ISO 27001 Beratung: Aufwand, Kosten und Ablauf bis zur Zertifizierung

Eine ISO-27001-Zertifizierung besteht aus zwei Kostenblöcken: der Beratung beim Aufbau des Informationssicherheits-Managementsystems (ISMS) und dem Zertifizierungsaudit durch eine unabhängige Zertifizierungsstelle. Beides hängt von Unternehmensgröße, Geltungsbereich und Reifegrad ab. Ein fester Preis lässt sich seriös nicht nennen. Dieser Leitfaden zeigt, wie sich der Aufwand zusammensetzt, wie Sie ihn grob schätzen und woran gute Beratung zu erkennen ist. Alle Beträge sind Rechenbeispiele.

Was ISO/IEC 27001 verlangt

ISO/IEC 27001 ist ein internationaler Standard für ein Managementsystem der Informationssicherheit. Er schreibt keine bestimmte Technik vor, sondern einen Prozess: Risiken systematisch erfassen, Maßnahmen auswählen, umsetzen, überwachen und fortlaufend verbessern. Der Anhang A der aktuellen Fassung (2022) enthält einen Katalog von Maßnahmen, aus dem Sie anhand Ihrer Risiken auswählen und die Auswahl in einer Erklärung zur Anwendbarkeit begründen.

Zertifiziert wird nicht eine Software, sondern ein Geltungsbereich, etwa ein Standort, ein Geschäftsbereich oder ein Dienst. Ein kleiner, gut abgegrenzter Geltungsbereich senkt den Aufwand erheblich.

ISO 27001 oder IT-Grundschutz?

Merkmal	ISO/IEC 27001	BSI IT-Grundschutz
Herkunft	Internationaler Standard	Methodik des BSI
Vorgehen	Risikobasierte Auswahl von Maßnahmen	Bausteine mit konkreten Anforderungen, ergänzbar durch Risikoanalyse
Konkretisierung	Eher allgemein	Sehr detailliert
Zertifikat	Durch akkreditierte Zertifizierungsstelle	ISO 27001 auf Basis von IT-Grundschutz, Zertifizierung über das BSI-Verfahren
Typische Nutzer	International tätige Firmen, Dienstleister mit Kundenforderung	Behörden, öffentliche Einrichtungen, viele Betreiber

Welcher Weg sinnvoll ist, hängt von Kundenanforderungen, Branche und vorhandenen Ressourcen ab. Fragen Sie zuerst Ihre Auftraggeber, welches Zertifikat sie akzeptieren.

Projektphasen und Aufwand

Vorbereitung und Geltungsbereich: Ziele, Leitlinie der Geschäftsleitung, Rollen, Abgrenzung des Geltungsbereichs.
Bestandsaufnahme (Gap-Analyse): Vergleich des Ist-Zustands mit den Anforderungen. Ergebnis: Maßnahmenplan.
Risikoanalyse: Werte, Bedrohungen, Schwachstellen und Risikobewertung, Auswahl von Maßnahmen.
Umsetzung: Richtlinien, technische Maßnahmen, Schulungen, Notfallplanung, Lieferantenmanagement.
Internes Audit und Managementbewertung: Pflichtbestandteile, bevor die Zertifizierungsstelle kommt.
Zertifizierungsaudit: In der Regel in zwei Stufen, dokumentenbasiert und danach vor Ort oder per Fernprüfung.
Überwachungsaudits: Das Zertifikat gilt für drei Jahre, dazwischen finden jährliche Überwachungsaudits statt, danach eine Rezertifizierung.

Der größte Aufwand liegt fast immer in Ihrem eigenen Haus: Mitarbeitende müssen Prozesse leben, Nachweise führen und Maßnahmen umsetzen. Die Beratung kann das begleiten, aber nicht ersetzen.

Kostenbestandteile

Beratung: Tagessätze mal Beratertage für Analyse, Workshops, Dokumentenvorlagen und Begleitung des Audits.
Zertifizierung: Auditaufwand der Zertifizierungsstelle, abhängig von Mitarbeiterzahl, Standorten und Komplexität, meist nach Audittagen kalkuliert.
Technische Maßnahmen: Mehr-Faktor-Authentifizierung, Backup, Protokollierung, Schwachstellenmanagement, gegebenenfalls Lizenzen.
Interne Zeit: Projektleitung, Fachbereiche, Schulungen.
Laufender Betrieb: Jährliche Überwachungsaudits und fortlaufende Pflege des Systems.

Rechenbeispiel (illustrativ)

Ein Dienstleister mit 50 Beschäftigten möchte einen Geltungsbereich mit einem Standort zertifizieren lassen. Annahme für die Beratung: 25 Beratertage zu einem Beispielsatz von 1.000 bis 1.700 Euro.

Untere Spanne: 25 × 1.000 Euro = 25.000 Euro
Obere Spanne: 25 × 1.700 Euro = 42.500 Euro
Hinzu kommt ein Zertifizierungsaudit, beispielhaft mit 6 Audittagen zu 1.500 Euro, also 9.000 Euro.

Die Summe von 34.000 bis 51.500 Euro ist ein reines Rechenmodell ohne interne Aufwände und technische Maßnahmen. Tragen Sie eigene Annahmen in den Aufwandsrechner ein, um Ihre Spanne zu bilden.

Woran Sie gute Beratung erkennen

Wissenstransfer: Das Ziel ist, dass Ihre Mitarbeitenden das System selbst betreiben können.
Schlanke Dokumente: Wenige, verständliche Richtlinien statt hunderter Seiten Vorlagen.
Realistische Planung: Zeitplan berücksichtigt die Kapazität Ihres Teams.
Erfahrung mit Audits: Nachfragen, wie viele Projekte in vergleichbarer Größe begleitet wurden.
Unabhängigkeit: Beratung und Zertifizierung sollten nicht aus derselben Hand kommen. Zertifizierungsstellen dürfen nach den Akkreditierungsregeln dieselbe Organisation nicht beraten und zertifizieren.

Typische Stolperfallen

Zu großer Geltungsbereich: Ein erster Schnitt mit kritischen Prozessen ist leichter zu schaffen als das gesamte Unternehmen.
Nur Papier: Auditoren prüfen Wirksamkeit. Dokumente ohne Umsetzung fallen auf.
Fehlende Geschäftsleitung: Ohne Unterstützung der Führung scheitern Ressourcen und Entscheidungen.
Unterschätzte Lieferanten: Cloud- und IT-Dienstleister müssen in die Bewertung einbezogen werden.
Zertifikat als Endziel: Das Zertifikat ist Zwischenstand, nicht Ziel. Sicherheit entsteht durch laufende Pflege.

Interner Aufwand realistisch planen

Viele Projekte scheitern nicht am Budget für Berater, sondern an fehlender interner Zeit. Planen Sie eine Projektverantwortliche mit festem Zeitanteil ein, in der Anfangsphase oft mehrere Stunden pro Woche. Dazu kommen Workshops mit Fachbereichen, die Pflege des Anlagenverzeichnisses, die Umsetzung technischer Maßnahmen und Schulungen für alle Beschäftigten. Ein einfaches Rechenbeispiel: Eine Projektleitung mit 20 Prozent Arbeitszeit über neun Monate bindet rund 0,2 × 9 Monate = 1,8 Personenmonate. Diese Zeit fehlt im Tagesgeschäft und sollte bei der Planung bedacht werden, auch wenn sie in keinem Angebot erscheint.

Zusammenhang mit NIS2

Das Zertifikat ersetzt nicht automatisch die gesetzlichen Pflichten, kann aber einen großen Teil der geforderten Risikomanagement-Maßnahmen strukturieren. Wie weit das trägt, hängt von der konkreten Betroffenheit ab. Lesen Sie dazu NIS2: Pflichten und Rolle von Dienstleistern.

Wann Sie sich beraten lassen sollten

Prüfen Sie vor dem Projektstart mit Ihren Kunden und gegebenenfalls Ihrer Rechtsberatung, welche Nachweise gefordert sind. Lassen Sie den Geltungsbereich vor Vertragsabschluss mit der Zertifizierungsstelle abstimmen.

Häufige Fragen

Wie lange dauert eine Zertifizierung?

Das variiert mit Größe und Ausgangslage. Rechnen Sie bei kleinen und mittleren Organisationen mit mehreren Monaten bis etwa einem Jahr. Seriöse Anbieter nennen keine Garantien.

Brauche ich zwingend einen Berater?

Nein. Wer Erfahrung im Haus hat, kann den Aufbau selbst leisten. Beratung spart meist Zeit und vermeidet typische Fehler, ist aber keine Voraussetzung für das Zertifikat.

Gilt das Zertifikat für das ganze Unternehmen?

Nur für den im Zertifikat genannten Geltungsbereich. Prüfen Sie bei Zertifikaten von Lieferanten stets, was darin tatsächlich abgedeckt ist.

Quellen und weiterführende Stellen

Bundesamt für Sicherheit in der Informationstechnik (BSI) — IT-Grundschutz und Zertifizierungsverfahren
Deutsche Akkreditierungsstelle (DAkkS) — Informationen zu akkreditierten Zertifizierungsstellen
Internationale Organisation für Normung (ISO) — Normtexte zu ISO/IEC 27001