ISMS ohne Berater aufbauen: So gelingt es

Das Angebot der Beratung liegt im Postfach, und die Zahl ist fünfstellig. Das ist normal: Ein ISO® 27001-Beratungsprojekt kostet typischerweise zwischen 10.000 € und 40.000 €, je nach Umfang und Erfahrung - für viele KMU mehr als alle anderen Zertifizierungskosten zusammen. Und das Angebot verschweigt einen zweiten Preis: Wenn das Projekt endet, geht das Wissen mit dem Berater. Ihr Team betreibt ein System, das jemand anderes entworfen hat, und beim nächsten Überwachungsaudit müssen Sie ihn womöglich erneut beauftragen.

Es gibt einen anderen Weg - die meisten Beratungen erwähnen ihn nur nicht. Für ein typisches KMU mit klarem Scope ist die Eigenumsetzung realistisch. Viele KMU erreichen die ISO® 27001-Zertifizierung ohne externe Berater - unter einer Bedingung: Die eingesetzte Plattform muss die Struktur tragen, die sonst der Berater liefern würde.

In diesem Valiido-Guide zeigen wir, was ein Berater tatsächlich für Sie leistet, wie Software jede dieser Funktionen ersetzt, wann ein Berater wirklich die bessere Wahl ist und wie der Weg in Eigenregie in der Praxis aussieht.

Was ein Berater tatsächlich leistet

Lässt man Tagessätze und Leistungsverzeichnis beiseite, liefert ein ISO® 27001-Berater im Kern vier Dinge:

• Struktur: einen Projektplan, der Ihnen sagt, was zu tun ist, in welcher Reihenfolge und wann Sie fertig sind. Ohne ihn kommen die meisten Teams im ersten Monat ins Stocken, weil sie nicht wissen, wo sie anfangen sollen.
• Interpretation des Standards: ISO® 27001 ist in Normsprache geschrieben, nicht in klaren Handlungsanweisungen. Ein Berater übersetzt jede Anforderung in "das bedeutet das für ein Unternehmen wie Ihres".
• Beispiele: Berater bringen Richtlinien, Risikoeinträge und Prozessbeschreibungen aus früheren Projekten mit, damit Sie anpassen statt mit einer leeren Seite zu beginnen.
• Review: Vor dem Zertifizierungsaudit prüft der Berater Ihre Arbeit gegen den Standard und markiert, was ein Auditor beanstanden würde.

Dazu kommt eine fünfte, informelle Leistung - Antworten: jemand, den Sie fragen können, wenn Sie nicht weiterkommen. Nichts davon ist Magie. Jede dieser Leistungen ist eine Funktion - und Funktionen kann Software übernehmen.

Wie Software jede Funktion ersetzt

Struktur und Interpretation: ein geführter Weg durch den Standard

Die ersten beiden Funktionen - Struktur und Interpretation - sind genau das, was der Valiido Guide liefert. Er führt Sie Kapitel für Kapitel durch jede Anforderung von ISO® 27001 und TISAX®, in der richtigen Reihenfolge, und erklärt jede in klarer Sprache: was die Anforderung bedeutet, warum es sie gibt und was Sie konkret tun müssen. Ihr Team weiß jederzeit, was als Nächstes kommt, und Sie sehen genau, wie weit Sie von der Audit-Bereitschaft entfernt sind.

Das ist der Unterschied zwischen einer Plattform und einer Dokumentenablage. Ein leerer Arbeitsbereich überlässt Ihnen weiterhin die Arbeit des Beraters.

Beispiele: nie mit einer leeren Seite beginnen

Richtlinien und Prozessbeschreibungen von Grund auf zu schreiben ist langsam und fehleranfällig - es ist der häufigste Grund, warum ISMS-Projekte sich ziehen. Die 1-Click Examples von Valiido übernehmen diese Funktion: über 200 vorgemappte Einträge in allen Modulen, von Richtlinien über Risikoeinträge bis zu Prozessbeschreibungen. Sie kopieren sie mit einem Klick und passen sie an Ihre Organisation an - genau wie bei den Vorlagen eines Beraters, nur direkt in der Plattform, wo sie hingehören.

Review: automatisierte Prüfungen, bevor der Auditor kommt

An der Review-Funktion sind Eigenumsetzungen früher am häufigsten gescheitert: Niemand hat die Arbeit geprüft, bis es der Auditor tat. AuditMagic schließt diese Lücke. Es prüft jedes Objekt in Ihrem ISMS sofort gegen Valiido Best Practices, ISO® 27001 und TISAX® und liefert jeden Montag einen vollständigen Audit-Bericht - sortiert nach Schweregrad, gruppiert nach der betroffenen Ressource. Lücken werden sichtbar, solange Sie sie noch beheben können, nicht erst im Zertifizierungsaudit.

Anders als das Review eines Beraters passiert diese Prüfung nicht einmalig vor dem Audit. Sie läuft kontinuierlich - und deckt damit auch die Jahre nach der Zertifizierung ab, wenn die Überwachungsaudits anstehen und der Berater längst weg ist.

Antworten: unbegrenzter Support von echten Experten

Keine Software nimmt jede Frage vorweg. Standards haben Sonderfälle, Auditoren fragen Unerwartetes, und manchmal wollen Sie einfach eine zweite Meinung. Deshalb enthält Valiido in jedem Plan unbegrenzten Experten-Support per Videoanruf oder Chat - ohne Ticket-Limit, ohne Stundenabrechnung. Es ist die "Jemand zum Fragen"-Funktion des Beraters, ohne dass an jedem Gespräch ein Tagessatz hängt.

Wann Sie WIRKLICH einen Berater wollen

Hier ist Ehrlichkeit wichtig: Es gibt Situationen, in denen ein Berater die richtige Entscheidung ist - etwas anderes zu behaupten, wäre schlechter Rat.

• Komplexer Scope über mehrere Gesellschaften: Wenn Ihre Zertifizierung mehrere juristische Einheiten, Länder oder Geschäftsbereiche mit widersprüchlichen Anforderungen umfasst, zahlt sich erfahrene Projektleitung aus.
• Fusionen und Übernahmen: Managementsysteme unter Transaktionsdruck zusammenzuführen oder zu trennen ist Spezialistenarbeit mit harten Fristen.
• Stark regulierte Umgebungen: Wenn für Sie zusätzliche Regelwerke gelten - Finanzaufsicht, kritische Infrastruktur, Medizinprodukte - reduziert ein Berater, der das Zusammenspiel dieser Vorgaben mit ISO® 27001 kennt, echtes Risiko.
• Keine interne Verantwortung: Wenn niemand in Ihrer Organisation die Verantwortung für das ISMS übernehmen kann, löst Software das allein nicht. Ein Berater langfristig auch nicht - aber er kann die Lücke überbrücken, während Sie die Rolle aufbauen.

Wenn das Ihre Situation ist, zeigt unser Guide Wie man einen ISO® 27001-Berater für Ihr ISMS beauftragt, worauf Sie achten sollten, was Berater kosten und wie Sie sie bewerten. Und beide Wege schließen sich nicht aus: Viele Teams betreiben ihr ISMS auf einer Plattform und holen einen Berater für wenige gezielte Tage dazu, statt ein Komplettprojekt zu beauftragen.

Der Weg in Eigenregie: von null bis zum Zertifikat

Die Eigenumsetzung folgt demselben Weg, den ein Berater mit Ihnen gehen würde. Komprimiert sieht er so aus:

• Scope festlegen und Verantwortung benennen. Entscheiden Sie, was das ISMS abdeckt - ein enger, klar definierter Scope ist leichter zu zertifizieren. Benennen Sie einen Informationssicherheitsbeauftragten (ISB) oder eine vergleichbare verantwortliche Person mit der Befugnis und Zeit, das Projekt voranzutreiben.
• Gap-Analyse durchführen. Vergleichen Sie Ihren aktuellen Sicherheitsstand mit den Anforderungen des Standards. Das Ergebnis ist eine priorisierte Liste der Lücken - Ihre Roadmap.
• Risikobewertung aufbauen. Identifizieren Sie Ihre Informationswerte, bewerten Sie Bedrohungen und Auswirkungen und richten Sie ein Risikoregister mit klaren Akzeptanzkriterien ein.
• Richtlinien schreiben und Maßnahmen umsetzen. Zentrale Sicherheitsrichtlinien, Zugriffskontrolle, Asset-Inventar, Lieferantenmanagement, Vorfallsreaktion, Business Continuity. Hier sparen vorgefertigte Beispiele die meiste Zeit.
• Risikobehandlung und Pflichtdokumente abschließen. Legen Sie fest, wie Sie mit jedem Risiko umgehen, und vervollständigen Sie die vom Standard geforderte Dokumentation.
• Internes Audit und Managementbewertung. Prüfen Sie Ihr eigenes ISMS formal, beheben Sie die Feststellungen und lassen Sie die Geschäftsführung das System bewerten - beides ist vor dem Zertifizierungsaudit verpflichtend.
• Zertifizierungsaudit. Ein akkreditierter Auditor prüft Ihre Dokumentation und verifiziert dann, dass das ISMS tatsächlich so betrieben wird wie beschrieben. Bestehen Sie beide Teile, sind Sie zertifiziert.

Mit einem fokussierten Team und einer geführten Plattform ist das in zwölf Wochen machbar. Die vollständige Woche-für-Woche-Version finden Sie in unserem Guide zur ISO® 27001-Zertifizierung in 12 Wochen.

Die Checkliste: Was die Plattform können muss

Wenn die Plattform die Funktionen des Beraters übernehmen soll, muss sie sie auch wirklich tragen. Bevor Sie sich für eine ISMS-Software zur Eigenumsetzung entscheiden, prüfen Sie, ob sie Folgendes bietet:

• Einen geführten, schrittweisen Weg durch den Standard - keinen leeren Arbeitsbereich, den Sie selbst strukturieren müssen
• Verständliche Erklärungen zu jeder Anforderung, damit Sie keine Normsprache entschlüsseln müssen
• Abdeckung der Standards, die Sie wirklich brauchen - ISO® 27001 und TISAX® mit dem VDA® ISA-Katalog, falls die Automobil-Lieferkette in Ihrer Zukunft liegt
• Vorgefertigte Beispiele für Richtlinien, Risiken und Prozesse, ab dem ersten Tag einsatzbereit
• Automatisierte Prüfungen, die Ihre Einträge gegen die Anforderungen des Standards abgleichen, bevor es der Auditor tut
• Unbegrenzten menschlichen Support - eine Frage, die Sie nicht stellen können, ist eine Lücke, die ein Berater gefunden hätte
• Faire, planbare Preise mit allem inklusive, damit die Kostenrechnung gegen die Beratung tatsächlich aufgeht
• Eine kostenlose Testphase, damit Sie all das selbst überprüfen können, bevor Sie zahlen

Ein tiefergehendes Bewertungsraster finden Sie in unserem Guide ISMS-Software auswählen: 8 Fragen, die Sie vor dem Kauf stellen sollten.

Valiido ist genau dafür gebaut: die Software, mit der Sie ISO® 27001 selbst schaffen. Der Guide trägt Struktur und Interpretation, über 200 1-Click Examples liefern die Vorlagen, AuditMagic prüft Ihre Arbeit gegen Valiido Best Practices, ISO® 27001 und TISAX®, und unbegrenzter Experten-Support beantwortet alles dazwischen - ab 149 €/Monat, mit einer Bestehensquote von 98,7 % im ersten Anlauf bei unseren Kunden. Sie können Valiido kostenlos im Browser testen, ganz ohne Kreditkarte.

Häufig gestellte Fragen

Kann man die ISO® 27001-Zertifizierung wirklich ohne Berater erreichen?

Ja. Der Standard verlangt keinen Berater, und Zertifizierungsstellen erwarten auch keinen. Viele KMU erreichen die Zertifizierung ohne externe Berater, indem sie strukturierte ISMS-Software nutzen, die sie durch den Prozess führt. Berater bringen Mehrwert in komplexen Umgebungen - eine Voraussetzung sind sie nicht.

Was kostet ein Berater im Vergleich zu ISMS-Software?

ISO® 27001-Beratungsprojekte liegen typischerweise zwischen 10.000 € und 40.000 €, je nach Umfang. Geführte ISMS-Software wie Valiido startet bei 149 €/Monat mit unbegrenztem Experten-Support inklusive - über ein volles Zertifizierungsjahr ist das ein Bruchteil eines Beratungsprojekts, und die Kompetenz bleibt danach im Haus.

Wie lange dauert die Umsetzung in Eigenregie?

Zwölf Wochen sind für ein fokussiertes KMU-Team mit klar definiertem Scope und einer geführten Plattform machbar. Größere oder komplexere Organisationen brauchen typischerweise sechs bis zwölf Monate. Der 12-Wochen-Zeitplan zeigt den schnellen Weg Woche für Woche.

Interessiert es Auditoren, ob Sie einen Berater hatten?

Nein. Das Zertifizierungsaudit bewertet Ihr ISMS - ob es den Standard erfüllt und tatsächlich so betrieben wird wie dokumentiert - nicht, wer es aufgebaut hat. Was Auditoren sehr wohl bemerken: ob Ihr Team das eigene System versteht. Ein selbst aufgebautes ISMS schneidet hier oft gut ab, weil die Menschen, die es gebaut haben, auch die sind, die es betreiben.

Was tue ich, wenn ich bei einer Anforderung nicht weiterkomme?

Genau dieses Szenario sollten Sie einplanen, bevor es eintritt. Wählen Sie eine Plattform mit unbegrenztem menschlichem Support - dann kostet eine knifflige Anforderung Sie ein Gespräch statt einer Beraterrechnung. Bei Valiido ist Experten-Support per Videoanruf oder Chat in jedem Plan enthalten, ohne Begrenzung der Fragen.

Akzeptiert ein Auditor Richtlinien, die auf vorgefertigten Beispielen basieren?

Ja, sofern Sie sie an Ihre Organisation angepasst haben. Auditoren werten es nicht ab, wenn Sie mit einer Vorlage starten - Berater nutzen ebenfalls Vorlagen. Was ein Audit scheitern lässt, ist eine generische Richtlinie, die nicht zu Ihrer tatsächlichen Arbeitsweise passt. Passen Sie jedes Beispiel an Ihre echten Prozesse an, und Sie stehen auf sicherem Boden.

Kann ich Software und Berater kombinieren?

Selbstverständlich. Ein bewährtes Muster: das ISMS auf einer Plattform betreiben und einen Berater für wenige gezielte Tage dazuholen - etwa für das interne Audit oder eine komplexe Scope-Frage. Weil die Plattform die Struktur trägt, kaufen Sie Expertise tageweise ein, statt ein Komplettprojekt zu finanzieren.

Der Wert des Beraters war nie geheimes Wissen. Es waren Struktur, Interpretation, Beispiele, Review und Antworten - Funktionen, die eine gut gebaute Plattform heute für einen Bruchteil der Kosten übernimmt und die nach dem bestandenen Audit bei Ihrem Team bleiben.

Valiido gibt Ihnen alle fünf - damit Sie Ihr ISMS selbst aufbauen und es danach auch selbst beherrschen.