ISO 27001 Checkliste für den Mittelstand: in zwölf Schritten zum Zertifikat

Eine Checkliste hilft nur, wenn hinter jedem Haken ein Nachweis steht. Bei ISO/IEC 27001 ist das wörtlich zu nehmen: Die Norm verlangt an rund einem Dutzend Stellen ausdrücklich dokumentierte Information, und im Audit wird nicht die Liste geprüft, sondern das, was dahinter liegt. Für ein mittelständisches Unternehmen entscheidet deshalb weniger die Vollständigkeit der Liste als die Reihenfolge und die Frage, wer welche Entscheidung formell trifft.

Was gehört in eine ISO 27001 Checkliste für den Mittelstand?

Zwei Teile. Der erste sind die Anforderungen der Kapitel 4 bis 10, also das Managementsystem selbst: Kontext, Führung, Planung, Betrieb, Bewertung, Verbesserung. Der zweite ist der Annex A mit 93 Maßnahmen in vier Themen, 37 organisatorischen, 8 personenbezogenen, 14 physischen und 34 technologischen, aus denen risikobasiert ausgewählt wird.

Die Abhängigkeiten geben die Reihenfolge vor: Ohne Sponsorship der Geschäftsführung und festgelegten Geltungsbereich gibt es kein sinnvolles Asset-Register, ohne Asset-Register keine belastbare Risikobeurteilung und ohne Risikobeurteilung keine begründete Erklärung zur Anwendbarkeit. Im Mittelstand liegt die typische Falle im dritten Schritt: Über Jahre gewachsene IT und Produktionsnetze machen die Inventur zur eigentlichen Arbeit, nicht die Richtlinien.

Welche Meldefristen muss die ISO 27001 Checkliste für den Mittelstand abdecken?

Zwei, und sie laufen unterschiedlich schnell. Wer als besonders wichtige oder wichtige Einrichtung unter das BSIG fällt, meldet erhebliche Sicherheitsvorfälle nach § 32 BSIG an die gemeinsame Meldestelle von BSI und BBK: Erstmeldung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, Folgemeldung mit erster Bewertung spätestens nach 72 Stunden, Zwischenmeldung auf Anforderung und Abschlussmeldung spätestens einen Monat nach der Meldung. Dauert der Vorfall länger an, tritt eine Fortschrittsmeldung an deren Stelle.

Parallel gilt bei Betroffenheit personenbezogener Daten Artikel 33 DSGVO mit 72 Stunden gegenüber der Datenschutzaufsicht. Ein Vorfall, zwei Uhren, zwei Adressaten. Deshalb steht in einer brauchbaren Checkliste nicht „Meldeprozess vorhanden“, sondern wer innerhalb von 24 Stunden entscheidet, wer meldet und wo die Kontaktdaten hinterlegt sind. Wer das erst im Ernstfall klärt, verliert die erste Frist.

Warum entscheidet die Geschäftsführung über die ISO 27001 Checkliste für den Mittelstand mit?

Weil die Norm es an einer Stelle ausdrücklich verlangt. Der Risikobehandlungsplan braucht die Genehmigung der Risikoeigentümer, und die verbleibenden Restrisiken müssen formell akzeptiert werden. Das ist kein Formalismus, sondern der Punkt, an dem aus einer IT-Einschätzung eine unternehmerische Entscheidung wird.

Für den Mittelstand ist das die praktisch wichtigste Zeile der ganzen Liste. Wer sie überspringt, hat ein technisch ordentliches ISMS ohne Rückendeckung, und im Audit fällt genau das auf: Ein Risikobehandlungsplan ohne dokumentierte Akzeptanz ist ein Vorschlag, keine Entscheidung. Umgekehrt schafft die formelle Akzeptanz Klarheit darüber, welche Lücken bewusst getragen werden und welche nicht.

Welche Punkte der ISO 27001 Checkliste für den Mittelstand werden am häufigsten unterschätzt?

Drei. Erstens die Erklärung zur Anwendbarkeit. Sie muss nicht nur die ausgewählten Maßnahmen und deren Begründung enthalten, sondern auch begründen, warum Maßnahmen aus dem Annex A ausgeschlossen wurden. In der Praxis wird meist nur die Einschlussseite dokumentiert, und die Ausschlussbegründung fehlt.

Zweitens Kapitel 9.1, Überwachung und Messung. Verlangt sind Kennzahlen zur Wirksamkeit, nicht Absichtserklärungen. Drittens die Lieferantenseite: Kritische Dienstleister brauchen Kriterien, vereinbarte Anforderungen und eine wiederkehrende Bewertung, nicht eine Liste im Einkauf. Bei Auftraggebern, die selbst regulierte Unternehmen sind, wird genau dieser Punkt vertraglich weitergegeben.

Wie bleibt das ISMS nach der ISO 27001 Checkliste für den Mittelstand am Leben?

Über die Kapitel 9 und 10, und die sind Dauerpflichten: Überwachung und Messung, internes Audit, Managementbewertung, Korrekturmaßnahmen. Der zwölfte Schritt der Checkliste heißt deshalb nicht zufällig „dauerhaft“.

Praktisch heißt das drei Termine im Kalender: das jährliche Überwachungsaudit, die Managementbewertung und die Rezertifizierung am Ende des Dreijahreszyklus. Dazwischen wandern neue Standorte, Anlagen und Dienstleister laufend in Geltungsbereich und Risikoregister. Ein Hinweis zur Fassung: Seit dem 31. Oktober 2025 wird ausschließlich nach der Ausgabe 2022 zertifiziert.

Was steht in der Checkliste?

• Zwölf Schritte in verbindlicher Reihenfolge, von Management-Sponsorship und Geltungsbereich bis zum dauerhaften Betrieb
• Abhakbare Punkte je Schritt, vom Asset-Register über Härtungs-Standards bis zur Wirksamkeitsprüfung implementierter Controls
• Vier Treiber, die den Zeitpunkt bestimmen: Lieferketten-Compliance, NIS-2, Cyberversicherung und Wettbewerbsvorteil
• Was Stage 1 und Stage 2 des Zertifizierungsaudits jeweils prüfen
• Die Punkte zu Lieferkette, Awareness und Meldewegen, an denen mittelständische Betriebe am häufigsten nacharbeiten

Die Checkliste richtet sich an Geschäftsführungen, IT-Leitungen sowie Sicherheits- und Compliance-Verantwortliche in mittelständischen Unternehmen, die den Weg zum Zertifikat planbar machen wollen. Laden Sie sie kostenfrei herunter.