Geltungsbereich
Welche Produkte, Standorte und Teams das ISMS umfasst. Bei SaaS meist Plattform, Entwicklung und Betrieb.
ISMS-Einführung · ISO 27001
ISMS-Prozesse zum Festpreis.
Für SaaS- und Softwareunternehmen, die ein ISMS nach ISO 27001 aufbauen wollen, mit oder ohne Zertifikat.
Wir erstellen mit Ihnen die ISMS-Prozessdokumentation: die Prozesse nach dem allgemeinen Teil der Norm und die Pflicht-Richtlinien nach Anhang A. Ihr Team schulen wir gleich mit. Das interne Audit vor der Zertifizierung buchen Sie optional dazu.
- Festpreis ohne Nachträge
- Schulung inklusive
- Internes Audit optional
- Remote oder vor Ort
- Zertifizierung optional
Optional
Zertifikat
Das Managementsystem für Informationssicherheit der
Ihr Unternehmen GmbH
erfüllt die Anforderungen der
ISO/IEC 27001:2022
- Geltungsbereich
- Entwicklung und Betrieb der SaaS-Plattform
- Gültigkeit
- 3 Jahre, mit jährlichem Überwachungsaudit
Zertifizierungsstelle
4 Phasenvom Geltungsbereich bis zur Generalprobe
rund 3 Monatefür den Aufbau, ohne Betriebsphase
ab 17.950 €Festpreis netto
93 Maßnahmenaus Anhang A, jede mit begründeter Entscheidung
Das ISMS-Gerüst
Alles, was die Zertifizierungsstelle sehen will.
Das Gerüst umfasst die Prozesse nach dem allgemeinen Teil der ISO 27001, Kapitel 4 bis 10, und die Pflicht-Richtlinien nach Anhang A. Unsere Experten schreiben die Entwürfe und passen sie an Ihr Produkt und Ihre Teams an. Ihre Leitung entscheidet und gibt frei. Die Risikoanalysen und das Risikoregister sind nicht im Festpreis.
Leitlinie
Die Informationssicherheitsleitlinie Ihrer Leitung mit den Zielen für Ihr ISMS.
Risikomethode
Wie Sie Risiken erkennen, bewerten und behandeln. Die Risikoanalysen selbst erstellen Ihre Teams.
Erklärung zur Anwendbarkeit
Welche der 93 Maßnahmen aus Anhang A für Sie gelten, welche nicht, und warum.
Pflicht-Richtlinien
Die Richtlinien, die Anhang A ausdrücklich verlangt. Weitere Richtlinien buchen Sie im Stundenkontingent.
ISMS-Prozesse
Alle Prozesse aus dem allgemeinen Teil der Norm, von der Dokumentenlenkung über das interne Audit bis zur Managementbewertung und zu Korrekturen. Beschrieben nach dem Leitfaden ISO/IEC TS 27022.
Rollen und Sicherheitsorganisation
Wer im ISMS welche Verantwortung trägt, vom ISB bis zur Fachabteilung.
Schulung
Einweisung des ISMS-Teams und ein Basis-Set Awareness-Schulungen, das Ihre Mitarbeitenden selbst lernen.
Internes Audit
Die Generalprobe vor dem Zertifizierungsaudit, mit Auditbericht und Feststellungsliste. Optional dazubuchbar.
KI hilft · Experten schreiben
Unsere KI beschleunigt Recherche und erste Entwürfe. Jedes Dokument schreiben und verantworten unsere Experten.
Ablauf
In vier Phasen zur Zertifizierungsreife.
Jede Phase endet mit einem Ergebnis, das Ihre Leitung freigibt. Erst danach beginnt die nächste. Wir können auch erst einmal nur die Basis angehen: Start und Fundament. Die weiteren Phasen folgen, wenn Sie so weit sind.
-
1 · Start
Geltungsbereich und Freigaben
Gemeinsam legen wir den Geltungsbereich Ihres ISMS fest und klären, wer welches Dokument freigibt.
Ergebnis: Geltungsbereich, Freigaberegelung
-
2 · Fundament
Leitlinie, Rollen und Risikomethode
Ihre Leitung beschließt die Leitlinie und besetzt die Rollen. Wir legen mit Ihnen die Risikomethode fest und entscheiden über jede Maßnahme aus Anhang A. Die Risikoanalysen führen Ihre Teams durch.
Ergebnis: Leitlinie, Risikomethode, Erklärung zur Anwendbarkeit
-
3 · Prozesse und Richtlinien
Prozessdokumentation und Schulung
Wir schreiben die ISMS-Prozesse und die Pflicht-Richtlinien, abgestimmt auf Ihre Werkzeuge und Abläufe. Danach weisen wir Ihr ISMS-Team ein und starten das Basis-Set Awareness-Schulungen.
Ergebnis: ISMS-Prozesse, Pflicht-Richtlinien, Einweisung
-
4 · Generalprobe
Internes Audit und Managementbewertung
Vor der Zertifizierung verlangt die Norm ein internes Audit nach Kapitel 9.2. Sie buchen es optional bei uns dazu oder beauftragen eine andere Stelle. Ihre Leitung bewertet das Ergebnis in der Managementbewertung.
Ergebnis: Auditbericht, Managementbewertung, bereit für Stufe 1
Festpreis
Das ISMS zum Festpreis. Die Umsetzung begleiten wir auf Wunsch.
Wir bauen das ISMS an sich zum Festpreis: die Prozesse nach dem allgemeinen Teil der Norm und die Pflicht-Richtlinien nach Anhang A. Aus dem ISMS ergeben sich Maßnahmen in Ihren Systemen, etwa ein Backupkonzept oder eine geregelte Rechtevergabe. Bei der operativen Umsetzung dieser Maßnahmen begleiten wir Sie optional, zu vereinbarten Stundenkontingenten.
ISMS-Gerüst ISO 27001
ab17.950 €
- rund 3 Monate
- bis 20 Mitarbeitende
- ein Standort
Festpreis. Alle Preise netto, zzgl. USt.
Festpreis-Angebot anfordern
Optional dazu
Stundenkontingent je Quartal
→
Ein Stundenbudget für Risikoanalysen, weitere Richtlinien, Konzepte, Betriebshandbücher und die Begleitung bei der operativen Umsetzung. Fester Preis je Quartal.
Im Festpreis
- Geltungsbereich und Erklärung zur Anwendbarkeit
- Leitlinie, Risikomethode und Prozesse nach dem allgemeinen Teil der Norm, Kapitel 4 bis 10
- Geforderte Richtlinien nach Anhang A
- Rollen und Sicherheitsorganisation
- Einweisung des ISMS-Teams
- Basis-Set Awareness-Schulungen zum Selbstlernen
Nicht im Festpreis
- Risikoanalysen und Risikoregister, auf Wunsch von uns begleitet im Stundenkontingent
- Weitere Richtlinien zu Anhang A, auf Wunsch im Stundenkontingent
- Operative Umsetzung der Maßnahmen in Ihren Systemen, auf Wunsch von uns begleitet im Stundenkontingent
- Internes Audit nach Kapitel 9.2, optional dazubuchbar
- Gebühren Ihrer Zertifizierungsstelle
- Reisekosten vor Ort, nach Aufwand
Internes Audit dazubuchen
Vor der Zertifizierung und vor jedem Überwachungsaudit verlangt die Norm ein internes Audit. Sie buchen es zum Festpreis dazu, auf Wunsch als Dreijahresvertrag.
→
Größere Organisation oder mehr Normen
Für mehrere Standorte, mehr als 20 Mitarbeitende oder ein gemeinsames Managementsystem mit ISO 42001 und Datenschutz erhalten Sie einen Festpreis nach einem kurzen Scoping.
→
Drei Wege
Sie entscheiden, wie viel wir übernehmen.
Mit Vorlagen und einem eigenen Team lässt sich ein ISMS selbst aufbauen. Das klappt, solange jemand die Zeit für die Texte hat. Fehlt sie, rückt der Zertifizierungstermin mit jedem Quartal nach hinten. Deshalb gibt es drei feste Wege, jeder mit klarer Aufgabenteilung.
Begleitet selbst bauen
Ihr Team schreibt, wir vermitteln.
- Workshops zu jedem Normkapitel
- Vorlagen und Playbooks für den Rollout
- Rückmeldung zu jedem Entwurf
Preis: Stundenkontingent je Quartal
ISMS-Gerüst zum Festpreis
Wir schreiben, Ihre Leitung entscheidet.
- ISMS-Prozesse und Pflicht-Richtlinien
- Schulung für Team und Mitarbeitende
- Internes Audit optional dazubuchbar
Preis: Festpreis, rund 3 Monate
Gerüst plus Interim-ISB
Wir übernehmen die Rolle auf Zeit.
- Alles aus dem Festpreis
- Unser Experte führt Ihr ISMS als Informationssicherheitsbeauftragter
- Ihr ISB begleitet Sie im Zertifizierungsaudit
Preis: Festpreis plus monatliche Pauschale
Ihr Beitrag
Was wir von Ihnen brauchen.
Ein ISMS gehört dem Unternehmen, das es betreibt. Deshalb bleiben drei Dinge bei Ihnen.
- Eine verantwortliche Person, die das ISMS später führt.
- Fachverantwortliche aus Entwicklung, Betrieb, Personal und Einkauf für je ein bis zwei Gespräche.
- Ihre Leitung, die Ziele setzt, Restrisiken akzeptiert und Dokumente freigibt.
Wir geben Rückmeldung. Freigeben kann nur Ihre Leitung.
Gegenüber der Zertifizierungsstelle zählt allein die Freigabe Ihrer Organisation. Deshalb legen wir in der ersten Phase gemeinsam fest, wer welches Dokument freigibt.
Erfolg
Woran Sie den Erfolg messen.
Diese Punkte prüfen Sie selbst. Sie gelten mit und ohne Zertifizierung.
- Das interne Audit endet ohne Hauptabweichung.
- Jede der 93 Maßnahmen aus Anhang A hat eine begründete Entscheidung.
- Jedes Risiko im Register hat eine verantwortliche Person und einen Behandlungsplan.
- Ihre Leitung hat die erste Managementbewertung durchgeführt.
- Alle Mitarbeitenden haben die Awareness-Schulungen mit Lernkontrolle abgeschlossen.
Schulung
Ihr Team lernt in der Secobo Academy.
Im Zertifizierungsaudit befragt die Zertifizierungsstelle auch Ihre Mitarbeitenden. Das Basis-Set Awareness-Schulungen aus dem Festpreis lernen sie selbst in unserer Secobo Academy, mit Lernkontrolle und Zertifikat je Person.
Zur Secobo Academy
Das Team
Unser Team kann ISMS und weiß, wo Auditoren hinsehen.
Unsere Experten bauen Managementsysteme auf und prüfen sie als Auditoren. Deshalb schreiben sie jedes Dokument so, dass es im Zertifizierungsaudit trägt.
100 %der begleiteten Erstzertifizierungen bestanden
30+Jahre Berufspraxis im Team, auch aus der Zeit vor Secobo
- ISO-27001-AuditorQualifikation über SGS TÜV
- Prüfverfahrenskompetenz für § 39 BSIG (früher § 8a)Prüfungen bei Betreibern kritischer Infrastrukturen
- COBIT PractitionerIT-Governance nach ISACA
Fragen
Häufige Fragen zur ISMS-Einführung.
Müssen wir uns zertifizieren lassen?
Nein, die Zertifizierung ist optional. Ihr ISMS erfüllt die Norm auch ohne Zertifikat. Verlangen Ihre Kunden einen Nachweis, ist das Zertifikat der übliche Weg. Ob und wann Sie eine Zertifizierungsstelle beauftragen, entscheiden Sie.
Wie lange dauert es bis zur Zertifizierungsreife?
Für den Aufbau rechnen wir mit rund drei Monaten. Eine Betriebsphase ist darin nicht enthalten. Danach betreiben Sie das ISMS im Alltag und sammeln die Nachweise, die ein Auditor sehen will. Wenn Sie sich zertifizieren lassen, folgt anschließend das Zertifizierungsaudit in zwei Stufen: Stufe 1 prüft die Dokumentation, Stufe 2 die Umsetzung im Betrieb. Den Termin vergibt Ihre Zertifizierungsstelle.
Unterstützen Sie uns bei der Umsetzung der Maßnahmen?
Ja, auf Wunsch. Der Festpreis umfasst das ISMS an sich, also die Prozesse nach dem allgemeinen Teil der Norm und die Pflicht-Richtlinien nach Anhang A. Die operative Umsetzung der Maßnahmen, die sich daraus ergeben, liegt bei Ihrem Team. Dabei begleiten wir Sie optional, zu vereinbarten Stundenkontingenten. Risikoanalysen, Konzepte und Betriebshandbücher laufen ebenfalls darüber.
Secobo baut unser ISMS auf. Können Sie es auch intern auditieren?
Ja, wenn Sie das interne Audit dazubuchen. Dann prüft ein Auditor aus unserem Team, der an Ihrem ISMS weder mitgeschrieben noch die Umsetzung begleitet hat. Kapitel 9.2 verlangt objektive und unparteiische Prüfer. Wir nennen Ihnen vorab, wer prüft, damit Ihre Zertifizierungsstelle die Trennung nachvollziehen kann.
Was kostet die Zertifizierung selbst?
Die Gebühren der Zertifizierungsstelle sind nicht im Festpreis. Sie hängen von der Zahl der Mitarbeitenden und vom Geltungsbereich ab. Sie beauftragen die Zertifizierungsstelle direkt.
Wie viel Zeit braucht unser Team?
Den Aufwand Ihrer verantwortlichen Person klären wir im Vorgespräch. Fachverantwortliche brauchen je Thema ein bis zwei Gespräche. Ihre Leitung entscheidet in kurzen Terminen über Risiken und Freigaben.
Brauchen wir dafür eine eigene Software?
Nein. Dokumente und Nachweise liegen in Ihren eigenen Systemen, zum Beispiel in SharePoint oder Confluence. Sie gehören Ihnen vom ersten Tag an.
Können wir ISO 42001 oder Datenschutz gleich mitnehmen?
Ja. Ein gemeinsames Managementsystem nutzt einen Geltungsbereich, eine Risikomethode und ein Auditprogramm für alle drei Themen. Den Festpreis dafür nennen wir nach einem kurzen Scoping.
Was passiert nach der Zertifizierung?
Das Zertifikat gilt drei Jahre. In Jahr 2 und 3 prüft die Zertifizierungsstelle im Überwachungsaudit, ob Ihr ISMS weiter wirkt. Davor steht jeweils ein internes Audit. Mit dem Dreijahresvertrag für interne Audits steht der Preis für den ganzen Zyklus fest.
Ist die Rolle des Informationssicherheitsbeauftragten noch nicht besetzt, übernehmen wir sie auf Zeit, bis Ihre eigene Person übernimmt.
Kontakt
Bis wann brauchen Sie das Zertifikat?
In einem kostenlosen Vorgespräch von 30 Minuten klären wir Geltungsbereich, Zeitplan und Festpreis. Ihr Angebot erhalten Sie innerhalb von 24 Stunden.