Ein ISMS, das im Alltag trägt — nicht nur im Ordner.

ISO/IEC 27001 ist der international führende Standard für ein Managementsystem der Informationssicherheit (ISMS). Er beschreibt, wie ein Unternehmen Risiken für seine Informationen systematisch erkennt, behandelt und die Wirksamkeit der Maßnahmen laufend überprüft. Kern ist ein risikobasierter Ansatz plus ein Katalog von Sicherheitsmaßnahmen (Annex A). Eine erfolgreiche Zertifizierung durch eine akkreditierte Stelle belegt gegenüber Kunden, Partnern und Aufsicht, dass Ihre Informationssicherheit nachweisbar organisiert ist.

Ein ISMS (Information Security Management System) ist der organisatorische Rahmen, mit dem ein Unternehmen seine Informationssicherheit steuert — Rollen, Prozesse, Richtlinien und Maßnahmen, die ineinandergreifen. Es folgt dem Kreislauf aus Planen, Umsetzen, Prüfen und Verbessern (PDCA). Statt punktueller Einzelmaßnahmen sorgt das ISMS dafür, dass Sicherheit systematisch und dauerhaft gemanagt wird. ISO 27001 ist der Standard, gegen den ein ISMS zertifiziert wird.

Vorgeschrieben ist ein ISO-27001-Zertifikat für keines von beiden — aber ein gelebtes ISMS nach ISO 27001 ist die ideale Klammer. Es deckt einen großen Teil der NIS2-Mindestmaßnahmen bereits ab, und der TISAX-Prüfkatalog VDA ISA baut direkt auf der ISO 27001 auf. Wer die ISO-27001-Struktur einführt, arbeitet NIS2 und TISAX gleich mit ab, statt jedes Rahmenwerk getrennt zu stemmen. Genau deshalb empfehlen wir das ISMS als Fundament.

Nein — die eigentliche Zertifizierung darf nur eine akkreditierte Zertifizierungsstelle vergeben; diese Rolle ist von der Umsetzung getrennt, damit das Zertifikat neutral und glaubwürdig bleibt. bios-tec ist Ihr Umsetzungs- und Readiness-Partner: Wir bauen mit Ihnen das ISMS auf, setzen die Maßnahmen technisch um und bringen Sie zur Zertifizierungsreife. Die Trennung ist gewollt und sorgt für die Unabhängigkeit des Audits.

Die Kosten bestehen aus zwei Teilen: der Gebühr der akkreditierten Zertifizierungsstelle für Audit und laufende Überwachung und dem Aufwand, Ihr ISMS aufzubauen und die Maßnahmen umzusetzen. Der zweite Teil hängt stark von Ihrer Ausgangslage und dem gewählten Geltungsbereich ab. Nach unserer Gap-Analyse nennen wir Ihnen einen belastbaren Rahmen — und halten den Scope so schlank wie möglich, um unnötige Kosten zu vermeiden.

Als grobe Orientierung: Von der Gap-Analyse bis zur Zertifizierungsreife vergehen je nach Ausgangslage, Größe und Scope oft sechs bis zwölf Monate. Ist die IT-Sicherheit schon weitgehend aufgestellt, geht es schneller. Wichtig ist ein realistischer Fahrplan statt eines Schnellschusses — ein ISMS, das nur fürs Audit existiert und danach niemand lebt, fällt beim nächsten Überwachungsaudit auf. Wir bauen es so, dass es im Alltag trägt.

ISO 27001 ist der freiwillige, weltweite Zertifizierungsstandard für ein ISMS. NIS2 ist eine gesetzliche Pflicht mit konkreten Mindestmaßnahmen und Meldepflichten. TISAX ist der Automotive-spezifische Prüf- und Austauschmechanismus, dessen Katalog auf der ISO 27001 aufsetzt. Alle drei zielen auf angemessene, überprüfbare Informationssicherheit — und alle drei profitieren von demselben Fundament. Wir bauen die Umsetzung so, dass ein ISMS alle Anforderungen zugleich bedient.