Software · ISO 27001
Eine ISO-27001-Software soll das Informationssicherheits-Managementsystem tragen: Kapitel 4 bis 10, die 93 Controls aus Anhang A, Risiken, Nachweise und den Jahresrhythmus aus internem Audit und Managementbewertung. Diese Seite zeigt, was die Norm verlangt, worauf Sie bei der Auswahl einer ISMS-Software achten sollten und wie Sightadel das abdeckt.
Ausgangslage
ISO/IEC 27001:2022 verlangt ein Managementsystem, kein Dokumentenpaket. Die Kapitel 4 bis 10 regeln Kontext und Geltungsbereich, Führung, Risikobeurteilung und -behandlung, Ressourcen und Kompetenz, Betrieb, Bewertung und Verbesserung. Anhang A enthält 93 Controls in vier Themen: 37 organisatorische, 8 personenbezogene, 14 physische und 34 technologische. Für jedes Control halten Sie in der Erklärung zur Anwendbarkeit fest, ob es gilt, warum und wie weit es umgesetzt ist.
Eine ISMS-Software muss diese Struktur abbilden und zusammenhalten: Risiko, Control, Maßnahme und Nachweis gehören zusammen. Der Auditor prüft, ob die Risikomethode wiederholbar ist, ob Nachweise aktuell sind und ob internes Audit und Managementbewertung stattgefunden haben. Das Zertifikat gilt drei Jahre, mit zwei jährlichen Überwachungsaudits. Die Software muss also vor allem den Betrieb nach dem Erstaudit tragen.
Was die Software nicht übernimmt, sind die Entscheidungen. Geltungsbereich, Informationssicherheitsziele, Risikoakzeptanz, die Auswahl der Controls und die Rollen legt die Leitung fest. Eine gute ISMS-Software macht diese Stellen sichtbar und dokumentiert, wer wann entschieden hat.
Warum jetzt
Kunden oder Ausschreibungen verlangen das Zertifikat. Sie brauchen Geltungsbereich, Risikomethode, Erklärung zur Anwendbarkeit und ein Auditprogramm in dieser Reihenfolge.
Nach dem Zertifikat stand das System still. Nachweise tragen ein Datum, und im Überwachungsaudit fällt auf, was seit einem Jahr nicht mehr geprüft wurde.
Erklärung zur Anwendbarkeit, Risikoliste und Lieferantenliste liegen in getrennten Dateien. Verknüpfungen zwischen Risiko, Control und Beleg existieren nur im Kopf des ISB.
ISO 27001 trägt am weitesten in andere Regelwerke hinein. Wer das ISMS in einer Software führt, nutzt dieselben Nachweise für die zusätzlichen Pflichten.
Relevante Frameworks
In eigenen Worten zusammengefasst, keine Rechtsberatung. Maßgeblich ist der Originaltext in der geltenden Fassung.
Kapitel 4 bis 10 und alle 93 Controls aus Anhang A in der Fassung 2022. Ergebnis ist ein Zertifikat einer akkreditierten Stelle, gültig drei Jahre. Bis zur Auditreife vergehen typischerweise drei bis sechs Monate.
Zum Framework →Die Maßnahmen nach § 30 BSIG decken sich in weiten Teilen mit Anhang A. Hinzu kommen Meldekette, Registrierung beim BSI und die Verantwortung der Geschäftsleitung nach § 38.
Zum Framework →Die technischen und organisatorischen Maßnahmen nach Art. 32 lassen sich mit denselben Nachweisen belegen wie viele Controls aus Anhang A.
Zum Framework →Für Cloud-Anbieter mit Kunden aus dem öffentlichen Sektor oder regulierten Branchen. Der Kriterienkatalog des BSI baut auf ISO 27001 auf, das Ergebnis ist ein Testat durch einen Wirtschaftsprüfer.
Zum Framework →Empfohlene Reihenfolge
Standorte, Systeme und Prozesse abgrenzen, interessierte Parteien bestimmen. Leitfragen und Branchenvorlage schlagen Abgrenzungen vor, Sie bestätigen oder passen an.
Werte erfassen, Risiken mit einer festen Methode bewerten, Behandlung festlegen. Erst danach lassen sich die Controls sinnvoll entscheiden.
Alle 93 Controls geführt beantworten. Daraus entsteht die Erklärung zur Anwendbarkeit mit Entscheidung, Begründung, Status und Verantwortlichem je Control.
Leitlinie, Richtlinien und Verfahren fertigstellen, Schulungen durchführen, Belege mit Gültigkeitsdatum ins Nachweis-Archiv laden und den Controls zuordnen.
Das System einmal vollständig selbst prüfen und durch die Leitung bewerten lassen. Beides ist Pflicht vor dem Zertifizierungsaudit und kehrt danach jährlich wieder.
Ein unabhängiger, akkreditierter Auditor prüft in Stufe 1 die Dokumentation und in Stufe 2 die Umsetzung. Er prüft direkt in Sightadel und löscht nichts.
Auswahl
Fast jede ISMS-Software listet die 93 Controls. Entscheidend ist, wie gut sie den Zusammenhang zwischen Risiko, Control und Nachweis hält und wie viel Pflege der Betrieb kostet.
Die Erklärung zur Anwendbarkeit sollte beim Durcharbeiten entstehen, nicht als separate Tabelle gepflegt werden. Prüfen Sie, ob sie für den Auditor exportierbar ist.
Gleiche Eingaben müssen zu vergleichbaren Ergebnissen führen. Risiken sollten mit Behandlung, Verantwortlichem und Maßnahmen verknüpft sein, nicht nur bewertet.
Ein Wiederherstellungstest von vor 14 Monaten ist im Überwachungsaudit kein Beleg mehr. Achten Sie auf Gültigkeitsdatum und Erinnerung vor Ablauf.
Beides sind die Stellen, an denen Systeme im Audit am häufigsten Schwächen zeigen. Die Software sollte sie als wiederkehrende Termine mit Ergebnis führen.
Der Auditor sollte Anforderungen, Antworten, Belege und das Änderungsprotokoll selbst einsehen und kommentieren können, ohne etwas zu löschen. Das spart Dateiversand und Rückfragen.
Wenn NIS2, DORA oder DSGVO hinzukommen, sollten vorhandene Nachweise weiter zählen. Fragen Sie nach, ob ein Beleg mit Controls mehrerer Frameworks verknüpft werden kann.
So hilft Sightadel
Kapitel 4 bis 10 und jedes der 93 Controls als geführte Frage mit Antwortoptionen, Erklärung und Kommentar. Daraus baut sich die Erklärung zur Anwendbarkeit auf, exportierbar für den Auditor.
Mehr erfahren →Branchenvorlagen aus langjähriger Beratungs- und Zertifizierungspraxis liefern Entwürfe für Leitlinie und Richtlinien. Die KI macht Vorschläge aus Daten, die Sie bereits erfasst oder importiert haben. Sie übernehmen, ändern oder ergänzen.
Mehr erfahren →Belege mit Version, Gültigkeitsdatum und Erinnerung vor Ablauf. Ein Nachweis wird mit allen Controls verknüpft, die er belegt, auch über ISO 27001 hinaus.
Mehr erfahren →Lücken aus der Bewertung, Feststellungen aus internen Audits und Abweichungen aus dem Zertifizierungsaudit werden zu Maßnahmen mit Verantwortlichem und Frist.
Mehr erfahren →Dienstleister mit Kritikalität, Fragebögen und Nachweisen, mit Erinnerung an die Neubewertung. Das deckt die Lieferanten-Controls in Anhang A ab.
Mehr erfahren →Der Security Score bewertet die von außen sichtbare Angriffsfläche Ihrer Domains mit einer Note von 0 bis 100 und listet konkrete Probleme. Das liefert Material für das Schwachstellenmanagement nach Anhang A.
Mehr erfahren →Aufwand und Dauer
Die Spannen sind Erfahrungswerte, keine Zusage. Den größten Einfluss haben die Größe des Geltungsbereichs, der Ausgangsstand und die Zeit der verantwortlichen Person.
Was Sie lizenzieren · typisch Professional
Ein ISMS mit mehreren Beteiligten aus IT, Personal und Einkauf läuft typischerweise mit ISO 27001 in der Edition Professional. Kommen NIS2, DSGVO oder C5 hinzu, kosten sie dauerhaft weniger, weil ISO 27001 bereits lizenziert ist.
Lizenz je Framework, Mindestlaufzeit ein Jahr, monatlich oder jährlich zahlbar. Alle Preise, Rabatte und einen Rechner finden Sie auf der Preisseite. Kosten einer Zertifizierungs- oder Prüfstelle kommen getrennt hinzu.
Die Norm schreibt keine Software vor. Sie verlangt ein gelenktes, nachvollziehbares System. Für kleine Geltungsbereiche geht das mit Dokumenten und Tabellen. Eine ISMS-Software lohnt sich, sobald mehrere Personen mitarbeiten, Nachweise ablaufen und Überwachungsaudits jedes Jahr dieselben Fragen stellen.
Excel hält Listen, aber keine Verknüpfungen. Risiko, Control, Maßnahme und Nachweis hängen dann nur über Querverweise zusammen, und Fristen überwacht niemand. Vorhandene Tabellen lassen sich in Sightadel importieren und behalten so ihren Inhalt.
Sightadel wird je Framework und Edition lizenziert, jährlich. Die aktuellen Beträge stehen auf der Preisseite. Dazu kommen die Kosten der Zertifizierungsstelle und, falls gewünscht, eines Beraters. Testen können Sie 14 Tage kostenlos, ohne Zahlungsdaten.
Nein. Sightadel führt durch die Anforderungen. Berater wählen Sie aus dem Partnernetzwerk in der App oder bringen Ihren eigenen mit, sie arbeiten mit der Rolle Consultant in Ihrem Konto. Das Zertifizierungsaudit macht eine unabhängige, akkreditierte Stelle. Sightadel zertifiziert nicht und erhält keine Provision.
Geltungsbereich, Informationssicherheitsziele, Risikoakzeptanz, die Entscheidung über die Controls und die Rollen. Die Norm verlangt diese Entscheidungen von der Leitung. Sightadel markiert die Stellen und hält fest, wer wann entschieden hat.
Sie entsteht beim Durcharbeiten der 93 Controls: Anwendbarkeit, Begründung, Status und Verantwortlicher je Control. Die Inhalte entscheiden Sie. Die Software fügt sie zusammen und exportiert sie für den Auditor.
Ja. Sie bringen Ihre eigene Zertifizierungsstelle mit oder wählen eine aus dem Partnernetzwerk. Der Auditor erhält eine eigene Rolle ohne Löschrecht und sieht Anforderungen, Antworten und Belege im Zusammenhang.
14 Tage, voller Zugriff, keine Zahlungsdaten. Was Sie anlegen, bleibt im bezahlten Plan erhalten.
