Trupeer Blog
Zusammenfassen
ISO 27001 ist der globale Standard für Informationssicherheits-Managementsysteme, und laut der Umfrage 2024 wurde er von 96.709 gültigen Zertifikaten über 179.877 zertifizierte Standorte weltweit eingesetzt. Die ISO Survey 2025 beziffert den Wert auf etwa 125.600 Zertifikate. Dieses Ausmaß sagt Ihnen die leise Wahrheit: Das ist kein Nischen-Badge mehr, sondern die Betriebssprache, die viele Käufer heute für den Umgang mit sensiblen Unternehmensinformationen erwarten.
Nach meiner Erfahrung ist die eigentliche Frage nicht, ob die ISO-27001-Standards wichtig sind, sondern ob Ihr Team die Beweiskette intakt halten kann, wenn der Auditor anfängt, unangenehme Fragen zu stellen. Die Formulierung der Klauseln ist der einfache Teil. Der schwierige Teil ist, Woche für Woche nachzuweisen, dass Ihre Kontrollen, Aufzeichnungen und Freigaben wirklich zusammenpassen.
Kurzantwort: ISO 27001 ist der internationale Standard für ein Informationssicherheits-Managementsystem (ISMS). Um sich zertifizieren zu lassen, definieren Sie den Geltungsbereich, führen eine Risikobewertung durch, wählen Kontrollen aus den 93 in Anhang A aus und begründen sie in einer Erklärung zur Anwendbarkeit (Statement of Applicability), implementieren und dokumentieren sie, führen ein internes Audit und ein Management-Review durch und bestehen dann ein Audit der Stufe 1 und Stufe 2 durch eine akkreditierte Zertifizierungsstelle. Das Zertifikat gilt drei Jahre, mit Überwachungsaudits in den Jahren eins und zwei.
Inhaltsverzeichnis
Warum ISO-27001-Standards zu einer geschäftlichen Notwendigkeit geworden sind
Die entscheidende Rolle von Risikobewertung und Dokumentation
Warum ISO-27001-Standards zu einer geschäftlichen Notwendigkeit geworden sind
ISO 27001 ist vom Differenzierungsmerkmal zur Basis geworden, insbesondere im Enterprise-Vertrieb. Die Anzahl der Zertifikate hat sich zwischen 2023 und 2024 nahezu verdoppelt, von 48.671 auf 96.709 – das macht diese Entwicklung schwer zu übersehen (ISMS.online-Zertifizierungsüberblick). Ein Teil dieses Sprungs spiegelt eine Änderung wider, wie ISO die Daten erfasst: Die Umfrage 2024 stellte auf aggregierte IAF-CertSearch-Datensätze um, aber der Wachstumstrend ist real.
Ich habe gesehen, wie Teams Zertifizierung zuerst als Sicherheitsprojekt behandeln. Diese Einordnung verfehlt, wie Käufer sie nutzen. ISO 27001 ist ein Vertrauenssignal, das in der Beschaffung, bei Anbieterbewertungen und beim Onboarding von Partnern sichtbar wird. Wenn ein Sicherheitsfragebogen auf dem Schreibtisch eines Sales Engineers landet, hilft das Zertifikat – aber der schwierigere Gewinn ist der Nachweis, dass die Kontrollen aktiv sind, nicht als PDF eingefroren. Diese Art von Nachweisen präsentieren wir im Trupeer Trust Center, als ISO-27001- und SOC-2-Type-II-zertifiziertes Unternehmen, weil Käufer Belege sehen wollen, die sie prüfen können – nicht Versprechen, die sie im Glauben annehmen müssen.
Was sich im Käuferverhalten verändert hat
Vor ein paar Jahren behandelten einige SaaS-Unternehmen Zertifizierung noch als „nice-to-have“ im Marketing. Diese Haltung ist heute schwächer. Aktuelle Benchmark-Daten zeigen, dass 81% der Organisationen für 2025 eine aktuelle oder geplante ISO-27001-Zertifizierung gemeldet haben, gegenüber 67% im Jahr 2024. Käufer behandeln den Standard also zunehmend als Teil des Mindestpakets (CNIC Solutions Compliance-Statistiken).
Praktische Regel: Wenn ein Interessent ein Zertifikat anfordert, interessiert ihn in der Regel sogar noch mehr Ihre betriebliche Disziplin, Ihre Nachweise, Ihre Review-Taktung und wer das ISMS im Tagesgeschäft verantwortet.
Ich habe SaaS-Teams dabei beobachtet, wie sie hier Zeit verlieren. Sie hatten eine polierte Sicherheitsseite, aber die internen Aufzeichnungen waren verstreut. Der Sales Cycle verlangsamte sich, weil sie Folgefragen nicht schnell genug beantworten konnten. Das Zertifikat öffnete die Tür – dann zeigte sich das Problem des Nachweismanagements im Flur.
Der beste Weg, ISO-27001-Standards zu lesen, ist als ein System für betriebliche Kontrollen. Es gibt Enterprise-Beschaffung, Legal und Security-Reviewer einen gemeinsamen Rahmen, und es zwingt Ihr eigenes Team dazu, den Prozess ehrlich zu halten.
Wo der geschäftliche Nutzen sichtbar wird
Vertrauen beim Anbieter: Ein Zertifikat reduziert Reibung, wenn ein Käufer eine formale Sicherheitsbestätigung benötigt.
Betriebliche Disziplin: Das ISMS zwingt zu benannten Verantwortlichen, regelmäßigen Reviews und nachvollziehbaren Entscheidungen.
Vertriebskontinuität: Sicherheitsreviews kommen seltener zum Stillstand, wenn die Nachweise bereits organisiert sind.
Vertragsbereitschaft: Sicherheitszusagen hören auf, in E-Mail-Threads zu leben, und beginnen, in kontrollierten Dokumenten zu leben.
Eine Cloud-Plattform kann das erste Sicherheitsreview schnell bestehen, weil die Antworten bereit sind. Sechs Monate später fragt derselbe Käufer nach aktualisierten Nachweisen zur Zugriffskontrolle, und das Team gerät in Stress, weil Screenshots in Slack leben, Richtlinien in Drive und Trainingsnachweise im Posteingang von jemandem. Diese Lücke ist es, die Zertifizierung sichtbar macht.
Der Punkt ist direkt. ISO 27001 geht nicht mehr nur darum zu beweisen, dass Sie Sicherheit ernst nehmen – es geht darum zu beweisen, dass Sie Sicherheit als wiederholbaren Geschäftsprozess betreiben können.
Die Struktur von ISO-27001-Standards verstehen
Der moderne Standard ist um ein ISMS plus ein risikobasiertes Kontrollset herum aufgebaut. In der Revision von 2022 enthält Anhang A 93 Kontrollen, gruppiert in vier Themen: organisatorisch, Personen, physisch und technologisch (ISMS.online-Anhang-A-Überblick).
Ich mag diese Struktur, weil sie verhindert, dass Teams Sicherheit wie eine zufällige Checkliste behandeln. Sie sollen nicht jede mögliche Kontrolle in den Geltungsbereich stopfen. Sie sollen – basierend auf dem Risiko – entscheiden, was für Ihre Umgebung sinnvoll ist, und diese Entscheidungen dann in der Erklärung zur Anwendbarkeit begründen.
Wie die vier Kontrollthemen in der Praxis funktionieren
Die vier Themen sind wichtig, weil sie das Kontrollset operativ konkreter machen. Organisatorische Kontrollen befassen sich mit Governance und Prozessen. Kontrollen für Personen decken Verhalten, Awareness und Verantwortlichkeiten ab. Physische Kontrollen schützen Einrichtungen und Assets, während technologische Kontrollen sich mit Systemen, Software und technischen Schutzmaßnahmen befassen (ISTO-Überblick zu Änderungen bei ISO 27001).
Diese Struktur ist der Grund, warum Cloud-Entscheidungen und Entscheidungen zum Software-Lifecycle nicht vage bleiben dürfen. Wenn Ihr Engineering-Team nicht verwaltete Services nutzt oder wenn Ihr Support-Team Screenshots in persönlichen Ordnern speichert, zeigen sich diese Gewohnheiten früher oder später in der SoA. Der Standard drängt Sie, die Entscheidung explizit zu machen.
Was normalerweise kaputtgeht: Teams mappen Kontrollen auf Papier, übersetzen sie aber nie in Verantwortlichkeiten, Review-Daten und tatsächliche Nachweise. Auditoren erkennen diese Lücke schnell.
Hier ist der Teil, den viele Implementierungen meiner Meinung nach unterschätzen. Anhang A ist nicht der ganze Standard. Er unterstützt das System, aber die tatsächliche Zertifizierungsposition hängt davon ab, ob Ihre Governance, Dokumentation und Review-Prozesse zeigen können, dass die Kontrollen ausgewählt, erklärt und gepflegt werden.
Die interne Logik, die Auditoren erwarten
Ein hilfreiches Denkmodell ist: Risiko liefert die Grundlage für Kontrollen, Kontrollen liefern die Grundlage für Verfahren, Verfahren erzeugen Nachweise. Wenn eine dieser Ebenen fehlt, beginnt das System zu wackeln. Deshalb ist die SoA so wichtig: Sie verknüpft die abstrakte Kontrollliste mit der Art, wie Ihr Unternehmen in der Praxis arbeitet. Die gleiche Disziplin bei Nachweisen gilt auch für SOC 2, wie in was SOC 2 compliance ist beschrieben.
Ebene | Was sie macht | Häufiger Fehler |
|---|---|---|
Risikokontext | Definiert, was zählt | Geltungsbereich ist zu vage |
Erklärung zur Anwendbarkeit | Begründet die gewählten Kontrollen | Ausschlüsse werden nicht erklärt |
Verfahren und Aufzeichnungen | Belegen, dass die Kontrollen funktionieren | Nachweise sind verstreut |
Review-Zyklus | Hält das ISMS am Leben | Jährliche Checklisten ersetzen kontinuierliche Aufsicht |
Ich habe gesehen, wie Teams die Struktur wie Papierkram behandeln. Das ist ein Fehler. Die Architektur ist die Beweiskette.
Wenn Sie einen praktischen Begleiter für die Dokumentationsstruktur brauchen, ist dieser Leitfaden zu ISO-konformen Arbeitsanweisungsformaten ein hilfreicher Bezugspunkt, um Prozesse in etwas zu verwandeln, dem Menschen folgen können.
Die Quintessenz ist einfach. ISO-27001-Standards funktionieren, weil das Kontrollset organisiert ist – aber Zertifizierung gilt nur dann, wenn die Organisation zeigen kann, warum jede Entscheidung getroffen wurde und wie sie aktuell bleibt.
Den ISO-27001-Zertifizierungsprozess navigieren
Zertifizierung ist ein Drei-Jahres-Zyklus, kein einmaliges Ereignis. Das Zertifikat gilt drei Jahre, mit Überwachungsaudits in den Jahren eins und zwei und einem vollständigen Rezertifizierungsaudit im dritten Jahr (SIDD Swiss-Überblick zur Rezertifizierung).
Ich habe viele Teams gesehen, die Budget für den Launch eingeplant haben und dann die Wartung vergessen. Genau dort werden sie eingebremst. Der jährliche Audit-Rhythmus bedeutet, dass Ihre Nachweise zwischen den Meilensteinen nicht veralten können, weil der Auditor prüft, ob das ISMS noch betrieben wird – nicht ob es einmal in einer Präsentation gut aussah.
Die praktische Audit-Reihenfolge
Der Prozess beginnt in der Regel mit Vorbereitungsarbeiten: Das Team schließt offensichtliche Lücken und stellt die Kern-Dokumentation zusammen. Danach kommt Stufe 1, die hauptsächlich eine Dokumentenprüfung ist, und Stufe 2, in der der Auditor prüft, ob das ISMS wie beschrieben betrieben wird. Anschließend halten die Überwachungsaudits den Druck auf das System aufrecht, damit es nicht verfällt.
Der Zeitpunkt ist genauso wichtig wie die Reihenfolge. Unabhängige Zusammenfassungen beschreiben Überwachungsaudits typischerweise rund um die 12-Monats- und 24-Monats-Marken, wobei die Rezertifizierung abgeschlossen sein muss, bevor das Zertifikat abläuft (Hinweise zu Überwachungsaudits).
Ein einfacher Planungsüberblick
Vor Stufe 1: Geltungsbereich, Richtlinien, Risikomethode und Ihre Kern-Dokumente festlegen.
Zwischen Stufe 1 und Stufe 2: die Lücken beheben, die die Zertifizierungsstelle meldet, und Nachweise für die Umsetzung sammeln.
Während der Überwachungsjahre: interne Audits, Management-Reviews und Korrekturmaßnahmen aktuell halten.
Vor dem dritten Jahr: Rezertifizierung als Projekt behandeln, nicht als Kalendererinnerung.
Wenn Sie warten, bis der Auditor Nachweise anfordert, sind Sie bereits im Rückstand.
Ein gutes Beispiel ist ein SaaS-Unternehmen mit starker Engineering-Disziplin, aber schwacher Compliance-Taktung. Es kann Stufe 2 bestehen und gerät dann sechs Monate später in Schwierigkeiten, weil Mitarbeiter-Trainingsnachweise, Zugriffsreviews und Protokolle des Management-Reviews nicht an einem konsistenten Ort gepflegt wurden. Das Ergebnis ist kein technisches Versagen. Es ist ein Versagen im betrieblichen Rhythmus.
Auch die interne Dokumentationsseite ist hier wichtig. Eine Prozessnotiz dazu, wie Audit-Firmen Prozesse für regulatorische Einreichungen dokumentieren, kann Teams helfen zu verstehen, warum Auditoren so viel Wert auf Konsistenz und Nachvollziehbarkeit legen.
Die Quintessenz ist, dass ISO-27001-Zertifizierung Teams belohnt, die für den gesamten Drei-Jahres-Lifecycle planen. Wenn Sie es wie ein einzelnes Ereignis behandeln, werden Sie die nächsten zwei Jahre damit verbringen, aufzuholen.
Die entscheidende Rolle von Risikobewertung und Dokumentation
Klausel 6.1 macht ISO 27001 zu einem risikobasierten Managementsystem. Organisationen müssen Risikokriterien definieren, Informationssicherheitsrisiken anhand von Wahrscheinlichkeit und Auswirkung bewerten und dann Behandlungsoptionen wie mindern, übertragen, akzeptieren oder vermeiden auswählen (Klausel 6.1 Risk Planning).
Ich bin hier bewusst deutlich, weil genau dort die meisten schwachen Implementierungen auseinanderbrechen. Teams haben oft solide Richtlinien, können aber nicht erklären, wie ein Asset zu einer Risikobewertung wurde, wie diese Bewertung zu einer Kontrolle führte oder warum eine Kontrolle ausgeschlossen wurde. Auditoren mögen keine offenen Enden – und Käufer mit reifen Security-Teams auch nicht.
Warum die Erklärung zur Anwendbarkeit so wichtig ist
Die Erklärung zur Anwendbarkeit ist die Brücke zwischen Ihrer Risikobearbeitung und Ihrer Kontrollumgebung. Sie sagt dem Auditor, welche Kontrollen aus Anhang A Sie ausgewählt haben, welche Sie ausgeschlossen haben und warum diese Entscheidungen für Ihren Geltungsbereich sinnvoll sind. Ohne diese Nachvollziehbarkeit wirkt die Dokumentation eher dekorativ als operativ.
Diese Nachvollziehbarkeit ist der ultimative Test. Ich habe gesehen, wie Organisationen starke Tools, solide Richtlinien und gutmeinende Manager hatten, aber dennoch scheiterten, den Auditor zu überzeugen, weil die Beweiskette bei einer Tabelle endete – ohne Verantwortlichen und ohne Datum. Eine saubere SoA garantiert keine Reife, aber eine chaotische signalisiert fast immer Probleme.
Die Beweiskette, die Auditoren erwarten
Asset oder Kontext wird identifiziert.
Risiko wird anhand Ihrer definierten Kriterien bewertet.
Behandlung wird gewählt, z. B. eine Kontrolle oder eine dokumentierte Akzeptanz.
Nachweise zeigen, dass die Kontrolle tatsächlich ausgeführt wird.
Review belegt, dass die Entscheidung weiterhin gültig ist.
Dokumentation wird hier häufig überkompliziert. Das Ziel ist nicht, mehr Papierkram zu produzieren. Das Ziel ist, Aufzeichnungen zu führen, die für ein Audit spezifisch genug sind, aber so einfach, dass das Unternehmen sie ohne Groll pflegen kann.
Praktische Regel: Wenn niemand die Nachweise aktualisieren kann, ohne eine zweistündige Suchaktion, wird der Prozess während der Überwachung scheitern.
Ein realistisches Szenario ist ein Produktteam, das in einem arbeitsreichen Quartal ein neues Cloud-Tool hinzufügt. Der Security Lead aktualisiert das Risikoregister, aber niemand aktualisiert die SoA, die Onboarding-Checkliste oder den Datensatz für das Zugriffsreview. Auf dem Papier ist das Tool genehmigt. In der Praxis ist die Beweiskette unterbrochen.
Die Quintessenz ist direkt. Risikobewertung, SoA-Disziplin und aktuelle Aufzeichnungen sind das Rückgrat des Standards. Wenn diese drei Teile auseinanderdriften, wird alles andere schwieriger.
So verwalten Sie Compliance-Nachweise mit modernen Tools
Evidence Management ist die versteckte Zusatzarbeit in ISO 27001. Der Standard selbst ist handhabbar. Die eigentliche Arbeit entsteht beim Sammeln von Screenshots, Freigaben, Audit-Logs, Richtlinienversionen und Trainingsnachweisen – und beim Nachweis, dass sie aktuell sind, wenn der Auditor nachfragt.
Ich habe gesehen, dass Teams das besser lösen, wenn Nachweise nicht mehr als Aufgabe für die vierteljährliche Aufräumaktion behandelt werden. Sie pflegen ein lebendiges Repository, in dem der Prozess direkt in Dokumentation überführt wird, die durchsuchbar und auditierbar ist. Das ist wichtig, weil Überwachungsaudits Kontinuität belohnen – nicht die kurzfristige Wiederherstellung.
Was moderne Tools verändern
Trupeer macht aus einer Bildschirmaufzeichnung eine strukturierte SOP – mit Screenshots, Revisionshistorie und kontrolliertem Zugriff, die die Beweiskette intakt halten. Für Compliance-Teams liegt der praktische Nutzen in den Kontrollen hinter dem Inhalt, einschließlich SSO, SCIM, granularer Berechtigungen und Unterstützung für Enterprise-Review-Workflows.
Das ist wichtig, weil Nachweise organisiert, aktuell und für die richtigen Personen zugänglich sein müssen. Ein Tool wie Trupeer hilft dabei, verstreutes Know-how in kontrollierte Dokumentation zu verwandeln – genau dort verlieren viele ISO-Programme Zeit und Genauigkeit.
Ein praktischer Workflow für Nachweise
Einmal aufzeichnen: Erfassen Sie den Prozess, während ihn jemand ausführt.
Direkt strukturieren: Wandeln Sie die Aufzeichnung in einen Leitfaden, eine SOP oder einen Knowledge-Artikel um.
Zugriff kontrollieren: Stellen Sie sicher, dass nur die richtigen Personen sensible Inhalte bearbeiten können.
Durchsuchbar halten: Damit sich die Audit-Vorbereitung nicht in eine Suchaktion verwandelt.
Regelmäßig aktualisieren: Veraltete Nachweise sind fast genauso riskant wie fehlende Nachweise.
Gute Teams behandeln Dokumentation so, wie sie Quellcode behandeln. Niemand möchte, dass die einzige Kopie eines kritischen Prozesses in einem persönlichen Ordner gefangen ist. Die Aufzeichnung sollte in einem System leben, in dem Verantwortlichkeit, Berechtigungen und Revisionshistorie sichtbar sind. Dieser Leitfaden zu Dokumentations-Versionierung erklärt, wie Sie diese Historie sauber halten.
Für Teams, die ein breiteres Betriebsmodell benötigen, kann eine Enterprise-Dokumentationsmanagement-Plattform im selben Workflow wie Richtlinien und Nachweis-Bibliotheken eingesetzt werden.
Wo das am meisten hilft
Customer-Success-Teams nutzen es für Onboarding-Guides. Sales Engineers nutzen es für wiederholbare Demos und Security-Walkthroughs. Operations-Teams nutzen es für SOPs und Trainingsmaterial, das mit den aktuellen Kontrollen abgestimmt bleiben muss.
Die Quintessenz ist praktisch. ISO-27001-Nachweise lassen sich deutlich leichter verwalten, wenn die Dokumentation als Teil der Arbeit erstellt wird – nicht erst im Nachhinein. Moderne Knowledge-Tools reduzieren Reibung, ohne die Audit-Disziplin zu schwächen.
Häufige Stolperfallen und wie Sie sie vermeiden
Der größte Fehler ist, ISO 27001 wie ein Zertifikatsprojekt zu behandeln. Wenn das einzige Ziel darin besteht, ein Audit zu bestehen, baut das Team in der Regel spröde Dokumentation und vergisst die betrieblichen Gewohnheiten, die das ISMS am Leben halten.
Ich habe gesehen, dass das mehr als einmal passiert. Ein Unternehmen kommt durch die Zertifizierung, feiert – und lässt dann die Verantwortlichkeit „driften“. Sechs Monate später ist das interne Audit zu spät, das Risikoregister ist veraltet und niemand ist sich ganz sicher, wer die Nachweise für das Zugriffsreview aktualisiert.
Die Fehler, die ich am häufigsten sehe
Geltungsbereich ist zu breit oder zu vage: Das ISMS wird unmöglich zu pflegen, oder wichtige Systeme fallen außerhalb der Grenze.
Richtlinien hinken der Praxis hinterher: Die Dokumente sagen das eine, während das Team anders arbeitet.
Nachweise leben an zu vielen Orten: Screenshots im Chat, Freigaben per E-Mail und Verfahren in getrennten Ordnern.
Überwachungsarbeit wird aufgeschoben: Teams gehen davon aus, dass das nächste Audit weit weg ist, und hetzen dann in letzter Minute.
Training wird als Checkbox behandelt: Mitarbeitende kennen die Schlagwort-Richtlinie, aber nicht ihre tatsächlichen Verantwortlichkeiten.
Die Lösung ist langweilig – und genau deshalb funktioniert sie. Halten Sie den Geltungsbereich vertretbar. Weisen Sie jeder wichtigen Kontroll- bzw. Themenfläche Verantwortliche zu. Überprüfen Sie Aufzeichnungen nach Plan, nicht nur dann, wenn jemand danach fragt. Und vor allem: Behandeln Sie Findings aus internen Audits als operatives Feedback – nicht nur als Compliance-Mängel.
Regel aus der Praxis: Wenn der Prozess nur funktioniert, weil eine Person sich an alles erinnert, ist es noch kein Prozess.
Ich denke außerdem, dass Teams unterschätzen, wie stark Dokumentationsdisziplin die Sicherheit selbst beeinflusst. Gute Aufzeichnungen machen Lücken früher sichtbar. Schwache Aufzeichnungen verstecken Probleme, bis der Auditor oder ein Vorfall sie offenlegt. Deshalb dränge ich Teams immer, das Nachweismanagement mit echter Security-Governance zu verknüpfen – statt es in getrennten Silos zu halten.
Ein hilfreicher Begleiter ist dieser Leitfaden zu Knowledge-Base-Security, SSO und Zugriffskontrollen, denn Dokumentensicherheit gehört ebenfalls zur Compliance.
Die Quintessenz ist einfach. ISO-27001-Standards belohnen nicht das Team, das eine Woche lang „compliant aussieht“. Sie belohnen das Team, das organisiert bleibt, Verantwortung übernimmt und langweilig konsistent ist.
Wie Trupeer Ihr ISO-27001-Programm unterstützt
Neben dem Evidence Management hilft Trupeer bei der „People“-Seite von ISO 27001: Verfahren, Awareness-Training und kontrollierter Zugriff auf sensible Dokumentation:
Dokumentkontrollen als Verfahren: Erfassen Sie Zugriffsreviews sowie Onboarding und Offboarding einmalig – und erhalten Sie Guides mit Screenshots.
Awareness-Training durchführen: Machen Sie aus denselben Aufzeichnungen kurze Videos mit KI-Voiceover.
Zugriff kontrollieren: SAML SSO, SCIM-Provisioning, rollenbasierter Zugriff, mehrere Workspaces und Audit-Logs.
Nachweise für Änderungen behalten: Die Dokumentations-Versionierung zeigt frühere Versionen jeder Prozedur.
Zertifizierten Anbieter wählen: Trupeer selbst hält ISO-27001- und SOC-2-Type-II-Zertifizierungen.
Trupeer für Enterprise ansehen.
Häufig gestellte Fragen
Was ist ISO 27001?
ISO/IEC 27001 ist der internationale Standard für den Aufbau, Betrieb und die kontinuierliche Verbesserung eines Informationssicherheits-Managementsystems (ISMS). Die aktuelle Ausgabe ist ISO/IEC 27001:2022.
Wie viele Kontrollen gibt es in ISO 27001?
Anhang A von ISO 27001:2022 listet 93 Kontrollen in vier Themenbereichen: organisatorisch, Personen, physisch und technologisch. Sie wählen die Kontrollen aus, die für Ihr Risikobewertungsverfahren gelten, und erklären Ihre Auswahl in der Erklärung zur Anwendbarkeit.
Wie lange dauert ISO-27001-Zertifizierung?
Das hängt von Ihrem Geltungsbereich und Ihrer Bereitschaft ab. Die meisten Organisationen investieren mehrere Monate in die Vorbereitung, bevor die Audits der Stufe 1 und Stufe 2 stattfinden. Nach der Zertifizierung folgen Überwachungsaudits in den Jahren eins und zwei, und im dritten Jahr erfolgt eine vollständige Rezertifizierung.
Ist ISO 27001 verpflichtend?
Nein, es ist freiwillig. Viele Unternehmen verfolgen ISO 27001, weil Kunden, Partner oder Regulierungsbehörden unabhängige Nachweise für das Informationssicherheits-Management verlangen.
Was ist der Unterschied zwischen ISO 27001 und SOC 2?
ISO 27001 zertifiziert ein Managementsystem anhand eines internationalen Standards, während SOC 2 ein Prüfbericht des Auditors über Kontrollen anhand der AICPA Trust Services Criteria ist. Siehe was SOC 2 compliance ist und das umfassendere Bild in was Enterprise Security ist.
Halten Sie ISO-27001-Nachweise auditbereit – mit Trupeer. Zeichnen Sie ein Kontrollverfahren einmal auf, und Trupeer macht daraus eine kontrollierte SOP mit Screenshots, einem kurzen Trainingsvideo und einem durchsuchbaren Knowledge-Base-Eintrag – mit SAML SSO, SCIM, rollenbasiertem Zugriff und Versionierung. Trupeer ist selbst ISO-27001- und SOC-2-zertifiziert. Trupeer für Enterprise ansehen.
Häufig gestellte Fragen
What is ISO 27001?
How many controls are in ISO 27001?
How long does ISO 27001 certification take?
Is ISO 27001 mandatory?
What is the difference between ISO 27001 and SOC 2?
