ISO-27001:2022-ISMS-Plattform
ISMS aufbauen, auf das Audit vorbereiten, zertifiziert werden. Alles auf einer Plattform.
Aktualisiert 2026-06-22
Eine ISO-27001-Zertifizierung erfordert echten Aufwand — in der Regel 6–12 Monate, je nach Ihrem Reifegrad. Das wollen wir nicht beschönigen. Wir nehmen Ihnen aber die manuelle Dokumentationsarbeit ab, die sich anfühlt wie 24 Monate.
Über 50 Datenschutzteams in 14 Ländern vertrauen uns
Gesundheitswesen
Luftfahrt
Energie
Recht
Technologie
Der ISMS-Lebenszyklus
7 Schritte von der Policy zur Zertifizierung
Priverion begleitet Sie durch den gesamten ISO-27001:2022-Weg — von der ersten Gap-Analyse über die SoA-Erstellung bis zur auditbereiten Dokumentation. Keine Excel-Tabellen, keine Heerschar von Beratern.
ISMS-Fundament
Informationssicherheitsrichtlinie
Die Informationssicherheitsrichtlinie nach ISO/IEC 27001 ist ein übergeordnetes Dokument der obersten Leitung, das die Verpflichtung zum Schutz von Informationen festhält, indem es Ziele, Geltungsbereich, Grundsätze und das Gesamtkonzept für das Management von Risiken, Controls und kontinuierlicher Verbesserung definiert. Sie sichert die Unterstützung der Leitung, ermöglicht risikobasierte Entscheidungen, klärt Rollen und Erwartungen, unterstützt die Compliance und steuert das Verhalten sowie die Umsetzung und Überwachung des Informationssicherheitsprogramms.
Kernpunkte:
Kernpunkte:
Engagement der Leitung, Bereitstellung von Ressourcen und Verantwortlichkeit.-
Fundament für Risikomanagement und kontinuierliche Verbesserung (Plan-Do-Check-Act).
-
Definiert Geltungsbereich, Ziele sowie leitende Grundsätze/Controls.
-
Steuert das Verhalten (Rollen, Verantwortlichkeiten, Vorfallmeldung, akzeptable Nutzung).
-
Unterstützt die Einhaltung gesetzlicher, regulatorischer und vertraglicher Pflichten und prägt Verfahren, Schulungen und Audits.
Ergebnis: Starten Sie mit ISO-27001:2022-Richtlinienvorlagen, passen Sie sie an Ihre Organisation an und verteilen Sie sie mit Lesebestätigungs-Tracking.
Bedrohungsanalyse
Risikobewertung
Der Risikobewertungsprozess nach ISO/IEC 27001 umfasst die Identifikation von Informationswerten, Bedrohungen und Schwachstellen sowie anschliessend die Beurteilung der möglichen Auswirkung und Eintrittswahrscheinlichkeit jedes Risikos, um dessen Höhe zu bestimmen. Diese Bewertung nutzt definierte Risikokriterien (Schweregrad, Wahrscheinlichkeit und tolerierbares Risiko), um für jedes Bedrohungs-Schwachstellen-Paar eine Risikoeinstufung (z. B. hoch, mittel, niedrig) zu erzeugen, wobei sowohl das inhärente als auch das nach bestehenden Controls verbleibende Restrisiko berücksichtigt wird. Die Ergebnisse fliessen in Entscheidungen über Optionen zur Risikobehandlung, zur Risikoakzeptanz und zur Priorisierung ein und bilden die Grundlage für den Risikobehandlungsplan der Organisation und die laufende Überwachung.
Ergebnis: Identifizieren und bewerten Sie Risiken systematisch — mit strukturierter Zuordnung von Bedrohungen und Schwachstellen statt mit Ad-hoc-Tabellen.
Control-Auswahl
Statement of Applicability
Das Statement of Applicability (SoA) nach ISO/IEC 27001 ist ein formelles Dokument, das die Controls aus Annex A auflistet, die die Organisation zur Steuerung von Informationssicherheitsrisiken umsetzt. Es erläutert für jedes Control, ob es angewendet oder ausgeschlossen wird, und liefert eine Begründung für jeden Ausschluss sowie den aktuellen Status und allfällig umgesetzte Filter oder kompensierende Controls. Das SoA verknüpft die Ergebnisse von Risikobeurteilung und -behandlung mit den tatsächlich vorhandenen Controls, dient als Ausgangsbasis für Überwachung, interne Audits und Zertifizierung und zeigt auf, wie das Informationssicherheits-Managementsystem (ISMS) die geforderten Controls und Erwartungen der Leitung erfüllt.
Ergebnis: Ordnen Sie alle Annex-A-Controls in einer Ansicht Ihrer Organisation zu — SoA-Erstellung in Tagen statt Wochen.
Control-Umsetzung
Risikobehandlungsplan
Der Risikobehandlungsplan ist ein dokumentierter Plan, der festlegt, wie identifizierte Informationssicherheitsrisiken behandelt werden, einschliesslich der gewählten Controls, Massnahmen, Verantwortlichen, Zeitpläne und benötigten Ressourcen, um das Risiko auf ein akzeptables Mass zu reduzieren. Er verknüpft die Ergebnisse der Risikobeurteilung mit konkreten Control-Massnahmen und allfälligen kompensierenden Controls und legt Kriterien für die Akzeptanz von Restrisiken fest sowie die Art und Weise, wie der Fortschritt überwacht wird. Der Plan weist zudem Verantwortlichkeiten zu, setzt Meilensteine und richtet sich an den übergeordneten ISMS-Zielen der Organisation aus, um laufendes Risikomanagement und kontinuierliche Verbesserung zu unterstützen.
Ergebnis: Verfolgen Sie jede Control-Massnahme, jeden Verantwortlichen und jede Frist — doppelt so schnelle Risikominderung wie bei manueller Nachverfolgung.
Bereit, zu sehen, wie SoA und Risikoregister in Priverion aussehen?
Buchen Sie Ihren 30-minütigen Rundgang
Umsetzungsstatus
Control-Umsetzung
Für jeden Information Security Officer ist der aktuelle Stand der Control-Umsetzung ein wichtiger Aspekt. Mit der Risk Treatment Console können Sie den Umsetzungsstatus der Controls überwachen.
Ergebnis: Echtzeit-Transparenz über die Control-Umsetzung in Ihrer gesamten Organisation.
Compliance-Prüfung
Internes Audit
Ein internes Audit ist eine systematische, unabhängige und dokumentierte Tätigkeit, die das ISMS gegen die ISO-Norm und die eigenen Anforderungen der Organisation prüft. Es beurteilt, ob die Informationssicherheits-Controls wirksam umgesetzt und aufrechterhalten werden und ob das ISMS dem SoA, den Risikobehandlungsplänen, Richtlinien und Verfahren entspricht. Das Audit nutzt objektive Nachweise, um Nichtkonformitäten und Verbesserungspotenziale zu erkennen, und mündet in einen Auditbericht und Korrekturmassnahmen zur Verbesserung des Systems, wobei die Feststellungen über ein laufendes Auditprogramm verfolgt werden.
Ergebnis: Führen Sie Ihr internes Audit durch und verfolgen Sie Feststellungen — alle Nachweise sind mit Controls und dem SoA verknüpft.
ISO-Zertifizierung
Externes Audit
Ein externes Audit wird von einer akkreditierten Zertifizierungsstelle durchgeführt, um zu überprüfen, ob das ISMS der Organisation der Norm und dem im Zertifikat definierten Geltungsbereich entspricht. Es umfasst in der Regel eine Dokumentenprüfung und eine Vor-Ort-Beurteilung mit Interviews und Nachweiserhebung, um die Umsetzung und Wirksamkeit der Controls, das SoA, die Risikobehandlung und die unterstützenden Prozesse zu beurteilen. Das Audit führt zu Feststellungen oder Nichtkonformitäten, die Korrekturmassnahmen erfordern; sind alle Kriterien erfüllt, wird eine Zertifizierung ausgestellt, und in Intervallen werden Überwachungsaudits durchgeführt, um die Zertifizierung aufrechtzuerhalten.
Ergebnis: Erstellen Sie auditbereite Berichte im Handumdrehen — über 200 Stunden bei der ISO-27001-Vorbereitung gespart (basierend auf den Ergebnissen von Medtec).
Verwandte Frameworks
ISO 27001 + DSGVO + revDSG auf einer Plattform
200h+
Bei der ISO-27001-Vorbereitung gespart
Basierend auf den Ergebnissen von Medtec
1
Plattform für InfoSec und Datenschutz
Keine doppelte Dokumentation über Frameworks hinweg
2x
Schnellere Risikominderung
Basierend auf den von Kunden gemeldeten Umsetzungszeiten der Controls
Bereit, Ihr Datenschutzmanagement zu vereinfachen?
Sie sind in guter Gesellschaft. Priverion ersetzt verstreute Excel-Tabellen und manuelle Abläufe durch eine einheitliche, intelligente Plattform für Datenschutz und InfoSec. Unser Team begleitet Sie vom ersten Tag an, um einen reibungslosen Rollout und langfristigen Erfolg sicherzustellen.
So funktioniert es
