Startseite / Ressourcen / ISO 27001 Readiness-Checkliste
Dieser Leitfaden führt Sie durch alle Phasen der ISO 27001 Zertifizierungsvorbereitung — von der ISMS-Implementierung und dem Risikobehandlungsplan bis zur Freigabe der Erklärung zur Anwendbarkeit, dem Internen Audit sowie der Vorbereitung auf Stufe-1-Audit und Stufe-2-Audit. Nutzen Sie die Checklisten-Abschnitte, um Lücken zu identifizieren, Verantwortliche für offene Punkte zu benennen und Ihre Nachweise vor dem externen Auditbesuch zu konsolidieren.
ISO 27001 Readiness bedeutet, dass Ihr Informationssicherheitsmanagementsystem (ISMS) vollständig implementiert, dokumentiert und nachweislich in Betrieb ist — nicht nur auf dem Papier entworfen. Zertifizierungsreife erfordert, dass Ihre Richtlinien, der Risikobehandlungsplan, die ISO 27001 Maßnahmen sowie der interne Auditkreislauf sämtlich in Betrieb sind, bevor Sie einen externen Auditor zur Bewertung einladen.
Viele Organisationen verwechseln ISMS-Implementierung mit Zertifizierungsreife. Implementierung bedeutet, das System aufzubauen; Readiness bedeutet, dessen Wirksamkeit nachzuweisen. Auditoren prüfen beim Stufe-1-Audit und Stufe-2-Audit nach Belegen für den tatsächlichen Betrieb, nicht nach Absichtserklärungen. Eine vorhandene, aber nicht gelebte Richtlinie führt unabhängig von ihrer Formulierungsqualität zu einer Nichtkonformität.
Diese Checkliste umfasst die acht Bereiche, die externe Auditoren regelmäßig prüfen. Arbeiten Sie jeden Abschnitt durch, bewerten Sie Ihren aktuellen Status, weisen Sie offenen Punkten Verantwortliche zu und konsolidieren Sie Ihre Nachweise vor dem ersten Audittermin.
Bewerten Sie jeden Punkt: abgeschlossen, teilweise oder nicht begonnen. Teilweise erledigte und fehlende Punkte bilden Ihren Sanierungsrückstand.
Dies sind die Lücken, die bei der ISO 27001 Auditvorbereitung am häufigsten als Nichtkonformitäten festgestellt werden.
Die Erklärung zur Anwendbarkeit als reine Formalität behandeln
Die Erklärung zur Anwendbarkeit muss den tatsächlichen Stand Ihrer ISO 27001 Maßnahmen widerspiegeln. Auditoren gleichen sie mit realen Umsetzungen ab und erheben eine Nichtkonformität, wenn als umgesetzt gekennzeichnete Maßnahmen nicht nachgewiesen werden können.
Kein abgeschlossenes Internes Audit oder keine Managementbewertung vor dem Stufe-1-Audit
Beides sind Pflichtanforderungen. Wenn beim Stufe-1-Audit keine abgeschlossenen Nachweise vorliegen, kann der Auditor nicht bestätigen, dass Ihr ISMS in Betrieb ist, und die Zertifizierung verzögert sich.
Maßnahmen in Richtlinien beschrieben, aber in der Praxis nicht angewendet
Dies ist der häufigste Befund beim Stufe-2-Audit. Eine Richtlinie, die besagt „Zugriffsrechte werden vierteljährlich überprüft", muss durch datierte Zugriffsüberprüfungsnachweise belegt werden. Absicht ohne Nachweis ist eine Nichtkonformität.
Risikobehandlungsplan nicht formell von der Geschäftsführung genehmigt
Die Durchführung einer Risikobewertung allein reicht nicht aus. ISO 27001 verlangt, dass die Geschäftsführung das Restrisiko formell akzeptiert und den Risikobehandlungsplan genehmigt. Ohne eine unterzeichnete oder protokollierte Genehmigung ist Abschnitt 6.1 unvollständig.
Nichtkonformitäten aus dem Internen Audit beim Stufe-2-Audit noch offen
Offene Korrektivmaßnahmen signalisieren, dass der ISMS-Verbesserungskreislauf nicht funktioniert. Auditoren prüfen, ob Befunde geschlossen und verifiziert wurden — nicht nur, ob sie erfasst sind.
ISMS-Geltungsbereich zu weit für die verfügbaren Nachweise
Organisationen definieren mitunter einen breiten Geltungsbereich, um umfassend zu wirken, haben dann aber Schwierigkeiten, konsistente Nachweise in allen Bereichen zu erbringen. Ein eng definierter, gut belegter Geltungsbereich lässt sich zuverlässiger zertifizieren als ein breiter Geltungsbereich mit Nachweislücken.
Die ISO 27001 Zertifizierung verwendet ein zweistufiges Auditverfahren. Wer versteht, was jede Stufe prüft, kann die Vorbereitung in der richtigen Reihenfolge ausrichten.
Das Stufe-1-Audit wird in der Regel remote durchgeführt und bestätigt, dass Ihre ISMS-Dokumentation vollständig ist und Ihre Organisation bereit ist, mit dem Wirksamkeitsaudit fortzufahren. Befunde aus dem Stufe-1-Audit müssen behoben sein, bevor das Stufe-2-Audit angesetzt wird.
Schwerpunkte der Auditoren
Das Stufe-2-Audit prüft durch Mitarbeitergespräche, Prozessdurchläufe und Stichprobenerhebungen, ob die ISO 27001 Maßnahmen wie vorgesehen funktionieren. Hier wird die Zertifizierung erteilt oder es werden wesentliche Nichtkonformitäten erhoben.
Schwerpunkte der Auditoren
Ein Informationssicherheitsmanagementsystem ist die Gesamtheit von Richtlinien, Verfahren und Maßnahmen, die Informationssicherheitsrisiken in einer Organisation systematisch steuern. ISO 27001 ist die internationale Norm, die Anforderungen für die Einrichtung, Implementierung, Aufrechterhaltung und kontinuierliche Verbesserung eines ISMS definiert. Die Zertifizierung zeigt Kunden und Aufsichtsbehörden, dass Ihr Informationssicherheitsmanagementsystem diesen Standard erfüllt.
Die meisten ISMS-Implementierungsprogramme benötigen 8 bis 20 Wochen vom Kick-off bis zur Stufe-1-Audit-Reife, abhängig von der Komplexität des Geltungsbereichs, dem Reifegrad vorhandener Dokumentation und der verfügbaren Ressourcen. Planen Sie zusätzlich vier bis acht Wochen zwischen Stufe-1-Audit und Stufe-2-Audit für die Konsolidierung von Nachweisen und die Behebung von Stufe-1-Befunden ein.
Die Erklärung zur Anwendbarkeit ist das Dokument, das alle 93 Annex-A-Maßnahmen auf Ihre Organisation abbildet und festhält, welche anwendbar und umgesetzt sind und warum etwaige Maßnahmen ausgeschlossen wurden. Sie gehört zu den ersten Dokumenten, die beim Stufe-1-Audit angefordert werden, da sie dem Auditor einen Überblick über Ihre ISO 27001 Maßnahmenlandschaft verschafft. Sie muss versioniert, aktuell und von der Geschäftsführung unterzeichnet sein.
Nein, aber Sie müssen alle 93 ISO 27001 Maßnahmen bewerten und für ausgeschlossene Maßnahmen eine Begründung dokumentieren. Die Auswahl der Maßnahmen basiert auf den Risiken Ihrer Bewertung, Ihren gesetzlichen und vertraglichen Verpflichtungen sowie Ihrem betrieblichen Kontext. Nicht begründete Ausschlüsse sind ein häufiger Befund beim Stufe-1-Audit.
Ein nicht bestandenes Stufe-1-Audit bedeutet, dass der Auditor Befunde erhoben hat, die vor dem Stufe-2-Audit behoben werden müssen. Befunde können geringfügige Beobachtungen, Verbesserungsmöglichkeiten oder wesentliche Nichtkonformitäten sein. Geringfügige Punkte werden in der Zeit zwischen Stufe-1-Audit und Stufe-2-Audit geschlossen; wesentliche Nichtkonformitäten können ein vollständiges Nachaudit des betroffenen Bereichs erfordern und verzögern Ihren Zertifizierungszeitplan.
Ja. Richtlinien-Governance, Risikobehandlung, Lieferantenüberwachung und Vorfallmanagement-Nachweise, die während der ISMS-Implementierung aufgebaut werden, können DORA-Verpflichtungen direkt unterstützen. Die Rahmenwerke ergänzen sich: ISO 27001 legt die Baseline Ihrer Informationssicherheitsmaßnahmen fest, während DORA digitale Betriebsresilienzanforderungen, IKT-Vorfallmeldung und drittparteiliche Überwachung speziell für Finanzunternehmen hinzufügt.
Talk to an experienced consultant about your objectives. We'll help you understand what it takes and how RiskNow can accelerate your path to compliance.