ISO 27001 für Startups: ein praktischer Einstieg

Wenn Unternehmenskunden immer wieder fragen, ob Sie nach ISO 27001 zertifiziert sind, bilden Sie sich den Druck nicht ein. Die Norm ist still und leise zu einem Türöffner im Vertrieb geworden, und Startups ohne sie fallen im Beschaffungsprozess oft schon vor dem ersten echten Gespräch heraus (Sprinto). Die gute Nachricht: 2026 ganz neu zu beginnen ist einfacher als noch vor einem Jahr, und Sie können von der ersten Woche an die Gewohnheiten aufbauen, die eine Zertifizierung handhabbar machen.

Dieser Leitfaden erklärt, was ISO 27001 ist, was sich mit der jüngsten Umstellung geändert hat, einen praktischen Weg für den Einstieg und wie Sie Ihre Nachweise prüfbereit halten, ohne dass daraus ein zweiter Job wird.

Was ISO 27001 wirklich ist

ISO 27001 ist die internationale Norm für ein Informationssicherheits-Managementsystem, meist als ISMS abgekürzt. Sie verlangt keine bestimmte Firewall und kein bestimmtes Werkzeug. Stattdessen bescheinigt sie, dass Sie über ein funktionierendes System verfügen, um Ihre Informationssicherheitsrisiken zu erkennen, sie im Verhältnis zu ihrer Schwere zu behandeln und nachzuweisen, dass Ihre Kontrollen über die Zeit konsistent wirken. Sie beruht auf drei Ideen: Daten vertraulich halten, sie korrekt halten und sie verfügbar halten, wenn sie gebraucht werden.

Für ein Startup ist dieser Rahmen befreiend. Es wird nicht erwartet, dass Sie ein Sicherheitsteam wie ein Großkonzern haben. Es wird erwartet, dass Sie Ihre Risiken verstehen und bewusst steuern.

Was sich mit der Umstellung 2022 geändert hat

Die ältere Ausgabe ISO 27001:2013 erreichte am 31. Oktober 2025 das Ende ihrer Übergangsfrist, und die alten Zertifikate von 2013 wurden seither zurückgezogen, sodass für neue Zertifizierungen und Verlängerungen nur noch die Ausgabe von 2022 anerkannt wird (Bright Defense, SGS). Wenn Sie sich zum ersten Mal zertifizieren lassen, erspart Ihnen das Ärger. Es gibt keine alte Version, um die Sie sich kümmern müssen, und keine Umstellung zu planen. Sie bauen einfach von Tag eins an auf dem aktuellen Kontrollsatz von 2022 auf.

Wo Sie beginnen: ein praktischer Weg

Sie müssen nicht alles auf einmal tun. Arbeiten Sie diese Schritte der Reihe nach ab und behandeln Sie jeden als etwas, das Sie pflegen, statt als ein Kästchen, das Sie abhaken.

1. Legen Sie Ihren Geltungsbereich fest: Entscheiden Sie, welche Produkte, Systeme und Teams das ISMS abdeckt. Für die meisten Startups sind das ihr Kernprodukt und die Systeme, die es stützen. Ein enger, ehrlicher Geltungsbereich lässt sich leichter zertifizieren und pflegen.
2. Führen Sie eine Risikobewertung durch: Ermitteln Sie, was mit Ihren Informationen schiefgehen könnte, und bewerten Sie dann jedes Risiko danach, wie wahrscheinlich es ist und wie sehr es schaden würde. Das ist der Kern der Norm und bestimmt alles Weitere.
3. Wählen und implementieren Sie Kontrollen: Wählen Sie die Kontrollen, die Ihre echten Risiken angehen, und setzen Sie sie um. Die Ausgabe von 2022 ordnet die Kontrollen in einem modernen Satz, ordnen Sie also jede dem Risiko zu, das sie verringert.
4. Verfassen Sie Ihre Richtlinien: Dokumentieren Sie, wie Ihr Team tatsächlich arbeitet, von der Zugriffskontrolle bis zur Reaktion auf Vorfälle. Richtlinien sollten die Realität beschreiben, nicht einen Anspruch, dem niemand folgt.
5. Sammeln Sie Nachweise unterwegs: Bewahren Sie Belege dafür auf, dass Ihre Kontrollen laufen, etwa Aufzeichnungen, Freigaben und Überprüfungsdaten. Das laufend zu sammeln ist weit einfacher, als es in der Woche vor einem Audit zu rekonstruieren.
6. Bereiten Sie sich auf das Audit vor: Eine Zertifizierungsstelle führt eine Prüfung der Stufe eins Ihrer Dokumentation durch und dann eine Prüfung der Stufe zwei, wie Ihr ISMS in der Praxis funktioniert. Alles oben Genannte fließt in diese beiden Prüfungen ein.

Bauen Sie von Tag eins an Nachweisgewohnheiten auf

Ein klares Muster in den jüngsten Empfehlungen ist, dass Prüfer zunehmend operative Nachweise verlangen, etwa Protokolle und Belege dafür, dass Kontrollen kontinuierlich laufen, statt eines Ordners mit Richtlinien, die in der Nacht zuvor geschrieben wurden (Sesamedisk). Für ein Startup ist das eigentlich beruhigend. Wenn Sie Nachweise früh zur Gewohnheit machen, zeigen Sie genau das, wonach ein Prüfer sucht, und ersparen sich später eine hektische Aufholjagd.

Der praktische Schritt ist, jeder Kontrolle eine verantwortliche Person, einen Ort, an dem ihr Nachweis liegt, und ein Überprüfungsdatum zu geben und dies dann als Teil der normalen Arbeit aktuell zu halten.

Wie ISO Mate Ihnen hilft, für ISO 27001 bereit zu sein

Das Compliance-Management von ISO Mate ist genau für diesen Weg gemacht und so gestaltet, dass ein kleines Team es ohne eigene Compliance-Abteilung führen kann.

• Eine vordefinierte Framework-Vorlage für ISO 27001: Erstellen Sie ein vollständiges Framework mit Anforderungen, Kontrollen, Richtlinienentwürfen mit echtem Inhalt und operativen Verfahren samt der Zuordnungen dazwischen. Eine Benutzergruppe Alle Mitarbeitenden wird automatisch mit den relevanten Richtlinien vorab zugewiesen erstellt, sodass Sie nur noch Ihr Team hinzufügen.
• Kontrollen den Anforderungen zugeordnet: Verfolgen Sie den Umsetzungsstatus jeder Kontrolle und nutzen Sie die Crosswalk-Ansicht, um zu sehen, wo eine Kontrolle mehr als eine Anforderung erfüllt.
• Richtlinien mit Versionskontrolle und Bestätigung: Veröffentlichen Sie neue Versionen, wenn sich Richtlinien ändern, und bewahren Sie dabei den Verlauf, und verfolgen Sie dann, welche Teammitglieder die neueste Version bestätigt haben.
• Ein Risikoregister für Ihre Risikobewertung: Bewerten Sie Risiken in einer Matrix von 5 mal 5, verfolgen Sie die inhärente und die verbleibende Exposition, verknüpfen Sie Risiken mit den Kontrollen, die sie behandeln, und legen Sie einen Überprüfungsrhythmus fest, damit die Bewertungen aktuell bleiben.
• Nachweiserfassung: Laden Sie Nachweise hoch, verknüpfen Sie sie mit Kontrollen und Anforderungen und legen Sie Ablaufdaten fest, damit nichts unbemerkt veraltet.
• Verfahren mit Wiederholung: Dokumentieren Sie operative Verfahren und stellen Sie sie auf Wiederholung, sodass wiederkehrende Sicherheitsaufgaben bei jeder Fälligkeit verfolgt werden.
• Ein Compliance-Dashboard und Audit-Protokolle: Sehen Sie die Framework-Abdeckung und den Kontrollstatus auf einen Blick und verlassen Sie sich auf ein automatisches Audit-Protokoll, das festhält, wer was und wann geändert hat.

Da Framework, Kontrollen, Richtlinien, Risiken und Nachweise an einem Ort liegen und aufeinander verweisen, ergeben sich die operativen Nachweise, die ein Prüfer verlangt, ganz natürlich aus der Nutzung des Systems und sind kein separates Projekt.

Erste Schritte

ISO 27001 belohnt Teams, die früh beginnen und konsequent bleiben. Legen Sie einen realistischen Geltungsbereich fest, führen Sie eine ehrliche Risikobewertung durch, setzen Sie die Kontrollen um, die zählen, und machen Sie Nachweise von der ersten Woche an zur Gewohnheit. Wenn Sie einen guten Start wünschen, richten Sie die Framework-Vorlage für ISO 27001 in ISO Mate ein und sehen Sie, wie viel Struktur bereits vorhanden ist, bereit, sie zu Ihrer eigenen zu machen.