Größe und Standorte
Je mehr Beschäftigte, Standorte und Systeme zum ISMS gehören, desto mehr ist zu erfassen und zu prüfen.
·ISO/IEC 27001:2022
ISO 27001 Beratung vom Ist-Stand bis zum Audit
Wir bauen mit Ihrem Team das Informationssicherheits-Managementsystem auf, bereiten Sie auf das Audit der Zertifizierungsstelle vor und begleiten Sie hindurch. Aus Frankfurt, bundesweit, vor Ort oder aus der Ferne.
·WAS DIE BERATUNG LEISTET
Was eine ISO 27001 Beratung leistet
Ein ISMS (Informationssicherheits-Managementsystem) sind feste Rollen, Regeln und Abläufe, mit denen ein Unternehmen seine Informationsrisiken steuert. Die Norm ISO/IEC 27001:2022 legt fest, was dazugehört. Wir bauen auf und bereiten vor, das Zertifikat vergibt eine unabhängige Stelle.
- 01
Aufbau des ISMS
Wir richten das Managementsystem mit Ihrem Team ein: Geltungsbereich, Risikobewertung, Richtlinien, Kontrollen und Nachweise.
- 02
Probelauf vor dem Audit
Internes Audit und Managementbewertung zeigen, wo noch nachgebessert werden muss, bevor die Zertifizierungsstelle prüft.
- 03
Beratung und Zertifikat getrennt
Das Zertifikat vergibt eine akkreditierte Zertifizierungsstelle nach einem eigenen Audit. Die Stelle wählen Sie selbst, wir begleiten das Audit jeder akkreditierten Stelle.
ISO 27001 ist freiwillig. Anlass sind meist Anforderungen von Kunden, Ausschreibungen oder die Pflichten aus NIS 2.
·DAUER UND AUFWAND
Wovon Dauer und Aufwand abhängen
Einen belastbaren Zeitplan gibt es erst nach der Gap-Analyse. Vier Größen bestimmen ihn.
Geltungsbereich
Sie legen fest, welche Standorte, Abteilungen und Systeme das ISMS umfasst. Ein enger Geltungsbereich (Scope) verkürzt den Weg, muss aber zu dem passen, was Ihre Kunden verlangen.
Ausgangsstand
Vorhandene Richtlinien, Prozesse und technische Schutzmaßnahmen zählen mit. Die Gap-Analyse zeigt, was schon trägt und was fehlt.
Zeit Ihres Teams
Ein ISMS lässt sich nicht von außen überstülpen. Wie viel Zeit Ihre Fachleute und die Geschäftsleitung einbringen, bestimmt das Tempo mit.
·LEISTUNGEN
Was wir konkret übernehmen
Sechs Bausteine vom ersten Abgleich bis zum Betrieb nach dem Zertifikat.
- 01
Gap-Analyse
Ihr Stand im Abgleich mit der Norm, mit Reihenfolge für die Umsetzung und einem Zeitplan.
- 02
Risikobewertung und Anwendbarkeitserklärung
Risiken bewerten, Kontrollen aus Anhang A auswählen und begründen, welche gelten und welche nicht.
- 03
Richtlinien und Maßnahmen
Leitlinie und Fachrichtlinien zur Freigabe durch die Geschäftsleitung, dazu die Umsetzung der Kontrollen mit Ihrem Team.
- 04
Internes Audit
Der Probelauf vor dem echten Audit, mit Bericht und Nacharbeit. Dazu die Managementbewertung durch die Geschäftsleitung.
- 05
Begleitung im Zertifizierungsaudit
Vorbereitung auf beide Stufen des Audits und Begleitung an den Audittagen.
- 06
Betrieb nach dem Zertifikat
Vorbereitung der jährlichen Überwachungsaudits, laufende Betreuung des ISMS und auf Wunsch die Rolle des externen Informationssicherheitsbeauftragten.
·ABLAUF
In sechs Schritten zum Zertifikat
Vom ersten Abgleich bis zum Audit der Zertifizierungsstelle.
- 01
Gap-Analyse
Ist-Stand mit der Norm abgleichen
- 02
Geltungsbereich
Standorte, Abteilungen und Systeme festlegen
- 03
Risikobewertung
Risiken bewerten, Kontrollen auswählen
- 04
Maßnahmen
Kontrollen umsetzen, Richtlinien freigeben, Beschäftigte schulen
- 05
Internes Audit
Probelauf und Managementbewertung
- 06
Zertifizierung
Audit in zwei Stufen: erst die Unterlagen, dann die gelebte Praxis
Start: Gap-AnalyseErgebnis: Zertifikat, drei Jahre gültig
Technische Kontrollen wie Penetrationstests und die SOC-Überwachung rund um die Uhr übernehmen wir auf Wunsch mit.
Cybersecurity ansehen →·ISO 27001, NIS 2 UND IT-GRUNDSCHUTZ
Drei Regelwerke, drei Rollen
ISO 27001 ist eine internationale Norm, freiwillig, mit dem Zertifikat einer akkreditierten Stelle. NIS 2 ist Gesetz und für betroffene Einrichtungen Pflicht. Laut BSI ersetzt ein ISO-Zertifikat den Nachweis nach NIS 2 nicht, bildet aber ein gutes Fundament.
BSI IT-Grundschutz ist die Methode des Bundesamts für Sicherheit in der Informationstechnik mit fertigen Bausteinen, verbreitet bei Behörden. Das Zertifikat „ISO 27001 auf der Basis von IT-Grundschutz“ vergibt das BSI. Welcher Weg passt, hängt davon ab, wer den Nachweis von Ihnen verlangt.
Wir leben, was wir beraten GermanAI Defense ist seit Mai 2026 selbst nach ISO/IEC 27001:2022 zertifiziert, geprüft durch die akkreditierte Zertifizierungsstelle A-Mark Ratings Limited (Zertifikat-Nr. 26052601, gültig bis 25.05.2029). Mehr zu Sicherheit & Compliance →
Stand: 13.10.2026. Normbezug: ISO/IEC 27001:2022. Das Zertifikat gilt drei Jahre, mit jährlichem Überwachungsaudit.
Fragen zu ISO 27001? Antworten
Was macht eine ISO 27001 Beratung?
Sie baut mit Ihrem Team das Informationssicherheits-Managementsystem (ISMS) auf, also Rollen, Regeln und Nachweise. Am Ende steht ein Unternehmen, das für das Audit der Zertifizierungsstelle bereit ist. Das Zertifikat selbst vergibt nicht der Berater.
Wie lange dauert eine ISO 27001 Zertifizierung?
Das hängt vom Geltungsbereich, von der Größe des Unternehmens und vom Ausgangsstand ab. Einen belastbaren Zeitplan gibt es erst nach der Gap-Analyse, weil sie zeigt, was schon vorhanden ist und was fehlt.
Was kostet eine ISO 27001 Beratung?
Die Kosten hängen von denselben Größen ab wie die Dauer. Hinzu kommen die Gebühren der Zertifizierungsstelle, die Sie getrennt beauftragen. Sie erhalten von uns ein Angebot, nachdem Sie Regelwerk, Stand und Ziel genannt haben.
Ist ISO 27001 Pflicht?
Nein, die Norm ist freiwillig. Kunden und Ausschreibungen verlangen das Zertifikat aber häufig, und es erleichtert Nachweise gegenüber Geschäftspartnern.
Erfüllt ein ISO-27001-Zertifikat die NIS-2-Pflichten?
Nicht automatisch. Laut BSI ist das Zertifikat kein Nachweis der NIS-2-Konformität, aber ein gutes Fundament. NIS 2 verlangt zusätzlich unter anderem die Registrierung beim BSI, feste Meldefristen und Schulungen der Geschäftsleitung.
ISO 27001 oder BSI IT-Grundschutz?
ISO 27001 ist international anerkannt und lässt mehr Spielraum bei der Umsetzung. IT-Grundschutz gibt konkretere Anforderungen vor und ist vor allem bei Behörden üblich. Welcher Weg passt, hängt davon ab, wer den Nachweis von Ihnen verlangt.
Stellen Sie das Zertifikat aus?
Nein. Beratung und Zertifizierung sind getrennt, das Zertifikat vergibt eine akkreditierte Zertifizierungsstelle nach einem eigenen Audit. Wir bereiten Sie darauf vor und begleiten Sie im Audit.