ISO 27001 für den Mittelstand: der realistische Einstieg

Die Frage nach ISO 27001 kommt im Mittelstand selten vom eigenen Auditor. Sie kommt vom Kunden: als Lieferantenfragebogen, als Ausschreibungskriterium, als Vertragsklausel. Und sie kommt häufiger, seit das neue BSI-Gesetz in Kraft ist – denn das BSIG 2025 (in Kraft seit dem 6. Dezember 2025) verpflichtet regulierte Einrichtungen, Sicherheitsanforderungen an ihre Lieferkette weiterzugeben. Was der Gesetzgeber bei den Großen einfordert, landet als Nachweisfrage bei deren Zulieferern – also bei vielen mittelständischen Unternehmen, die bislang nie ein Zertifikat gebraucht haben.

Die gute Nachricht: Niemand muss von null auf Zertifizierung springen. Der belastbare Weg ist eine Treppe – und die erste Stufe ist deutlich niedriger, als viele denken.

Was ISO 27001 heute konkret bedeutet

Seit dem 31. Oktober 2025 ist die Übergangsfrist der alten Fassung abgelaufen: ISO/IEC 27001:2022 ist die einzige gültige Zertifizierungsgrundlage. Aktuell gilt die Ausgabe 2022 einschließlich Amendment 1:2024 – einer kleinen Ergänzung, die an zwei Textstellen den Aspekt „Climate Action“ aufnimmt, inhaltlich aber nichts am Sicherheitsrahmen ändert.

Kern der Norm ist ein Informationssicherheits-Managementsystem (ISMS): definierte Verantwortlichkeiten, Risikobewertung, Maßnahmensteuerung, kontinuierliche Verbesserung. Der Anhang A der 2022er-Fassung umfasst 93 Controls in vier Themenblöcken:

Organisatorisch: 37 Controls – Richtlinien, Rollen, Lieferantenbeziehungen, Incident Management.
Personell: 8 Controls – vom Onboarding bis zur Sensibilisierung.
Physisch: 14 Controls – Zutritt, Standorte, Geräte.
Technologisch: 34 Controls – von Zugriffskontrolle über Backup bis Logging.

Die Struktur ist mit ISO 27002:2022 abgeglichen, die als Umsetzungsleitfaden dient. Ein Zertifikat gilt drei Jahre, mit jährlichen Überwachungsaudits und anschließender Rezertifizierung. In Deutschland werden Zertifizierungsstellen von der DAkkS akkreditiert – ein Kriterium, auf das Sie bei der Auswahl achten sollten.

Die Treppe: vier Stufen statt eines Sprungs

Stufe 1: Standort bestimmen – der CyberRisikoCheck

Für kleinere Unternehmen gibt es unterhalb von ISO 27001 einen offiziellen Einstieg: den CyberRisikoCheck nach DIN SPEC 27076, den das BSI mitentwickelt hat. Er richtet sich an Unternehmen mit weniger als 50 Mitarbeitenden und ist bewusst schlank gehalten: ein ein- bis zweistündiges Interview, 27 Anforderungen in sechs Themenbereichen, am Ende ein Ergebnisbericht mit Punktwert und priorisierten Empfehlungen – inklusive Hinweisen auf mögliche Fördermittel. Das BSI führt eine Liste qualifizierter Dienstleister, die den Check durchführen dürfen. Für konkrete Förderprogramme lohnt der Blick in die Förderdatenbank des Bundes; die Konditionen unterscheiden sich je nach Land und Programm.

Für Unternehmen oberhalb dieser Größenordnung leistet eine strukturierte Gap-Analyse gegen den Anhang A dasselbe: Sie zeigt, wo Sie stehen – bevor Sie planen, wohin Sie wollen. Dass dieser nüchterne Blick nötig ist, zeigt der BSI-Lagebericht 2025 am Rande: Geprüfte Unternehmen erfüllten im Schnitt knapp 56 Prozent der Grundanforderungen – bei zugleich überwiegend positiver Selbsteinschätzung (unsere Auswertung des Lageberichts). Die Lücke zwischen Selbstbild und Befund ist der eigentliche Grund, mit einer Messung zu beginnen.

Stufe 2: Die Basics schließen

Aus fast jeder Erstanalyse fallen dieselben Prioritäten heraus: Multi-Faktor-Authentifizierung flächendeckend, nachweisbar wiederherstellbare Backups, konsequentes Patch-Management. Diese Maßnahmen senken das reale Risiko sofort – unabhängig davon, ob je ein Auditor ins Haus kommt. Wer sie überspringt und direkt Dokumente für ein ISMS schreibt, baut Fassade statt Fundament.

Stufe 3: Ein ISMS mit sauberem Scope

Erst jetzt beginnt das eigentliche ISMS-Projekt: Geltungsbereich festlegen, Risiken bewerten, Maßnahmen aus dem Anhang A begründet auswählen oder ausschließen, Prozesse dokumentieren und – entscheidend – leben. Der Scope ist dabei der größte Hebel: Ein bewusst geschnittener Geltungsbereich, etwa um die Systeme und Standorte, die Ihre Kunden tatsächlich betreffen, hält das Projekt beherrschbar. Zum Aufwand ist Ehrlichkeit angebracht: Ein ISMS entsteht nicht nebenbei, es bindet über einen längeren Zeitraum Management-Aufmerksamkeit und interne Kapazität. Seriös beziffern lässt sich das erst nach der Gap-Analyse – pauschale Projektdauern aus Vertriebsprospekten helfen bei der Planung nicht.

Stufe 4: Zertifizieren, wenn es einen Anlass gibt

Das Zertifikat selbst ist die letzte Stufe – und sie lohnt sich dann, wenn ein Kunde, eine Ausschreibung oder ein regulatorischer Rahmen den formalen Nachweis verlangt. Ein gelebtes ISMS ohne Zertifikat ist wertvoll; ein Zertifikat ohne gelebtes ISMS fällt spätestens im Überwachungsaudit auf. Wer die Stufen eins bis drei ernsthaft gegangen ist, macht aus dem Zertifizierungsaudit einen planbaren Abschluss statt eines Kraftakts.

Der zweite Weg: IT-Grundschutz – und was 2026/2027 kommt

Neben der nativen ISO-Zertifizierung existiert in Deutschland der BSI-Weg: Das „ISO 27001-Zertifikat auf Basis von IT-Grundschutz“ weist die ISO-Konformität über die BSI-Methodik nach. Er ist vor allem dort verbreitet, wo Behörden oder behördennahe Auftraggeber ihn explizit fordern.

Hier lohnt der Blick nach vorn: Das BSI modernisiert seine Methodik unter dem Namen IT-Grundschutz++. Die Pilotphase läuft vom 1. April bis 30. September 2026, die Veröffentlichung ist für den 27. Oktober 2026 zur it-sa angekündigt, zertifizierbar soll der neue Ansatz ab dem 1. Januar 2027 sein. Der bisherige IT-Grundschutz bleibt parallel gültig. Für die Praxis heißt das: Wer heute startet, startet auf gesicherter Grundlage – und sollte die Umstellung bei der Mehrjahresplanung im Blick behalten.

Fazit: klein anfangen, aber anfangen

ISO 27001 ist für den Mittelstand kein Selbstzweck und kein Hexenwerk – aber auch kein Projekt, das man einem Praktikanten mit einer Dokumentenvorlage überlässt. Der realistische Weg führt über eine ehrliche Standortbestimmung, geschlossene Grundlagen und einen bewusst geschnittenen Geltungsbereich zum Zertifikat, wenn der Markt es verlangt. Jede Stufe hat dabei eigenen Wert: weniger Risiko, bessere Antworten auf Kundenfragebögen, belastbare Compliance-Nachweise – und die Gewissheit, dass das Selbstbild der eigenen Sicherheit einer Prüfung standhält.

Wie sector7 unterstützt

Als inhabergeführtes Haus begleiten wir mittelständische Unternehmen auf jeder Stufe dieser Treppe: von der Standortbestimmung über die Umsetzung der Basismaßnahmen bis zur Compliance-Beratung zu ISO 27001, NIS-2, DORA und TISAX. Die technische Seite – von zertifizierter Netzwerk- und Security-Expertise (Cisco, Juniper, Fortinet, Palo Alto Networks, F5, HPE) über unsere Veeam-Backup-Praxis bis zur automatisierten 24/7-Überwachung über unser NOC – leisten wir selbst. Auf Wunsch zu planbaren monatlichen Festpreisen, damit der Weg zum ISMS budgetierbar bleibt.

Dieser Beitrag ist eine fachliche Einordnung und ersetzt keine Rechtsberatung im Einzelfall.