„Unser größter Kunde verlangt bis März ein ISO-27001-Zertifikat. Wir hatten noch nie ein Managementsystem oder ISO-Zertifikat. Wo fangen wir überhaupt an?“
Genau diese Frage stellen sich viele Geschäftsführer kleiner und mittlerer Unternehmen in Bonn, Köln und NRW. Die gute Nachricht: Der Weg ist planbar, wenn die ersten Schritte stimmen. Hier sind die sechs Schritte, die Sie zuerst gehen sollten.
1. Warum braucht unser Unternehmen ISO 27001?
Meist ist der Auslöser klar: eine Ausschreibung oder ein Kunde, der den Nachweis fordert. Das reicht aber nicht. Das Ziel muss eindeutig formuliert sein, und es muss offen mit allen im Unternehmen kommuniziert werden. Wer nicht weiß, warum Informationssicherheit eingeführt wird, macht nicht mit.
2. Wie groß sollte der Geltungsbereich sein?
Die Versuchung ist groß, gleich alles abzudecken. „In meinen Projekten sehe ich oft, dass der Geltungsbereich zu groß gewählt wird“, sagt Reza Abdi, ISO-27001-Berater in Bonn. „Das ist eines der größten Probleme.“ Stellen Sie sich eine Reise vor: Sie haben einen Koffer, und nur was hineinpasst, nehmen Sie mit. Genauso beim ISMS. Im ersten Jahr lässt sich nicht alles abdecken, besonders wenn noch kein Managementsystem wie ISO 9001 existiert. Starten Sie mit einem Geltungsbereich, den Sie wirklich beherrschen.
3. Welche Rolle spielt die Geschäftsführung?
„Ich zahle, wann ist es fertig?“ funktioniert nicht. Ein Informationssicherheits-Managementsystem ist ein System für das Management. Die Geschäftsführung stellt Mitarbeitende frei, muss aber auch selbst Input geben. Genau das fehlt in den meisten Unternehmen. Informationssicherheit betrifft vier Bereiche: organisatorisch, personell, physisch und technologisch. Ohne die Führung bleibt keiner davon stabil.
4. Wie funktioniert eine Gap-Analyse nach ISO 27001?
Eine Gap-Analyse nach ISO 27001 prüft zwei Ebenen. Erstens die Managementsystem-Anforderungen der Kapitel 4 bis 10: Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung und Verbesserung. Zweitens die 93 Maßnahmen aus Anhang A, gegliedert in organisatorische, personelle, physische und technologische Maßnahmen. Für jede Anforderung wird festgehalten: Was verlangt die Norm, was ist bei Ihnen bereits vorhanden, und was fehlt? Danach haben Sie ein realistisches Bild statt eines Bauchgefühls.
Dafür haben wir eine eigene Checkliste entwickelt. Sie zeigt alle Anforderungen visuell auf einen Blick, sodass Sie sofort sehen, in welchen Bereichen Sie schon gut aufgestellt sind und wo noch Lücken bestehen. Unsere Kunden erhalten diese Checkliste kostenlos und können sie jederzeit wieder nutzen. Denn eine Gap-Analyse ist kein einmaliger Vorgang: Sie hilft auch später, den Fortschritt zu prüfen und neue Lücken früh zu erkennen. ISO 27001 ist wie ein Marathon, kein Sprint: Man muss dauerhaft dranbleiben. Gerade mit dem Einsatz von KI entstehen ständig neue Risiken, die in die Analyse gehören. Was das kostet, lesen Sie in Was kostet ISO 27001 für kleine Unternehmen? und in unseren Paketen & Preisen.
5. Warum ist das Risikomanagement so wichtig?
Jedes Unternehmen hat Werte: Informationen, Systeme, Know-how. Das sind Ihre Assets, und genau sie schützt das ISMS. Mit einer Risikoanalyse bewerten Sie, was diesen Assets passieren kann und welche Maßnahmen sinnvoll sind.
6. Manuell oder digital dokumentieren?
Wenn diese Schritte stehen, haben Sie eine solide Basis. Dann entscheiden Sie über die Dokumentation: manuell mit Ordnern, Word-Dateien oder Confluence, oder digital in einem Managementsystem-Tool, in dem das System tatsächlich läuft. Wir haben Erfahrung mit verschiedenen Anbietern und helfen neutral bei der Auswahl. Transparent gesagt: Wir sind auch ConSense-Partner in Bonn, empfehlen aber immer das System, das zu Ihrem Unternehmen passt. Wir stellen Ihnen das System vor und begleiten Sie anschließend bei der Implementierung und mit Schulungen für Ihr Team.
Das Wichtigste in Kürze
- Ziel klar definieren und allen kommunizieren
- Geltungsbereich klein und beherrschbar halten (der Koffer)
- Geschäftsführung bringt sich aktiv ein, nicht nur finanziell
- Gap-Analyse schafft ein realistisches Bild
- Risikomanagement schützt Ihre Assets
- Erst danach über manuelle oder digitale Dokumentation entscheiden
Häufige Fragen (FAQ)
Was ist der erste Schritt zur ISO 27001 Zertifizierung?
Ein klares Ziel und ein passend kleiner Geltungsbereich, getragen von der Geschäftsführung.
Kann ein kleines Unternehmen ohne ISO 9001 direkt mit ISO 27001 starten?
Ja, aber dann sollte der Geltungsbereich im ersten Jahr besonders schlank sein.
Wird die Beratung gefördert?
Für KMU kann die Beratung unter Umständen über BAFA oder INQA gefördert werden. Gefördert wird die Beratung, nicht die Zertifizierung. Förderprogramme ändern ihre Bedingungen regelmäßig, und ob Ihr Unternehmen gefördert wird, entscheidet die Förderstelle. Alle Angaben daher ohne Gewähr. Prüfen Sie es im Förder-Check.
Jetzt zur ISO 27001 Schulung anmelden
Sie wollen Ihr ISMS selbst aufbauen? In der 3-tägigen ISO 27001 Implementer Schulung der QPFG Academy lernen Sie es praxisnah, live online oder vor Ort in Bonn.
Über den Autor: Reza Abdi, Wirtschaftsingenieur aus Bonn, gelisteter BAFA-Berater und INQA-Coach, begleitet KMU in Bonn, Köln und NRW bei ISO 27001, ISO 9001 und ISO 42001. Stand: 6. November 2026.
Ing. Reza Abdi, M.Sc. Wirtschaftsingenieurwesen
Gelisteter BAFA-Berater · Autorisierter INQA-Coach · DGQ-Regionalkreisleiter Köln-Bonn
15+ Jahre Erfahrung mit Managementsystemen im Mittelstand
📞 +49 172 8410356
✉️ reza.abdi@qpfg.de
🔗 LinkedIn: linkedin.com/in/rezaabdi
📍 c/o Innovation Club DACH, Vorgebirgsstraße 80, 53119 Bonn