Pressemitteilung von ituso GmbH

ISO 27001 als Antwort auf NIS2 und Kundenanforderungen: So entsteht ein auditfestes ISMS

---

---

Dachau, Oktober 2026. Für viele mittelständische Unternehmen hat sich Informationssicherheit in kurzer Zeit von einem reinen IT-Thema zu einer Frage der Geschäftsfähigkeit entwickelt. Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz, das nach Schätzung des Bundesamts für Sicherheit in der Informationstechnik (BSI) rund 29.500 Einrichtungen zu einem systematischen Risikomanagement verpflichtet. Gleichzeitig verlangen Großkunden und öffentliche Auftraggeber von ihren Lieferanten immer häufiger einen belastbaren Nachweis, bevor überhaupt ein Angebot abgegeben werden darf. Der international anerkannte Nachweis dafür ist ein Zertifikat nach ISO/IEC 27001.


Die ituso GmbH aus Dachau bei München setzt genau an dieser Stelle an: bei der Vorbereitung, beim Aufbau des Informationssicherheits-Managementsystems (ISMS) nach ISO 27001 und bei der Begleitung bis ins Zertifizierungsaudit. Das Ziel ist klar definiert: ein ISMS, das im Unternehmen gelebt wird und an dem der Auditor der Zertifizierungsstelle nichts zu beanstanden hat.


Warum der Druck gerade jetzt steigt

- NIS2 verpflichtet die Geschäftsleitung. Betroffene Unternehmen müssen angemessene technische und organisatorische Risikomanagementmaßnahmen umsetzen, erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden erstmals an das BSI melden und die Umsetzung durch die Geschäftsleitung überwachen lassen. Die Leitungsebene trägt dabei eine persönliche Verantwortung.

- Die Lieferkette wird mitgeprüft. NIS2 bezieht die Sicherheit der Lieferkette ausdrücklich ein. Betroffene Unternehmen geben ihre Anforderungen deshalb an Zulieferer und Dienstleister weiter, auch an solche, die selbst gar nicht unter das Gesetz fallen.

- Die Bedrohungslage bleibt hoch. Laut der Bitkom-Studie zum Wirtschaftsschutz 2025 waren 87 Prozent der deutschen Unternehmen von Datendiebstahl, Spionage oder Sabotage betroffen. Den Gesamtschaden beziffert der Verband auf 289,2 Milliarden Euro.


Die ISO 27001-Norm ist für die NIS2-Compliance gesetzlich nicht vorgeschrieben. Die Norm bildet aber genau die Strukturen ab, die NIS2 und anspruchsvolle Auftraggeber erwarten: ein risikobasiertes Vorgehen, klare Verantwortlichkeiten, ein geregeltes Vorfallmanagement, Lieferantensteuerung und kontinuierliche Verbesserung. Wer ein ISMS nach ISO 27001 betreibt, muss für neue Anforderungen deshalb meist nur ergänzen statt neu anfangen. Ein bestehendes ISO-27001-Zertifikat verkürzt zudem den Weg zu einem TISAX-Label, das in der Automobilbranche gefordert wird.


Klare Rollenverteilung: Aufbau mit ituso, Prüfung durch die Zertifizierungsstelle

Ein ISO-27001-Zertifikat erteilt ausschließlich eine akkreditierte Zertifizierungsstelle. Wer ein ISMS beratend mit aufgebaut hat, darf dasselbe System aus Gründen der Unabhängigkeit nicht selbst zertifizieren. ituso führt das Zertifizierungsaudit deshalb bewusst nicht durch. Die Rolle des Teams ist eine andere: Es sorgt dafür, dass das Unternehmen vorbereitet, vollständig dokumentiert und mit eingeübten Prozessen in das Audit geht, sodass Abweichungen bereits vorher erkannt und behoben sind.


So begleitet ituso den Weg zur Zertifizierungsreife

- Bestandsaufnahme und Gap-Analyse: Abgleich des Ist-Zustands mit den Anforderungen der ISO/IEC 27001:2022 und ihres Anhangs A.

- Geltungsbereich und Ziele: Festlegung, welche Standorte, Prozesse und Systeme zum ISMS gehören und welches Sicherheitsniveau angestrebt wird.

- Risikoanalyse und Maßnahmenplan: Bewertung der Risiken ausgehend von Kernprozessen und Werten, einschließlich der Erklärung zur Anwendbarkeit (Statement of Applicability/SoA).

- Richtlinien und Dokumentation: Leitlinien, Verfahren für Sicherheitsvorfälle und Notfälle sowie Nachweise, die im Alltag funktionieren statt im Ordner zu verstauben.

- Sensibilisierung der Mitarbeitenden: Schulungen, damit Regeln verstanden und tatsächlich gelebt werden.

- Interne Audits und Managementbewertung: die Generalprobe vor dem Zertifizierungsaudit.

- Begleitung im Audit: Unterstützung in beiden Stufen des Zertifizierungsaudits und auf Wunsch die Übernahme der Rolle des externen Informationssicherheitsbeauftragten, temporär oder dauerhaft.


Fachlich verantwortet wird der Bereich unter anderem von Mirko Tasch ISO27001-Lead Auditor und Klaus Reinhard, zertifizierter IT-Sicherheitsbeauftragter sowie zertifizierter Information Security Auditor. Neben ISO 27001 unterstützt ituso auch bei ISMS nach TISAX und VdS 10000.


"Unternehmen müssen sich heute mit einer Vielzahl von Herausforderungen und auch fortgeschrittenen Angriffstechniken auseinandersetzen. Es ist enorm wichtig, dass gesammelte und gespeicherte Informationen und Daten geschützt sind. Wir helfen Ihnen mit unserer Expertise und unseren Ressourcen dabei!"

Mirko Tasch, ISO27001-Lead Auditor & Geschäftsführer, ituso GmbH


Realistisch planen: Ein ISMS braucht Zeit zum Reifen

Wer ein Zertifikat zu einem festen Termin benötigt, etwa für eine Ausschreibung oder eine Kundenanforderung, sollte früh beginnen. Nach Erfahrung von ituso dauern Einführung und Zertifizierung je nach Ausgangslage mindestens 12, besser 18 bis 24 Monate. Entscheidend ist, dass die oberste Leitung das Vorhaben aktiv trägt und ausreichend Ressourcen und Budget bereitstellt. Ein erprobtes Framework mit Dokumentvorlagen und Hilfsmitteln sowie ein erfahrener Begleiter reduzieren die Zahl der Stolpersteine erheblich.


Häufige Fragen


Führt ituso das ISO-27001-Zertifizierungsaudit selbst durch?

Nein. Das Zertifizierungsaudit führt eine unabhängige, akkreditierte Zertifizierungsstelle durch. ituso übernimmt Vorbereitung, Aufbau des ISMS, interne Audits und die Begleitung des Unternehmens im Audit.


Wie lange dauert der Weg zum ISO-27001-Zertifikat?

Je nach Ausgangslage und Unterstützung durch die Geschäftsleitung mindestens 12, häufig 18 bis 24 Monate.


Ist ISO 27001 für NIS2 verpflichtend?

Nein. NIS2 schreibt keine bestimmte Norm vor. Ein ISMS nach ISO 27001 schafft aber die Strukturen, mit denen sich die NIS2-Anforderungen an Risikomanagement und Vorfallbehandlung systematisch erfüllen lassen.


Wie lange ist ein ISO-27001-Zertifikat gültig?

Drei Jahre. In dieser Zeit finden jährliche Überwachungsaudits statt, danach folgt eine Rezertifizierung.

Firmen- & Pressekontakt