L-02 · ISO/IEC 27001:2022
ISO 27001 Beratung: vom ersten Check bis zum Zertifikat
ISO/IEC 27001 ist die internationale Norm für Informationssicherheits-Managementsysteme (ISMS). SecTec baut mit Ihnen ein ISMS auf, das zu Ihrer Größe passt, und begleitet Sie bis zur Zertifizierung. Sitz in Wien, Einsatz in ganz Österreich.
Managementsystem
Ein System statt Einzelmaßnahmen.
Die Norm verlangt zweierlei: ein Managementsystem nach den Kapiteln 4 bis 10 (Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung, Verbesserung) und eine begründete Auswahl aus den 93 Maßnahmen des Anhangs A. Das Ergebnis ist ein System, das Risiken erkennt, Maßnahmen steuert und sich selbst überprüft.
Ein Zertifikat einer akkreditierten Zertifizierungsstelle belegt das gegenüber Kunden, Ausschreibungen und Versicherern. Auch das NISG 2026 erkennt gültige Zertifikate beim Prüfnachweis für die operative und organisatorische Umsetzung an (§ 33 Abs. 2). Deshalb setzen wir die NIS2-Umsetzung auf ein ISMS auf.
Leistungsumfang
Was wir mit Ihnen aufbauen.
Geltungsbereich und Bestandsaufnahme
Welche Standorte, Prozesse und Systeme das ISMS umfasst und was schon vorhanden ist
Kap. 4
Risikobeurteilung
Risiken für Ihre Informationen erkennen, bewerten und eine Behandlung festlegen
Kap. 6.1.2, 6.1.3
Erklärung zur Anwendbarkeit
Welche Maßnahmen aus Anhang A gelten, welche nicht, und warum
SoA
Richtlinien und Maßnahmen
Leitlinie, Regeln und Maßnahmen, die zu Ihrem Betrieb passen und gelebt werden
Anhang A
Internes Audit und Managementbewertung
Das System prüft sich selbst, die Leitung bewertet die Ergebnisse
Kap. 9.2, 9.3
Begleitung der Zertifizierung
Vorbereitung und Begleitung beim Audit der Zertifizierungsstelle in zwei Stufen
Stufe 1 und 2
Ablauf
In vier Schritten zum Zertifikat.
Klären.
Gap-Analyse gegen die Norm: Was ist da, was fehlt, welcher Geltungsbereich ist sinnvoll?
Aufbauen.
Risikobeurteilung, Erklärung zur Anwendbarkeit, Richtlinien und Maßnahmen, wo möglich auf Vorhandenem.
Prüfen.
Internes Audit und Managementbewertung zeigen die Lücken vor dem Zertifizierer.
Zertifizieren.
Audit durch eine akkreditierte Zertifizierungsstelle. Auf Wunsch begleiten wir das ISMS danach weiter.
Anhang A: 93 Maßnahmen in vier Themen
| Thema | Kapitel | Anzahl |
|---|---|---|
| Organisatorische Maßnahmen | A.5 | 37 |
| Personenbezogene Maßnahmen | A.6 | 8 |
| Physische Maßnahmen | A.7 | 14 |
| Technologische Maßnahmen | A.8 | 34 |
Nicht jede Maßnahme muss umgesetzt werden. Die Erklärung zur Anwendbarkeit hält fest, was gilt und warum etwas ausgeschlossen ist. Grundlage dafür ist die Risikobeurteilung.
ISO 27001:2022: was jetzt gilt
- 31. Oktober 2025
Seit Ende der Übergangsfrist am 31. Oktober 2025 gibt es nur noch Zertifikate nach der Fassung von 2022. Der Anhang A wurde von 114 auf 93 Maßnahmen umgebaut, neu sind unter anderem Maßnahmen zu Bedrohungsinformationen, zur Nutzung von Cloud-Diensten und zur sicheren Entwicklung. Was bei der Umstellung zu tun ist und wie die Zertifizierung abläuft, steht in unseren Ratgebern.
Weiterlesen
Ratgeber und verwandte Leistungen.
Was kostet ISO 27001?
Wovon Aufwand und Kosten der Zertifizierung abhängen
Ratgeber
Internes Audit nach ISO 27001
Wie das System sich selbst prüft
Ratgeber
Erklärung zur Anwendbarkeit
Aufbau und Begründung der SoA
Ratgeber
NIS2-Beratung
Betroffenheit klären, Pflichten umsetzen, Nachweis führen
Leistung · L-01
Virtual CISO
Sicherheitsleitung von außen, ohne eigene Vollzeitstelle
Leistung · L-03
Security Audit
Ist-Stand prüfen, Lücken benennen und priorisieren
Leistung · L-06
Häufige Fragen zur ISO 27001 Beratung
Wie lange dauert der Weg zur Zertifizierung?
Das hängt vor allem vom Geltungsbereich, von der Größe und davon ab, was schon vorhanden ist. Nach der Bestandsaufnahme nennen wir Ihnen einen Zeitplan. Die Zertifizierung selbst ist ein Audit in zwei Stufen durch eine akkreditierte Zertifizierungsstelle.
Stellt SecTec das Zertifikat aus?
Nein. Zertifikate stellt eine akkreditierte Zertifizierungsstelle aus. Wir bauen das ISMS mit Ihnen auf und bereiten Sie auf das Audit vor. Diese Trennung gehört zur Unabhängigkeit der Prüfung.
Brauche ich für NIS2 ein ISO-27001-Zertifikat?
Nein, das NISG 2026 schreibt keine Zertifizierung vor. Gültige Zertifikate werden aber beim späteren Prüfnachweis für die operative und organisatorische Umsetzung anerkannt (§ 33 Abs. 2 NISG 2026).
Müssen wir alle 93 Maßnahmen umsetzen?
Nein. Welche Maßnahmen gelten, ergibt sich aus der Risikobeurteilung. Die Erklärung zur Anwendbarkeit hält fest, was umgesetzt wird und warum etwas ausgeschlossen ist.
Wir haben ein Zertifikat nach ISO 27001:2013. Was gilt?
Die Übergangsfrist endete am 31. Oktober 2025. Seither gelten nur noch Zertifikate nach der Fassung von 2022. Wir prüfen die Lücken zur neuen Fassung und begleiten die Umstellung.
Wie viel Aufwand hat unser Team?
Wir übernehmen Struktur, Methodik und Dokumentvorlagen. Ihr Team bringt das Wissen über die eigenen Abläufe ein und entscheidet über Risiken und Maßnahmen. Wie viel Zeit das bindet, legen wir im Projektplan fest.
Starten Sie mit einem Gespräch.
Wir sagen Ihnen, wo Sie stehen und was bis zur Zertifizierung fehlt.
- Telefon
- +43 1 3058463
- kontakt@sectec.at