Start/ISO 27001 Beratung
ISO 27001 Beratung
Ein ISMS, das ein Auditor auch abnimmt
Der Kunde verlangt das Zertifikat, die Ausschreibung setzt es voraus, oder die Muttergesellschaft fragt nach. Wir bauen mit euch das Managementsystem auf, das dahinter stehen muss — und zwar so, dass es die Prüfung übersteht und nicht nur den Ordner füllt.
ab 8.900 € · Umfang hängt an Größe und Ausgangslage
Richtpreis · Endpreis, keine Umsatzsteuer (§ 19 UStG)
Wann das gebraucht wird
Ein Großkunde verlangt das Zertifikat bis zum Quartalsende, und intern hat noch nie jemand ein ISMS gesehen.
Es gibt Richtlinien — aber niemand weiß, ob sie zur tatsächlichen Arbeit passen.
Die Risikoanalyse ist eine Tabelle, die einmal befüllt und nie wieder angefasst wurde.
Beim letzten Anlauf hat eine Beratung Dokumente geliefert, die niemand im Haus erklären kann.
Was drin ist
Bestandsaufnahme
Was ist schon da, was fehlt, was ist auf dem Papier vorhanden, aber gelebt anders? Ergebnis ist eine Liste mit Aufwand und Priorität, keine Reifegradgrafik.
Geltungsbereich festlegen
Der häufigste teure Fehler ist ein zu weit gefasster Scope. Wir schneiden ihn so, dass er das abdeckt, was der Kunde sehen will — und nicht mehr.
Risikoanalyse, die trägt
Methodik, Bewertung, Risikobehandlungsplan. Nachvollziehbar begründet, weil genau das im Audit auseinandergenommen wird.
Anwendbarkeitserklärung (SoA)
Jede Maßnahme aus Anhang A mit Begründung für Anwendung oder Ausschluss. Die SoA ist das Dokument, an dem ein Auditor zuerst zieht.
Dokumente, die zur Realität passen
Richtlinien und Verfahren im Umfang eures Betriebs. Lieber zwölf Seiten, die stimmen, als hundertzwanzig aus einer Vorlage.
Internes Audit und Managementbewertung
Beides ist Pflicht vor der Zertifizierung und wird regelmäßig vergessen. Wir planen es ein, statt es im letzten Monat nachzuholen.
Begleitung durch Stufe 1 und Stufe 2
Vorbereitung des Teams auf die Fragen, die tatsächlich kommen, und Unterstützung beim Abarbeiten von Abweichungen.
ISMS-Beratung: das System hinter dem Zertifikat
Das Zertifikat ist ein Stück Papier. Was geprüft wird, ist das Informationssicherheits-Managementsystem dahinter — also die Frage, ob euer Betrieb Risiken systematisch erkennt, bewertet, behandelt und das Ganze regelmäßig überprüft.
Der teuerste Fehler an dieser Stelle ist ein ISMS, das neben der Arbeit steht: Richtlinien aus einer Vorlage, die niemand liest, und Prozesse, die im Audit anders beschrieben werden, als sie laufen. Ein Auditor merkt das in der zweiten Stunde.
Wir bauen deshalb von der tatsächlichen Arbeit aus. Was ihr schon richtig macht, wird dokumentiert statt ersetzt — und nur da, wo die Norm mehr verlangt, kommt etwas Neues dazu.
Woran ein ISMS in der Praxis scheitert
Der Geltungsbereich ist zu weit gefasst — plötzlich hängt der ganze Betrieb drin statt eines Produkts.
Die Risikoanalyse ist nicht begründet, sondern befüllt.
Nachweise werden erst kurz vor dem Audit erzeugt und sind dadurch wertlos.
Niemand im Haus kann die Dokumente erklären, weil sie eingekauft wurden.
Nach der Zertifizierung fasst es keiner mehr an, und das erste Überwachungsaudit wird unangenehm.
Ablauf
Erstgespräch
Warum das Zertifikat, bis wann, und was gibt es schon. Danach wisst ihr, ob der Termin realistisch ist — auch wenn die Antwort nein lautet.
Zertifizierungsreife-Check
Der Ist-Stand gegen die Norm, mit Lückenliste und Aufwand. Kann auch einzeln beauftragt werden.
Aufbau
Scope, Risikoanalyse, SoA, Dokumente, Schulung. In Abschnitten, damit ihr laufend seht, was entsteht.
Reifephase
Das ISMS muss vor dem Audit eine Weile gelaufen sein — Nachweise entstehen nicht rückwirkend. Diese Zeit planen wir ein, statt sie zu verschweigen.
Audit
Stufe 1 prüft die Dokumentation, Stufe 2 die gelebte Praxis. Wir begleiten beide.
Was wir ausdrücklich nicht sind
Drei Punkte, die im Verkaufsgespräch gern unter den Tisch fallen. Wer sie nicht sagt, verkauft leichter — und liefert später etwas anderes, als erwartet wurde.
Wir sind keine Zertifizierungsstelle
Das Zertifikat stellt eine akkreditierte Stelle aus — DEKRA, TÜV, DQS und andere. Wir bereiten darauf vor und begleiten, wir zertifizieren nicht.
Das ersetzt kein Audit
Was wir liefern, ist eine belastbare Selbsteinschätzung mit Belegen. Das Zertifizierungsaudit findet danach statt und kann trotzdem Abweichungen finden.
Unabhängigkeitsregel
Wer euer ISMS aufbaut, darf es nicht selbst zertifizieren — und auch nicht das interne Audit dazu führen, wenn es Grundlage der Zertifizierung ist. Wenn wir beim Aufbau geholfen haben, sagen wir euch vorher, welche Rolle wir danach nicht mehr übernehmen können.
Häufige Fragen
Wie lange dauert eine Zertifizierung realistisch?
Bei einem kleinen, klar geschnittenen Geltungsbereich und guter Ausgangslage sechs bis neun Monate bis zum Stufe-2-Audit. Wer schneller verspricht, rechnet die Reifephase heraus — das Managementsystem muss vor dem Audit nachweisbar gelaufen sein, und Nachweise lassen sich nicht rückwirkend erzeugen.
Was kostet das insgesamt, inklusive Zertifikat?
Neben unserer Begleitung fallen die Kosten der Zertifizierungsstelle an — die rechnet nach Auditortagen und ist von uns unabhängig. Für einen kleinen Betrieb sind das erfahrungsgemäß mehrere Auditortage über den Dreijahreszyklus. Angebote holt ihr direkt bei den Stellen ein; wir sagen euch, wonach ihr fragen müsst.
Reicht nicht auch ein Zertifikat nach BSI-Grundschutz oder TISAX?
Kommt darauf an, wer fragt. TISAX ist in der Automobilbranche gesetzt, BSI-Grundschutz im öffentlichen Umfeld verbreitet. Wenn euer Kunde ISO 27001 verlangt, hilft nichts anderes. Fragt ihn, bevor ihr euch entscheidet.
Wir haben nur zwölf Leute. Ist das nicht Overkill?
Die Norm skaliert mit dem Betrieb — ein ISMS für zwölf Personen ist ein anderes Gebilde als eines für zwölfhundert. Der Fehler entsteht, wenn eine Vorlage aus einem Konzern übernommen wird. Genau deshalb schneiden wir Scope und Dokumentation auf eure Größe zu.
Können wir das Zertifikat auch bei euch bekommen?
Nein, und das ist keine Höflichkeit, sondern Vorschrift. Zertifikate stellen akkreditierte Stellen aus. Wer beides anbietet, verstößt gegen die Unabhängigkeitsregel.
Erstgespräch, bevor jemand ein Angebot schreibt.
Wir klären, wer das Zertifikat eigentlich verlangt, bis wann, und was ihr schon habt. Wenn der Termin nicht zu halten ist, erfahrt ihr das dort — nicht drei Monate später.
