Ihr ISMS ist schon geschrieben.
Sie müssen es nur noch leben.

Nein. Das kann niemand seriös zusagen, weil die Entscheidung bei einer unabhängigen Zertifizierungsstelle liegt und auch von Ihrem Betrieb abhängt. Zugesagt wird, dass die dokumentierte Information vollständig gegen die Anforderungen der Norm aufgebaut wird und dass offene Punkte vor dem Audit benannt sind.

Beratung und Zertifizierungsaudit sind strikt getrennt. Eine Zertifizierungsstelle darf dieselbe Organisation nicht beraten und nicht zertifizieren; nach ISO/IEC 17021-1 gilt dafür eine Karenzzeit von zwei Jahren. Das interne Audit nach Kapitel 9.2 ist etwas anderes: Es darf extern vergeben werden, solange niemand die eigene Arbeit prüft. Wenn wir P01 bis P14 mit Ihnen anpassen, führt das interne Audit deshalb eine erfahrene, nicht am Aufbau beteiligte Prüferin oder ein Prüfer aus dem ISO-27001-Umfeld durch. Den Kontakt vermitteln wir; Beauftragung und Terminierung erfolgen unmittelbar zwischen Ihnen und dieser Person.

Zwei Dinge: eine entscheidungsbefugte Ansprechperson für den Jour fixe und Zugang zu den Personen, die die Nachweise liefern, also IT, Personal und Fachbereiche. Der Jour fixe dauert 45 Minuten, hat einen fixen Termin und eine feste Struktur: offene Entscheidungen, Stand der Maßnahmen, nächste Schritte.

Der Regelweg führt in rund 12 Monaten zum Audit der Stufe 1. Diese Zeit braucht nicht die Dokumentation, sondern der Nachweis: Kennzahlen, internes Audit, Managementbewertung und Korrekturmaßnahmen müssen einmal echt gelaufen sein. Der Express-Weg schafft die Stufe 1 in 6 Monaten; dafür verrechnen wir einen Zuschlag von 20 Prozent auf das Honorar, weil bestehende Projekte umgeplant werden müssen. Voraussetzung sind ein wöchentlicher Jour fixe, eine entscheidungsbefugte Ansprechperson und zugesagte Verfügbarkeit Ihrer Fachbereiche. Nicht beschleunigen lässt sich die Zertifizierungsstelle: Auditplanung und Termine brauchen dort ihren eigenen Vorlauf.

Sie deckt die Steuerung zwischen den Beratertagen ab: Jour fixe vor- und nachbereiten, Entscheidungsliste führen, offene Punkte nachhalten, Abstimmung mit Dienstleistern und Zertifizierungsstelle. Sie fällt nur bei aufwendigen Projekten an, wird vorab bestimmt und im Angebot beauftragt. Ohne Beauftragung wird sie nicht verrechnet.

Um alles Organisatorische: Anfrage an mehrere akkreditierte Stellen, Vergleich der Angebote inklusive Auditzeiten und Zyklus, Terminabstimmung, Auditplan, Übermittlung der Unterlagen und die Begleitung in Stufe 1 und Stufe 2 im vereinbarten Umfang. Nach dem Audit übersetzen wir die Feststellungen in einen Maßnahmenplan mit Verantwortlichen und Fristen. Nicht enthalten sind der Vertrag mit der Stelle und deren Gebühren; beides läuft direkt zwischen Ihnen und der Zertifizierungsstelle. Und selbstverständlich auditieren wir nicht das System, das wir mit Ihnen aufgebaut haben.

Nein. ISO/IEC 27001 und ISO/IEC 27002 sind urheberrechtlich geschützt und müssen separat bezogen werden, etwa über Austrian Standards. Das Paket enthält eigene Formulierungen und Verweise auf die Nummerierung der Maßnahmen, keinen abgeschriebenen Normtext.

Dann verlieren Sie nichts. Der Kaufpreis von Paket 1 oder 2 wird vollständig auf das Honorar von Paket 3 oder 4 angerechnet, wenn die Beauftragung innerhalb von 3 Monaten nach dem Kauf erfolgt und dieselbe Organisation betrifft. Die Anrechnung erfolgt einmalig auf die erste Rechnung, gilt nur für Beratungsleistungen und nicht für Reisekosten, Fremdleistungen oder die Gebühren der Zertifizierungsstelle. Eine Auszahlung ist nicht möglich.

Wir verdienen an der Einführung, nicht an Ihrer Abhängigkeit. Ein ISMS ist kein Projekt, das endet, sondern ein Betrieb, der jährlich weiterläuft: Risiken neu bewerten, Kennzahlen messen, internes Audit, Managementbewertung, Überwachungsaudit. Wenn Sie das nach dem ersten Zyklus selbst können, ist das für beide Seiten das bessere Ergebnis. Sie sparen Honorar, und wir haben eine Referenz statt eines Dauerpatienten. Genau dafür ist der Kompass gebaut: Er erklärt jede Anforderung so, dass Ihre Leute sie verstehen und nicht nur abschreiben. Wenn Sie danach trotzdem Unterstützung wollen, etwa für das jährliche interne Audit, bekommen Sie sie, aber weil Sie sie wollen und nicht, weil Sie sie brauchen.

Der Implementierungskompass führt Baustein für Baustein durch die Einführung: Was verlangt die Norm, warum verlangt sie es, wie sieht die schlanke Umsetzung im KMU aus, welche Nachweise entstehen dabei und welche Fragen stellt ein Auditor dazu. Er ist das Dokument, mit dem eine Organisation ohne Begleitung arbeitsfähig wird. Die KI-Richtlinie regelt, welche KI-Werkzeuge freigegeben sind, welche Informationen dort nicht eingegeben werden dürfen, wie Ergebnisse geprüft und gekennzeichnet werden und wer über neue Werkzeuge entscheidet. Die Social-Media-Richtlinie regelt den dienstlichen Auftritt, die Trennung von privaten Äußerungen, den Umgang mit vertraulichen Informationen und Fotos aus dem Betrieb sowie das Verhalten bei Anfragen von Presse oder bei einem Vorfall. Beide sind im selben Aufbau und derselben Sprache wie P01 bis P14 gehalten und ab Paket 2 enthalten, gemeinsam mit dem Implementierungskompass. Der Anhang A der ISO/IEC 27001 verlangt sie nicht ausdrücklich, in der Praxis fragen Auditoren aber regelmäßig nach beidem.

Einfaches, zeitlich unbefristetes Nutzungsrecht für eine Organisation. Weitergabe, Weiterverkauf und Veröffentlichung sind nicht gestattet. Für verbundene Unternehmen einer Unternehmensgruppe bieten wir gesonderte Lizenzen an. An Beratungsunternehmen, die das Paket bei ihren eigenen Kunden einsetzen wollen, geben wir keine Lizenzen ab.

Nein, der Preis bleibt gleich. Die sichere Entwicklung ist in allen Paketen enthalten, weil sie in den meisten Organisationen früher oder später auftaucht, sei es durch Eigenentwicklung, Skripte oder beauftragte Entwicklung. Ohne eigene Entwicklung können Sie die Maßnahmen A.8.25 bis A.8.29 in der Anwendbarkeitserklärung begründet ausschließen und die Richtlinie P07 auf den Beschaffungs- und Betriebsteil reduzieren. Das ist Ihre Entscheidung und ändert den Aufwand kaum, weil die Begründung selbst dokumentiert werden muss.

Nach dem Traffic Light Protocol in der Fassung 2.0 mit den Stufen TLP:RED, TLP:AMBER+STRICT, TLP:AMBER, TLP:GREEN und TLP:CLEAR. Die Richtlinien sind in der Regel TLP:GREEN, Dokumente mit Betriebsdetails wie Notfall- oder Lieferanteninformationen mindestens TLP:AMBER. Kennzeichnung, Handhabung, Weitergabe und Löschung je Stufe regelt P03.

Ja, anlassbezogen und ohne Aufpreis, für alle Aufträge ab 1. September 2026 und für zwei Jahre ab Kauf: Wenn die Norm geändert wird oder eine offizielle Ergänzungslieferung erscheint, etwa ein Amendment zur ISO/IEC 27001, erhalten Sie die überarbeiteten Dokumente samt einer Übersicht der Änderungen. Es gibt keine laufenden Aktualisierungen aus redaktionellen Gründen und keine Abonnementgebühr.

Wir liefern dabei unser Basispaket in der neuen Fassung, im Umfang Ihrer Beauftragung. Ihre eigene Fassung rühren wir nicht an: Anpassungen, die Sie, wir im Zuge der Implementierung oder Dritte vorgenommen haben, werden nicht nachgeführt. Sie entscheiden und übernehmen, was Sie brauchen. Die Einzelheiten regelt Punkt 6 unserer AGB.

Standard ist Deutsch, als Word- und Excel-Dateien ohne Schreibschutz, damit Sie Logo, Rollen und Formulierungen selbst anpassen können. Eine englische Fassung liefern wir auf Wunsch bei Beauftragung; das Paket kann wahlweise in Deutsch oder Englisch übergeben werden.

Teilweise. Ein ISMS nach ISO/IEC 27001 trägt wesentliche Anforderungen beider Rechtsbereiche mit, ersetzt aber weder die Prüfung der eigenen Betroffenheit noch die datenschutzrechtliche Dokumentation. Das Rechtsregister im Paket hält die anwendbaren Anforderungen fest; die rechtliche Beurteilung im Einzelfall gehört in die Hand einer rechtskundigen Person.