ISO 27001 in 12 Monaten: Roadmap für KMU

Einordnung

Abschnitt 01

Warum 12 Monate die richtige Ziel-Marke ist

Schneller als 9 Monate ist kaum machbar, weil die ISO 27001 ein Wirksamkeitsnachweis über mindestens drei Monate verlangt. Das heißt: zwischen ISMS-Einführung und Audit-Start müssen 90 Tage liegen, in denen das System nachweislich gelebt wird.

Länger als 18 Monate führt zu „Roadmap-Müdigkeit": die Geschäftsleitung verliert das Interesse, die zugewiesenen Mitarbeiter werden in das Tagesgeschäft zurückgezogen, das Projekt versandet. 12 Monate sind das wirtschaftliche Optimum mit Pufferzeit.

Abschnitt 02

Phase 1: Scope, Asset-Inventory, Risiko-Analyse (Monate 1–3)

Die meisten Projekte scheitern in dieser Phase, weil der Scope zu breit gefasst wird. Empfehlung: mit dem kleinstmöglichen sinnvollen Scope starten, im Erfolgsfall im Re-Audit erweitern.

Abschnitt 03

Phase 2: Maßnahmen-Umsetzung (Monate 4–7)

Aus der Risiko-Analyse ergeben sich typischerweise 35–55 konkrete Maßnahmen aus dem Annex A der ISO 27001. Die Hauptarbeit dieser Phase ist die Umsetzung dieser Maßnahmen:

• Technische Kontrollen: MFA, Backup-Verschlüsselung, Patch-Management, Netzwerk-Segmentierung
• Organisatorische Kontrollen: Zugriffsmatrix, Onboarding-Checkliste, Lieferanten-Bewertung
• Awareness: jährliche Schulung aller Mitarbeiter (mind. 60 Minuten dokumentiert)

Hier kommen DripBack-Module ins Spiel: DSGVO-KI-Audit liefert automatisierte Compliance-Checks, HR-Onboarding baut die Zugriffsmatrix-Pflege ein, Buchhaltung-Auto dokumentiert lieferanten-bezogene Datenverarbeitung.

Abschnitt 04

Phase 3: Wirksamkeits-Nachweis (Monate 8–10)

Diese Phase wird oft unterschätzt. Das ISMS muss gelebt werden, nicht nur dokumentiert. Konkret:

• mindestens ein interner Audit-Lauf
• mindestens ein dokumentierter Management-Review
• mindestens ein Incident-Drill (z. B. Phishing-Simulation oder Backup-Restore-Test)
• kontinuierliche Wirksamkeits-Messung (KPIs wie „Anteil gepatchter Endgeräte", „Anzahl offener Findings")

Abschnitt 05

Phase 4: Audit und Zertifizierung (Monate 11–12)

Der eigentliche Audit teilt sich in zwei Stages:

Stage 1 (Pre-Audit): der Auditor prüft die Dokumentation und identifiziert offene Punkte. Dauer: 1–2 Tage, je nach Scope. Nicht-Konformitäten dürfen behoben werden, bevor Stage 2 startet.

Stage 2 (Haupt-Audit): der Auditor prüft die Wirksamkeit durch Interviews, Stichproben, technische Tests. Dauer: 3–6 Tage. Major Non-Conformities führen zur Verschiebung der Zertifizierung um 30–90 Tage, Minor Non-Conformities können binnen 30 Tagen abgearbeitet werden.

Auditkosten je nach Scope und Standort: 4.500–9.500 € für Stage 1+2 gemeinsam, plus jährliche Surveillance-Audits zu rund 2.500 €.

Abschnitt 06

Wann ein externer Auditor zwingend ist

Für die Zertifizierung selbst ist immer ein externer akkreditierter Auditor (z. B. TÜV, DEKRA, DQS, BSI-akkreditierte Stellen) erforderlich. Ohne diesen gibt es kein gültiges Zertifikat.

Für die Vorbereitung reicht ein guter ISMS-Berater, sofern er nicht selbst akkreditiert ist (Trennung von Beratung und Audit-Leistung). DripBack bietet die ISMS-Vorbereitungs-Beratung und übergibt zur Zertifizierung an einen unabhängigen TÜV-akkreditierten Auditor.

Abschnitt 07

Kosten-Realität für ein 50-MA-KMU

Abschnitt 08

Was sich nach der Zertifizierung verändert

Die Zertifizierung ist kein Endpunkt, sondern ein Beginn. Drei konkrete Veränderungen im 12-Monats-Horizont nach Zertifizierungs-Erteilung:

• Vertriebs-Boost: rund 40 Prozent der Großkunden-RFPs setzen ISO 27001 inzwischen voraus. Die Pipeline für Unternehmen mit Zertifikat ist messbar breiter.
• Versicherungs-Konditionen: Cyber-Versicherungen geben mit ISO-Zertifikat in der Regel 12–20 Prozent Rabatt auf Prämien.
• Operative Resilienz: die Vorbereitung erzwingt ein sauberes Backup- und Incident-Response-Setup, das im Ernstfall den Unterschied zwischen 4 Stunden und 4 Wochen Downtime macht.