ISO 27001 Readiness & ISMS-Beratung
Ein ISO/IEC-27001-Zertifikat stellt ausschließlich eine akkreditierte Zertifizierungsstelle nach einem formellen Audit aus. Keine Beratung kann es erteilen. Wir helfen Ihnen, ein Information Security Management System aufzubauen, das für dieses Audit bereit ist: Scope und Risikobehandlung, die Annex-A-Controls, internes Audit und Managementbewertung sowie die Penetrationstests, die Ihre technischen Controls belegen. Das Zertifizierungsaudit führt eine akkreditierte Stelle durch.
Aufbau des ISMS
ISO/IEC 27001:2022 zertifiziert ein Managementsystem, nicht ein einzelnes Produkt. Die Kapitel 4-10 des Standards definieren das ISMS, und Annex A listet 93 Controls in vier Themen: Organizational, People, Physical und Technological. Wir helfen Ihnen, das System aufzubauen und die anwendbaren Controls auszuwählen, umzusetzen und nachzuweisen.
- ISMS-Scope, Kontext, Führung und die Anforderungen an das Managementsystem aus den Kapiteln 4-10
- Risikobewertung und Risikobehandlungsplan, mit dem Statement of Applicability
- Auswahl und Umsetzung der Annex-A-2022-Controls (93 Controls über die vier Themen)
- Richtlinien, Verfahren und Aufzeichnungen, die der Prüfer stichprobenartig prüft
- Penetrationstests als Nachweis für die technologischen Controls
- Internes Audit und Managementbewertung vor dem Zertifizierungsaudit
Wir bauen es auf; eine akkreditierte Stelle zertifiziert es
Wir sind Ihr Implementierungs- und Readiness-Partner. Die Zertifizierung ist ein Stage-1-Audit (Dokumentation) und anschließend ein Stage-2-Audit (Umsetzung), durchgeführt von einer akkreditierten Zertifizierungsstelle, die von den Personen, die das ISMS aufgebaut haben, unabhängig sein muss. Wir bereiten Sie vor und können Ihr internes Audit durchführen, aber wir sind keine Zertifizierungsstelle und stellen das Zertifikat niemals aus.
- 1
Scoping & Gap-Analyse
Wir definieren den ISMS-Scope, führen eine Gap-Analyse gegenüber ISO/IEC 27001:2022 und Annex A durch und unterzeichnen ein NDA.
- 2
Risikobehandlung
Wir erstellen die Risikobewertung, den Risikobehandlungsplan und das Statement of Applicability, die die Control-Auswahl steuern.
- 3
Controls & Dokumentation
Wir setzen die Managementsystem-Kapitel und die Annex-A-Controls um und führen den Pentest durch, der sie nachweist.
- 4
Internes Audit & Bewertung
Wir führen das interne Audit und die Managementbewertung durch, damit Nichtkonformitäten vor dem externen Audit behoben werden.
- 5
Zertifizierungsbegleitung
Wir begleiten Sie durch die Stage-1- und Stage-2-Audits der akkreditierten Stelle und etwaige Korrekturmaßnahmen.
Was Sie erhalten
Ein vollständiges, auditbereites ISMS und die technischen Nachweise dazu. Das Zertifikat selbst stellt die akkreditierte Zertifizierungsstelle nach einem erfolgreichen Stage-2-Audit aus, nicht wir.
- Gap-Analyse gegenüber ISO/IEC 27001:2022 und den Annex-A-2022-Controls
- Risikobewertung, Risikobehandlungsplan und Statement of Applicability
- ISMS-Richtlinien- und Verfahrenssatz sowie die vom Prüfer stichprobenartig geprüften Aufzeichnungen
- Penetrationstest-Bericht (CVSS 3.1, PoC, Reproduktion), der die technologischen Controls nachweist
- Bericht zum internen Audit und Managementbewertungs-Paket
- Readiness-Freigabe und Begleitung durch das Zertifizierungsaudit
Gegründet auf ISO/IEC 27001:2022
Die Vorbereitung folgt ISO/IEC 27001:2022 (Managementsystem-Kapitel 4-10) mit Controls aus Annex A 2022 (93 Controls in den Themen Organizational, People, Physical und Technological), orientiert an ISO/IEC 27002:2022. Das Zertifikat erteilt ausschließlich eine akkreditierte Zertifizierungsstelle nach dem Stage-1- und Stage-2-Audit. Wir liefern den ISMS-Aufbau, das interne Audit und den begleitenden Penetrationstest, sind aber keine Zertifizierungsstelle und stellen keine ISO-27001-Zertifikate aus.