ISO 27001 Scope & Gap-Analyse
Wir analysieren den aktuellen Reifegrad Ihres ISMS, definieren den Scope und priorisieren kritische Abweichungen gegen ISO/IEC 27001.
ISO 27001 Dienstleistung für Unternehmen
ISO 27001 Beratung, ISMS-Aufbau und Pentest-Nachweise
Wir begleiten Ihr Unternehmen von der Gap-Analyse bis zur Audit-Reife: strukturiert, evidenzbasiert und mit technischen Nachweisen. So erfüllen Sie ISO 27001 Anforderungen nicht nur auf Papier, sondern in der Praxis.
Was unsere ISO 27001 Dienstleistung abdeckt
Vollständige Begleitung für Strategie, Umsetzung und Nachweisfähigkeit.
ISMS-Design & Richtlinien
Aufbau der notwendigen Richtlinien, Prozesse und Rollen inklusive Asset Management, Access Control, Incident Management und Supplier Controls.
Risikobewertung und Behandlungsplan
Durchführung einer strukturierten Risikoanalyse, Bewertung nach Eintrittswahrscheinlichkeit und Impact, anschließend Risk Treatment Plan mit Maßnahmen.
Pentest-Nachweise nach A.8.8
Durchführung und Dokumentation technischer Tests als Nachweis für die Wirksamkeit Ihrer Sicherheitsmaßnahmen, inkl. Findings, Priorisierung und Retest.
Audit-Vorbereitung
Mock-Audits, Dokumentencheck und Management-Briefing, damit Sie Stage-1 und Stage-2 Audit sicher bestehen.
Kontinuierliche Verbesserung
Roadmap für Überwachungsaudits, KPI-basierte Steuerung und nachhaltige Weiterentwicklung Ihres ISMS.
ISO 27001 Anforderungen (kompakt)
Kontext der Organisation und Scope sauber definieren
Informationssicherheitsziele mit klaren Verantwortlichkeiten etablieren
Risiken systematisch identifizieren, bewerten und behandeln
Technische und organisatorische Maßnahmen dokumentiert umsetzen
Wirksamkeit von Kontrollen regelmäßig prüfen (inkl. Pentests)
Interne Audits und Management-Reviews nachweisbar durchführen
Warum Pentests für ISO 27001 zentral sind
Technische Wirksamkeitsprüfung ist ein Schlüssel, um Sicherheitskontrollen glaubwürdig nachzuweisen.
Technische Schwachstellen nachweisen
Ein Pentest validiert, ob Sicherheitsmaßnahmen in realen Angriffsszenarien wirksam sind.
Audit-Evidence bereitstellen
Berichte mit Scope, Methodik, Findings und Retest dienen als belastbarer Nachweis für Auditoren.
Risikobehandlung priorisieren
Kritische Findings werden in den Risk Treatment Plan überführt und nachvollziehbar geschlossen.
Häufige Fragen
Wie bereiten Sie uns auf das Zertifizierungsaudit vor?
In vier Schritten. Zuerst schneiden wir den Geltungsbereich zu und gleichen ihn in einer Gap-Analyse gegen die Normanforderungen und die Maßnahmen aus Anhang A ab. Dann priorisieren wir die offenen Punkte nach Risiko und Aufwand. Anschließend prüfen wir die technischen Maßnahmen im Penetrationstest und liefern den Bericht in Deutsch und Englisch. Zuletzt stellen wir das Nachweispaket für den Auditor zusammen, in dem jedes Finding einer Maßnahme aus Anhang A zugeordnet ist.
Welche Leistungen übernehmen Sie, welche die Zertifizierungsstelle?
Wir übernehmen die Vorbereitung: Gap-Analyse, Beratung zu den technischen Maßnahmen, Penetrationstests, Prüfberichte und Retest. Die Zertifizierungsstelle führt das zweistufige Audit durch und entscheidet über das Zertifikat. Beides in einer Hand ist nicht zulässig, denn wer aufbaut und testet, darf nicht zertifizieren. Wer das Zertifikat ausstellt und wie das Audit abläuft, lesen Sie auf unserer Seite ISO 27001 Zertifizierung.
Welche ISO-27001-Controls deckt ein Penetrationstest ab?
Vor allem Control A.8.8 zum Umgang mit technischen Schwachstellen und A.8.29 zum Sicherheitstest in Entwicklung und Abnahme. Dazu kommt Kapitel 9.1 der Norm, das die Überwachung und Bewertung der Informationssicherheitsleistung fordert. Der Testbericht liefert für alle drei Punkte belastbare Evidenz.
Wie oft sollten Pentests im ISO-27001-Kontext stattfinden?
Mindestens jährlich und zusätzlich nach wesentlichen Änderungen wie neuen Systemen, Architekturwechseln, Cloud-Migrationen oder kritischen Releases. Wichtig für das Audit ist, dass die Frequenz in Ihrem ISMS begründet festgelegt und dann auch eingehalten wird - ein einmaliger Test ohne Wiederholung fällt im Überwachungsaudit auf.
Was gehört in den Scope eines ISO-27001-Pentests?
In den Scope gehören die Systeme, die im Anwendungsbereich Ihres ISMS liegen und ein relevantes Risiko tragen: extern erreichbare Anwendungen und Dienste, zentrale interne Infrastruktur inklusive Verzeichnisdienst, Cloud-Umgebungen sowie Schnittstellen zu Dienstleistern. Der Pentest-Scope sollte sich nachvollziehbar aus Ihrer Risikoanalyse ableiten.
Welche Nachweise akzeptieren ISO-27001-Auditoren?
Auditoren akzeptieren normnahe Nachweise wie Richtlinien, Risikoakten, den Risk Treatment Plan, interne Auditprotokolle, Management-Reviews und technische Testberichte mit nachvollziehbarer Methodik. Ein Pentest-Bericht überzeugt, wenn er Scope, Vorgehen, Zeitraum, Findings mit Risikobewertung und die dokumentierte Behebung inklusive Retest enthält.
Wie lange dauert die Vorbereitung auf ISO 27001?
Je nach Ausgangslage meist 4 bis 12 Monate bis zur Audit-Reife. Unternehmen mit bereits etablierten Prozessen, gepflegter Dokumentation und laufendem Risikomanagement sind deutlich schneller. Den Engpass bilden erfahrungsgemäß nicht die technischen Maßnahmen, sondern die vollständige und konsistente Nachweisführung.
Was passiert, wenn der Pentest kurz vor dem Audit kritische Lücken zeigt?
Kritische Findings sind kein Ausschlussgrund für das Zertifikat, solange Sie sie erkannt, bewertet und in den Risk Treatment Plan überführt haben. Entscheidend ist der dokumentierte Umgang damit. Wir melden kritische Funde sofort während des Tests, damit Sie sie vor dem Audittermin behandeln und die Wirksamkeit der Korrektur ohne Zusatzkosten nachweisen können.
Quellen und Standards
Alle Inhalte auf dieser Seite orientieren sich an offiziellen Normen, Leitfäden und Fachstandards.
ISO 27001 jetzt strukturiert angehen
Lassen Sie Ihr ISMS, Ihre technischen Kontrollen und Ihre Audit-Nachweise professionell aufsetzen. Wir unterstützen Sie pragmatisch und messbar.