ISO 27001 für Systemhäuser: Ihre Kunden vertrauen Ihnen ihre IT an

Am 11. September 2026 greift die erste Stufe des EU Cyber Resilience Act. Ab dann müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, mit einer Frühwarnung binnen 24 Stunden. Für Systemhäuser, Softwarehäuser und Managed-Service-Anbieter ist das nur der jüngste von mehreren Punkten, an denen ihre eigene Sicherheit plötzlich prüfbar wird.

Warum ist ISO 27001 für Systemhäuser zur Grundvoraussetzung geworden?

Weil das Geschäftsmodell selbst das Risiko definiert. Wer die IT anderer beschafft, integriert und betreibt, hält administrativen Zugriff auf fremde Netze, oft aus der Ferne und über zentrale Werkzeuge. Genau diese Position macht den Dienstleister für Angreifer wertvoll und für Kunden prüfungsbedürftig.

Der Verizon Data Breach Investigations Report 2025 quantifiziert das: An 30 Prozent der untersuchten Datenpannen war ein Dritter beteiligt, doppelt so viele wie im Jahr davor. Zugangsdatenmissbrauch stellt 22 Prozent der Einstiegsvektoren, ausgenutzte Schwachstellen 20 Prozent mit einem Anstieg von 34 Prozent. Ein Anbieter mit privilegierten Zugängen sitzt in beiden Kategorien.

Parallel ist der Nachweis Marktstandard geworden. Die ISO-Survey zählt weltweit 96.709 gültige Zertifikate nach ISO/IEC 27001, rund eine Verdopplung gegenüber dem Vorjahr. Seit dem 31. Oktober 2025 gilt allein die Fassung von 2022.

Wer verlangt ISO 27001 für Systemhäuser, und wann greift das Gesetz direkt?

Bei den Kunden greift § 30 BSIG: Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette gewährleisten, und sie geben diese Pflicht per Vertrag an ihre IT-Dienstleister weiter. Dazu kommt die öffentliche Vergabe, in der ein anerkannter Nachweis regelmäßig Teilnahmevoraussetzung ist.

Wichtiger ist aber ein Punkt, den viele Anbieter unterschätzen: Managed Service Provider sind unter NIS2 ein eigener, ausdrücklich benannter Einrichtungstyp, unabhängig davon, in welchem Sektor sie tätig sind. Ein MSP gilt bereits ab 50 Beschäftigten als wichtige Einrichtung. Während ein Industriekunde erst prüfen muss, ob sein Sektor erfasst ist, ist der Dienstleister es aufgrund seiner Tätigkeit. Er trägt damit eigene Pflichten und zugleich die Erwartungen seiner Kunden.

Welche Risiken adressiert ISO 27001 für Systemhäuser konkret?

Die Risiken hängen an der Hebelwirkung. Ein kompromittiertes Fernwartungswerkzeug ist kein Vorfall bei einem Kunden, sondern potenziell bei allen gleichzeitig. Dasselbe gilt für Administratorkonten, gemeinsam genutzte Passwortspeicher und Mandantentrennung in geteilten Verwaltungssystemen.

Die Bitkom-Studie „Wirtschaftsschutz 2025“ ordnet die Lage ein: 289,2 Milliarden Euro Schaden, 87 Prozent der Unternehmen betroffen, 59 Prozent sehen ihre Geschäftsexistenz bedroht. Ransomware traf 34 Prozent, gegenüber 12 Prozent im Jahr 2022. Der Annex A der Fassung 2022 stellt 93 Maßnahmen bereit, aus denen risikobasiert ausgewählt wird. Für Dienstleister stehen dabei die Steuerung privilegierter Zugriffe, Härtung und Konfiguration, Protokollierung und ein sauberes Offboarding von Technikern im Vordergrund.

Was leistet ISO 27001 für Systemhäuser zusätzlich für NIS2, CRA und Vergabe?

Ein Aufbau, mehrere Nachweise. Risikomanagement, Zugriffskontrolle, Lieferantensteuerung, Schwachstellen- und Vorfallbehandlung verlangt jeder dieser Rahmen. Wer sie einmal ordentlich einführt, deckt große Teile von § 30 BSIG ab und hat die Prozesse, mit denen sich die CRA-Meldefristen von 24 Stunden für die Frühwarnung, 72 Stunden für Ergänzungen und 14 Tagen für den Abschlussbericht überhaupt einhalten lassen. Ab dem 11. Dezember 2027 gelten die vollen CRA-Anforderungen für neu in Verkehr gebrachte Produkte.

Dass die Investition marktüblich ist, zeigt die Budgetseite: Unternehmen stecken laut Bitkom inzwischen 18 Prozent ihres IT-Budgets in Sicherheit, gegenüber 9 Prozent im Jahr 2022.

Wie lange dauert ISO 27001 für Systemhäuser bis zum Zertifikat?

Je nach Reife sind drei bis sechs Monate bis zum Audit realistisch, und Systemhäuser starten selten bei null. Die technischen Maßnahmen stehen meist schon, was fehlt, ist die Struktur: dokumentierte Prozesse, benannte Verantwortlichkeiten und Nachweise, die im Audit Bestand haben.

Das externe Audit läuft in zwei Stufen, Dokumentenprüfung und Wirksamkeitsprüfung, danach folgt das Zertifikat mit drei Jahren Gültigkeit und jährlichen Überwachungsaudits. Der wirksamste Hebel bleibt der Geltungsbereich, der die betreuten Dienstleistungen und die dafür genutzten Systeme sauber umschließen sollte, ohne unnötig weit zu greifen.

Was steht im Whitepaper?

• Warum das Systemhaus der Generalschlüssel zur Kunden-IT ist und was daraus für Beschaffung, Betrieb und Vergabe folgt
• Vier Eigenheiten von IT-Dienstleistern, die die Zertifizierung erschweren, von dünner Struktur bis zur Fluktuation im Technikteam
• Fünf Risikoszenarien aus der Praxis, jeweils mit den passenden Maßnahmen aus dem Annex A
• Was die Norm konkret verlangt, von Kontext und Geltungsbereich bis zu Bewertung und Verbesserung
• Eine Roadmap in sechs Schritten mit realistischer Zeitschätzung bis zum Zertifikat
• Wie ein Fundament ISO 27001, NIS2, BSI-Grundschutz und SOC 2 zugleich trägt, mit einem Praxisbeispiel

Das Whitepaper richtet sich an Geschäftsführungen, Technikleitungen sowie Sicherheits- und Compliance-Verantwortliche in Systemhäusern, Softwarehäusern und bei Managed-Service-Anbietern. Laden Sie es kostenfrei herunter.