LeistungenISO 27001: Aufbau & Audits

ISO 27001 Beratung und Zertifizierung in Österreich und Deutschland

ISO 27001 aufbauen, zertifizieren, behalten.

ISO 27001 Beratung aus einer Hand: Ich baue mit Ihnen ein Informationssicherheits-Managementsystem (ISMS) nach ISO/IEC 27001:2022 auf, vom Anwendungsbereich bis zum Zertifizierungsaudit. Als Projekt mit festem Umfang, in Österreich und Deutschland, vor Ort oder remote. Danach halte ich es auf Wunsch als Ihr externer CISO mit CISO Flex Plus in Schuss.

ISMS nach ISO/IEC 27001:2022: als Projekt bis zum Zertifikat, danach mit CISO Flex Plus.

Orientierungsgespräch buchen

Schon zertifiziert? Zu den internen Audits ↓

30 Minuten, kostenlos. Danach wissen Sie, welchen Umfang Ihr ISMS braucht und was der Weg zum Zertifikat verlangt.

01
Für wen

Wann ISO 27001 der richtige Weg ist

Sechs Situationen, in denen Unternehmen zu mir kommen.

ISO/IEC 27001 ist die international anerkannte Norm für Informationssicherheits-Managementsysteme (ISMS). Das Zertifikat belegt gegenüber Kunden, Prüfern und Behörden, dass Sie Informationssicherheit systematisch steuern, mit Risiken, Verantwortlichen und Nachweisen. Wenn Sie sich in einer dieser Situationen wiedererkennen, lohnt sich das Gespräch.

01
Kunden verlangen das Zertifikat

Fragebögen, Lieferantenaudits, Ausschreibungen. Ohne Nachweis fällt der Auftrag weg.

02
Nachweis nach NIS2

Ein zertifiziertes ISMS deckt die organisatorischen und operativen Maßnahmen nach NISG 2026 und BSIG ab.

03
Der Konzern gibt es vor

Die Gruppe ist zertifiziert, die Tochter­gesellschaft muss nachziehen.

04
Versicherer und Banken fragen nach

Cyberversicherung und Finanzierung hängen zunehmend am Stand Ihrer Informationssicherheit.

05
Wachstum mit Großkunden

Gerade stark investierte Unternehmen müssen Nachweise schnell erbringen, sobald Konzerne zu Kunden werden.

06
Zertifikat da, Betrieb hängt jedoch

Das Überwachungs­audit steht an, Risiken und Dokumente sind veraltet.

02
Ablauf

Wie läuft die ISO 27001 Zertifizierung ab?

Fünf Schritte zum Zertifikat, ein sechster, damit es bleibt.

Der Aufbau ist ein Projekt mit festem Umfang. Was Sie schon haben, etwa Richtlinien, eine Risikoanalyse oder Notfallpläne, nutze ich als Grundlage. Ein Parallelsystem neben Ihren Prozessen entsteht dabei nicht.

SchrittErgebnis
1Scope und Gap-AnalyseScope festlegen, Ist-Stand gegen die Norm prüfen, Lücken priorisieren.Scope dokumentiert, priorisierte Lückenliste
2Risiken bewertenMethode festlegen, Werte erfassen, Risiken bewerten und behandeln.Risikoregister und Risikobehandlungsplan
3Maßnahmen festlegen und umsetzenMaßnahmen aus Anhang A wählen, Statement of Applicability erstellen, Richtlinien und Prozesse einführen.Statement of Applicability, Maßnahmen umgesetzt, ISMS-Dokumentation, die im Betrieb gelebt wird
4Betrieb nachweisenInternes Audit, Managementbewertung, Aufzeichnungen aus einigen Monaten Betrieb.Internes Audit und Managementbewertung dokumentiert, Nachweismappe
5ZertifizierungsauditStufe 1 Dokumentation, Stufe 2 Wirksamkeit vor Ort. Ich bin dabei.Zertifikat nach ISO/IEC 27001:2022, drei Jahre gültig
6Zertifikat behaltenMit CISO Flex Plus bleibe ich nach der Zertifizierung an Bord und halte Ihr ISMS prüfungsbereit: Überwachungsaudits, Risiken, Dokumente, Schulungen und Fragebögen von Kunden.laufende Unterstützung durch Ihren externen CISO
03
Projekt und danach

Aufbau als Projekt, Betrieb mit CISO Flex Plus

Der Aufbau endet mit dem Zertifikat. Die Pflege beginnt dort.

Den Aufbau biete ich als Projekt mit festem Umfang an. Danach entscheiden Sie, wer das ISMS betreibt: Ihre eigene Sicherheitsleitung oder ich als Ihr externer CISO mit CISO Flex Plus. Beides bespreche ich mit Ihnen im Orientierungsgespräch, bevor ein Angebot entsteht.

Den Aufbau setze ich als Projekt mit festem Umfang um, den Betrieb danach übernehme ich auf Wunsch mit CISO Flex Plus.

Noch unsicher, wie groß das Vorhaben ist?Starten Sie mit der Reifegrad-Analyse, einer Gap-Analyse nach ISO 27001.

In zwei bis drei Wochen wissen Sie, was fehlt, was zuerst kommt und welcher Weg zu Ihnen passt.

Zur Reifegrad-Analyse
Schritt 1 · Aufbau

ISMS-Aufbau als Projekt,
bis zum Zertifikat

Vorab möglich: Reifegrad-Analyse in 2–3 Wochen →

Für Unternehmen, die erstmals ein ISMS aufbauen oder ein bestehendes System zertifizierungsreif machen wollen.

Was enthalten ist

Was Sie bekommen

  • Anwendungsbereich, Gap-Analyse und Projektplan
  • Risikomethodik und Risikoregister
  • Statement of Applicability, Richtlinien und Prozesse
  • Internes Audit und Managementbewertung vorbereitet
  • Begleitung beim Zertifizierungsaudit, Stufe 1 und 2
  • Übergabe an Ihre Sicherheitsleitung

Preis

Nach AufwandAngebot nach dem kostenlosen Orientierungsgespräch
Projekt anfragen
Damit das Zertifikat bleibt
Schritt 2 · Betrieb

Ich bleibe als Ihr externer CISO an Bord:CISO Flex Plus

Für zertifizierte Unternehmen, die das ISMS ohne eigene Vollzeitstelle betreiben und die Audits ohne Hektik bestehen wollen. Der Betrieb eines zertifizierten ISMS braucht CISO Flex Plus.

Was enthalten ist

Was Sie bekommen

  • Risikoregister und Maßnahmen laufend gepflegt
  • Richtlinien und Nachweismappe aktuell
  • Managementbewertung und Überwachungsaudits vorbereitet und begleitet
  • Fragebögen von Kunden und Versicherern beantwortet
  • Monatsbericht an die Geschäftsführung

Preis

CISO Flex Plus, individuellnach Bedarf kalkuliert, ab 3–4 Tagen im Monat
Alles zu CISO Flex

Jede Leistung erbringe ich selbst. Ich habe als CISO ein zertifizierungsfähiges ISMS aufgebaut und international Audits nach ISO 27001 durchgeführt. Referenzen →

04
Interne Audits & Audit-Support

Interne Audits nach ISO 27001 und Begleitung bei externen Audits

Für zertifizierte Unternehmen und solche kurz davor.

Das interne Audit ist Pflicht nach Kapitel 9.2 der Norm. Ich prüfe vollständig gegen den Anforderungskatalog und sehe mir die Nachweise selbst an, statt mich auf Selbstauskünfte zu verlassen. So kennen Sie die offenen Punkte vor dem Termin, nicht erst im Auditbericht. Vor Ort in Österreich und Deutschland, remote überall.

Internes Audit

Maßnahme für Maßnahme gegen ISO/IEC 27001:2022: Dokumente, Aufzeichnungen, Stichproben, Gespräche mit den Verantwortlichen. Sie erhalten einen Bericht mit Abweichungen, Beobachtungen und Empfehlungen, den Ihre Zertifizierungsstelle als internes Audit anerkennt.

Audit-Vorbereitung

Vor dem Zertifizierungs-, Überwachungs- oder Rezertifizierungsaudit: Ich zeige Ihnen, wo es erfahrungsgemäß hakt, was Sie bis zum Termin schließen sollten, und übe die Interviews mit Ihrem Team.

Begleitung beim Audit

Ich bin beim Audit dabei, auch bei Audits durch Ihre Kunden, beantworte Fragen zum System und helfe, Abweichungen fristgerecht zu schließen.

NormISO/IEC 27001:2022Ortvor Ort oder remotePreisnach Aufwand, Angebot nach dem Gespräch
Audit anfragen
05
Warum NextSecure

Wer baut das ISMS mit Ihnen auf?

Ich, persönlich.

Ich bin Lukas Kulmitzer, Gründer von NextSecure in Klagenfurt. Seit über zehn Jahren arbeite ich in der Informationssicherheit, als CISO, Auditor und Notfallmanager, und lehre als externer Dozent Systemsicherheit an der Universität Klagenfurt. Ich bin zertifiziert als CISSP, CISM und ISO/IEC 27001 Manager & Auditor. Mehr über mich

Lukas Kulmitzer, Gründer von NextSecure
CISSP CISM ISO/IEC 27001 Manager & Auditor
Ich kenne beide Seiten des Tisches

Ich habe ein ISMS als CISO aufgebaut und als Auditor viele Systeme geprüft, in Österreich und international. Ich weiß, welche Dokumente ein Auditor aufschlägt und welche Fragen er stellt.

Pragmatische Herangehensweise

Ich beginne bei den Risiken, die Ihr Geschäft treffen, und halte das ISMS so schlank, wie die Norm es zulässt. Richtlinien schreibe ich so, dass Ihre Mitarbeitenden sie lesen und anwenden.

Unabhängiger Berater

Ich verkaufe keine Software und keine Produkte. Was ich empfehle, folgt Ihrem Risiko und Ihrem Budget, nicht einer Provision.

Projekterfahrung · vor NextSecure
Sicherheits- und KommunikationstechnikKonzern
Security-Organisation und ISMS-Aufbau als CISO
  • Governance, Rollen, Richtlinien und Risikosteuerung konzernweit aufgebaut
  • Management Reporting, Audits, Awareness und Lieferantensicherheit koordiniert
  • Ergebnis: ein zertifizierungsfähiges ISMS nach ISO 27001 und BSI IT-Grundschutz
Projekterfahrung · vor NextSecure
HalbleiterindustrieKonzern, Standorte in Südostasien
Internationale Audits nach ISO 27001 und TISAX
  • Audits an mehreren Standorten geplant und durchgeführt
  • Kontrollen bewertet, Feststellungen eingestuft
  • TISAX-Zertifizierung begleitet
Alle Referenzen und Übersicht meiner Erfahrung →
FAQ

Fragen zur ISO 27001 Zertifizierung

Die sechs häufigsten Fragen in Kurzform. Weitere, etwa zu BSI IT-Grundschutz oder zur Fassung 2022, finden Sie auf der FAQ-Seite.

Alle Fragen und Antworten →
Was kostet eine ISO 27001 Zertifizierung?+
Zwei Posten: meine Beratung nach Aufwand, das Angebot erhalten Sie nach dem kostenlosen Orientierungsgespräch. Dazu kommt die Zertifizierungsstelle, die nach Audittagen abrechnet, plus die jährlichen Überwachungsaudits.
Wie lange dauert eine ISO 27001 Zertifizierung?+
Je nach Ausgangslage rund zwölf Monate bis zum Zertifizierungsaudit. Der Aufbau selbst geht schneller; die Norm verlangt aber Aufzeichnungen aus einigen Monaten Betrieb, ein internes Audit und eine Managementbewertung, bevor die Zertifizierungsstelle prüft. Wie viel bei Ihnen fehlt, zeigt die Reifegrad-Analyse in zwei bis drei Wochen.
Reicht ISO 27001 für NIS2 / NISG 2026?+
Ein ISMS nach ISO 27001 deckt die organisatorischen und operativen Maßnahmen ab, sofern der Anwendungsbereich passt. Die technischen Maßnahmen müssen Sie zusätzlich nachweisen. Dazu kommen die Meldepflichten und die Schulung der Geschäftsführung. Was fehlt, zeige ich in der Reifegrad-Analyse.
Ist ein ISO 27001 Zertifikat für NIS2 Pflicht?+
Nein. Weder das NISG 2026 noch das BSIG verlangen ein Zertifikat. Es ist aber ein anerkannter Weg, die organisatorischen und operativen Maßnahmen nachzuweisen. Die technischen Maßnahmen werden gesondert geprüft.
Wer stellt das ISO 27001 Zertifikat aus und wie lange gilt es?+
Eine akkreditierte Zertifizierungsstelle, nicht der Berater. Das Zertifikat gilt drei Jahre, mit einem Überwachungsaudit pro Jahr. Danach folgt die Rezertifizierung.
Geht der ISMS-Aufbau auch im CISO Flex Abo?+
Nein. Der Aufbau läuft als Projekt mit festem Umfang. Nach der Zertifizierung übernimmt CISO Flex Plus den Betrieb, den Preis kalkuliere ich nach Bedarf.

Reden wir darüber, wo Sie stehen.

Das Gespräch ist kostenlos und unverbindlich. Ich bespreche mit Ihnen Ihre Ausgangslage und sage Ihnen, welche Schritte als Nächstes sinnvoll sind.

Termin direkt buchenWählen Sie im Kalender einen freien 30-Minuten-Termin.Zum Kalender → Kontaktieren Sie michSchreiben Sie mir Ihr Anliegen. Ich antworte innerhalb eines Werktages.Zum Kontaktformular →