ISO 27001 im Mittelstand: Sicherheit als Chefsache

Über 99 Prozent der Unternehmen der deutschen Privatwirtschaft sind kleine und mittlere Unternehmen, und laut Institut für Mittelstandsforschung Bonn arbeiteten dort 2023 rund 19,1 von 35,9 Millionen abhängig Beschäftigten. Diese Größe macht den Mittelstand zum Rückgrat der Wirtschaft und gleichzeitig zu einem attraktiven Ziel: Er hält Verfahrenswissen, Kundendaten und Produktionskapazität, ist aber selten so aufgestellt wie ein Konzern.

Warum ist ISO 27001 im Mittelstand zur Chefsache geworden?

Weil das Gesetz die Verantwortung ausdrücklich nach oben verlegt hat. Nach § 38 BSIG muss die Geschäftsleitung betroffener Unternehmen die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen. Absatz 3 verpflichtet sie zusätzlich, regelmäßig an Schulungen teilzunehmen, um Risiken selbst beurteilen zu können.

Verstößt sie dagegen, haftet sie nach § 38 Abs. 2 der eigenen Einrichtung für schuldhaft verursachte Schäden nach den Regeln des Gesellschaftsrechts. Ein pauschaler Haftungsausschluss im Gesellschaftsvertrag hilft dabei nicht. Dazu kommen Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes für besonders wichtige und bis zu 7 Millionen Euro oder 1,4 Prozent für wichtige Einrichtungen.

ISO 27001 bleibt freiwillig. Aber die Norm liefert genau die Struktur, mit der eine Geschäftsführung Billigung, Überwachung und Wirksamkeit überhaupt belegen kann, statt sie zu behaupten.

Wer verlangt ISO 27001 im Mittelstand, und mit welchem Druckmittel?

Der Druck kommt aus drei Richtungen. Große Kunden geben ihre eigene Pflicht weiter: § 30 BSIG verlangt von betroffenen Unternehmen ausdrücklich die Sicherheit ihrer Lieferkette, und das landet als Vertragsklausel beim Zulieferer. Dass die Prüfungen härter werden, hat einen messbaren Grund. Der Verizon Data Breach Investigations Report 2025 stellt fest, dass an 30 Prozent der untersuchten Datenpannen ein Dritter beteiligt war, doppelt so viele wie im Jahr davor.

Die zweite Richtung sind Versicherer. Cyberdeckung setzt ein Mindestmaß an IT-Sicherheit voraus, und der Gesamtverband der Versicherer hält fest, dass der Mittelstand seine Präventionsmöglichkeiten noch nicht ausgeschöpft hat. Im Antrag ist ein Zertifikat ein belastbarer Nachweis statt einer Selbstauskunft.

Die dritte ist der Markt selbst. Die ISO-Survey zählt 96.709 gültige Zertifikate nach ISO/IEC 27001, rund eine Verdopplung gegenüber dem Vorjahr. Seit dem 31. Oktober 2025 gilt allein die Fassung von 2022.

Welche Risiken adressiert ISO 27001 im Mittelstand konkret?

Die Zahlen sind eindeutig. Laut Verizon war Ransomware an 88 Prozent der Datenpannen bei kleinen und mittleren Unternehmen beteiligt, deutlich häufiger als bei Großunternehmen. Die Bitkom-Studie „Wirtschaftsschutz 2025“ bilanziert 289,2 Milliarden Euro Schaden, 87 Prozent der Unternehmen waren betroffen, 59 Prozent sehen ihre Geschäftsexistenz bedroht. Ransomware traf 34 Prozent, gegenüber 12 Prozent im Jahr 2022.

Für einen Hidden Champion steht dabei oft nicht das Kundendatum im Mittelpunkt, sondern das Verfahrenswissen. Auch dazu liefert Bitkom eine Einordnung: 46 Prozent der betroffenen Unternehmen führen Angriffe nach Russland zurück, ebenso viele nach China, 28 Prozent ordnen Vorfälle ausländischen Nachrichtendiensten zu. Der Annex A der Fassung 2022 stellt 93 Maßnahmen bereit, aus denen risikobasiert ausgewählt wird, von Zugriffskontrolle und Verschlüsselung bis zur Absicherung von Lieferantenzugängen.

Was leistet ISO 27001 im Mittelstand zusätzlich für NIS2 und TISAX?

Ein Aufbau, mehrere Ergebnisse. Die Kataloge überschneiden sich stark: Risikomanagement, Zugriffskontrolle, Lieferantensteuerung, Vorfallbehandlung und Betriebskontinuität verlangt jeder dieser Rahmen. Wer sie einmal ordentlich einführt, deckt große Teile der Anforderungen aus § 30 BSIG mit ab und hat die Basis, auf der ein TISAX-Assessment in der Automobilzulieferung aufsetzt.

Bei dünner IT-Decke ist Doppelarbeit der teuerste Fehler. Dass der Aufwand real ist, zeigt die Budgetseite: Unternehmen stecken laut Bitkom inzwischen 18 Prozent ihres IT-Budgets in Sicherheit, gegenüber 9 Prozent im Jahr 2022.

Wie lange dauert ISO 27001 im Mittelstand bis zum Zertifikat?

Je nach Reife sind drei bis sechs Monate bis zum Audit realistisch. Das externe Audit läuft in zwei Stufen, Dokumentenprüfung und Wirksamkeitsprüfung, danach folgt das Zertifikat mit drei Jahren Gültigkeit und jährlichen Überwachungsaudits.

Die eigentliche Entscheidung steckt im Geltungsbereich. Bei einer über Jahre gewachsenen, heterogenen IT und angeschlossenen Produktionsnetzen ist der Zuschnitt keine Formalie, sondern der wirksamste Hebel für Aufwand und Zeitplan. Ein zu weit gefasster Scope ist der häufigste vermeidbare Fehler.

Was steht im Whitepaper?

• Warum der Mittelstand Rückgrat und Ziel zugleich ist, von der Lieferkette über Versicherer bis zur Gesetzeslage
• Fünf Eigenheiten mittelständischer Unternehmen, die die Zertifizierung erschweren, von gewachsener IT bis zur Scheu vor Bürokratie
• Fünf Risikoszenarien aus der Praxis, jeweils mit den passenden Maßnahmen aus dem Annex A
• Was die Norm konkret verlangt, von Kontext und Geltungsbereich bis zu Bewertung und Verbesserung
• Eine Roadmap in sechs Schritten mit realistischer Zeitschätzung bis zum Zertifikat
• Wie ein ISMS ISO 27001, NIS2 und TISAX zugleich trägt, mit einem Praxisbeispiel aus der Industrie

Das Whitepaper richtet sich an Geschäftsführungen, IT-Leitungen sowie Sicherheits- und Compliance-Verantwortliche in mittelständischen Unternehmen. Laden Sie es kostenfrei herunter.