Die Norm legt fest, was ein Informationssicherheits-Managementsystem leisten muss. Im Audit kommt es darauf an, dass Sie es belegen können. CRISAM® führt Anwendungsbereich, Risiken, Controls, Maßnahmen und Nachweise in einem gemeinsamen Modell zusammen, von der Bewertung über Begründung und Umsetzung bis zum Bericht.
Stand: 23. September 2026
| Abweichung | Bezug | Einstufung | Status |
|---|---|---|---|
| Erklärung zur Anwendbarkeit nicht aktuell | Kap. 6.1.3 | offen | |
| Wirksamkeit der Maßnahmen nicht bewertet | Kap. 9.1 | in Arbeit | |
| Lieferantenanforderungen unvollständig | Anhang A | in Arbeit | |
| Managementbewertung dokumentiert | Kap. 9.3 | erledigt |
ISO/IEC 27001 ist die internationale Norm für Informationssicherheits-Managementsysteme. Sie legt fest, wie ein ISMS aufgebaut, betrieben und fortlaufend verbessert wird: Anwendungsbereich festlegen, Risiken beurteilen, Maßnahmen auswählen und begründen, Wirksamkeit prüfen. Eine Zertifizierung ist freiwillig und wird von akkreditierten Zertifizierungsstellen erteilt.
Gültig ist die dritte Ausgabe ISO/IEC 27001:2022, ergänzt um Amendment 1:2024 zum Klimaschutz. Die deutsche Fassung erschien als DIN EN ISO/IEC 27001:2024-01, die Änderung als DIN EN ISO/IEC 27001/A1:2024-11.
Nach ISO/IEC 17021-1 läuft die Zertifizierung von Managementsystemen in einem Dreijahreszyklus. Auch zwischen den Audits muss das ISMS nachweisbar weiterbetrieben werden.
Die Zertifizierungsstelle prüft Anwendungsbereich, Dokumentation und Reife. Das Ergebnis zeigt, ob das ISMS auditbereit ist.
Geprüft wird die Umsetzung vor Ort: Risikobeurteilung, Erklärung zur Anwendbarkeit, Wirksamkeit der Maßnahmen. Danach folgt die Zertifizierungsentscheidung.
Es findet im ersten Jahr nach der Zertifizierung statt. Im Mittelpunkt stehen interne Audits, Managementbewertung, Abweichungen und Korrekturmaßnahmen.
Es findet im zweiten Jahr statt. Geprüft wird, ob Risiken neu beurteilt wurden und ob die Maßnahmen aus dem Vorjahr wirken.
Im dritten Jahr wird das gesamte Managementsystem erneut geprüft, bevor das Zertifikat abläuft.
Nach der Rezertifizierung beginnt der Zyklus erneut. Zertifikate nach der Vorgängerausgabe ISO/IEC 27001:2013 sind seit dem Ende der Übergangsfrist am 31. Oktober 2025 nicht mehr gültig. Die Übergangsfrist ist in IAF MD 26 festgelegt.
Gesetzlich vorgeschrieben ist das Zertifikat nicht. Gefordert wird es von Kunden, Auftraggebern und den Einrichtungen, in deren Lieferkette Sie stehen.
Die Norm verlangt keinen Nachweis für das gesamte Unternehmen. Zertifiziert wird der Anwendungsbereich, den Sie selbst festlegen und begründen: Standorte, Organisationseinheiten, Prozesse, Systeme. Er bestimmt Aufwand, Auditdauer und Aussagekraft des Zertifikats gleichermaßen.
Für jedes Control aus Anhang A halten Sie fest, ob es anwendbar ist, aus welchem Grund und wie es umgesetzt wurde. Die Erklärung zur Anwendbarkeit, kurz SoA, ist in der Regel das erste Dokument, das sich Auditoren im Audit ansehen. Sie verbindet Risikobehandlung und Umsetzung.
Neben der Zertifizierung nach ISO/IEC 27001 gibt es die ISO 27001-Zertifizierung auf der Basis von IT-Grundschutz. Das Zertifikat erteilt das Bundesamt für Sicherheit in der Informationstechnik, die Prüfung übernehmen beim BSI zertifizierte Auditoren.
Die Kapitel 4 bis 10 enthalten die Anforderungen an das Managementsystem. Anhang A listet die Controls auf. Sie wählen daraus aus und begründen Ihre Auswahl.
| Anforderung | Kapitel | Was verlangt wird | So bilden Sie es in CRISAM® ab |
|---|---|---|---|
| Kontext und Anwendungsbereich | Kapitel 4 | Interne und externe Themen bestimmen, Erwartungen interessierter Parteien erheben, den Anwendungsbereich des ISMS festlegen und dokumentieren | Unternehmensstrukturen, Organisationseinheiten und Assets werden abgebildet und miteinander verknüpft. Daraus entsteht eine transparente Grundlage für Sicherheits- und Risikoanalysen. |
| Führung und Sicherheitspolitik | Kapitel 5 | Die oberste Leitung verantwortet das ISMS, gibt die Informationssicherheitspolitik vor und weist Rollen, Verantwortlichkeiten und Befugnisse zu | Freigaben, Verantwortlichkeiten und Fristen sind am Objekt hinterlegt. KPI-basierte Management-Reports liefern die Entscheidungsgrundlage für die Leitung. |
| Risikobeurteilung und Risikobehandlung | Kapitel 6 | Ein wiederholbares Verfahren zur Beurteilung von Informationssicherheitsrisiken, die Auswahl der Behandlungsoptionen und ein Risikobehandlungsplan mit Zielen | Sicherheitsrisiken werden qualitativ und quantitativ bewertet, überwacht und behandelt. Die Ergebnisse bilden die Grundlage für fundierte Sicherheitsmaßnahmenpläne. |
| Erklärung zur Anwendbarkeit und Controls | Kapitel 6.1.3, Anhang A | Für jedes Control aus Anhang A ist festzuhalten, ob es notwendig ist, warum es ein- oder ausgeschlossen wurde und ob es umgesetzt ist | Das integrierte ISMS Knowledge Pack stellt über 230 Bausteine und mehr als 2.500 Kontrollziele bereit, unter anderem auf Basis von ISO/IEC 27001 und 27002, BSI IT-Grundschutz, ITIL und NIST. Auswahl, Begründung und Umsetzungsstand werden je Control im selben Modell dokumentiert. |
| Kompetenz und dokumentierte Information | Kapitel 7 | Ressourcen bereitstellen, Kompetenz sicherstellen, Bewusstsein schaffen, Kommunikation regeln und dokumentierte Information lenken | Nachweise, Verantwortlichkeiten und Fristen sind direkt mit der jeweiligen Anforderung verknüpft. Die Dokumentation ist audit- und zertifizierungsfähig. |
| Betrieb | Kapitel 8 | Die geplanten Prozesse durchführen und steuern, Risikobeurteilungen in geplanten Abständen und bei wesentlichen Änderungen wiederholen, den Risikobehandlungsplan umsetzen | Maßnahmen werden workflowgestützt geplant, Verantwortlichen zugewiesen und in ihrer Umsetzung überwacht. Regelmäßige Aktualisierungen der Inhalte halten die Bewertungen auf dem Stand der Technik. |
| Überwachung, internes Audit, Managementbewertung | Kapitel 9 | Wirksamkeit überwachen und messen, interne Audits in geplanten Abständen durchführen, das ISMS durch die oberste Leitung bewerten lassen | Benchmarking und Compliance-Bewertungen vergleichen das ISMS mit internationalen Standards. Standardisierte Berichte stehen für Audits, Zertifizierungen und externe Prüfungen bereit. |
| Nichtkonformität und Verbesserung | Kapitel 10 | Abweichungen behandeln, Ursachen beseitigen, Korrekturmaßnahmen dokumentieren und das ISMS fortlaufend verbessern | Abweichungen und Schwachstellen werden systematisch identifiziert. Verbesserungsmaßnahmen lassen sich erstellen, Verantwortlichen zuweisen und workflowgestützt überwachen. |
Vom Anwendungsbereich bis zu den Unterlagen für das Zertifizierungsaudit.
Der Assistent führt Sie durch die Abgrenzung von Standorten, Einheiten, Prozessen und Systemen und dokumentiert, was ausgeschlossen wird und warum. Der so festgelegte Anwendungsbereich steht später auf der Zertifikatsurkunde.
Die Norm gibt ihn nicht vor. Sie legen ihn fest und begründen ihn. Er steht später auf dem Zertifikat.
AusschlüsseJeder Ausschluss braucht eine Begründung, die im Audit standhält. Schnittstellen zum ausgeschlossenen Bereich bleiben betrachtungspflichtig.
ÄnderungenWächst der Bereich, ändert sich die Risikolage. Die Beurteilung wird dann erneut angestoßen.
Der Anforderungskatalog gleicht jedes Normkapitel mit dem Ist-Stand ab. So sehen Sie, wo Lücken bestehen: bei welcher Anforderung, in welchem Kapitel und wie gravierend.
| Anforderung | Kapitel | Ist | Soll | Schwere |
|---|---|---|---|---|
| Wirksamkeit überwachen und messen | 9.1 | 1 | 4 | |
| Erklärung zur Anwendbarkeit aktuell halten | 6.1.3 | 2 | 4 | |
| Internes Auditprogramm | 9.2 | 2 | 4 | |
| Lieferantenbeziehungen steuern | Anhang A | 2 | 4 | |
| Bewusstsein und Schulung nachweisen | 7.3 | 3 | 4 |
Die Risikobeurteilung setzt bei den Assets im Anwendungsbereich an. Jedem Risiko werden eine Behandlungsoption und die Controls zugeordnet, die es senken sollen.
| Risiko | Schutzziel | Brutto | Netto | Behandlung | Controls |
|---|---|---|---|---|---|
| Ausfall der Kundenplattform | Verfügbarkeit | vermindern | Anhang A | ||
| Abfluss von Kundendaten über Schnittstelle | Vertraulichkeit | vermindern | Anhang A | ||
| Manipulation von Protokolldaten | Integrität | vermindern | Anhang A | ||
| Ausfall eines Cloud-Dienstleisters | Verfügbarkeit | teilen | Anhang A | ||
| Fehlbedienung in der Administration | Integrität | vermindern | Anhang A | ||
| Verlust mobiler Endgeräte | Vertraulichkeit | akzeptieren | Anhang A |
Die Erklärung zur Anwendbarkeit entsteht direkt aus den beantworteten Kontrollzielfragen, nicht als separate Liste. Für jedes Control ist festgehalten, ob es anwendbar ist und warum.
| Baustein | Kontrollziel | Anwendbar | Begründung | Umsetzung |
|---|---|---|---|---|
| Zugriffskontrolle | Rechtevergabe nach Aufgabe | ja | Risikobehandlung | |
| Kryptografie | Verschlüsselung ruhender Daten | ja | Kundenanforderung | |
| Lieferantenbeziehungen | Sicherheitsanforderungen im Vertrag | ja | Risikobehandlung | |
| Protokollierung | Schutz der Protokolldaten | ja | Risikobehandlung | |
| Physische Sicherheit | Zutritt zu Rechenzentren | nein | Betrieb beim Dienstleister | |
| Entwicklung | Sichere Entwicklungsumgebung | ja | Risikobehandlung | |
| Personal | Sensibilisierung und Schulung | ja | Normanforderung |
| Baustein | Offener Punkt | Verantwortlich |
|---|---|---|
| Lieferantenbeziehungen | Begründung für zwei Dienstleister ohne Vertragsklausel fehlt | Einkauf |
| Mobile Endgeräte | Ausschluss nicht dokumentiert | IT-Betrieb |
Für jede Lücke legen Sie eine Maßnahme mit Verantwortlichem und Frist an. Der Fortschritt fließt in dieselbe Auswertung zurück, in der die Lücke sichtbar wurde.
Am Ende steht ein Bericht, der zeigt, was die Norm fordert, was umgesetzt ist und was noch offen ist. Auf derselben Grundlage bereiten Sie internes Audit, Managementbewertung und Zertifizierungsaudit vor.
| Nachweis | Bezug | Stand | Verantwortlich | Status |
|---|---|---|---|---|
| Anwendungsbereich mit Begründung der Ausschlüsse | Kap. 4.3 | 04.09.2026 | ISMS-Team | |
| Informationssicherheitspolitik mit Freigabe | Kap. 5.2 | 12.02.2026 | Geschäftsführung | |
| Risikobeurteilung und Risikobehandlungsplan | Kap. 6.1 | 30.06.2026 | Risikomanagement | |
| Erklärung zur Anwendbarkeit | Kap. 6.1.3 | in Überarbeitung | ISMS-Team | |
| Bericht zum internen Audit | Kap. 9.2 | 18.08.2026 | Revision | |
| Protokoll der Managementbewertung | Kap. 9.3 | geplant 03/2027 | Geschäftsführung |
Sicherheitspolitik, Ressourcen, Managementbewertung, Freigabe des Anwendungsbereichs.
Risikobeurteilung, Erklärung zur Anwendbarkeit, Umsetzung der Controls.
Auditprogramm, interne Audits, Nachverfolgung der Abweichungen.
Anforderungen an Lieferanten, Nachweise, Umsetzung im Tagesgeschäft.
Ein Informationssicherheits-Managementsystem nach ISO/IEC 27001 deckt viele Anforderungen ab, die auch NIS2 und DORA stellen. CRISAM® bildet Mehrfachanforderungen über das Mapping der Kontrollzielfragen auf die Einzelnormen ab.
Eine beantwortete Kontrollzielfrage gilt zugleich für ISO/IEC 27001, den BSI IT-Grundschutz und NIS2.
Das integrierte ISMS Knowledge Pack stellt über 230 Bausteine bereit, unter anderem auf Basis von ISO/IEC 27001 und 27002, BSI IT-Grundschutz, ITIL und NIST.
CRISAM® ergänzt Ihre vorhandenen Systeme und bindet sie über Schnittstellen an.
CRISAM® ISMS Classic ist mit Datenschutz, Business Continuity Management und Enterprise Risk Management integriert. So entsteht ein konsistentes Managementsystem statt einzelner Insellösungen je Thema.
In Deutschland gibt es zwei Wege zu einem Zertifikat nach ISO/IEC 27001. Der erste führt über eine akkreditierte Zertifizierungsstelle, die nach der Norm prüft. Der zweite führt über den IT-Grundschutz: Geprüft wird nach den BSI-Standards 200-1, 200-2 und 200-3 und dem IT-Grundschutz-Kompendium, auditiert wird von einem beim BSI zertifizierten Auditor, und das Zertifikat erteilt das Bundesamt für Sicherheit in der Informationstechnik.
| Kriterium | ISO/IEC 27001 | ISO 27001 auf Basis von IT-Grundschutz |
|---|---|---|
| Grundlage | Die Norm ISO/IEC 27001:2022, deutsche Fassung DIN EN ISO/IEC 27001:2024-01 | Dieselbe Norm, ergänzt um die BSI-Standards 200-1, 200-2 und 200-3 sowie das IT-Grundschutz-Kompendium |
| Vorgehen | Die Norm schreibt kein Verfahren vor. Risikobeurteilung, Auswahl und Begründung der Controls legen Sie selbst fest | Drei vorgegebene Vorgehensweisen: Basis-Absicherung, Kern-Absicherung und Standard-Absicherung |
| Wer auditiert | Auditoren einer akkreditierten Zertifizierungsstelle | Beim BSI zertifizierte Auditoren |
| Wer das Zertifikat erteilt | Die akkreditierte Zertifizierungsstelle | Das Bundesamt für Sicherheit in der Informationstechnik nach Prüfung des Auditberichts |
| Nachweistiefe | Der Umfang ergibt sich aus Anwendungsbereich und Risikobeurteilung | Der Umfang ergibt sich zusätzlich aus den Bausteinen des IT-Grundschutz-Kompendiums für den Informationsverbund |
| Erklärung zur Anwendbarkeit | Pflichtdokument nach Kapitel 6.1.3 der Norm | Pflichtdokument nach Kapitel 6.1.3 der Norm, zusätzlich die IT-Grundschutz-Dokumentation |
| Abbildung in CRISAM® | Bausteine und Kontrollziele des ISMS Knowledge Pack, gemappt auf die Normkapitel | Dieselben Kontrollzielfragen, zusätzlich auf den BSI IT-Grundschutz gemappt |
Welcher Weg der richtige ist, hängt davon ab, wer den Nachweis verlangt. Müssen Sie zusätzlich gesetzliche Anforderungen erfüllen, gilt: Ein zertifiziertes ISMS ersetzt weder die Registrierung noch die Meldepflichten aus NIS2 oder DORA, deckt aber viele der dort geforderten Maßnahmenbereiche ab. Eine Übersicht aller Regelwerke, die CRISAM® abdeckt, finden Sie unter Normen und Standards.
Ein Webinar zum Vorgehen und ein Anwenderbericht aus der Praxis.
Wie Sie ein ISMS mit integrierter Risikoanalyse, vorbereiteten Maßnahmen und auditfähiger Berichterstattung aufbauen.
Nächster Termin: 10.11.2026, 13:00 UhrTermine ansehen
Wie ein IT-Beratungshaus sein Informationssicherheits-Managementsystem in CRISAM® abbildet.
Case Study lesenWebinare und Schulungen im Überblick, dazu die selbstgesteuerten Kurse der CRISAM® Academy und die Produktunterlagen im Downloadcenter.
AcademyDownloadcenterDer erste Schritt hängt davon ab, wo Sie heute stehen.
Sie beginnen mit der Initialmodellierung: Unternehmensstruktur, Organisationseinheiten und Assets. Das ISMS Knowledge Pack liefert die Bausteine und Kontrollziele für die Bewertung, Sie müssen den Katalog also nicht selbst erstellen.
Am Anfang steht die Gap-Analyse. Bereits vorhandene Antworten werden übernommen und bewertet. Sie sehen, welche Anforderungen offen sind, wer dafür zuständig ist und bis wann sie umgesetzt sein sollen.
Entscheidend ist, dass Überwachungsaudit und Rezertifizierung auf derselben Grundlage aufsetzen wie der Tagesbetrieb. Abweichungen, Korrekturmaßnahmen und Nachweise stehen als Bericht bereit.
Sie benötigen dafür die CRISAM® GRC Plattform, das CRISAM® ISMS Modul und das ISMS 27001 Knowledge Pack. In der Demo besprechen wir Ihre Ausgangslage und zeigen, was davon bei Ihnen bereits vorhanden ist.
ISO/IEC 27001 ist die internationale Norm für Informationssicherheits-Managementsysteme. Sie legt fest, wie ein ISMS aufgebaut, betrieben und fortlaufend verbessert wird: Anwendungsbereich festlegen, Risiken beurteilen, Maßnahmen auswählen und begründen, Wirksamkeit prüfen. Eine Zertifizierung ist freiwillig und wird von akkreditierten Zertifizierungsstellen erteilt.
Gültig ist die dritte Ausgabe ISO/IEC 27001:2022, ergänzt um Amendment 1:2024 zum Klimaschutz. Die deutsche Fassung erschien als DIN EN ISO/IEC 27001:2024-01, die Änderung als DIN EN ISO/IEC 27001/A1:2024-11. Zertifikate nach der Vorgängerausgabe ISO/IEC 27001:2013 sind seit dem Ende der Übergangsfrist am 31. Oktober 2025 nicht mehr gültig. Die Übergangsfrist ist in IAF MD 26 festgelegt.
In Deutschland gibt es zwei Wege zu einem Zertifikat nach ISO/IEC 27001. Der erste führt über eine akkreditierte Zertifizierungsstelle, die nach der Norm prüft. Der zweite führt über den IT-Grundschutz: Geprüft wird nach den BSI-Standards 200-1, 200-2 und 200-3 und dem IT-Grundschutz-Kompendium, auditiert wird von einem beim BSI zertifizierten Auditor, und das Zertifikat erteilt das Bundesamt für Sicherheit in der Informationstechnik.
Die Kapitel 4 bis 10 der Norm enthalten die Anforderungen an das Managementsystem: Kontext und Anwendungsbereich, Führung und Sicherheitspolitik, Planung mit Risikobeurteilung und Risikobehandlung, Unterstützung mit Kompetenz und dokumentierter Information, Betrieb, Bewertung der Leistung mit internem Audit und Managementbewertung sowie Verbesserung. Anhang A listet die Controls, aus denen Sie auswählen. Die Auswahl und ihre Begründung halten Sie in der Erklärung zur Anwendbarkeit fest.
Die Zertifizierung von Managementsystemen läuft nach ISO/IEC 17021-1 in einem Dreijahreszyklus. Auf das Zertifizierungsaudit in zwei Stufen folgen Überwachungsaudits im ersten und zweiten Jahr, im dritten Jahr die Rezertifizierung. Danach beginnt der Zyklus erneut. Auch zwischen den Audits muss das ISMS nachweisbar weiterbetrieben werden, etwa durch interne Audits, Managementbewertung und Korrekturmaßnahmen.
CRISAM® bildet Mehrfachanforderungen über das Mapping der Kontrollzielfragen auf die Einzelnormen ab. Das integrierte ISMS Knowledge Pack stellt über 230 Bausteine und mehr als 2.500 Kontrollziele bereit, unter anderem auf Basis von ISO/IEC 27001 und 27002, BSI IT-Grundschutz, ITIL und NIST. Eine beantwortete Kontrollzielfrage gilt damit für mehrere Regelwerke und muss nicht je Norm erneut erhoben werden.
Spätestens dann, wenn mehrere Personen am ISMS arbeiten und Nachweise über mehrere Jahre prüffähig bleiben müssen. In Tabellen fehlt die Verknüpfung zwischen Risiko, Control, Maßnahme und Nachweis, jede Auswertung muss neu zusammengestellt werden. In CRISAM® sind diese Elemente in einem Modell verknüpft. Abweichungen und Schwachstellen werden systematisch identifiziert, Verbesserungsmaßnahmen lassen sich erstellen, Verantwortlichen zuweisen und workflowgestützt überwachen.
Auf derselben Datengrundlage, auf der das ISMS im Tagesbetrieb läuft. CRISAM® liefert standardisierte Berichte für Audits, Zertifizierungen und externe Prüfungen sowie Export-Funktionen für Stakeholder und Kunden. Benchmarking- und Compliance-Bewertungen zeigen Abweichungen und Nicht-Konformitäten, bevor der Auditor sie findet.
Die Angaben zur Norm und zur Zertifizierung auf dieser Seite stammen aus den folgenden Quellen.
Die Angaben geben den Stand der genannten Quellen zum oben angeführten Prüfstand wieder.
In der Demo gehen wir Ihren Fall gemeinsam durch: Anwendungsbereich, Gap-Analyse, Risikobeurteilung, Erklärung zur Anwendbarkeit und den fertigen Bericht.
Bleiben wir in Kontakt
Telefon
Newsletter
Sie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Instagram. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von X. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen
