Für 100 %-digitale Unternehmen ohne eigene Büro-/Serverinfrastruktur: alle 93 Controls aus ISO/IEC 27001:2022 Anhang A in verständlicher Sprache, mit automatischer Statement-of-Applicability-Erstellung und wiederkehrenden Review-Erinnerungen – als Teil Ihres Business-Tarifs, ohne Aufpreis.
Dieses Modul unterstützt eine freiwillige Selbstbewertung in Anlehnung an ISO/IEC 27001:2022. Es ersetzt keine Zertifizierung durch eine akkreditierte Zertifizierungsstelle und ist keine Rechtsberatung. Die Control-Kurzbeschreibungen sind eine eigene, verständliche Zusammenfassung – kein Zitat des lizenzierten Normtexts. Wer sich tatsächlich zertifizieren lassen möchte, braucht zusätzlich ein externes Audit; dieses Modul bereitet dafür die inhaltliche Grundlage bestmöglich vor.
Kund:innen, Investor:innen oder größere Geschäftspartner fragen zunehmend nach einem strukturierten Nachweis für Informationssicherheit – auch ohne dass eine volle Zertifizierung notwendig ist. Für ein kleines, 100 % digitales Unternehmen ohne eigene Server oder Büros lässt sich ein großer Teil davon direkt aus der ohnehin genutzten Cloud-Infrastruktur ableiten. Genau das automatisiert dieses Modul.
Alle Controls aus Anhang A (organisatorisch, Personen, physisch, technologisch) in Alltagssprache statt Normtext – je Control legen Sie fest: anwendbar, Reifegrad (0–5), Nachweis.
Alle 14 physischen Controls sowie Backup/Redundanz werden per Klick als „geerbt" markiert – begründet mit der Sicherheit Ihrer Cloud-Anbieter (siehe unsere eigene Auftragsverarbeiter-Liste).
Druckfertige, strukturierte Übersicht aller Controls mit Status, Reifegrad und Begründung – als Nachweis gegenüber Kund:innen, Partnern oder für die eigene Vorbereitung auf ein Audit.
Management-Review und internes Audit sind mehr als eine einmalige Checkliste. Pflichtpilot berechnet die nächste Fälligkeit automatisch und erinnert Sie rechtzeitig per E-Mail.
Ein Klick markiert die 16 typischerweise über Cloud-Anbieter abgedeckten Controls als „geerbt" – Sie müssen nicht bei null anfangen.
Für die übrigen ~77 Controls legen Sie Anwendbarkeit, Reifegrad und Nachweis fest – nach Themen gruppiert, mit Erklärung statt Normtext.
Die druckfertige Statement-of-Applicability-Übersicht entsteht automatisch aus Ihren Angaben, inkl. CSV-Export.
Management-Review und internes Audit protokollieren – Pflichtpilot erinnert Sie automatisch, wenn der nächste Termin ansteht.
| Control | Status | Reifegrad | Begründung / Nachweis |
|---|---|---|---|
| 7.1 Physische Sicherheitsbereiche | Geerbt | 4 / 5 | Abgedeckt durch physische Sicherheit von Supabase/Vercel (siehe Auftragsverarbeiter-Liste) |
| 8.13 Datensicherung (Backup) | Geerbt | 4 / 5 | Automatisierte Backups durch Supabase, DPA als Nachweis |
| 6.3 Sicherheitsbewusstsein & Training | Anwendbar | 3 / 5 | Jährliche Security-Awareness-Schulung mit Zertifikat (Pflichtpilot-Schulungsmodul) |
Beispieldaten (Musterfirma), keine echten Kund:innenangaben.
Eine echte ISO-27001-Zertifizierung erfordert ein externes Stage-1-/Stage-2-Audit durch eine akkreditierte Zertifizierungsstelle, das über Zeit nachweist, dass Ihr Managementsystem (nicht nur die Controls) tatsächlich funktioniert. Dieses Modul liefert die inhaltliche Vorarbeit – Control-Bewertung, SoA, Nachweise, gelebter Review-Rhythmus – ersetzt aber keine Zertifizierung. Kommunizieren Sie deshalb nach außen korrekt „orientiert an ISO 27001" statt „ISO-27001-zertifiziert".
Im Business-Tarif enthalten (199 €/Monat) – kein separater Aufpreis für das ISO-27001-Modul.