ISO 27001 Beratung: ISMS einführen und sicher zur Zertifizierung

Vom Erstgespräch bis zum Zertifikat und darüber hinaus: Wir bauen Ihr ISMS mit Ihnen auf, als Rundum-sorglos-Paket oder als klassische Beratung.

Mit einem Informationssicherheitsmanagementsystem (ISMS) nach ISO/IEC 27001 organisieren Sie Informationssicherheit systematisch und weisen sie gegenüber Kunden und Partnern nach. Immer mehr Auftraggeber verlangen diesen Nachweis, und wer unter NIS2 fällt, braucht ohnehin ein funktionierendes Risikomanagement. Nach unserer Projekterfahrung dauert der Weg vom Start bis zum zertifizierungsfähigen ISMS 6 bis 18 Monate.

Die Süddeutsche Datenschutzgesellschaft mbH (SDG) begleitet Sie auf diesem Weg: vom kostenfreien Erstgespräch über den Aufbau des ISMS bis zum Zertifizierungsaudit und danach als externer Informationssicherheitsbeauftragter (ISB), der Ihr ISMS dauerhaft betreut.

Zwei Wege zum ISMS

Wie wir zusammenarbeiten, legen wir bereits im Erstgespräch fest.

Rundum-sorglos-Paket

Wir kümmern uns um alles, von der Gap-Analyse bis zur Begleitung im Zertifizierungsaudit. Sie treffen die Entscheidungen, liefern Informationen und wirken dort mit, wo es auf Ihre Abläufe ankommt, etwa bei der Prozessmodellierung oder der Abstimmung von Richtlinien mit Ihrer IT.

  • für Unternehmen ohne eigene Kapazitäten oder mit festem Zertifizierungstermin
  • auf Wunsch im dualen Modell mit einem internen Koordinator als feste Schnittstelle

Klassische Beratung

Ihr Team baut das ISMS selbst auf. Wir liefern Methodik, prüfen Zwischenstände und bereiten Sie auf die Zertifizierung vor.

  • für Unternehmen mit eigenem Personal, das Zeit und Grundkenntnisse mitbringt
  • Projektleitung und Inhalte bleiben im Haus

In beiden Modellen empfehlen wir, die Rolle des ISB extern zu besetzen: Das vermeidet Interessenkonflikte mit der IT-Leitung, begrenzt Haftungsrisiken für Beschäftigte und hält das Fachwissen aktuell, ohne dass Sie eigene Weiterbildung aufbauen müssen. Mehr dazu auf der Seite externer Informationssicherheitsbeauftragter.

So läuft Ihr ISO-27001-Projekt ab

  1. Erstgespräch Wir klären Ausgangslage, Ziele und das passende Zusammenarbeitsmodell. Das Gespräch ist kostenfrei.
  2. Gap-Analyse und Geltungsbereich Wir prüfen Ihren Stand gegen ISO/IEC 27001:2022 und legen den Geltungsbereich fest. Er muss gleich zu Beginn sauber definiert sein, denn er bestimmt Aufwand, Zertifizierungsart und Auditzeit. Danach erhalten Sie eine seriöse Aufwandsschätzung.
  3. Aufbau des ISMS Leitlinie und Richtlinien, Assetregister, Risikoanalyse mit Erklärung zur Anwendbarkeit und Business Continuity Management. Alle Abteilungen wirken mit, nicht nur die IT.
  4. Internes Audit und Generalprobe Ein internes Audit und auf Wunsch ein Friendly Audit zeigen, wo vor der Zertifizierung noch nachgebessert werden muss.
  5. Zertifizierungsaudit Wir begleiten Sie durch das Audit der akkreditierten Zertifizierungsstelle, ob als Einzel-, Matrix- oder Verbundzertifizierung. Beratung und Zertifizierung sind dabei strikt getrennt.
  6. Betrieb und Überwachungsaudits Als externer ISB entwickeln wir Ihr ISMS im PDCA-Zyklus weiter und unterstützen Sie bei den jährlichen Überwachungsaudits.

Informationssicherheit ist Chefsache

Eines der häufigsten Missverständnisse: Informationssicherheit wird mit IT-Sicherheit gleichgesetzt und an die IT-Abteilung delegiert. Ein ISMS schützt aber alle Unternehmenswerte, auch Prozesse, Know-how und analoge Informationen, und braucht Entscheidungen der Geschäftsleitung zu Ressourcen, Prioritäten und Risikoakzeptanz. Die IT unterstützt, der Datenschutz überschneidet sich. Diese Grafik nutzen wir auch in unseren Vorträgen und Erstgesprächen:

Informationssicherheit, IT-Sicherheit und Datenschutz

Drei Bereiche, klare Zuständigkeiten: was geschützt wird und wer verantwortlich ist.

  • Informationssicherheit

    Schutz der Unternehmenswerte

    Zuständig: Management, koordiniert durch den ISB

    Geschützte Werte

    • Prozesse
    • Personal
    • Lieferanten
    • Software
    • IT-Systeme und Netze
    • Gebäude und Infrastruktur

  • IT-Sicherheit

    Schutz der IT-Systeme

    Zuständig: IT-Abteilung

  • Datenschutz

    Schutz personenbezogener Daten

    Zuständig: DSB, berät und überwacht

Aufgabe des Managements

unter Einbeziehung aller Unternehmensbereiche und des ISB

Schritte zum Aufbau eines ISMS

  1. Assetregister
  2. Richtlinien und Verfahren
  3. Prozesse
  4. Risikomanagement
  5. Lieferantenmanagement
  6. Business Continuity Management
  7. Überwachung und Metriken

Fortlaufend im PDCA-Zyklus

Aufgabe der IT-Abteilung

Implementierung von z. B.

  • Firewall-Technologie
  • Netzwerksegmentierung
  • IDS/IPS
  • Monitoring und Logging
  • Datensicherung
ISB
Informationssicherheitsbeauftragter
DSB
Datenschutzbeauftragter
ISMS
Informationssicherheits-Managementsystem
PDCA
Plan, Do, Check, Act

Warum die SDG

Erfahrung, die Sie im Audit merken

  • Technik und Recht aus einer HandIn unserem Team arbeiten IT-Spezialisten, IT-affine Juristen und zertifizierte Datenschutzbeauftragte zusammen.
  • Mehrere hundert AuditsSo viele Audits haben wir bei kleinen und mittleren Unternehmen durchgeführt. Wir wissen, worauf Auditoren achten.
  • Datenschutz und ISMS verzahntRisikoanalysen, Maßnahmen und Dienstleistersteuerung greifen ineinander, die Rollen ISB und DSB besetzen wir mit verschiedenen Personen.

Unser Leiter Informationssicherheit ist zertifizierter IT-Sicherheitsbeauftragter und BCM-Beauftragter. Wir beraten seit 2014 von Regensburg aus, in ganz Deutschland und international, unter anderem Einrichtungen des Gesundheitswesens, Hersteller digitaler Gesundheitsanwendungen, mittelständische Unternehmen und Betreiber kritischer Infrastrukturen.

Ergänzend prüfen wir technische Maßnahmen mit Penetrationstests Ihrer Webanwendungen, APIs und Cloud-Umgebungen, schulen Geschäftsleitung und Beschäftigte in unseren Schulungen und verbinden das ISMS mit Ihrem Datenschutz, etwa bei der Datenschutz-Folgenabschätzung. Wenn Sie unter NIS2 fallen, bauen wir Ihr ISMS so auf, dass es die gesetzlichen Pflichten mit abdeckt: NIS2 Beratung.

Vertiefende Artikel

ISO 27001 im Detail

Normanforderungen, Controls und Zertifizierungsablauf erklären wir ausführlich in unserem Blog.

Häufige Fragen zur ISO-27001-Beratung

Was kostet die ISO-27001-Beratung?

Das hängt vor allem vom Geltungsbereich, Ihrer Ausgangslage und dem gewählten Zusammenarbeitsmodell ab. Pauschalpreise nennen wir deshalb nicht. Nach einem kostenfreien Erstgespräch und in der Regel einer Gap-Analyse erhalten Sie von uns eine seriöse Aufwandsschätzung.

Rundum-sorglos-Paket oder klassische Beratung: was passt zu uns?

Das Rundum-sorglos-Paket passt, wenn intern wenig Kapazität vorhanden ist oder ein Zertifizierungstermin feststeht. Die klassische Beratung passt, wenn eigene Beschäftigte mit Zeit und Grundkenntnissen das ISMS aufbauen sollen. Im dualen Modell übernimmt ein interner Koordinator die Abstimmung im Haus, während wir Inhalte, Methodik und die Rolle des ISB verantworten.

Wie viel Mitwirkung brauchen Sie von uns im Rundum-sorglos-Paket?

Ganz ohne Sie geht es nicht, denn ein ISMS funktioniert nur, wenn es zu Ihren tatsächlichen Abläufen passt. Sie treffen die Entscheidungen, liefern Informationen und wirken mit, wenn wir Ihre Abläufe in Prozessen abbilden oder Richtlinien mit Ihrer IT und den Fachbereichen abstimmen. Den Großteil der Arbeit übernehmen wir.

Betreut die SDG das ISMS auch nach der Zertifizierung?

Ja. Als externer Informationssicherheitsbeauftragter wird die SDG von Ihrer Geschäftsleitung benannt, trifft sich mit ihr mindestens quartalsweise, bei Bedarf monatlich, entwickelt das ISMS weiter und unterstützt Sie bei den Überwachungsaudits. Das jährliche interne Audit übernimmt ein ISMS-Berater der SDG, der nicht Ihr ISB ist, damit die Prüfung objektiv bleibt.

Können Datenschutz und Informationssicherheit aus einer Hand kommen?

Ja. Wir stellen sowohl den externen Datenschutzbeauftragten als auch den externen Informationssicherheitsbeauftragten. Die beiden Rollen übernehmen bei uns verschiedene Personen, die eng zusammenarbeiten, etwa bei Risikoanalysen und technischen und organisatorischen Maßnahmen.

Quellen: ISO/IEC 27001:2022 (iso.org), Deutsche Akkreditierungsstelle (DAkkS)

Hinweis: Zeitangaben sind Erfahrungswerte der SDG und keine Zusage für den Einzelfall.