ISO/IEC-27001:2022-Zertifizierung

Was ist ISO/IEC 27001

ISO/IEC 27001 ist die internationale Norm, die die Anforderungen an die Einführung, Umsetzung, Aufrechterhaltung und kontinuierliche Verbesserung eines Informationssicherheits-Managementsystems (ISMS) festlegt. Ein ISMS ist ein systematischer, risikobasierter Ansatz, der Menschen, Prozesse und Technologie umfasst, um Vertraulichkeit, Integrität und Verfügbarkeit von Informationen zu wahren.

Die aktuelle Ausgabe, ISO/IEC 27001:2022, gliedert die Referenzmaßnahmen des Anhangs A in vier Themen (organisatorisch, Personen, physisch und technologisch), gestützt auf den Maßnahmenkatalog der ISO/IEC 27002. Die Zertifizierung bescheinigt, dass Ihre Organisation ihre Risiken identifiziert, die geeigneten Maßnahmen umgesetzt hat — dokumentiert in der Statement of Applicability (SoA) — und das System wirksam betreibt.

Vorteile der Zertifizierung

• Kommerzielles Vertrauen: Das Zertifikat ist die direkteste Antwort auf Sicherheitsfragebögen von Unternehmen und auf Ausschreibungen, die ISO/IEC 27001 verlangen.
• Systematisches Risikomanagement: Identifizieren und behandeln Sie Bedrohungen, bevor sie zu Vorfällen werden.
• Regulatorische Konformität: Das ISMS erleichtert den Nachweis der Sorgfaltspflicht gegenüber DSGVO, NIS2, DORA und vertraglichen Sicherheitsklauseln.
• Wettbewerbsvorteil: Differenzieren Sie Ihr Angebot in B2B-Verkaufsprozessen und verkürzen Sie Verkaufszyklen.
• Kontinuierliche Verbesserung: Der Auditzyklus (Zertifizierung, Überwachung, Rezertifizierung) hält das System lebendig und aktuell.

Wer braucht sie?

Die Norm gilt für jede Organisation, ist aber besonders relevant für:

• Software- und SaaS-Unternehmen, die Kundendaten verarbeiten.
• IT-Dienstleister, Cloud-Anbieter, Technologieberatungen und MSPs.
• Fintech, Insurtech und Finanzdienstleister, die Anforderungen von Dritten und Aufsichtsbehörden unterliegen.
• Gesundheitseinrichtungen, Berufsgesellschaften und jedes Unternehmen, das sensible Informationen verarbeitet.
• Unternehmen, deren Kunden oder Ausschreibungen das Zertifikat als Vertragsbedingung verlangen.

Wie der Zertifizierungsprozess abläuft

BorealCert führt den gesamten Zertifizierungszyklus remote durch, im Einklang mit den Audittechniken der ISO 19011 und den IAF-Leitlinien für Remote-Audits:

Stufe	Inhalt	Typische Dauer
Antrag & Angebot	Festlegung des ISMS-Geltungsbereichs, der Organisationsgröße und des Festpreises.	1 Werktag
Stufe 1 — Dokumentation	Remote-Prüfung von Geltungsbereich, Richtlinien, Risikobewertung, SoA und Bereitschaft.	1–2 Audittage
Stufe 2 — Umsetzung	Videokonferenz-Audit: Interviews, Maßnahmennachweise und ISMS-Betrieb.	2–5 Tage je nach Größe
Entscheidung & Ausstellung	Unabhängige Überprüfung durch den Zertifizierungsausschuss und Zertifikatsausstellung.	Bis zu 10 Werktage
Überwachung	Jährliche Folgeaudits zur Aufrechterhaltung der Zertifizierung.	Jährlich
Rezertifizierung	Vollständiges Audit vor Ablauf zur Erneuerung des Zyklus.	Alle 3 Jahre

Häufige Fragen zu ISO/IEC 27001

Wie lange braucht ein KMU für die Zertifizierung?

Ist das ISMS bereits implementiert, ist der Zertifizierungsprozess in der Regel in 4–8 Wochen abgeschlossen. Beim Start von Grund auf hängt der Zeitrahmen von der Implementierung ab; das Stufe-1-Audit kann stattfinden, sobald die Kerndokumentation vorliegt.

Ist ein Remote-Audit genauso gültig wie ein Vor-Ort-Audit?

Ja. Remote-Audittechniken werden von den internationalen Auditleitlinien (IAF MD 4 und ISO 19011) anerkannt und das resultierende Zertifikat ist identisch. Wir bewerten die Eignung jeder Organisation, um sicherzustellen, dass die Remote-Variante alle Auditziele erreichen kann.

Was ist der Unterschied zwischen ISO/IEC 27001:2013 und der Ausgabe 2022?

Die Ausgabe 2022 aktualisiert Anhang A (93 Maßnahmen in 4 Themen gegenüber 114 Maßnahmen in 14 Domänen 2013) und führt neue Maßnahmen wie Threat Intelligence, Cloud-Sicherheit und Data-Leakage-Prevention ein. Zertifikate von 2013 mussten bis Oktober 2025 auf 2022 umgestellt werden; BorealCert stellt ausschließlich Zertifikate nach ISO/IEC 27001:2022 aus.

Welche Mindestdokumentation brauche ich?

Sicherheitsrichtlinie und -ziele, ISMS-Geltungsbereich, Methodik und Ergebnisse der Risikobewertung und -behandlung, Statement of Applicability sowie Nachweise des Betriebs der Maßnahmen (Aufzeichnungen, Überprüfungen, interne Audits und Managementbewertung).

Was kostet die Zertifizierung?

Der Preis hängt von der Anzahl der Personen im Geltungsbereich, der technologischen Komplexität und der Anzahl logischer Standorte ab. KMU erhalten in der Regel Festpreisangebote; fordern Sie Ihres unverbindlich über das Kontaktformular an.

Wie können meine Kunden das Zertifikat prüfen?

Alle von BorealCert ausgestellten Zertifikate sind in unserem öffentlichen Register unter verify.borealcert.com gelistet und jederzeit anhand der Zertifikatsnummer abrufbar.