Services / ISO 27001

ISO 27001 · Evidence-Trail

Vom Risikoregister bis zum verifizierbaren Auditor-Export.

Die Anforderung

Was das Regelwerk verlangt

Adressiert ist jede Organisation, die ihr ISMS zertifizieren lässt oder es als Nachweis gegenüber Kunden und Aufsicht führt. Seit dem 31.10.2025 gelten nur noch Zertifikate nach der Fassung 2022; danach laufen jährliche Überwachungsaudits und alle drei Jahre eine Rezertifizierung.

Managementsystem-Klauseln 4–10

Kontext, Führung, Planung inklusive Risikobehandlung, Unterstützung, Betrieb, Leistungsbewertung und Verbesserung; der verpflichtende Kern.

ISO/IEC 27001:2022, Kap. 4–10

Statement of Applicability (SoA)

Dokumentierte Begründung, welche der 93 Annex-A-Controls angewendet werden und welche ausgeschlossen sind; zentrales Auditobjekt.

ISO/IEC 27001:2022, Annex A

Risikobewertung

Systematische Identifikation, Analyse und Behandlung von Informationssicherheitsrisiken als Grundlage der Control-Auswahl.

ISO/IEC 27005

Laufender Zertifizierungszyklus

Nach der Erstzertifizierung jährliche Überwachungsaudits und alle drei Jahre eine vollständige Rezertifizierung durch eine akkreditierte Stelle.

Zertifizierungszyklus · akkreditierte Stellen

Unsere Lösung

Ein Zertifikat bescheinigt einen Stichtag; nachzuweisen ist die Konformität über den ganzen Zyklus.

Ein Zertifikat bescheinigt den Zustand zum Auditstichtag, nicht die Konformität nach Kapitel 9 und 10 in den Monaten dazwischen. Wer erst kurz vor dem Überwachungsaudit Nachweise sammelt, kann die Wirksamkeit für den zurückliegenden Zeitraum nicht belegen.

Dazu die Fläche: Die Statement of Applicability nach Annex A umfasst 93 Controls, jedes mit Begründung, ob es anwendbar ist, und mit Nachweis der Umsetzung. Ohne strukturierte Ablage verteilt sich das über Ordner, Tickets und E-Mails.

ISO 27001 deckt rund 70 % der NIS2-Anforderungen ab; ein ISO-first-Ansatz baut die Brücke zu NIS2 mit. Ohne laufende Verfolgung von Feststellungen und Korrekturmaßnahmen fehlt bei der Rezertifizierung der Beleg, wer welche Abweichung wann geschlossen hat.

Was Sie bekommen

Die Bausteine für lückenlose ISO-27001-Evidenz.

40 Pflichten im ISO-27001-Pack

93 Controls aus Annex A, als SoA geführt

1 Evidenzbasis, die auch NIS2 und SOC 2 bedient

Kern dieses Service

Risikoregister (27005) + 5×5-Heatmap

Risiken werden nach ISO 27005 erfasst, bewertet und in einer 5×5-Heatmap visualisiert. Die Bewertung fließt direkt in die Statement of Applicability ein.

Versiegelte Snapshots (WORM)

Der Stand von Risikoregister, SoA und Kontrollen wird zu jedem relevanten Zeitpunkt kryptografisch versiegelt und unveränderlich abgelegt; der Auditor sieht, welche Lage wann bestand.

Findings & CAPA, Attestation-Lifecycle

Abweichungen aus internen Audits oder Kontroll-Reviews werden als Findings erfasst, mit Corrective-Action-Plänen verknüpft und bis zur Attestation durch die Verantwortlichen nachverfolgt.

Auditor-Export mit Offline-Verifier

Für das Rezertifizierungsaudit entsteht ein Export-Paket, dessen Siegel der Auditor mit einem Offline-Verifier prüft, ohne auf Ihr System zuzugreifen.

Kontroll-Werkbank mit Nachweis-Checkliste

Jede Annex-A-Kontrolle führt eine Checkliste: was belegt werden muss, was vorliegt und was fehlt. Punkte, die ReportAct aus eigenen Registern oder aus einer freigegebenen Richtlinie belegen kann, werden automatisch versiegelt; den Haken „umgesetzt" setzt weiterhin ein Mensch, sobald jeder Punkt gedeckt ist.

Außerdem in diesem Service enthalten

Dynamische Lieferantenrisikoanalyse

Der Anbieterbestand ist vom Start verfügbar und wächst laufend. Sanktionslisten, bekannte Schwachstellen, Eigentümerwechsel und geänderte Vertragsbedingungen werden fortlaufend analysiert. Ändert sich etwas, erfahren Sie es sofort, nicht erst beim nächsten Audit.