ISO 27001 Checkliste für Scaleups: in elf Schritten zur Zertifizierung

Ein Scaleup zertifiziert selten einen Zustand, sondern eine Bewegung. Standorte, Gesellschaften und Produkte kommen laufend dazu, und genau darin liegt der Unterschied zum Startup: Ein ISMS für einen Standort ist ein Projekt, ein ISMS für sieben ist eine Struktur. Wer die elf Schritte abarbeitet, sollte deshalb zwei Entscheidungen vorher treffen, die den Aufwand für Jahre festlegen.

Was gehört in eine ISO 27001 Checkliste für Scaleups?

Zwei Teile, die zusammengehören. Der erste sind die Anforderungen der Kapitel 4 bis 10, also das Managementsystem selbst: Kontext, Führung, Planung, Betrieb, Bewertung, Verbesserung. Der zweite ist der Annex A mit 93 Maßnahmen in vier Themen, 37 organisatorischen, 8 personenbezogenen, 14 physischen und 34 technologischen, aus denen risikobasiert ausgewählt wird.

Die Reihenfolge folgt Abhängigkeiten, nicht Vorlieben. Ohne Management-Commitment und festgelegten Geltungsbereich gibt es kein sinnvolles Asset-Register, ohne Asset-Register keine belastbare Risikobeurteilung und ohne Risikobeurteilung keine begründete Erklärung zur Anwendbarkeit. Für ein Scaleup kommt eine Besonderheit hinzu: Der Geltungsbereich sollte die Wachstumslogik abbilden und nicht den Stand von heute, sonst wird er beim nächsten Standort zur Baustelle.

Worauf kommt es bei der ISO 27001 Checkliste für Scaleups an, wenn Standorte dazukommen?

Auf eine Regel, die viele erst im Angebotsgespräch entdecken. Für Organisationen mit mehreren Standorten gilt das verbindliche IAF-Dokument MD 1. Es erlaubt der Zertifizierungsstelle, nur eine Stichprobe der Standorte zu auditieren, wenn drei Bedingungen erfüllt sind: Alle Standorte sind rechtlich oder vertraglich an eine Zentrale gebunden, es gibt ein gemeinsames, zentral gesteuertes Managementsystem, und die Prozesse sind vergleichbar.

Der Effekt ist erheblich. Die Stichprobe berechnet sich beim Erstaudit als Wurzel aus der Zahl der Standorte, aufgerundet, bei Überwachungsaudits mit dem Faktor 0,6 und bei der Rezertifizierung mit 0,8, sofern sich das System als wirksam erwiesen hat. Die Zentrale wird jedes Mal geprüft. Bei sechzehn Standorten bedeutet das vier Audits statt sechzehn. Unterscheiden sich die Prozesse dagegen deutlich, entfällt die Stichprobe und alle relevanten Standorte werden auditiert. Wer also früh ein zentral gesteuertes ISMS aufbaut statt lokale Insellösungen, spart bei jedem Wachstumsschritt Auditaufwand.

Welche Zertifizierungsstelle passt zur ISO 27001 Checkliste für Scaleups?

Eine akkreditierte, und dieser Punkt entscheidet über den Wert des ganzen Projekts. In Deutschland akkreditiert die Deutsche Akkreditierungsstelle DAkkS die Zertifizierungsstellen für Managementsysteme; für ISO 27001 sind es rund 50. Ein Zertifikat einer nicht akkreditierten Stelle wird von Vertragspartnern in der Regel nicht als hinreichender Nachweis akzeptiert und erfüllt Ausschreibungsanforderungen typischerweise nicht.

Für ein Scaleup, das gerade wegen Enterprise-Deals und Due Diligence zertifiziert, wäre das der teuerste Fehler im gesamten Ablauf: voller Aufwand, keine Wirkung. Deshalb gehört vor die Beauftragung eine kurze Prüfung, ob die Stelle akkreditiert ist und ob die Akkreditierung den eigenen Geltungsbereich abdeckt.

Welche Punkte der ISO 27001 Checkliste für Scaleups werden am häufigsten unterschätzt?

Drei Stellen. Erstens das interne Audit. ISO 19011 gibt den Leitfaden für Auditprogramm, Durchführung und Auditorenkompetenz vor, und der Knackpunkt ist die Unabhängigkeit: Wer das ISMS gebaut hat, kann es nicht selbst auditieren. Bei knappen Teams braucht das eine bewusste Rollentrennung oder externe Unterstützung.

Zweitens Kapitel 9.1, die Überwachung und Messung. Verlangt sind Kennzahlen zur Wirksamkeit, nicht Absichtserklärungen, und genau daran fällt bei Stage 2 auf, ob ein ISMS gelebt wird. Drittens die Lieferantenseite: Ein Scaleup nutzt dutzende Dienste, und jeder ist ein Lieferant im Sinne der Norm. Gefordert sind Auswahlkriterien, vereinbarte Anforderungen und ein gepflegtes Verzeichnis, nicht eine Liste im Tool.

Wie bleibt das ISMS nach der ISO 27001 Checkliste für Scaleups am Leben?

Über die Kapitel 9 und 10, die Dauerpflichten sind: Überwachung und Messung, internes Audit, Managementbewertung, Korrekturmaßnahmen. Das ist ein Takt, kein Projektende.

Für ein wachsendes Unternehmen kommen zwei Routinen hinzu. Neue Standorte und Gesellschaften werden in die bestehende Multi-Site-Struktur aufgenommen, statt separat zertifiziert zu werden. Und neue Produkte, Features und Dienstleister wandern laufend in Geltungsbereich und Risikoregister, Zugänge werden bei jedem On- und Offboarding mitgeführt. Ein Hinweis zur Fassung: Seit dem 31. Oktober 2025 wird ausschließlich nach der Ausgabe 2022 zertifiziert.

Was steht in der Checkliste?

• Elf Schritte in verbindlicher Reihenfolge, von Management-Commitment und Geltungsbereich bis zum Zertifizierungsaudit
• Abhakbare Punkte je Schritt, vom Asset-Register über Netzsegmentierung und IT-OT-Trennung bis zum Auswahlkriterium für die Zertifizierungsstelle
• Vier Situationen, in denen ISO 27001 für Scaleups kritisch wird: Enterprise Sales, Fundraising, Skalierung, M&A und Exit
• Was Stage 1 und Stage 2 des Zertifizierungsaudits jeweils prüfen
• Ein Founder-Tipp, wie das ISMS nach dem Zertifikat im Takt bleibt

Die Checkliste richtet sich an Geschäftsführungen, CTOs sowie Sicherheits- und Compliance-Verantwortliche in Scale-ups, die den Weg zum Zertifikat planbar machen wollen. Laden Sie sie kostenfrei herunter.