ISMS nach ISO 27001:2022, von der Gap-Analyse bis zur Zertifizierung

ISMS Implementierung: Von der Gap-Analyse zur ISO 27001 Zertifizierung

Ein ISMS ist kein Papiertiger, es ist das operative Rückgrat Ihrer Informationssicherheit.

  • 01ISMS-Aufbau und Zertifizierung nach ISO 27001:2022
  • 0293 Controls in 4 Kategorien, strukturiert implementiert
  • 03TISAX-Readiness für Automotive-Zulieferer
  • 04NIS2- und DORA-konforme Sicherheitsarchitektur
Leistungen ansehen
11+Jahre Erfahrung
120+Mitarbeitende
540+Projekte
ISO 27001zertifiziert

ISMS aufbauen: Die Roadmap zur ISO 27001 Zertifizierung

Die ISO 27001:2022 hat die Spielregeln neu definiert: 93 Controls in 4 Kategorien (organisatorisch, personell, physisch, technologisch) ersetzen die bisherigen 114 Controls in 14 Gruppen. 11 neue Controls, darunter Threat Intelligence, Cloud Security und Data Masking, spiegeln aktuelle Bedrohungslagen wider. Die Transition-Deadline war Oktober 2025, doch viele Unternehmen kämpfen noch mit der Umsetzung.

Unsere ISMS-Implementierung folgt einem erprobten 5-Phasen-Modell:

1. **Scoping & Gap-Analyse**, Anwendungsbereich definieren, Ist-Zustand bewerten, regulatorische Anforderungen (NIS2, DORA, MaRisk) erfassen 2. **Risikobewertung & Statement of Applicability**, Asset-basierte Risikoanalyse, Risikobehandlungsplan erstellen, SoA für alle 93 Controls dokumentieren 3. **ISMS-Aufbau & Dokumentation**, Richtlinien, Verfahren und Prozesse implementieren, Rollen und Verantwortlichkeiten festlegen, PDCA-Zyklus etablieren 4. **Schulung & internes Audit**, Security-Awareness-Programm durchführen, internes Auditprogramm aufsetzen, Management-Review vorbereiten 5. **Zertifizierungsaudit & kontinuierliche Verbesserung**, Stage-1- und Stage-2-Audit begleiten, Abweichungen beheben, Überwachungsaudits planen

ADVISORIs ISMS-Expertise ist geschärft durch Mandate bei Banken unter BaFin-Aufsicht, Versicherungen mit strengen Compliance-Vorgaben, Verteidigungsorganisationen mit VS-NfD-Anforderungen und Behörden mit Geheimschutz-Einstufung. Für den Automotive-Sektor implementieren wir ISMS-Lösungen, die TISAX-Anforderungen nahtlos integrieren. Mit rund 150 Beratern und eigener ISO 27001-Zertifizierung liefern wir Ergebnisse, keine PowerPoints. Typische ISMS-Implementierungen dauern 6 bis 12 Monate bis zur Zertifizierung, mit Gesamtkosten zwischen 30.000 und 150.000 Euro, abhängig von Unternehmensgröße und Scope. Unsere Berater werden durch KI-gestützte Analysewerkzeuge unterstützt, von der automatisierten Dokumentenanalyse bis zum Echtzeit-Compliance-Monitoring, um ISMS-Projekte schneller zum Abschluss zu bringen.

6 Leistungsbausteine

Leistungsumfang

01

ISMS-Aufbau nach ISO 27001:2022

Vollständiger Aufbau eines ISMS von der Risikomethodik über Richtlinien und Prozesse bis zu technischen Controls. Inklusive Statement of Applicability, Asset-Management und Dokumentationsframework, zertifizierungsreif in 6-12 Monaten.

02

ISMS-Optimierung & Transition

Ihr bestehendes ISMS auf ISO 27001:2022 migrieren: Mapping der neuen 93 Controls, Integration der 11 neuen Anforderungen (Threat Intelligence, Cloud Security, ICT Readiness for Business Continuity) und Schließen von Audit-Findings.

03

Zertifizierungsbegleitung

Von der Pre-Audit-Readiness-Prüfung über die Stage-1-Dokumentenreview bis zur Stage-2-Begleitung vor Ort. Wir kennen die typischen Stolperfallen und bereiten Sie gezielt vor, inklusive Nachbereitung bei Minor/Major Non-Conformities.

04

TISAX-Assessment-Vorbereitung

Für Automotive-Zulieferer: Vorbereitung auf das TISAX-Assessment nach VDA ISA. Wir identifizieren die Deltas zwischen Ihrem bestehenden ISMS und den TISAX-spezifischen Anforderungen (Prototypenschutz, Datenschutz, Anbindung an OEM-Prozesse).

05

ISMS-Integration in Management-Systeme

Nahtlose Integration Ihres ISMS in bestehende ISO-9001- oder ISO-14001-Systeme. Harmonisierung von Dokumentation, Audit-Zyklen und Management Reviews, für ein integriertes Managementsystem ohne Doppelarbeit.

06

BSI IT-Grundschutz Implementierung

Alternative oder Ergänzung zu ISO 27001: Aufbau eines ISMS nach BSI IT-Grundschutz-Kompendium. Besonders relevant für KRITIS-Betreiber und öffentliche Einrichtungen, die den BSI-Standard als Nachweis benötigen.

6 Phasen

Unser Ansatz: ISMS mit System statt nach Schema F

Jedes Unternehmen ist anders, Ihr ISMS muss das widerspiegeln. Wir arbeiten iterativ, pragmatisch und immer mit Blick auf die Zertifizierung.

  1. Scoping & Gap-Analyse

    Bewertung des Ist-Zustands gegen ISO 27001:2022, Identifikation kritischer Lücken und Definition des ISMS-Geltungsbereichs

  2. Risikobewertung & Statement of Applicability

    Systematische Risikoanalyse und Ableitung der anwendbaren Controls aus Annex A

  3. Implementierung

    Aufbau von Richtlinien, Prozessen und technischen Kontrollen, abgestimmt auf Ihre IT-Landschaft und Organisation

  4. Schulung & Awareness

    Security-Kultur verankern, vom Vorstand bis zum Werkstudenten

  5. Internes Audit & Management Review

    Prüfung der ISMS-Wirksamkeit und Vorbereitung auf das externe Zertifizierungsaudit

  6. Zertifizierungsbegleitung

    Stage 1 + Stage 2 Audit-Vorbereitung, Begleitung vor Ort und Nachbereitung von Findings

Sarah Richter

Ansprechpartner

Sarah Richter

Head of Informationssicherheit, Cyber Security

10+ Jahre Erfahrung, CISA, CISM, Lead Auditor, DORA, NIS2, BCM, Cyber- und Informationssicherheit

+49 69 913 113-01 info@advisori.de LinkedIn

6 FRAGEN, KURZ BEANTWORTET

Häufig gestellte Fragen zu Information Security Management Strategy

Was ist der Unterschied zwischen ISO 27001 und BSI IT-Grundschutz?

ISO 27001 ist ein internationaler Standard mit risikobasiertem Ansatz, Sie definieren selbst, welche Controls relevant sind. BSI IT-Grundschutz ist detaillierter und gibt konkrete Maßnahmen vor (Bausteine). ISO 27001 ist global anerkannt und eignet sich für internationale Unternehmen. BSI IT-Grundschutz ist besonders in Deutschland verbreitet, vor allem bei KRITIS-Betreibern und Behörden. Beide lassen sich kombinieren: Eine ISO‑27001-Zertifizierung auf Basis von IT-Grundschutz vereint die Vorteile beider Welten.

Wie lange dauert eine ISO-27001-Zertifizierung?

Der typische Zeitrahmen liegt bei 6‑12 Monaten vom Projektstart bis zum erfolgreichen Stage-2-Audit. Die Dauer hängt vom aktuellen Reifegrad, dem Geltungsbereich und den verfügbaren internen Ressourcen ab. Unternehmen mit einem bestehenden Managementsystem (z.B. ISO 9001) können oft schneller zertifiziert werden, da Strukturen wie internes Audit und Management Review bereits etabliert sind.

Was kostet der ISMS-Aufbau und die Zertifizierung?

Die reinen Zertifizierungskosten (Auditor-Gebühren) liegen je nach Unternehmensgröße und Scope bei 10.000‑30.000 EUR. Der größere Investitionsblock ist die Vorbereitung: interne Ressourcen, Beratung, Tool-Einführung und Schulungen. Ein realistisches Gesamtbudget für ein mittelständisches Unternehmen liegt bei 50.000‑150.000 EUR. ADVISORI hilft, dieses Budget effizient einzusetzen und Overengineering zu vermeiden.

Ist ISO 27001 Pflicht durch NIS2?

NIS2 schreibt kein spezifisches Framework vor, fordert aber ein systematisches Risikomanagement, Incident-Management, Supply-Chain-Sicherheit und Governance-Strukturen, alles Kernelemente eines ISMS nach ISO 27001. In der Praxis ist eine ISO‑27001-Zertifizierung der effizienteste Weg, NIS2-Compliance nachzuweisen. Zudem verlangt die Geschäftsleitung persönliche Verantwortung für Cybersicherheit, ein weiterer Grund für ein strukturiertes ISMS.

Was ändert sich mit der ISO 27001:2022 gegenüber 2013?

Die wesentlichen Änderungen betreffen Annex A: Statt 114 Controls in 14 Gruppen gibt es nun 93 Controls in 4 Kategorien (organisatorisch, personell, physisch, technologisch). 11 neue Controls wurden eingeführt, darunter Threat Intelligence, Cloud Security, ICT Readiness for Business Continuity und Data Masking. Die Transition-Deadline war der 31. Oktober 2025, Zertifizierungen nach der 2013er-Version sind nicht mehr gültig.

Was ist TISAX und brauchen wir das?

TISAX (Trusted Information Security Assessment Exchange) ist der Informationssicherheitsstandard der Automobilindustrie, basierend auf dem VDA ISA-Fragebogen. Wenn Sie Zulieferer oder Dienstleister für OEMs wie VW, BMW oder Mercedes sind, ist ein TISAX-Assessment in der Regel Voraussetzung für die Zusammenarbeit. TISAX und ISO 27001 haben große Überschneidungen, ein bestehendes ISMS erleichtert die TISAX-Readiness erheblich.