1 bis 10 Personen · ISO/IEC 27001:2022 in angemessenem Umfang
Acht Seiten, drei Wochen Frist, am Ende die Unterschrift der Geschäftsführung. So kommt Informationssicherheit heute bei kleinen Betrieben an: nicht über das Gesetz, sondern über den Einkauf Ihres Kunden. Wir haben das Paket dafür, in einem Umfang, der zu einem Team von fünf Personen passt.
Warum das jetzt kommt
Sie fallen fast sicher nicht selbst unter die Richtlinie. Ihr Auftraggeber schon. Und der muss die Sicherheit seiner Lieferkette steuern, also reicht er seine Pflichten vertraglich an Sie weiter. Ob Sie betroffen sind, entscheidet damit nicht der Gesetzgeber, sondern Ihr Kundenvertrag.
Die NIS2-Richtlinie verpflichtet betroffene Einrichtungen ausdrücklich zur Sicherheit der Lieferkette, konkretisiert in der EU-Durchführungsverordnung 2024/2690. In Österreich setzt das NISG 2026 die Richtlinie um, in Deutschland das BSIG.
Große Auftraggeber schreiben Sicherheitsanforderungen in Einkaufs- und Vertragsbedingungen. Üblich sind Fragebogen, Sicherheitsanhang zum Rahmenvertrag und Auditklausel. Ihre eigene Größe schützt Sie davor nicht.
Verlangt werden belegbare Antworten: Wer ist verantwortlich, wie sichern Sie, wie melden Sie einen Vorfall, wie steuern Sie Ihre eigenen Dienstleister. Übliche Nachweise sind eine ISO-27001-Zertifizierung, ein Ergebnis nach DIN SPEC 27076 oder ein Cyber-Risk-Rating.
Selten wird ein Auftrag laut gekündigt. Häufiger landen Sie bei der nächsten Ausschreibung nicht mehr auf der Liste, weil das Formular nicht beantwortet wurde oder die Antworten nicht überzeugten.
Der Hebel liegt in der Lieferkette. Ein Kleinstbetrieb fällt fast nie selbst unter NIS2. Er trägt die Anforderung, weil sein Auftraggeber sie weitergeben muss. Genau dort setzen wir an: bei den Fragen, die Ihr Kunde stellt, bei den Klauseln, die er in den Vertrag schreibt, und bei den Nachweisen, die Sie dafür brauchen. Für Ihre eigene Betroffenheit erstellen wir auf Wunsch eine Gap-Analyse zu NIS2; die rechtliche Beurteilung, ob Sie unter das NISG 2026 fallen, bleibt Sache Ihrer Rechtsberatung.
Zwei Ausgänge
Nicht jedes Kleinstunternehmen braucht ein Zertifikat. Viele brauchen nur die Fähigkeit, jederzeit belegbar Auskunft zu geben. Beide Wege nutzen dieselben Dokumente, sie enden nur an unterschiedlichen Punkten.
Lieferumfang
In einem kleinen Team sind vierzehn Einzelrichtlinien nicht angemessen, sondern lästig: Niemand liest sie, und niemand pflegt sie. Deshalb liegen alle Themen in einer einzigen Gesamtrichtlinie, gegliedert wie die großen Pakete. Wächst der Betrieb, wird aus jedem Kapitel ein eigenes Dokument, ohne dass Sie neu anfangen müssen.
Der Unterschied
Dokumente allein beantworten keinen Fragebogen. Das Antwortset übersetzt Ihre Regeln in die Sprache des Einkaufs: zu jeder typischen Frage eine belegbare Antwort und der Verweis auf die Stelle, an der der Nachweis liegt.
Jede Antwort ist mit dem Kapitel der Gesamtrichtlinie verknüpft, das sie trägt. Wo Sie eine Maßnahme nicht umsetzen, liefert das Set eine ehrliche Formulierung samt Kompensation. Falsche Zusicherungen gegenüber einem Kunden sind ein Vertragsrisiko, kein Verkaufstrick.
Das Set formuliert nur das, was Ihre Dokumente und Ihr Betrieb tatsächlich hergeben. Alles andere wäre im nächsten Kundenaudit ein Problem.
Beispielseite anfordernZwei Pakete
Beide Pakete enthalten dieselben Dokumente. Der Unterschied ist, ob Sie allein arbeiten oder wir es gemeinsam tun. Preise netto zzgl. USt.
Alle Dokumente, der Kompass S und das Antwortset. Sie setzen selbst um, in Ihrem Tempo.
Voll anrechenbar. Beim Wechsel auf Paket S2 innerhalb von 3 Monaten wird der volle Betrag auf das Honorar angerechnet.
Wir passen alles an Ihren Betrieb an, füllen die Register gemeinsam und machen Sie auskunftsfähig.
VoraussetzungEine entscheidungsbefugte Person, meist die Inhaberin oder der Inhaber, mit rund 4 Stunden pro Woche.
Termin buchenZusätzliche Tage werden mit EUR 1.400,00 je Tag verrechnet und vorab abgestimmt. Wollen Sie zertifizieren, kommen internes Audit, Managementbewertung und Auditbegleitung dazu; Gebühren der Zertifizierungsstelle sind nicht enthalten. Wächst Ihr Betrieb über 10 Personen hinaus, führt der Weg ohne Neuanfang in die Pakete für größere Betriebe, weil die Kapitelstruktur identisch ist.
Der wunde Punkt
Im Kleinstunternehmen sind Geschäftsführung, IT und Sicherheit oft dieselbe Person. Die Norm verlangt trotzdem Aufgabentrennung und ein internes Audit, bei dem niemand die eigene Arbeit prüft. Das ist der Punkt, an dem die meisten Anleitungen schweigen.
Der Kompass S enthält eine Landkarte typischer Konfliktkonstellationen bei Personalunion und ein Konfliktregister zum Ausfüllen. Ein benannter Konflikt ist im Audit kein Mangel, ein verschwiegener schon.
Trennung über Zeit, getrennte Konten, Protokollierung als Zeuge, Vier-Augen-Prinzip mit einer externen Person. Ein Katalog kompensierender Kontrollen liefert die möglichen Antworten.
Bei einer Person im Betrieb ist das externe interne Audit der Regelfall. Wir führen es durch, wenn wir nicht selbst aufgebaut haben, oder benennen eine unabhängige Person.
Fragen
Fehlt eine Frage, stellen Sie sie im Erstgespräch.
Ein ISMS im Umfang eines Konzerns wäre überzogen. Die Norm selbst koppelt den Umfang der dokumentierten Information an die Größe der Organisation, deshalb liegt hier eine Gesamtrichtlinie mit 17 Seiten und nicht vierzehn Einzeldokumente. Was nicht entfällt, sind die Pflichtprozesse: Anwendungsbereich, Risiken, Regeln, Vorfälle, Nachweise. Der Kompass S sagt in einem eigenen Teil ausdrücklich, was schlank sein darf und was nicht entfallen darf.
Meistens nicht. Verlangt wird ein Nachweis, und der kann auch ohne Zertifikat belastbar sein, etwa über beantwortete Fragebögen, Ihre freigegebenen Regeln und die dazugehörigen Aufzeichnungen. Ein Zertifikat lohnt sich, wenn ein Kunde es ausdrücklich fordert oder wenn Sie sich damit von Mitbewerbern abheben wollen. Fragen Sie im Zweifel den Einkauf Ihres Kunden, ob ein Zertifikat gefordert ist oder ein Nachweis genügt. Diese eine Frage spart oft einen fünfstelligen Betrag.
Für die Auskunftsfähigkeit rechnen Sie mit 4 bis 6 Wochen, davon der größte Teil Ihre eigene Zeit für Entscheidungen und Nachweise. Bis zum Stufe-1-Audit einer Zertifizierung sind es rund 12 Monate, weil Kennzahlen, internes Audit und Managementbewertung einmal echt gelaufen sein müssen.
Ja, und es macht vieles einfacher. Wenn Ihre IT bei einem Dienstleister liegt, verlagert sich der Schwerpunkt auf Lieferantensteuerung, Zugänge und Nachweise des Anbieters. Die SoA enthält dafür Ausschlussmuster, etwa für eigene Serverräume. Achtung an einer Stelle: Die personenbezogenen Maßnahmen gelten auch dann, wenn Sie mit Auftragnehmern statt Angestellten arbeiten.
Ja, aber nicht stillschweigend. Der Konflikt wird benannt, bewertet und mit kompensierenden Kontrollen behandelt, etwa Protokollierung, getrennte Konten oder eine externe Person für Prüfungen. Das interne Audit vergeben Sie in dieser Konstellation nach außen. Genau dafür gibt es im Kompass S einen eigenen Teil samt Konfliktregister.
Nichts geht verloren. Die Kapitel der Gesamtrichtlinie entsprechen eins zu eins den Richtlinien P01 bis P14 der größeren Pakete. Beim Wachstum wird aus jedem Kapitel ein eigenes Dokument, die Inhalte bleiben. Den Aufpreis rechnen wir an, wenn der Wechsel innerhalb von 3 Monaten erfolgt.
Nein. ISO/IEC 27001 und 27002 sind urheberrechtlich geschützt und separat zu beziehen. Das Paket enthält eigene Formulierungen und Verweise auf die Nummerierung der Maßnahmen.
Nächster Schritt
Wenn ein Kundenfragebogen auf Ihrem Tisch liegt, schicken Sie ihn uns. Wir sagen Ihnen in 30 Minuten, was davon Sie heute schon belegen können, was fehlt und welcher der beiden Wege für Sie der wirtschaftliche ist. Ohne Fragebogen geht es genauso, dann starten wir mit dem Selbstcheck.