ISO 27001 Checkliste für Startups: in zwölf Schritten zum Zertifikat

ISO/IEC 27001 verlangt an rund einem Dutzend Stellen ausdrücklich dokumentierte Information. Genau deshalb ist eine Checkliste hier mehr als eine Gedächtnisstütze: Jeder Punkt, der abgehakt wird, muss im Audit als Nachweis vorliegen. Und weil die Punkte aufeinander aufbauen, entscheidet die Reihenfolge darüber, ob ein Startup in drei bis sechs Monaten zum Zertifikat kommt oder Schleifen dreht.

Was gehört in eine ISO 27001 Checkliste für Startups?

Zwei Teile, die oft vermischt werden. Der erste sind die Anforderungen aus den Kapiteln 4 bis 10 der Norm, also das Managementsystem selbst: Kontext, Führung, Planung, Betrieb, Bewertung, Verbesserung. Der zweite ist der Annex A mit 93 Maßnahmen in vier Themen, 37 organisatorischen, 8 personenbezogenen, 14 physischen und 34 technologischen, aus denen risikobasiert ausgewählt wird.

Die Abhängigkeiten geben die Reihenfolge vor. Ohne festgelegten Geltungsbereich gibt es kein sinnvolles Asset-Register, ohne Asset-Register keine belastbare Risikobeurteilung, und ohne Risikobeurteilung keine begründete Erklärung zur Anwendbarkeit. Eine Liste, die nach Controls sortiert statt nach Abhängigkeiten, produziert Nacharbeit. Deshalb ordnet eine brauchbare Checkliste die Arbeit in Schritte und nicht in Themen.

Welche Nachweise verlangt der Auditor, wenn die ISO 27001 Checkliste für Startups abgearbeitet ist?

Die Norm benennt ihre Pflichtnachweise selbst, und das ist die verlässlichste Vorlage überhaupt. Vorliegen müssen unter anderem: der dokumentierte Anwendungsbereich (4.3), die Informationssicherheitspolitik (5.2), der Risikobeurteilungs- und der Risikobehandlungsprozess (6.1.2 und 6.1.3), die Erklärung zur Anwendbarkeit (6.1.3 d), die Informationssicherheitsziele (6.2), Kompetenznachweise (7.2), die Ergebnisse von Risikobeurteilung und Risikobehandlung (8.2 und 8.3), Ergebnisse der Überwachung und Messung (9.1), Auditprogramm und Auditergebnisse (9.2), die Ergebnisse der Managementbewertung (9.3) sowie Nichtkonformitäten und Korrekturmaßnahmen (10.2).

Der Unterschied zwischen einem grünen Haken und einem bestandenen Audit liegt in der letzten Gruppe. Richtlinien zu haben ist die leichte Übung. Zu belegen, dass sie gelebt und ihre Wirksamkeit gemessen wird, ist die eigentliche Anforderung.

Welche Punkte der ISO 27001 Checkliste für Startups werden am häufigsten unterschätzt?

Vier Stellen fallen in der Praxis regelmäßig auf. Erstens der Geltungsbereich: Zu weit geschnitten verteuert er Aufwand und Audit dauerhaft, und er lässt sich später nur mühsam verkleinern. Zweitens Kapitel 9.1, die Überwachung und Messung. Sie verlangt Kennzahlen, nicht Absichtserklärungen, und wird beim Selbstaufbau gern übersprungen.

Drittens die Schleife aus internem Audit und Managementbewertung. Sie muss einmal vollständig durchlaufen sein, bevor das Zertifizierungsaudit Sinn ergibt, und sie ist zugleich die beste Generalprobe. Viertens die Lieferantenseite: Ein cloud-natives Startup verteilt seine Daten über dutzende Dienste, und jeder davon ist ein Lieferant im Sinne der Norm. Gefordert sind Auswahlkriterien, vereinbarte Anforderungen und ein gepflegtes Verzeichnis, nicht eine Aufzählung im Tool.

Wie lange dauert das Audit, wenn die ISO 27001 Checkliste für Startups sitzt?

Das externe Audit läuft in zwei Stufen. Stage 1 prüft die Dokumentation und die Auditbereitschaft, Stage 2 die Wirksamkeit im Betrieb, vor Ort oder remote. Danach folgt das Zertifikat mit drei Jahren Gültigkeit, jährlichen Überwachungsaudits und einer Rezertifizierung am Ende des Zyklus.

Die Auditdauer ist dabei nicht Verhandlungssache. Zertifizierungsstellen müssen sie nach den Anforderungen der ISO/IEC 27006 aus Größe, Komplexität und Zuschnitt des Geltungsbereichs ableiten und begründen. Als Orientierung nennen Zertifizierer für Organisationen bis etwa 100 Beschäftigte rund fünf Audittage; Überwachungsaudits liegen darunter. Wer den Scope eng hält, spart also nicht nur Umsetzungsaufwand, sondern auch Auditkosten.

Wie bleibt das ISMS nach der ISO 27001 Checkliste für Startups am Leben?

Über die Kapitel 9 und 10, und die sind Dauerpflichten. Überwachung und Messung, internes Audit, Managementbewertung, Korrekturmaßnahmen: Das ist ein Takt, kein Projektende. Für ein wachsendes Team heißt das vor allem, neue Produkte, Features und Dienstleister laufend in den Geltungsbereich und ins Risikoregister nachzuziehen und Zugänge bei jedem On- und Offboarding mitzuführen.

Zwei Termine gehören dabei in den Kalender: das jährliche Überwachungsaudit und die Rezertifizierung. Und ein Hinweis zur Fassung: Seit dem 31. Oktober 2025 ist die Ausgabe 2022 die einzige, nach der zertifiziert wird.

Was steht in der Checkliste?

• Zwölf Schritte in verbindlicher Reihenfolge, von Geltungsbereich und Management-Commitment bis „ISMS am Leben halten“
• Abhakbare Punkte je Schritt, vom Asset-Register über Mehrfaktor-Anmeldung bis zum Rezertifizierungsplan
• Vier Treiber, die den richtigen Zeitpunkt bestimmen: Vertrieb, Enterprise-Zusammenarbeit, Fundraising und Exit
• Was in Stage 1 und Stage 2 des Zertifizierungsaudits jeweils geprüft wird
• Die Punkte zu Lieferkette, Awareness und Notfall, an denen junge Teams am häufigsten nacharbeiten müssen

Die Checkliste richtet sich an Gründerinnen und Gründer, CTOs sowie Sicherheits- und Compliance-Verantwortliche in Startups, die den Weg zum Zertifikat planbar machen wollen. Laden Sie sie kostenfrei herunter.