ISO-27001-zertifiziert werden, ohne zuerst ein Security-Team aufzubauen.

Die Audit-Bereitschaft hängt von Ihrem Geltungsbereich und Ihrem Ausgangspunkt ab und dauert mit SecureSlate typischerweise 2–5 Wochen. Wann das Zertifikat kommt, hängt dann von der Verfügbarkeit der Zertifizierungsstelle ab und davon, dass Ihr ISMS lange genug läuft, um ein internes Audit und eine Managementbewertung vorweisen zu können. Ihr Scoping-Gespräch liefert Ihnen für beides einen Plan mit konkreten Terminen.

Ein Festpreis, der vor Arbeitsbeginn vereinbart wird und Plattform, Expertenarbeit und Sicherheitsscans umfasst. Die Auditgebühr der Zertifizierungsstelle wird direkt an diese gezahlt, weil der Auditor unabhängig von demjenigen bleiben muss, der Sie bei der Vorbereitung unterstützt hat. Im Scoping-Gespräch nennen wir Ihnen eine realistische Spanne für diese Gebühr.

Nein. Ihr Zertifikat muss von einer unabhängigen, akkreditierten Zertifizierungsstelle stammen, und wer Ihr ISMS mit aufbaut, darf es nicht auch zertifizieren. Wir stimmen uns mit dem Auditor Ihrer Wahl oder einem aus unserem Partnernetzwerk ab und begleiten Sie durch Stufe 1, Stufe 2 und jedes spätere Überwachungsaudit.

Nein. Sie setzen die Kontrollen um, die Ihre Risikobewertung als notwendig ausweist, und Ihre Erklärung zur Anwendbarkeit hält fest, warum jede Kontrolle aufgenommen oder ausgeschlossen wurde. Ein vollständig remote arbeitendes Unternehmen kann zum Beispiel oft den Ausschluss einiger physischer Kontrollen begründen. Was Auditoren beanstanden, ist ein Ausschluss ohne Begründung.

Die Übergangsfrist endete am 31. Oktober 2025, daher laufen alle Audits jetzt nach ISO 27001:2022. Die Managementabschnitte haben sich kaum verändert. Anhang A wurde von 114 auf 93 Kontrollen umstrukturiert, darunter 11 neue Kontrollen wie Informationen über die Bedrohungslage, sichere Codierung und Konfigurationsmanagement. Wenn Ihr Zertifikat während des Übergangs ausgelaufen ist, beginnen wir mit einer Gap-Analyse gegen die Version 2022.

Ihr ISMS deckt weiterhin ab, wie Sie die Cloud nutzen: Identität und Zugriff, Konfiguration, Protokollierung, Verschlüsselung und Lieferantenmanagement nach Kontrolle 5.23. Die physischen Kontrollen im Rechenzentrum liegen weitgehend in der Verantwortung Ihres Anbieters, und das belegen Sie, indem Sie dessen Zertifizierungen prüfen, statt seine Gebäude zu auditieren. Diese Grenze ziehen wir gemeinsam mit Ihnen beim Scoping.

Viel. Zugriffskontrolle, Änderungsmanagement, Lieferantenrisiko, Incident Response und Überwachung decken sich in beiden Frameworks weitgehend. ISO 27001 ergänzt das Managementsystem selbst: eine formale Risikobewertung, eine Erklärung zur Anwendbarkeit, internes Audit und Managementbewertung. Wir nutzen die Nachweise, die Sie bereits sammeln, und bauen nur auf, was fehlt.

Das Zertifikat gilt drei Jahre, mit je einem Überwachungsaudit im zweiten und dritten Jahr und einem Rezertifizierungsaudit vor Ablauf. Die laufende Überwachung verhindert, dass Kontrollen zwischen den Audits abdriften, und Ihr Compliance-Lead führt jedes Jahr das interne Audit und die Managementbewertung durch. So wird das Überwachungsaudit zur Bestandsaufnahme statt zum Neuaufbau.

Ein Großteil der Nachweisarbeit schon. Cloud-Konfiguration, Identitäts- und Zugriffsdaten, Geräteprüfungen, Schulungsnachweise, Lieferantenverfolgung sowie Code- und Angriffsflächenscans werden von der Plattform laufend gesammelt und getestet. Die Entscheidungen nicht, etwa den Geltungsbereich festzulegen, Risiken zu beurteilen, den Inhalt der Erklärung zur Anwendbarkeit zu bestimmen und die Managementbewertung durchzuführen. SecureSlate automatisiert den ersten Teil und gibt Ihnen für den zweiten einen Compliance-Lead.

Compliance-Software liefert Vorlagen, Integrationen und ein Dashboard, aber Ihr Team betreibt das Programm weiterhin selbst. Ein Berater bringt die Expertise, doch die Nachweise werden oft von Hand gepflegt, und das Wissen kann mit dem Ende des Mandats verschwinden. SecureSlate verbindet beides: eine Compliance-Automatisierungsplattform und einen persönlichen Compliance-Lead, der Risiko-Workshops, Dokumentation, internes Audit und die Abstimmung mit dem Auditor übernimmt, mit Sicherheitsscans im selben Festpreis.