ohne strukturiertes Risikomanagement geraten Unternehmen schnell in die Defensive.
- Cyberrisiken: Ransomware, Betriebsspionage und Schwachstellen in der Lieferkette treffen heute auch mittelständische Unternehmen – oft mit existenzbedrohenden Folgen.
Anwendungsbereich: Jedes Unternehmen, das schützenswerte Informationen verarbeitet – unabhängig von Branche oder Grösse.
Umsetzungsdauer: Bei einem typischen Schweizer KMU (ca. 100 Mitarbeitende) realistisch ca. 6 Monate bis zum Zertifizierungs-Audit – bei klarer Projektführung und Management-Unterstützung.
Zertifikatsgültigkeit: 3 Jahre, mit jährlichen Überwachungs-Audits.
Die praktische Konsequenz: was ISO
ISO 27001 ist mehr als ein Stück Papier für den Empfang. Ein gelebtes ISMS verändert drei Dinge spürbar:
- Aufträge bleiben erreichbar: Sicherheitsnachweise werden nicht mehr zum Engpass in Ausschreibungen. Sie antworten auf Kundenfragebögen mit einem Zertifikat, nicht mit einer Excel-Liste.
- Risiken werden steuerbar: Sie wissen, welche Systeme und Daten wirklich kritisch sind – und welche Massnahmen Priorität haben. Das Management trifft fundierte Entscheidungen statt Bauchentscheidungen.
- Im Ernstfall bleibt das Unternehmen handlungsfähig: Notfallpläne, Wiederanlaufverfahren und Eskalationswege sind definiert und getestet. Ein Incident wird zur Übung, nicht zur Existenzfrage.
- Verlangen Kunden, Partner oder Konzernmütter Sicherheitsnachweise oder ein Informationssicherheits-Zertifikat?
- Verarbeiten Sie sensible Daten (Kunden, Produkte, Finanzen, Personal) oder sind IT-Ausfälle existenzkritisch?
- Wollen Sie Informationssicherheit strukturiert steuern – statt punktuell auf Vorfälle zu reagieren?
👉 Zweimal oder dreimal Ja: Dann ist ISO 27001 für Sie nicht Pflicht, aber die wirtschaftlich sinnvollste Antwort.
Das Zertifikat kommt nicht vom schönsten Ordner, sondern davon, dass die Prozesse gelebt werden. Viele Projekte scheitern nicht an der Norm, sondern an der Umsetzung im Alltag. Deshalb fokussieren wir auf wenige, wirksame Massnahmen statt auf vollständige Dokumentation ohne Wirkung.
Was verlangt ISO 27001 – in der Praxis relevant für KMU
ISO 27001 fordert keine Übertechnisierung, sondern einen systematischen, nachvollziehbaren Umgang mit Informationsrisiken. Die Norm gliedert sich in den Management-Rahmen (Kapitel 4–10) und 93 Sicherheits-Controls im Anhang A.
Die zentralen Anforderungen – auf das Wesentliche verdichtet:
- Top-Management-Verantwortung – Die Geschäftsleitung definiert die Informationssicherheits-Leitlinie, stellt Ressourcen bereit und überprüft das ISMS regelmässig (Kapitel 5).
- Risikomanagement – Systematisch erfassen, welche Systeme und Daten schützenswert sind, welche Bedrohungen bestehen und welche Massnahmen zu priorisieren sind (Kapitel 6.1).
- Sicherheits-Controls – Ein praxistaugliches Mass an Technik und Organisation: Zugriffskontrolle, Multi-Faktor-Authentifizierung, Verschlüsselung, Backup, Logging, Netzwerkschutz (Anhang A.8).
- Incident-Management – Ein strukturierter Ablauf, wie Vorfälle erkannt, bewertet, bewältigt und ausgewertet werden (A.5.24–5.28).
- Lieferketten- und Dienstleisterkontrolle – Prüfen, welche IT-Dienstleister und kritischen Lieferanten Sicherheitsanforderungen erfüllen müssen – und dies vertraglich absichern (A.5.19–5.23).
- Business Continuity – Notfallpläne und Wiederanlaufverfahren für den IT-Betrieb, getestet und wirksam (A.5.29, A.5.30).
- Awareness & Schulungen – Mitarbeitende regelmässig zu Cyberrisiken, Phishing und sicheren Arbeitsweisen sensibilisieren (A.6.3).
- Dokumentation & kontinuierliche Verbesserung – Beschreiben, was existiert, es messen und schrittweise verbessern (Kapitel 7, 9, 10).
Das Ziel ist die erfolgreiche ISO-27001-Zertifizierung – eingebettet in ein ISMS, das im Alltag funktioniert und Ihnen wirklich hilft. Für ein typisches KMU (ca. 100 Mitarbeitende) ist hierfür ein Zeitraum von ca. 6 Monate realistisch.
Die folgende Grafik visualisiert die 5 zentralen Phasen unseres Vorgehens – von der initialen Standortbestimmung bis zur finalen Zertifizierung.
Ihr Nutzen: Vom Pflichtprogramm zum Wettbewerbsvorteil
Diese strukturierte Vorgehensweise macht Sicherheit steuerbar. Sie reduzieren nicht nur regulatorische Risiken, sondern erhöhen die betriebliche Stabilität und vermeiden konkrete operative Schäden wie Betriebsunterbrüche, Datenverluste oder Reputationsschäden.
Gleichzeitig öffnet Ihnen das Zertifikat Türen: in Ausschreibungen, bei Konzernkunden und gegenüber Partnern, die vertrauenswürdige Lieferanten suchen.
Die ISO-27001-Zertifizierung gliedert sich in die einmalige
Erstzertifizierung und den darauffolgenden 3-Jahres-Zyklus.
Erstzertifizierung
- Beauftragung: Auswahl einer unabhängigen, akkreditierten Zertifizierungsstelle (z. B. SQS, SGS, TÜV, DNV). Vertrag 4–6 Monate vor Stage 1.
- Stage 1 – Dokumentenprüfung: 1–2 Tage. Prüfung, ob die ISMS-Dokumentation zertifizierungsreif ist. Lücken vor Stage 2 schliessen.
- Stage 2 – Praxis-Audit: 2–5 Tage vor Ort, 4–8 Wochen nach Stage 1. Interviews, Begehungen, Stichproben. Bei Erfolg: Zertifikat über 3 Jahre.
3-Jahres-Zyklus zur Aufrechterhaltung
- Jahr 1: Überwachungs-Audit (1–2 Tage), Stichproben eines Teils der Controls.
- Jahr 2: Zweites Überwachungs-Audit mit anderen Schwerpunkten.
- Jahr 3: Vollständiges Re-Zertifizierungsaudit (2–4 Tage) – ohne erneutes Stage 1. Bei Erfolg neue 3-Jahres-Periode. Wichtig: muss vor Zertifikatsablauf abgeschlossen sein.
- Stage 1 und 2 erfolgen nur einmalig zur Erstzertifizierung. Danach wechseln sich jährliche Überwachungs-Audits und das dreijährige Re-Zertifizierungsaudit ab.
Häufig gestellte Fragen zu ISO 27001
Nein. Es gibt keine gesetzliche Pflicht zur ISO-27001-Zertifizierung. Relevant wird die Norm dann, wenn Kunden, Partner oder Konzernmütter Sicherheitsnachweise verlangen – oder wenn Sie Ihr Informationssicherheits-Niveau professionell aufstellen und nachweisen wollen.
Die Einführung eines ISMS kann teilweise ausgelagert werden – Verantwortung und Steuerung verbleiben bei der Geschäftsleitung.
Auslagerbar (Aufbau):
Vorlagen, Methodik und Moderation der Risikoanalyse
Erstellung von Richtlinien und Prozessen
Unterstützung bei SoA und Dokumentation
Projektmanagement bis Zertifizierung
→ Vorteil: strukturierter, schneller Aufbau
Intern (Betrieb – verpflichtend):
Führung & Verantwortung (5.1, 5.3): Geschäftsleitung steuert das ISMS, benennt Rollen (z. B. ISB/CISO, Risk Owner) und gibt Risiken/Restrisiken frei
Risikomanagement (6.1.2/6.1.3): Bewertung aller relevanten Änderungen (Lieferanten, Software, Projekte) nach definierter Methode und Kriterien
Kontrollen & SoA (6.1.3 d): Auswahl, Betrieb und Nachweis der Massnahmen gemäss SoA
Lieferantensteuerung (A.5.19–22): Sicherheitsanforderungen, Verträge, Überwachung
Incident Management (A.5.24–28): Erkennung, Behandlung, Lessons Learned
Wirksamkeit & Nachweise (9.x, 7.5): KPIs, interne Audits, Management-Reviews, dokumentierte Evidenzen (Records/Logs)
Awareness (7.3): Regelmässige Schulungen und überprüfbare Einhaltung
Fazit:
Outsourcing beschleunigt den Aufbau.
Umsetzung, Betrieb, Nachweise und Verantwortung sind nicht delegierbar.
Ohne interne Verankerung kein zertifizierungsfähiges ISMS.
Hier lohnt sich die Unterscheidung zwischen der Einführungsphase und dem laufenden Betrieb:
In der Einführungsphase: Ein ISO-27001-Projekt bindet ohne externe Hilfe oft 20 bis 40 % der Arbeitszeit einer internen Schlüsselperson. Durch gezielte Auslagerung von Methodik und Dokumentation an uns lässt sich dieser Aufwand auf ca. 10 bis 20 %reduzieren.
Im laufenden Betrieb: Nach der Zertifizierung fordert das ISMS dauerhaft etwa 10 bis 20 % einer Vollzeitstelle (oft aufgeteilt auf einen Verantwortlichen und Zuarbeit aus Fachbereichen).
Wie sich dieser Aufwand konkret nach oben oder unten verschiebt, hängt von mehreren Faktoren ab:
Grösse und Komplexität der Organisation: Mehr Standorte, Fachbereiche oder IT-Systeme bedeuten mehr Schnittstellen, die koordiniert werden wollen.
Reifegrad Ihrer bestehenden Prozesse: Wer bereits strukturiert arbeitet (z. B. mit ISO 9001 oder einem etablierten Change-Management), startet deutlich leichter und schneller als ein Betrieb, der seine Prozesse erstmals formal aufsetzt.
Branchen- und Regulierungsdruck: Finanzdienstleister, Unternehmen im Gesundheitswesen oder sicherheitskritische Zulieferer haben von Haus aus höhere Anforderungen an Nachweise und Prüftiefe.
Umgang mit Pflicht-Themen im Alltag: Aufgaben wie Risikobewertungen, Schulungen, Vorfallsbearbeitung oder interne Audits gehören selten zu den beliebten Tätigkeiten. Wo sie diszipliniert eingeplant werden, bleibt der Aufwand berechenbar und gering. Wo sie liegen bleiben, stauen sich Arbeit und Risiken – und das kostet vor dem nächsten Audit massiv Zeit und Nerven.
Outsourcing-Grad: Je mehr methodische und dokumentarische Arbeit (oder die Rolle des ISB) extern vergeben wird, desto fokussierter bleibt Ihr Kernteam auf Geschäftsentscheidungen und die operative Umsetzung.
Ja. Für viele KMU ist das der klügere Startpunkt. Mit ISMS-Light etablieren Sie die wesentlichen Strukturen und Sicherheitsmassnahmen auf Basis von ISO 27001 – ohne formelles Zertifizierungs-Audit.
Das Ergebnis:
strukturierte Sicherheitsorganisation
belastbare Nachweise gegenüber Kunden
solide Grundlage für eine spätere Vollzertifizierung
👉 Wird ein Zertifikat später erforderlich, ist das Fundament bereits gelegt und der Aufwand deutlich reduziert. → https://wollconsulting.ch/isms-light-informationssicherheit/
5. Wie startet unser KMU am sinnvollsten?
Erst Scope festlegen, dann kompakte Gap-Analyse. Sie bewertet Ihren aktuellen Stand gegenüber ISO 27001 und liefert eine klare Entscheidungsgrundlage:
Was ist bereits vorhanden?
Was fehlt wirklich?
Was hat Priorität?
👉 Das schützt Sie vor Fehlinvestitionen und sorgt für einen strukturierten, effizienten Start.
Hinweis zu Kosten und Nutzen: Die Frage, ob sich eine ISO-27001-Zertifizierung für Ihr KMU wirtschaftlich lohnt, behandeln wir ausführlich in unserem Blogartikel → ISO 27001 Zertifikat – lohnt sich das für KMU? Nutzen & Kosten. Dort finden Sie Richtwerte, Kostentreiber und konkrete Rechenbeispiele.