Wie lange dauert eine ISMS-Einführung?

Das hängt vor allem vom Geltungsbereich ab. Wichtig ist auch, wie viel Sie schon dokumentiert haben. Ein kleines Unternehmen mit klar begrenztem Umfang ist deutlich schneller fertig. Mehrere Standorte mit eigenen Abläufen brauchen länger. Nach der Bestandsaufnahme nennen wir Ihnen einen belastbaren Zeitrahmen statt einer Hausnummer.

Welcher Aufwand fällt bei uns intern an?

Der meiste Aufwand steckt in Risikoanalyse, Dokumentation und Umsetzung. Dort brauchen wir Ihre Fachleute. Nur sie wissen, wie Ihre Abläufe wirklich laufen. Wir bringen Methode, Vorlagen und Struktur mit. So fängt Ihr Team nicht bei null an. Den genauen Aufwand schätzen wir nach der Bestandsaufnahme.

Was kostet die externe Begleitung?

Das hängt vom Geltungsbereich ab, von Ihrem Stand und davon, wie viel Sie selbst machen wollen. Zuerst gibt es ein kostenloses Gespräch. Danach erhalten Sie ein Angebot mit klar getrennten Paketen. Preise auf Anfrage.

Was kostet eine ISO-27001-Zertifizierung?

Die Kosten setzen sich aus mehreren Teilen zusammen. Die Zertifizierungsstelle berechnet die Audittage. Wie viele es sind, hängt vor allem von der Zahl der Mitarbeitenden und vom Geltungsbereich ab. Dazu kommen Ihr interner Aufwand, gegebenenfalls externe Beratung und Kosten für fehlende Maßnahmen. Planen Sie auch die jährlichen Überwachungsaudits ein. Eine belastbare Schätzung für Ihr Unternehmen erhalten Sie nach der Bestandsaufnahme.

Wie lange gilt ein ISO-27001-Zertifikat?

Ein Zertifikat gilt drei Jahre. In dieser Zeit prüft die Zertifizierungsstelle jedes Jahr in einem Überwachungsaudit, ob das ISMS weiter wirkt. Nach drei Jahren folgt die Rezertifizierung.

Bekommen wir das Zertifikat von Ihnen?

Nein, und das ist gut so. Wir beraten Sie. Das Zertifikat stellen akkreditierte Stellen aus, etwa DEKRA, TÜV, DQS oder DNV. Wer berät und zugleich zertifiziert, hat einen Interessenkonflikt. Wir bereiten Sie auf die Audits vor und sitzen mit am Tisch.

Wird ein ISMS im NIS2-Kontext anerkannt?

Ein ISMS nach ISO 27001 deckt einen großen Teil der Pflichten aus Artikel 21 NIS2 ab. Dort geht es um den Umgang mit Risiken. Wir nutzen eine Zuordnung, die jede NIS2-Pflicht einer Maßnahme gegenüberstellt. So sehen Sie auch, wo noch etwas fehlt.

Wir haben schon ein ISMS, das nicht funktioniert. Helfen Sie auch da?

Ja. Ein steckengebliebenes ISMS müssen Sie nicht neu beginnen. Es braucht eine ehrliche Bestandsaufnahme. Was ist brauchbar? Was ist Papier ohne Wirkung? Wo hakt es in der Organisation? Danach ordnen wir neu und retten, was trägt.

IT Security Management Systeme

ISO 27001:2022 · BSI IT-Grundschutz · TISAX

Ein ISMS einführen – Schritt für Schritt zum Zertifikat.

Wir begleiten Ihr ISMS vom ersten Festlegen des Umfangs bis zur externen Zertifizierung. Mit klarer Methode und gut planbar. Wir beraten nicht nur, wir packen auch selbst mit an.

Roadmap-Workshop anfragen Vorgehen ansehen

ISO 27001:2022

international anerkannt

BSI IT-Grundschutz

Behörden und KRITIS

TISAX

Automotive-Lieferkette

93 Controls

im Annex A der ISO 27001

Wann Sie ein ISMS brauchen

Meist kommt der Anstoß von außen. Dann steht der Zeitplan schon fest.

Kunden und Lieferkette verlangen den Nachweis

Immer öfter fordern Rahmenverträge und Fragebögen für Lieferanten das Zertifikat. Ohne Nachweis fallen Sie aus der Vorauswahl. Über Ihr Angebot spricht dann niemand mehr.

NIS2 nimmt die Geschäftsleitung in die Pflicht

Artikel 21 verlangt passende Maßnahmen gegen Risiken. Die Verantwortung liegt ausdrücklich bei der Leitung. Mit einem ISMS erfüllen Sie diese Pflicht geordnet und können es belegen.

TISAX in der Automobil-Lieferkette

Sie verarbeiten Entwicklungs- oder Prototypdaten von Autoherstellern? Dann brauchen Sie die TISAX-Prüfung. Vieles davon lässt sich auf ISO 27001 aufbauen. Sie müssen es nicht getrennt einrichten.

Versicherung und Ausschreibungen

Cyber-Versicherer und öffentliche Auftraggeber wollen immer öfter belegte Abläufe sehen. Eine Liste installierter Produkte reicht ihnen nicht. Ein ISMS liefert genau diese Nachweise.

Erst einmal: Was ein ISMS überhaupt ist

Was wir übernehmen

Sechs Pakete. Sie entscheiden, welche Sie selbst übernehmen.

Umfang und Bestandsaufnahme

Wir legen den Geltungsbereich fest und klären, wer beteiligt ist. Dann gleichen wir mit dem gewählten Standard ab. Am Ende steht eine Liste, was fehlt. Sie sehen auch, was Sie längst haben, nur unter anderem Namen.

Risiko-Methodik und Inventar

Eine Methode, die Ihr Team auch nach dem Audit nutzt. Dazu eine Liste Ihrer Werte wie Systeme und Daten und wie viel Schutz sie brauchen. Kein Tabellenmonster, das nach der Zertifizierung keiner mehr anfasst.

Dokumentation

Leitlinie, Richtlinien und Arbeitsanweisungen auf Basis bewährter Vorlagen. Wir passen sie an Ihr Unternehmen an. Sie bekommen keine lose Sammlung von Textbausteinen.

Maßnahmen umsetzen

Wir begleiten technische und organisatorische Maßnahmen. Wir setzen selbst um, stimmen Dienstleister ab oder steuern Ihr Team. Das richtet sich danach, was bei Ihnen passt.

Awareness und Schulung

Wir bauen ein Schulungsprogramm auf, erstellen Material und führen die erste Runde durch. Die Wirkung belegen wir so, dass es im Audit standhält.

Zertifizierung vorbereiten

Internes Audit, Bewertung durch die Leitung und ein Probe-Audit mit einer externen Stelle. Beim Zertifizierungs-Audit sitzen wir mit am Tisch.

Der Weg zum Zertifikat

Sechs Phasen, die aufeinander aufbauen. Die Dauer hängt von Umfang und Ihrem Stand ab. Wir schätzen sie nach der Bestandsaufnahme, statt vorher eine Zahl zu nennen.

Bestandsaufnahme

Wo stehen Sie wirklich? Wir gleichen mit dem Standard ab. Sie erhalten eine ehrliche Liste der Lücken und eine grobe Schätzung des Aufwands.

Umfang und Leitlinie

Der Geltungsbereich wird schriftlich festgelegt. Die Geschäftsleitung gibt die Leitlinie frei. Rollen und Zuständigkeiten werden benannt.

Risikoanalyse und Inventar

Wir erfassen Ihre Werte und klären, wie viel Schutz sie brauchen. Dann bewerten und behandeln wir die Risiken. Dieser Schritt kostet am meisten Zeit und bringt am meisten.

Dokumentation und Maßnahmen

Richtlinien schreiben, Maßnahmen umsetzen, Nachweise sammeln. Das läuft großteils parallel zum vorigen Schritt.

Internes Audit und Management-Review

Selbst prüfen, bevor jemand anders prüft. Fehler abstellen, Wirkung belegen, die Leitung einbinden.

Zertifizierungs-Audit

Stufe 1 prüft die Dokumentation, Stufe 2 die gelebte Praxis. Wir begleiten beide Termine und die Nachbereitung.

ISO 27001 oder BSI IT-Grundschutz?

Das hängt von Ihren Kunden und Ihrer Branche ab, nicht von der Vorliebe des Beraters.

Vergleich zwischen ISO 27001 und BSI IT-Grundschutz
	ISO 27001:2022	BSI IT-Grundschutz
Anerkennung	International, für alle Branchen	Deutschsprachiger Raum, stark im öffentlichen Sektor
Detailtiefe	Ein Rahmen, die Details legen Sie fest	Sehr konkrete Bausteine und Anforderungen
Typische Nachfrage	Kunden, Ausschreibungen, Lieferkette	Behörden, KRITIS-Betreiber, öffentliche Auftraggeber
Zertifizierungsstelle	Akkreditierte Stellen wie DEKRA, TÜV, DQS, DNV	Vom BSI zertifizierte Auditoren
NIS2-Anrechnung	Deckt einen großen Teil von Artikel 21 ab	Deckt Artikel 21 ab, mit deutlich mehr Detailvorgaben

Was Sie erhalten

ISMS-Handbuch, das Ihr Unternehmen beschreibt statt einer Musterfirma
Risiko-Register mit einer Methode, die Ihr Team weiterführen kann
Erklärung zur Anwendbarkeit (welche Maßnahmen für Sie gelten)
Vollständiges Paket an Richtlinien, passend zu Ihren Abläufen
Schulungsprogramm mit Nachweis, dass es wirkt
Interner Auditbericht und belegte Bereitschaft für die Zertifizierung

Wer die Rolle besetzt

Ein ISMS braucht eine verantwortliche Person. Fehlt Ihnen intern jemand, übernehmen wir die Rolle des Beauftragten für Sicherheit (ISB). Wir tun das extern und unabhängig vom IT-Betrieb.

Externer ISB

Werkzeug statt Tabellen

Sie wollen die Pflichten mit Software steuern? Dann gibt es SecTepe.Core, unsere Plattform für ISMS und GRC aus der EU. Pflicht ist sie nicht. Ein ISMS funktioniert auch ohne unser Produkt.

SecTepe.Core ansehen

Häufig gestellte Fragen

Wie lange dauert eine ISMS-Einführung?: Das hängt vor allem vom Geltungsbereich ab. Wichtig ist auch, wie viel Sie schon dokumentiert haben. Ein kleines Unternehmen mit klar begrenztem Umfang ist deutlich schneller fertig. Mehrere Standorte mit eigenen Abläufen brauchen länger. Nach der Bestandsaufnahme nennen wir Ihnen einen belastbaren Zeitrahmen statt einer Hausnummer.
ISO 27001 oder BSI IT-Grundschutz?: ISO 27001 ist international anerkannt und passt für jede Branche. Für die meisten Unternehmen ist sie die richtige Wahl. Das gilt vor allem, wenn Kunden oder Ausschreibungen den Nachweis verlangen. Der IT-Grundschutz des BSI geht tiefer ins Detail und ist deutsch geprägt. Behörden, KRITIS-Betreiber und der öffentliche Sektor erwarten ihn oft. Wir entscheiden das mit Ihnen nach Ihren Kunden, nicht nach unserer Vorliebe.
Welcher Aufwand fällt bei uns intern an?: Der meiste Aufwand steckt in Risikoanalyse, Dokumentation und Umsetzung. Dort brauchen wir Ihre Fachleute. Nur sie wissen, wie Ihre Abläufe wirklich laufen. Wir bringen Methode, Vorlagen und Struktur mit. So fängt Ihr Team nicht bei null an. Den genauen Aufwand schätzen wir nach der Bestandsaufnahme.
Was kostet die externe Begleitung?: Das hängt vom Geltungsbereich ab, von Ihrem Stand und davon, wie viel Sie selbst machen wollen. Zuerst gibt es ein kostenloses Gespräch. Danach erhalten Sie ein Angebot mit klar getrennten Paketen. Preise auf Anfrage.
Was kostet eine ISO-27001-Zertifizierung?: Die Kosten setzen sich aus mehreren Teilen zusammen. Die Zertifizierungsstelle berechnet die Audittage. Wie viele es sind, hängt vor allem von der Zahl der Mitarbeitenden und vom Geltungsbereich ab. Dazu kommen Ihr interner Aufwand, gegebenenfalls externe Beratung und Kosten für fehlende Maßnahmen. Planen Sie auch die jährlichen Überwachungsaudits ein. Eine belastbare Schätzung für Ihr Unternehmen erhalten Sie nach der Bestandsaufnahme.
Wie lange gilt ein ISO-27001-Zertifikat?: Ein Zertifikat gilt drei Jahre. In dieser Zeit prüft die Zertifizierungsstelle jedes Jahr in einem Überwachungsaudit, ob das ISMS weiter wirkt. Nach drei Jahren folgt die Rezertifizierung.
Bekommen wir das Zertifikat von Ihnen?: Nein, und das ist gut so. Wir beraten Sie. Das Zertifikat stellen akkreditierte Stellen aus, etwa DEKRA, TÜV, DQS oder DNV. Wer berät und zugleich zertifiziert, hat einen Interessenkonflikt. Wir bereiten Sie auf die Audits vor und sitzen mit am Tisch.
Wird ein ISMS im NIS2-Kontext anerkannt?: Ein ISMS nach ISO 27001 deckt einen großen Teil der Pflichten aus Artikel 21 NIS2 ab. Dort geht es um den Umgang mit Risiken. Wir nutzen eine Zuordnung, die jede NIS2-Pflicht einer Maßnahme gegenüberstellt. So sehen Sie auch, wo noch etwas fehlt.
Wir haben schon ein ISMS, das nicht funktioniert. Helfen Sie auch da?: Ja. Ein steckengebliebenes ISMS müssen Sie nicht neu beginnen. Es braucht eine ehrliche Bestandsaufnahme. Was ist brauchbar? Was ist Papier ohne Wirkung? Wo hakt es in der Organisation? Danach ordnen wir neu und retten, was trägt.

Lassen Sie uns Ihre ISMS-Roadmap zeichnen.

Wir besprechen Ziel, Standard und Zeitplan in einem Workshop. Das ist kostenfrei und unverbindlich.

Roadmap-Workshop anfragen

So arbeiten wir mit Ihnen zusammen

Wir wollen lange mit Ihnen arbeiten, nicht nur einmal liefern. Unser Weg hat vier Schritte. So wissen Sie stets, was als Nächstes kommt, wer was macht und was am Ende steht.

1. Erstes Gespräch, kostenlos

Wir lernen Ihre Lage und Ihre Ziele kennen. In 30 bis 45 Minuten prüfen wir, ob wir zu Ihnen passen. Wir zeigen Wege auf und klären Ihre Fragen.

2. Bestandsaufnahme

Wir prüfen, wo Sie heute stehen: bei Technik, Abläufen und Vorgaben. Sie bekommen eine Liste mit Stärken und Lücken, nach Dringlichkeit sortiert. Darauf baut unser Angebot auf.

3. Umsetzung mit festem Kontakt

Eine erfahrene Leitung führt Sie durch das Projekt. Es gibt klare Ziele, einen offenen Plan für Zeit und Kosten und jede Woche einen Stand. Alle Ergebnisse sind dokumentiert und gehören Ihnen.

4. Betrieb und Prüfung

Nach dem Projekt bleiben wir an Ihrer Seite. Wir betreiben Systeme für Sie, prüfen sie in festen Abständen und behalten offene Punkte im Blick. Bei neuen Gefahren oder neuen Regeln melden wir uns von selbst.