ISO 27001 für Scale-ups: Sicherheit, die mit dem Wachstum Schritt hält

Am 22. Juli 2026 hat das Bundeskabinett die Startup- und Scaleup-Strategie beschlossen. Sie nennt eine Zahl, die den Reifegrad des Segments beschreibt: Rund 522.000 Menschen arbeiteten 2024 in deutschen Startups und Scale-ups, 26 Prozent mehr als vier Jahre zuvor. Mit dieser Größe wachsen die Erwartungen der Kunden. Was im kleinen Team mündlich geregelt war, muss jetzt dokumentiert und nachweisbar sein.

Warum wird ISO 27001 für Scale-ups mit jedem Wachstumsschritt dringender?

Der Nachweis ist Marktstandard geworden. Die ISO-Survey zählt weltweit 96.709 gültige Zertifikate nach ISO/IEC 27001, rund eine Verdopplung gegenüber dem Vorjahr. Parallel ist die Übergangsfrist für die alte Fassung 2013 am 31. Oktober 2025 abgelaufen, es gilt allein ISO/IEC 27001:2022.

Entscheidender ist, wie Kunden inzwischen prüfen. Der Verizon Data Breach Investigations Report 2025 stellt fest, dass an 30 Prozent der untersuchten Datenpannen ein Dritter beteiligt war, doppelt so viele wie im Jahr davor. Genau deshalb verschärfen große Unternehmen ihre Lieferantenprüfungen. Für ein wachsendes Tech-Unternehmen bedeutet das: Es ist in dieser Rechnung der Dritte, und es muss belegen, dass es keine offene Flanke ist.

Wann wird ISO 27001 für Scale-ups aus einer Kür eine Pflicht?

ISO 27001 selbst bleibt freiwillig. Was nicht freiwillig ist, sind die Pflichten, die mit der Unternehmensgröße greifen. Das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025 ohne Übergangsfrist. Nach § 28 BSIG zählt ein Unternehmen in einem erfassten Sektor als wichtige Einrichtung ab 50 Beschäftigten oder ab mehr als 10 Millionen Euro Umsatz und Bilanzsumme, als besonders wichtige Einrichtung ab 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz.

Das ist die Pointe für Scale-ups: Nicht eine neue Geschäftsentscheidung löst die Betroffenheit aus, sondern das Wachstum selbst. Eine Einstellungswelle oder ein starkes Umsatzjahr kann ein Unternehmen über die Schwelle heben, ohne dass sich am Produkt etwas ändert. Wer ein ISMS erst dann aufsetzt, steht unter Zeitdruck. Wer es vorher hat, erfüllt einen Großteil der Anforderungen aus § 30 BSIG mit derselben Struktur.

Welche Risiken adressiert ISO 27001 für Scale-ups im schnellen Wachstum?

Die Angriffsseite ist gut dokumentiert. Laut Verizon war Ransomware 2025 an 44 Prozent aller Datenpannen beteiligt, ein Plus von 37 Prozent. Missbrauchte Zugangsdaten machten 22 Prozent der Einstiegsvektoren aus, ausgenutzte Schwachstellen 20 Prozent, letztere mit einem Anstieg von 34 Prozent. Die Bitkom-Studie „Wirtschaftsschutz 2025“ bilanziert 289,2 Milliarden Euro Schaden, 87 Prozent der Unternehmen waren betroffen, 59 Prozent sehen ihre Geschäftsexistenz bedroht.

Im Wachstum verschiebt sich weniger die Art der Risiken als ihre Reichweite. Zugänge, Rechte und Tools vermehren sich schneller als die Kontrolle darüber. Fluktuation macht Offboarding zur Daueraufgabe statt zur Ausnahme. Und ein Vorfall trifft nicht mehr einen Pilotkunden, sondern ein Portfolio. Der Annex A der Fassung 2022 stellt dafür 93 Maßnahmen bereit, aus denen risikobasiert ausgewählt wird.

Wie lässt sich ISO 27001 für Scale-ups mit SOC 2 und NIS2 kombinieren?

Wer international verkauft, wird selten nur nach einem Nachweis gefragt. Im US-Enterprise-Geschäft ist SOC 2 die gewohnte Währung, in Europa kommen NIS2 und je nach Branche TISAX hinzu. Jeden Rahmen einzeln aufzubauen erzeugt Doppelarbeit an genau der Stelle, an der ein Scale-up am wenigsten Kapazität hat.

Der Ausweg ist ein gemeinsames Fundament. Zugriffskontrolle, Lieferantensteuerung, Vorfallbehandlung und Nachweisführung braucht jeder dieser Rahmen. Einmal sauber aufgebaut, lassen sich daraus mehrere Nachweise bedienen. Dass Effizienz hier zählt, zeigt die Budgetseite: Unternehmen stecken laut Bitkom inzwischen 18 Prozent ihres IT-Budgets in Sicherheit, gegenüber 9 Prozent im Jahr 2022.

Wie lange dauert ISO 27001 für Scale-ups bis zum Zertifikat?

Je nach Reife sind drei bis sechs Monate bis zum Audit realistisch. Das externe Audit läuft in zwei Stufen, Dokumentenprüfung und Wirksamkeitsprüfung, danach folgt das Zertifikat mit drei Jahren Gültigkeit und jährlichen Überwachungsaudits.

Die eigentliche Arbeit steckt im Zuschnitt des Geltungsbereichs. Bei mehreren Produkten, Standorten und Gesellschaften ist die Frage, was hineingehört, keine Formalie, sondern der wirksamste Hebel für Aufwand und Zeitplan. Ein zu weit gefasster Scope ist der häufigste vermeidbare Fehler.

Was steht im Whitepaper?

• Warum Vertrauen im Wachstum zur Voraussetzung wird, von Enterprise-Deals über Investoren und Exit bis zur internationalen Expansion
• Fünf Eigenheiten von Scale-ups, die die Zertifizierung erschweren, von der aufgelaufenen Sicherheitsschuld bis zum Tool- und Lieferanten-Sprawl
• Fünf Risikoszenarien aus der Praxis, jeweils mit den passenden Maßnahmen aus dem Annex A
• Was die Norm konkret verlangt, von Kontext und Geltungsbereich bis zu Bewertung und Verbesserung
• Eine Roadmap in sechs Schritten mit realistischer Zeitschätzung bis zum Zertifikat
• Wie ein Fundament ISO 27001, SOC 2 und NIS2 zugleich trägt, mit einem Praxisbeispiel aus dem Scale-up-Umfeld

Das Whitepaper richtet sich an Geschäftsführungen, CTOs, CISOs sowie Compliance-Verantwortliche in Scale-ups und wachsenden Tech-Unternehmen. Laden Sie es kostenfrei herunter.