ISO 27001 für Software-Teams
ISO 27001 für SaaS und Startups: was wirklich zählt
Für ein SaaS-Startup zählt bei ISO 27001 nicht der dickste Ordner, sondern ein schlankes, echtes Managementsystem, das die eigenen Risiken abbildet und mit Nachweisen belegt ist. ISO 27001 ist der internationale Standard für ein Informationssicherheits-Managementsystem, kurz ISMS. Für kleine Teams entscheidet vor allem eines über Aufwand und Wirkung: ein eng gezogener Geltungsbereich und Kontrollen, die wirklich gelebt und dokumentiert werden. Eine Sammlung von Richtlinien, die niemand anwendet, bringt dagegen wenig.
- ISO 27001 ist ein Managementsystem, kein einmaliges Projekt. Zertifiziert wird das ISMS, nicht ein Dokument.
- Der Geltungsbereich (Scope) bestimmt den Aufwand. Eng und ehrlich schneiden schlägt breit und beliebig.
- Der normative Teil sind die Klauseln 4 bis 10. Der Anhang A liefert einen Katalog von Kontrollen zur Auswahl, begründet über die Anwendbarkeitserklärung.
- Der Einkauf großer Kunden fragt oft schon vorab nach dem Stand. Ein glaubwürdiger Nachweis öffnet Türen, nicht erst das fertige Zertifikat.
- Häufige Zeitfresser: zu breiter Scope, kopierte Richtlinien ohne Bezug zur Realität, fehlende Nachweise aus dem laufenden Betrieb.
Dieser Beitrag ordnet ISO 27001 praktisch ein und ist keine Rechtsberatung. Die verbindliche Prüfung und das Zertifikat obliegen einer akkreditierten Zertifizierungsstelle.
Was ISO 27001 wirklich verlangt
ISO 27001 beschreibt, wie ein Unternehmen Informationssicherheit systematisch steuert. Der verpflichtende Kern steckt in den Klauseln 4 bis 10: Kontext und interessierte Parteien, Führung und Verpflichtung der Leitung, Planung inklusive Risikobewertung und -behandlung, Ressourcen und Kompetenz, Betrieb, Bewertung der Leistung mit internem Audit und Managementbewertung, sowie kontinuierliche Verbesserung. Dieser Teil ist der eigentliche Prüfgegenstand. Der oft zitierte Anhang A ist ein Katalog möglicher Kontrollen, aus dem Sie risikobasiert auswählen und die Auswahl in der Anwendbarkeitserklärung begründen.
Für ein SaaS-Startup heißt das: Sie brauchen einen nachvollziehbaren Risikoprozess, eine bewusste Auswahl der Kontrollen und den Nachweis, dass diese Kontrollen tatsächlich wirken. Ein PDF mit hundert Richtlinien beeindruckt niemanden, wenn die Belege aus dem echten Betrieb fehlen.
Der Scope entscheidet über den Aufwand
Der häufigste teure Fehler ist ein zu breiter Geltungsbereich. Der Scope legt fest, welche Teile der Organisation, welche Systeme und welche Daten das ISMS abdeckt. Für ein fokussiertes SaaS-Produkt reicht oft ein Scope rund um die Produktplattform, die zugehörige Infrastruktur und die Teams, die sie betreiben. Je enger und ehrlicher der Schnitt, desto weniger Kontrollen, Belege und Audit-Fläche entstehen. Und die Aussage für Kunden verliert dadurch nicht an Wert. Ein Scope, der plötzlich das ganze Unternehmen umfasst, vervielfacht den Aufwand ohne echten Mehrwert im Verkauf.
Was der Enterprise-Einkauf tatsächlich sehen will
Der eigentliche Grund für ISO 27001 in einem Startup ist selten die Norm selbst, sondern der Vertrieb. Große Kunden prüfen Lieferanten, und ihr Sicherheits- und Einkaufsteam fragt den Stand oft ab, lange bevor das Zertifikat vorliegt. Was dort zählt:
| Was gefragt wird | Was überzeugt |
|---|---|
| Habt ihr ein ISMS? | Ein gelebter Risikoprozess mit klaren Rollen, nicht nur eine Richtliniensammlung. |
| Welche Kontrollen greifen? | Zugriffskontrolle, Verschlüsselung, Protokollierung, Backup und Vorfallprozess, jeweils mit Beleg. |
| Wie geht ihr mit Vorfällen um? | Ein dokumentierter Prozess mit Erkennung, Eskalation und Nachbereitung. |
| Wie sicher ist eure Lieferkette? | Bewertung eurer Unterauftragnehmer und der genutzten Cloud-Dienste. |
| Woher wissen wir, dass es hält? | Nachweise aus dem laufenden Betrieb und, wo möglich, ein technischer Prüfnachweis. |
Ein glaubwürdiger Zwischenstand mit echten Belegen bringt einen Abschluss oft schon voran, bevor die Zertifizierungsstelle ihr Testat erteilt. Genau deshalb lohnt es sich, die Nachweise von Anfang an sauber zu führen.
Der schlanke Weg für kleine Teams
Ein pragmatischer Ablauf, der Aufwand niedrig und Wirkung hoch hält:
- Scope eng schneiden. Produkt, Infrastruktur und die betreibenden Teams, nicht mehr.
- Risiken ehrlich bewerten. Wenige, echte Risiken sauber statt einer generischen Liste.
- Kontrollen auswählen und begründen. Aus dem Katalog das Nötige wählen und in der Anwendbarkeitserklärung dokumentieren.
- Kontrollen umsetzen, wo sie wirken. Möglichst in Technik und Automatisierung verankern, nicht nur in Text.
- Nachweise laufend sammeln. Belege aus dem Betrieb erzeugen, statt sie kurz vor dem Audit zu rekonstruieren.
- Internes Audit und Managementbewertung. Die Norm verlangt beide, sie sind zugleich Ihre Generalprobe.
Der Unterschied zwischen einem ISMS, das trägt, und einem, das nur existiert, liegt fast immer in den Nachweisen. Kontrollen, die technisch wirken und automatisch Belege erzeugen, überstehen ein Audit deutlich ruhiger als Richtlinien, die von Hand nachgepflegt werden.
ISO 27001, SOC 2 oder beides?
SaaS-Teams stehen oft vor der Wahl zwischen ISO 27001 und SOC 2. Grob gilt: ISO 27001 ist international verbreitet und beschreibt ein Managementsystem, das zertifiziert wird. SOC 2 stammt aus dem nordamerikanischen Raum und ist ein Prüfbericht über Kontrollen zu den Trust-Services-Kriterien. Welcher Nachweis zählt, hängt vom Zielmarkt und den Kunden ab. Die gute Nachricht: Die zugrunde liegenden Kontrollen überschneiden sich stark, sodass die Vorarbeit für den einen Rahmen den anderen deutlich verkürzt.
ISO 27001 ohne Ballast
Wir helfen SaaS-Teams, ein schlankes ISMS aufzubauen, den Scope richtig zu schneiden und Nachweise zu sammeln, die im Einkauf tragen. Vorbereitet und begleitet bis zur akkreditierten Stelle. Mehr dazu auf unserer Seite zur Compliance-Readiness.
Gespräch anfragenCyberSec42 bereitet vor, setzt um, sammelt Nachweise und begleitet bis zur akkreditierten Stelle. CyberSec42 ist selbst keine akkreditierte Zertifizierungsstelle und leistet keine Rechtsberatung.
Häufige Fragen zu ISO 27001
Lohnt sich ISO 27001 für ein kleines SaaS-Startup?
Wenn Enterprise-Kunden im Zielmarkt sind, meist ja. Der Nachweis öffnet oft den Vertrieb, weil das Einkaufs- und Sicherheitsteam großer Kunden ihn abfragt. Mit einem eng geschnittenen Scope bleibt der Aufwand für kleine Teams beherrschbar.
Wie lange dauert der Weg zu ISO 27001?
Das hängt vom Reifegrad und vom Scope ab. Ein fokussiertes SaaS-Team mit sauberer Technik kommt schneller voran als eine breit aufgestellte Organisation. Der größte Zeitfaktor ist meist das Sammeln echter Nachweise aus dem Betrieb, nicht das Schreiben von Richtlinien.
Was ist der Unterschied zwischen den Klauseln und dem Anhang A?
Die Klauseln 4 bis 10 sind der verpflichtende Kern der Norm und beschreiben das Managementsystem selbst. Der Anhang A ist ein Katalog möglicher Kontrollen, aus dem risikobasiert ausgewählt wird. Die Auswahl wird in der Anwendbarkeitserklärung begründet.
ISO 27001 oder SOC 2, was ist besser für SaaS?
Das hängt vom Zielmarkt ab. ISO 27001 ist international verbreitet und zertifiziert ein Managementsystem, SOC 2 ist ein im nordamerikanischen Raum verbreiteter Prüfbericht über Kontrollen. Die Kontrollen überschneiden sich stark, daher zahlt die Vorarbeit auf beide Rahmen ein.
Erteilt CyberSec42 das ISO-27001-Zertifikat?
Nein. Das Zertifikat erteilt eine akkreditierte Zertifizierungsstelle. CyberSec42 bereitet das ISMS vor, setzt Kontrollen um, sammelt Nachweise und begleitet bis zu dieser Stelle. CyberSec42 ist selbst keine akkreditierte Zertifizierungsstelle und leistet keine Rechtsberatung.