ISO 27001 für KMU und Startups: ein schlankes ISMS, das trotzdem trägt
Ein Startup oder KMU kann ISO/IEC 27001:2022 mit einem schlanken ISMS umsetzen: Die Anforderungen sind für jede Größe gleich, aber die Art, sie zu erfüllen, skaliert. Die Abschnitte 4 bis 10 können nicht ausgeschlossen werden (Kontext, Führung, Risiken, Unterstützung, Betrieb, Bewertung und Verbesserung); die Maßnahmen aus Anhang A wählt die Risikobeurteilung aus, und jeder Ausschluss wird in der Erklärung zur Anwendbarkeit begründet. In einem Unternehmen mit 5 bis 50 Personen sind entscheidend: ein enger, klarer Anwendungsbereich (oft das Produkt und die Cloud-Plattform), ein ISMS-Verantwortlicher mit echter Zeit und Rückhalt der Geschäftsführung, ausgleichende Maßnahmen, wo zu wenige Personen für eine Funktionstrennung da sind, und die gute Nutzung der Maßnahmen Ihrer Cloud-Anbieter. Auch die Auditdauer skaliert: Zertifizierungsstellen bemessen sie vor allem nach der Zahl der Personen im Anwendungsbereich.
Was sich mit der Unternehmensgröße nicht ändert
- Alle Abschnitte 4 bis 10: Kontext und Anwendungsbereich, Führung und Politik, Risikobeurteilung und -behandlung, Kompetenz und Bewusstsein, Betrieb, Überwachung, internes Audit, Managementbewertung und fortlaufende Verbesserung.
- Die verpflichtende dokumentierte Information (Anwendungsbereich, Politik, Risikomethodik, Erklärung zur Anwendbarkeit, Risikobehandlungsplan, Ziele, Nachweise zu Kompetenz, Überwachung, internem Audit und Managementbewertung).
- Nachweise, dass die Maßnahmen schon eine Zeit lang wirken, bevor das Zertifizierungsaudit beginnt, nicht nur freigegebene Dokumente.
Was sich verkleinern lässt
| Bereich | Wie ein kleines Unternehmen es meist löst |
|---|---|
| Anwendungsbereich (Abschnitt 4.3) | Auf das beschränken, wonach Kunden fragen, zum Beispiel das Produkt, seine Cloud-Plattform und die Personen, die es betreiben |
| Rollen (5.3 und Maßnahme 5.2) | Ein ISMS-Verantwortlicher (oft CTO oder COO) und ein kleines Gremium mit den Gründern; Zuständigkeiten in einer RACI-Tabelle |
| Funktionstrennung (Maßnahme 5.3) | Wenn Personen fehlen: mit Protokollierung, Alarmen, Vier-Augen-Prüfung von Änderungen und regelmäßiger Durchsicht durch die Leitung ausgleichen und diese Entscheidung in der Risikobeurteilung festhalten |
| Cloud (Maßnahme 5.23) | Das Modell der geteilten Verantwortung und die Berichte des Anbieters nutzen; Ihr Teil sind Konfiguration, Zugänge, Datensicherung und Überwachung |
| Physische Sicherheit (Maßnahmen 7.1 bis 7.14) | Bei Remote-Arbeit oder Coworking betreffen viele davon die Rechenzentren des Anbieters und die Laptops; Ausschlüsse in der Erklärung zur Anwendbarkeit begründen |
| Remote-Arbeit (Maßnahme 6.7) | Kurze Regeln zu Geräten, Festplattenverschlüsselung, Bildschirmsperre und Heimnetz |
| Internes Audit (9.2) | Durch eine geschulte Person, die nicht die eigene Arbeit auditiert, oder durch einen externen Auditor für wenige Tage |
ISMS-Dokumentationskit ISO 27001
84 Dateien zur Dokumentation Ihres ISMS nach ISO/IEC 27001:2022.
Zum ISO-27001-Dokumentationskit (Einmalzahlung)Häufige Fehler in kleinen Unternehmen
- Anwendungsbereich und Maßnahmen eines Konzerns kopieren und am Ende Richtlinien haben, die niemand befolgt.
- Maßnahmen aus Anhang A ohne Begründung aus der Risikobeurteilung ausschließen.
- Das ISMS einer Person ohne Zeit und Befugnis überlassen: Der Plan bleibt bei der ersten Frist stehen.
- Dokumente schreiben und das Audit starten, ohne Aufzeichnungen aus mehreren Monaten (Zugriffsüberprüfungen, getestete Datensicherungen, Vorfälle, Kennzahlen).
- Annehmen, dass das Zertifikat des Cloud-Anbieters Ihr Unternehmen abdeckt: Es deckt dessen Teil ab, nicht Ihre Konfiguration und Ihre Leute.
Ein realistischer Plan für 5 bis 50 Personen
- Eine Gap-Analyse gegen die Abschnitte und die 93 Maßnahmen aus Anhang A machen, um den echten Stand zu sehen.
- Mit den Gründern einen engen Anwendungsbereich vereinbaren und den ISMS-Verantwortlichen benennen.
- Die Risikobeurteilung mit den Personen machen, die Produkt und Infrastruktur kennen, und daraus Behandlung und Erklärung zur Anwendbarkeit ableiten.
- Zuerst die technischen Prioritäten umsetzen: MFA, Zugriffsüberprüfungen, getestete Datensicherung, Protokollierung und Alarme, sichere Cloud-Konfiguration.
- Einige Monate betreiben und Nachweise sammeln, internes Audit und Managementbewertung durchführen, dann Stufe 1 und Stufe 2 buchen.
Der Referenzplan von NexoDocs erreicht Stufe 2 in etwa 30 Wochen für 20 bis 100 Personen; ein sehr kleines Team mit engem Anwendungsbereich ist bei der Dokumentation schneller, aber nicht bei der Zeit, die Maßnahmen im Betrieb brauchen.
In Deutschland: Einstiegswege und NIS2
Für sehr kleine Unternehmen gibt es in Deutschland Einstiegswege unterhalb der Zertifizierung: den Cyber-Risiko-Check nach DIN SPEC 27076 und das Regelwerk VdS 10000 für ein ISMS in KMU. Beide eignen sich als Vorstufe, ersetzen aber kein ISO-27001-Zertifikat, wenn Kunden es verlangen. Unter die NIS2-Umsetzung im BSIG fallen grundsätzlich mittlere und große Einrichtungen der genannten Sektoren (ab 50 Beschäftigten oder bestimmten Umsatz- und Bilanzschwellen); kleine Unternehmen sind meist nur mittelbar betroffen, etwa als Lieferant, der Sicherheitsanforderungen seiner Kunden erfüllen muss. Prüfen Sie Ihren Fall mit dem Betroffenheits-Check des BSI. Das ist keine Rechtsberatung.
Vorlage: das ISO-27001-Kit für ein schlankes ISMS
Das deutsche ISO-27001-Kit von NexoDocs gibt einem kleinen Team die Dokumente bereits strukturiert in bearbeitbarem Word und Excel, mit durchgerechnetem Beispiel: Gap-Analyse (ISMS-GAP-01), Projektplan mit Gantt (ISMS-PRJ-01), Risikomethodik und Risikomatrix, Risikobehandlungsplan (ISMS-RSK-03), Erklärung zur Anwendbarkeit mit den 93 Maßnahmen, die Richtlinien zu Anhang A und das Auditprogramm. Sie passen sie an Ihren Anwendungsbereich an, statt bei null zu beginnen; das Kit ersetzt weder den Betrieb der Maßnahmen noch das Audit der Zertifizierungsstelle, und kein Kit kann das Ergebnis zusichern.
Nächster Schritt
Kostenlos testen oder direkt zur vollständigen Lösung.
ISMS-Dokumentationskit ISO 27001
84 Dateien zur Dokumentation Ihres ISMS nach ISO/IEC 27001:2022.
Zum ISO-27001-Dokumentationskit (Einmalzahlung)
Kostenloses Muster
Laden Sie kostenlos eine reduzierte Version der Risikomatrix aus dem Toolkit herunter (Excel, 10 Szenarien, Heatmap; Probe auf Englisch). Sehen Sie, wie Risikoniveau und Kategorie berechnet werden, bevor Sie sich entscheiden.
Kostenlose Probe herunterladen (Englisch)Häufige Fragen
Lohnt sich ISO 27001 für ein Startup?
Ja, wenn Kunden oder Ausschreibungen es verlangen oder Sicherheitsfragebögen den Vertrieb bremsen. Fragt noch niemand, bereitet Sie der Aufbau der Grundlagen (Risiken, Zugänge, Datensicherung, Vorfälle) schon darauf vor.
Kann sich ein Unternehmen mit 5 Personen zertifizieren lassen?
Ja. Die Norm hat keine Mindestgröße. Es gelten dieselben Abschnitte, und das Audit ist kürzer, weil es vor allem von der Zahl der Personen im Anwendungsbereich abhängt.
Welche Maßnahmen aus Anhang A kann ein kleines Unternehmen ausschließen?
Jede Maßnahme, wenn die Risikobeurteilung zeigt, dass sie nicht nötig ist, und der Ausschluss in der Erklärung zur Anwendbarkeit begründet wird. Die Abschnitte 4 bis 10 lassen sich nicht ausschließen.
Brauche ich eine Vollzeitstelle für Informationssicherheit?
Meist nicht. Sie brauchen einen Verantwortlichen mit festen Stunden pro Woche und Rückhalt der Leitung; einzelne Aufgaben wie das interne Audit lassen sich auslagern.
Verwandte Leitfäden
Was kostet ISO 27001? Vorlagen-Kit, Berater oder Software
Was ISO 27001 in einem KMU kostet: Zertifizierungsaudit, Berater, Compliance-Software oder Vorlagen-Kit im Vergleich, und wann sich welche Option lohnt.
Leitfaden lesen →Wie lange dauert ISO 27001? Projektplan in 8 Phasen für KMU
Wie lange Einführung und Zertifizierung nach ISO/IEC 27001:2022 in einem KMU dauern: 8 Phasen Woche für Woche, was verlängert und was sicher verkürzt.
Leitfaden lesen →ISO 27001 Gap-Analyse: wie weit ist Ihr ISMS von der Norm entfernt?
Gap-Analyse nach ISO/IEC 27001:2022: 29 Prüffragen zu den Abschnitten 4 bis 10, 93 Maßnahmen aus Anhang A, Bewertung mit Ampel und nächste Schritte.
Leitfaden lesen →Aktualisiert: 2026-10-30