ISO 27001:2022 listet 93 Controls im sogenannten Annex A – von Zugriffskontrolle über physische Sicherheit bis zu Lieferantenbeziehungen. Wer die Norm zum ersten Mal aufschlägt, sieht eine lange, generische Liste, die für ein Rechenzentrum mit eigenem Serverraum genauso gilt wie für ein 15-Personen-Softwareunternehmen, das komplett in der Cloud arbeitet und kein einziges eigenes physisches Rack betreibt. Genau da beginnt der Frust: Wer die Liste von oben nach unten abarbeitet, verliert Zeit mit Controls, die für das eigene Geschäftsmodell schlicht nicht zutreffen.
Der Denkfehler: "Vollständig" heißt nicht "alles gleich behandeln"
ISO 27001 selbst verlangt keine pauschale Umsetzung aller 93 Controls – die Norm sieht ausdrücklich eine sogenannte Statement of Applicability (SoA) vor, in der jedes Unternehmen begründet dokumentiert, welche Controls anwendbar sind und welche nicht (und warum). Ein Unternehmen ohne eigene Serverräume kann physische Zutrittskontrolle zu Rechenzentren zum Beispiel plausibel als "nicht anwendbar, da bei Cloud-Anbieter X ausgelagert" begründen – muss dafür aber die Sicherheitsmaßnahmen des Cloud-Anbieters selbst kennen und referenzieren.
Wie sich Relevanz systematisch statt intuitiv einschätzen lässt
In der Praxis lässt sich die Relevanz eines Controls aus wenigen Signalen ableiten, die für die meisten digitalen Unternehmen ähnlich beantwortbar sind: Betreiben Sie eigene physische Serverinfrastruktur oder nur Cloud-Dienste? Verarbeiten Sie besonders sensible Daten (Gesundheitsdaten, Finanzdaten) oder überwiegend allgemeine Geschäftsdaten? Haben Sie eigene Softwareentwicklung oder nutzen Sie ausschließlich Standardsoftware? Aus der Kombination dieser Antworten lässt sich für die meisten der 93 Controls automatisch ableiten, ob sie mit hoher, mittlerer oder geringer Wahrscheinlichkeit anwendbar sind – als Vorschlag, den ein Mensch am Ende noch bestätigt oder korrigiert, nicht als Blackbox-Entscheidung.
Was tatsächlich Zeit kostet – und was nicht
Die zeitaufwändigsten Teile einer ISO-27001-Vorbereitung sind selten die technischen Maßnahmen selbst (Multi-Faktor-Authentifizierung einzuschalten dauert Minuten), sondern die Dokumentation: Warum wurde eine Entscheidung getroffen, wer ist verantwortlich, wann wurde sie zuletzt überprüft. Ein Reifegrad-Modell (z. B. "nicht begonnen / in Planung / teilweise umgesetzt / vollständig umgesetzt und dokumentiert") pro Control, das über die Zeit gepflegt statt einmalig ausgefüllt wird, spart hier mehr als jede Abkürzung bei der technischen Umsetzung.
Wann ein externer Berater trotzdem sinnvoll ist
Für die formale Zertifizierung selbst braucht es am Ende einen akkreditierten externen Auditor – das lässt sich nicht durch Software ersetzen. Der Unterschied liegt im Vorfeld: Wer die 60 bis 70 Prozent der Vorarbeit (Relevanzeinschätzung, Reifegrad-Dokumentation, SoA-Entwurf) selbst strukturiert erledigt hat, braucht den externen Auditor nur noch für die eigentliche Prüfung – nicht für Wochen bezahlter Vorbereitungsarbeit, die größtenteils aus dem Ausfüllen von Formularen besteht.
Relevanz automatisch vorschlagen lassen
Sehen Sie, wie eine Signaltabelle aus Ihren Angaben eine Anwendbarkeits-Empfehlung für alle 93 Controls ableitet.