ISMS nach ISO 27001:2022, von der Gap-Analyse bis zur Zertifizierung
Ein ISMS ist kein Papiertiger, es ist das operative Rückgrat Ihrer Informationssicherheit.
Die ISO 27001:2022 hat die Spielregeln neu definiert: 93 Controls in 4 Kategorien (organisatorisch, personell, physisch, technologisch) ersetzen die bisherigen 114 Controls in 14 Gruppen. 11 neue Controls, darunter Threat Intelligence, Cloud Security und Data Masking, spiegeln aktuelle Bedrohungslagen wider. Die Transition-Deadline war Oktober 2025, doch viele Unternehmen kämpfen noch mit der Umsetzung.
6 Leistungsbausteine
Einzeln buchbar oder als durchgängiges Programm.
Vollständiger Aufbau eines ISMS von der Risikomethodik über Richtlinien und Prozesse bis zu technischen Controls. Inklusive Statement of Applicability, Asset-Management und Dokumentationsframework, zertifizierungsreif in 6-12 Monaten.
Ihr bestehendes ISMS auf ISO 27001:2022 migrieren: Mapping der neuen 93 Controls, Integration der 11 neuen Anforderungen (Threat Intelligence, Cloud Security, ICT Readiness for Business Continuity) und Schließen von Audit-Findings.
Von der Pre-Audit-Readiness-Prüfung über die Stage-1-Dokumentenreview bis zur Stage-2-Begleitung vor Ort. Wir kennen die typischen Stolperfallen und bereiten Sie gezielt vor, inklusive Nachbereitung bei Minor/Major Non-Conformities.
Für Automotive-Zulieferer: Vorbereitung auf das TISAX-Assessment nach VDA ISA. Wir identifizieren die Deltas zwischen Ihrem bestehenden ISMS und den TISAX-spezifischen Anforderungen (Prototypenschutz, Datenschutz, Anbindung an OEM-Prozesse).
Nahtlose Integration Ihres ISMS in bestehende ISO-9001- oder ISO-14001-Systeme. Harmonisierung von Dokumentation, Audit-Zyklen und Management Reviews, für ein integriertes Managementsystem ohne Doppelarbeit.
Alternative oder Ergänzung zu ISO 27001: Aufbau eines ISMS nach BSI IT-Grundschutz-Kompendium. Besonders relevant für KRITIS-Betreiber und öffentliche Einrichtungen, die den BSI-Standard als Nachweis benötigen.
6 Phasen
Jedes Unternehmen ist anders, Ihr ISMS muss das widerspiegeln. Wir arbeiten iterativ, pragmatisch und immer mit Blick auf die Zertifizierung.
Bewertung des Ist-Zustands gegen ISO 27001:2022, Identifikation kritischer Lücken und Definition des ISMS-Geltungsbereichs
Systematische Risikoanalyse und Ableitung der anwendbaren Controls aus Annex A
Aufbau von Richtlinien, Prozessen und technischen Kontrollen, abgestimmt auf Ihre IT-Landschaft und Organisation
Security-Kultur verankern, vom Vorstand bis zum Werkstudenten
Prüfung der ISMS-Wirksamkeit und Vorbereitung auf das externe Zertifizierungsaudit
Stage 1 + Stage 2 Audit-Vorbereitung, Begleitung vor Ort und Nachbereitung von Findings
Ansprechpartner
Sarah Richter
Head of Informationssicherheit, Cyber Security
10+ Jahre Erfahrung, CISA, CISM, Lead Auditor, DORA, NIS2, BCM, Cyber- und Informationssicherheit
6 FRAGEN, KURZ BEANTWORTET
ISO 27001 ist ein internationaler Standard mit risikobasiertem Ansatz, Sie definieren selbst, welche Controls relevant sind. BSI IT-Grundschutz ist detaillierter und gibt konkrete Maßnahmen vor (Bausteine). ISO 27001 ist global anerkannt und eignet sich für internationale Unternehmen. BSI IT-Grundschutz ist besonders in Deutschland verbreitet, vor allem bei KRITIS-Betreibern und Behörden. Beide lassen sich kombinieren: Eine ISO‑27001-Zertifizierung auf Basis von IT-Grundschutz vereint die Vorteile beider Welten.
Der typische Zeitrahmen liegt bei 6‑12 Monaten vom Projektstart bis zum erfolgreichen Stage-2-Audit. Die Dauer hängt vom aktuellen Reifegrad, dem Geltungsbereich und den verfügbaren internen Ressourcen ab. Unternehmen mit einem bestehenden Managementsystem (z.B. ISO 9001) können oft schneller zertifiziert werden, da Strukturen wie internes Audit und Management Review bereits etabliert sind.
Die reinen Zertifizierungskosten (Auditor-Gebühren) liegen je nach Unternehmensgröße und Scope bei 10.000‑30.000 EUR. Der größere Investitionsblock ist die Vorbereitung: interne Ressourcen, Beratung, Tool-Einführung und Schulungen. Ein realistisches Gesamtbudget für ein mittelständisches Unternehmen liegt bei 50.000‑150.000 EUR. ADVISORI hilft, dieses Budget effizient einzusetzen und Overengineering zu vermeiden.
NIS2 schreibt kein spezifisches Framework vor, fordert aber ein systematisches Risikomanagement, Incident-Management, Supply-Chain-Sicherheit und Governance-Strukturen, alles Kernelemente eines ISMS nach ISO 27001. In der Praxis ist eine ISO‑27001-Zertifizierung der effizienteste Weg, NIS2-Compliance nachzuweisen. Zudem verlangt die Geschäftsleitung persönliche Verantwortung für Cybersicherheit, ein weiterer Grund für ein strukturiertes ISMS.
Die wesentlichen Änderungen betreffen Annex A: Statt 114 Controls in 14 Gruppen gibt es nun 93 Controls in 4 Kategorien (organisatorisch, personell, physisch, technologisch). 11 neue Controls wurden eingeführt, darunter Threat Intelligence, Cloud Security, ICT Readiness for Business Continuity und Data Masking. Die Transition-Deadline war der 31. Oktober 2025, Zertifizierungen nach der 2013er-Version sind nicht mehr gültig.
TISAX (Trusted Information Security Assessment Exchange) ist der Informationssicherheitsstandard der Automobilindustrie, basierend auf dem VDA ISA-Fragebogen. Wenn Sie Zulieferer oder Dienstleister für OEMs wie VW, BMW oder Mercedes sind, ist ein TISAX-Assessment in der Regel Voraussetzung für die Zusammenarbeit. TISAX und ISO 27001 haben große Überschneidungen, ein bestehendes ISMS erleichtert die TISAX-Readiness erheblich.
Unsere Kunden vertrauen auf unsere Expertise in digitaler Transformation, Informationssicherheit, Compliance und Risikomanagement
Vereinbaren Sie jetzt ein strategisches Beratungsgespräch mit unseren Experten
30 Minuten • Unverbindlich • Sofort verfügbar
Direkte Hotline für Entscheidungsträger
Strategische Anfragen per E-Mail
Für komplexe Anfragen oder wenn Sie spezifische Informationen vorab übermitteln möchten