ISO/IEC 27001 ist die internationale Referenznorm für ein Informationssicherheits-Managementsystem (ISMS). Sie wird zunehmend von Auftraggebern verlangt, in Ausschreibungen, von Cyber-Versicherern oder für den Zugang zu bestimmten Exportmärkten. SYAGA begleitet Sie vom Gap-Assessment bis zur Vorbereitung auf das Zertifizierungsaudit.
ISO 27001 ist keine allgemeine gesetzliche Pflicht, wird aber zu einer unumgänglichen kommerziellen Voraussetzung
ISO/IEC 27001 bleibt ein freiwilliger Ansatz. Sie wird dennoch zunehmend in Ausschreibungen, von grossen Auftraggebern, von manchen Cyber-Versicherern oder als Voraussetzung für den Zugang zu bestimmten Exportmärkten verlangt.
Die Mehrheit der KMU und mittelständischen Unternehmen hat keinen strukturierten Ansatz für ein Informationssicherheits-Managementsystem eingeleitet. Das Thema wird als komplex, technisch und langwierig wahrgenommen.
Klassische Zertifizierungsprojekte binden Ihre Teams über mehrere Monate und stellen eine erhebliche Investition dar, die für ein KMU oft ausser Reichweite liegt.
Den CIO oder Sicherheitsverantwortlichen über Monate für den Aufbau eines ISMS zu binden, ist in einem KMU, in dem jeder bereits mehrere Rollen trägt, nicht tragfähig.
Ein strukturierter Ansatz in 3 Phasen, gestützt auf die gleiche Methodik, die SYAGA bereits bei PSSI-Express bewährt hat
Abstimmungsgespräch mit der Geschäftsführung und dem IT-Verantwortlichen, danach systematische Bewertung jeder der 93 Sicherheitsmassnahmen aus Anhang A (Ausgabe 2022), verteilt auf die 4 Themen organisatorisch, personell, physisch und technologisch. Übergabe eines sachlichen Abweichungsberichts.
Erstellung oder Aktualisierung der Sicherheitsrichtlinie (ISMS), der Erklärung zur Anwendbarkeit (SoA), die die Anwendung oder den Ausschluss jeder der 93 Massnahmen begründet, sowie eines priorisierten Massnahmenplans zur Behebung der in Phase 1 festgestellten Abweichungen.
Begleitung der Umsetzung des Massnahmenplans, Dokumentenprüfung und Vorbereitung Ihres Teams auf das Audit durch eine unabhängige akkreditierte Zertifizierungsstelle. SYAGA bereitet Sie auf das Audit vor; die Zertifizierung selbst wird von dieser externen Stelle ausgestellt.
Die strukturgebenden Dokumente des ISO 27001-Zertifizierungsdossiers
Sachliche Bewertung Ihres Konformitätsgrads gegenüber der Norm.
Zentrales normatives Dokument des ISO 27001-Zertifizierungsdossiers.
Das von den Kapiteln 4 bis 10 der Norm geforderte Governance-Dokument.
Der Fahrplan zur Behebung der festgestellten Abweichungen.
Von Ihren Teams direkt anwendbare Dokumente.
Alle Dokumente in Formaten, die Sie weiterentwickeln können.
Das ISO 27001-ISMS überschneidet sich naturgemäss mit mehreren Regelwerken
Zentrales Regelwerk: Kapitel 4 bis 10 (Management-Anforderungen) und Anhang A (93 Sicherheitsmassnahmen in 4 Themen).
Die von der NIS2-Richtlinie geforderten Cyber-Risikomanagementmassnahmen überschneiden sich weitgehend mit den Massnahmen aus Anhang A der ISO 27001. Ein ISO 27001-ISMS erleichtert betroffenen Einrichtungen die NIS2-Konformität.
Die Massnahmen des IT-Grundhygiene-Leitfadens der ANSSI (der französischen Cybersicherheitsbehörde) überschneiden sich erheblich mit den Massnahmen aus Anhang A der ISO 27001. Zuordnung im Massnahmenplan dokumentiert.
Die von Artikel 32 der DSGVO geforderten geeigneten technischen und organisatorischen Massnahmen stützen sich auf dieselben bewährten Verfahren wie Anhang A der ISO 27001 (Zugriffskontrolle, Verschlüsselung, Vorfallmanagement).
Jedes ISO 27001-Projekt wird nach Ihrem Geltungsbereich und Ihrer aktuellen Reife dimensioniert. Immer ein individuelles Angebot.
Momentaufnahme Ihrer Abweichungen
Vom Gap-Assessment bis zur Audit-Vorbereitung
Nach der Zertifizierung oder fortlaufend
Was ISO/IEC 27001 wirklich besagt, einfach erklärt. Jeder Punkt verweist auf seine offizielle Quelle (ISO, AFNOR, COFRAC, ANSSI), aktualisiert am 17/07/2026.
ISO/IEC 27001 ist eine anerkannte Methode, um die Bedrohungen für Ihre Daten zu erkennen, Risiken zu beherrschen und die richtigen Schutzmassnahmen einzuführen, damit Ihre Informationen vertraulich, verfügbar und zuverlässig bleiben. Es handelt sich nicht um eine Software, sondern um eine im Unternehmen einzuführende Organisation.
Quelle: AFNOR CertificationIm Gegensatz zu anderen Verfahren (wie der für bestimmte staatliche Systeme vorgeschriebenen Sicherheitszulassung) ist ISO 27001 freiwillig: Es handelt sich um eine zertifizierende Norm, nicht um eine allgemeine gesetzliche Pflicht. Sie entscheiden sich dafür, um Kunden, Partner und Versicherer zu überzeugen.
Quelle: ANSSI (Methodenblatt)Niemals das Unternehmen selbst und auch kein Berater: Nur eine unabhängige, akkreditierte Zertifizierungsstelle kann es ausstellen (COFRAC ist die einzige französische Akkreditierungsstelle, gegründet 1994). Das erhaltene Zertifikat ist 3 Jahre gültig.
Quelle: COFRACVorabbewertung (optional), Vorbereitung, Dokumentenprüfung, Vor-Ort-Audit zur Überprüfung der tatsächlich umgesetzten Massnahmen, Ausstellung des Zertifikats (3 Jahre), anschliessend eine jährliche Überwachungsbegehung und ein vollständiges Rezertifizierungsaudit nach 3 Jahren. Nichts ist ein für alle Mal festgelegt.
Quelle: AFNOR CertificationLaut einer AFNOR-Studie unter zertifizierten Unternehmen: 89% stellten weniger Sicherheitsvorfälle fest, 83% verfügen über solidere interne Sicherheitsprozesse, und 88% konnten Kunden halten, die ohne die Zertifizierung möglicherweise abgewandert wären.
Quelle: AFNOR-Studie 2019Es handelt sich laut ISO selbst um die weltweit am häufigsten verwendete Informationssicherheitsnorm. Und die Akkreditierung, die die Zertifizierungsstellen kontrolliert (wie COFRAC in Frankreich), wird international durch zwischenstaatliche Abkommen anerkannt, was den Zugang zu Märkten in Europa und darüber hinaus erleichtert.
Quelle: ISO (Komitee JTC1/SC27)Man muss weder ein multinationaler Konzern noch ein Digitalunternehmen sein. Hier erfahren Sie, gestützt auf offizielle Quellen, wer sich damit befassen kann (und manchmal muss).
Die Zertifizierung richtet sich an „alle Organisationen, Unternehmen und Gebietskörperschaften jeder Grösse und Branche, die Daten besitzen, ob physisch oder digital“. AFNOR stellt selbst klar, dass sie sich nicht „nur an Datenhoster, Start-ups, multinationale Konzerne oder Unternehmen der IT-Branche“ richtet: Steuerbüro, Autowerkstatt, Verein, Gemeindeverwaltung, Klinik... wenn Sie Daten besitzen, sind Sie betroffen.
Quelle: AFNOR Certification (17/07/2026)Das offizielle Methodenblatt der ANSSI (Mai 2025) bestätigt dies schwarz auf weiss: Bei ISO/IEC 27001 ist im Feld „Verpflichtung“ die Option „Freiwillig“ angekreuzt. Im Gegensatz dazu gilt die Sicherheitszulassung (das wirklich verpflichtende Regime) nur für die Informationssysteme des französischen Staates und regulierter Betreiber (OIV/OSE). Zwei unterschiedliche Welten: Verwechseln Sie die beiden nicht, wenn Ihnen ein Dienstleister von einer gesetzlichen ISO-27001-Pflicht erzählt, das ist nicht korrekt.
Quelle: ANSSI, Methodenblatt v1.0 (Mai 2025)Der europäische NIS2-Text (der tatsächlich verpflichtend ist) nennt ausdrücklich die Normenfamilie ISO/IEC 27000, zu der auch ISO 27001 gehört, als Referenz bewährter Praktiken für die umzusetzenden Cybersicherheitsmassnahmen. Die Europäische Kommission fordert die Mitgliedstaaten auf, „die Nutzung einschlägiger europäischer und internationaler Normen zu fördern“. Konkret bedeutet das: ISO 27001 wird zum anerkanntesten Mittel, um die NIS2-Konformität gegenüber einer Regulierungsbehörde nachzuweisen.
Quelle: EUR-Lex, Richtlinie (EU) 2022/2555, Erwägungsgründe 79-80Laut Europäischer Kommission deckt NIS2 18 kritische Sektoren ab: Energie, Verkehr, Gesundheit, Finanzwesen, Wasserwirtschaft, digitale Infrastruktur (bereits in NIS1 enthalten), sowie neu elektronische Kommunikation für die Öffentlichkeit, soziale Netzwerke, Abfallwirtschaft, Herstellung kritischer Produkte, Post- und Kurierdienste, öffentliche Verwaltung und den Raumfahrtsektor. Die Grössenregel: „mittlere und grosse Einrichtungen“ dieser Sektoren müssen Massnahmen zum Cyberrisikomanagement ergreifen und erhebliche Vorfälle melden.
Quelle: Europäische Kommission, digital-strategy.ec.europa.euDie offizielle europäische Definition (Empfehlung 2003/361/EG) legt präzise Schwellenwerte fest. Ein Unternehmen überschreitet die Schwelle „mittel“ (und fällt damit voraussichtlich in den Anwendungsbereich von NIS2), sobald es einen dieser Werte überschreitet:
| Kategorie | Mitarbeiterzahl | Umsatz |
|---|---|---|
| Kleinstunternehmen | weniger als 10 | 2 M€ oder weniger |
| Kleinunternehmen | weniger als 50 | 10 M€ oder weniger |
| Mittleres Unternehmen | weniger als 250 | 50 M€ oder weniger |
Die Europäische Kommission hat am 20. Januar 2026 eine gezielte Änderung vorgeschlagen, um die Umsetzung für 28 700 Unternehmen zu erleichtern, darunter 6 200 Kleinst- und Kleinunternehmen. Ein Beweis dafür, dass das Thema längst nicht mehr nur grosse Konzerne betrifft: Auch kleinere Strukturen müssen über ihre Kunden oder ihre Branche denselben Anforderungen gerecht werden.
Quelle: Europäische Kommission, digital-strategy.ec.europa.eu (20/01/2026)Keine unnötige Panik hier, nur die offiziellen Zahlen. Was das Gesetz wirklich über Bussgelder sagt, wer sie verhängt, und warum ISO 27001 Ihr bester Schutz davor bleibt.
Das ist der beruhigendste Punkt: Nicht ISO-27001-zertifiziert zu sein, führt für sich genommen zu keinem Bussgeld. Die Norm ist freiwillig (das offizielle Methodenblatt der ANSSI bestätigt „Feld Verpflichtung angekreuzt: Freiwillig“). Eine freiwillige Norm hat folgerichtig keinen gesetzlichen Sanktionsmechanismus, der an ihr Fehlen geknüpft ist.
Quelle: ANSSI, Methodenblatt v1.0 (Mai 2025)Wenn Ihre Tätigkeit in den Anwendungsbereich der europäischen NIS2-Richtlinie fällt (die tatsächlich verpflichtend ist), sind die Bussgelder von der Europäischen Kommission schwarz auf weiss beziffert: bis zu 10 000 000 EUR oder 2% des weltweiten Jahresumsatzes des Vorjahres für eine „wesentliche“ Einrichtung (der höhere Betrag gilt), und bis zu 7 000 000 EUR oder 1,4% des weltweiten Jahresumsatzes für eine „wichtige“ Einrichtung. Genau um dieses Risiko zu vermeiden, wird ISO 27001 als Konformitätsnachweis empfohlen.
Quelle: Europäische Kommission, offizielle NIS2-FAQEs handelt sich nicht um automatische oder pauschale Bussgelder. Die zuständige Behörde muss „die Art, die Schwere und die Dauer des Verstosses, den verursachten Schaden oder die erlittenen Verluste [sowie] den vorsätzlichen oder fahrlässigen Charakter des Verstosses“ berücksichtigen. Ein gutgläubiges Unternehmen, das einen Vorfall schnell behebt, wird nicht wie ein fahrlässiges Wiederholungsunternehmen behandelt.
Quelle: Europäische Kommission, offizielle NIS2-FAQJeder Mitgliedstaat benennt seine eigene zuständige Behörde zur Durchsetzung von NIS2. In Frankreich ist dies die ANSSI (Agence nationale de la sécurité des systèmes d'information), die für die Umsetzung und Kontrolle zuständig ist. Sie hat im März 2026 ein nationales Referenzwerk (ReCyF, nicht verpflichtend) bereitgestellt, um Unternehmen zu helfen, sich zu orientieren und ihre bestehenden Massnahmen, darunter ISO 27001, einzuordnen.
Quelle: cyber.gouv.fr (ANSSI)Die zuständigen Behörden verfügen auch über nicht-finanzielle Instrumente: verbindliche Anweisungen, die Anordnung, die Empfehlungen eines Sicherheitsaudits umzusetzen, oder die Anordnung, Sicherheitsmassnahmen in Einklang zu bringen. Die Richtlinie sieht zudem Bestimmungen zur Verantwortlichkeit von Personen in Geschäftsführungsfunktionen vor. Das Bussgeld ist in der Regel nicht die erste Reaktion auf einen Verstoss.
Quelle: Europäische Kommission, offizielle NIS2-FAQDie Mitgliedstaaten hatten bis zum 17. Oktober 2024 Zeit, NIS2 in nationales Recht umzusetzen. Zum Zeitpunkt der Erstellung dieses Textes veröffentlicht keine offizielle Quelle einen tatsächlichen Fall mit einem in Frankreich oder der EU tatsächlich verhängten Sanktionsbetrag: Die oben genannten Zahlen sind gesetzliche Höchstgrenzen, keine durchschnittlich festgestellten Beträge. Wir aktualisieren diese Seite, sobald ein offizieller Fall veröffentlicht wird.
Quelle: Europäische Kommission, digital-strategy.ec.europa.euWelche Daten zählen wirklich? Was bereits verpflichtend ist, was bereits läuft, und was noch kommt. Mit offiziellen Quellen belegt, in 2 Minuten verständlich, aktualisiert am 18/07/2026.
Es gab eine Version von 2013, die heute überholt ist. Das offizielle Methodenblatt der ANSSI (Mai 2025) bestätigt dies in seiner Vergleichstabelle schwarz auf weiss: „Aktuellste Version: ISO27001 Version 2022“. Diese Version deckt die organisatorischen, physischen und technologischen Bereiche des zu zertifizierenden Geltungsbereichs ab. Konkret bedeutet das: Jede neue Zertifizierung oder Rezertifizierung erfolgt künftig auf Basis dieser Version.
Quelle: ANSSI, Methodenblatt v1.0 (Mai 2025)Die europäische NIS2-Richtlinie trat im Januar 2023 in Kraft, aber das für Unternehmen entscheidende Datum ist der 17. Oktober 2024: die Frist, bis zu der jeder Mitgliedstaat den Text in nationales Recht umgesetzt haben musste. Seit diesem Datum gilt NIS2 konkret und nennt gerade die Normenfamilie ISO/IEC 27000 (zu der ISO 27001 gehört) als Referenz bewährter Praktiken zur Einhaltung.
Quelle: Europäische Kommission, digital-strategy.ec.europa.euAm Tag nach Ablauf der Umsetzungsfrist für NIS2 wurde die alte NIS1-Richtlinie (von 2016) offiziell aufgehoben. In Europa gibt es nun nur noch einen einzigen Referenztext für die regulatorische Cybersicherheit kritischer Sektoren: kein Zweifel mehr darüber, welcher Rahmen gilt.
Quelle: Europäische Kommission, digital-strategy.ec.europa.euDas ISO-27001-Zertifikat ist, sobald es von einer akkreditierten Stelle ausgestellt wurde, 3 Jahre gültig. Doch damit ist es nicht erledigt: AFNOR Certification sieht eine jährliche Überwachungsbegehung vor, gefolgt von einem vollständigen Rezertifizierungsaudit nach Ablauf der 3 Jahre. Die ANSSI bestätigt in ihrem Merkblatt vom Mai 2025 genau denselben Mechanismus: Gültigkeitsdauer 3 Jahre, jährliche Managementbewertung und Überwachungsaudit. Zwei unterschiedliche offizielle Quellen, derselbe Kalender.
Quelle: AFNOR Certification, ANSSI (Mai 2025)Die Europäische Kommission hat am 20. Januar 2026 eine gezielte Änderung vorgeschlagen, um die Umsetzung für 28 700 Unternehmen zu vereinfachen, darunter 6 200 Kleinst- und Kleinunternehmen. Zu diesem Zeitpunkt handelt es sich um einen Vorschlag, noch nicht um einen verabschiedeten Text: Der regulatorische Kalender rund um ISO 27001 kann sich in den kommenden Monaten also noch ändern, ohne dass der Nutzen der Norm selbst infrage gestellt wird.
Quelle: Europäische Kommission, digital-strategy.ec.europa.eu (20/01/2026)Für die Informationssysteme des Staates und regulierter Betreiber verfügt die ANSSI über ein eigenes Verfahren, die Sicherheitszulassung, derzeit in Version 2.1 (2025), ebenfalls mit einer maximalen Gültigkeitsdauer von 3 Jahren und einer empfohlenen jährlichen Systemüberprüfung. Das ist nicht dasselbe Verfahren wie ISO 27001 (freiwillig), aber beide folgen demselben 3-Jahres-Rhythmus, was das Leben derjenigen erleichtert, die beides gleichzeitig verwalten müssen.
Quelle: ANSSI, Methodenblatt v1.0 (Mai 2025)Kontaktieren Sie uns für ein individuelles Angebot entsprechend Ihrem Geltungsbereich und Ihrer aktuellen Reife.
Kostenlos: Ihr Score + Ihre Lücken. Der ausführliche Bericht und die Attestierung: 499 EUR netto, nur wenn Sie es entscheiden.
contact@syaga.eu