ISO 27001 Checkliste: Wie weit ist Ihr Unternehmen von der Zertifizierung entfernt?
ISO 27001 Checkliste für KMU: Selbstcheck zu den Kapiteln 4 bis 10, Pflichtdokumenten, den 93 Controls aus Anhang A und der SoA, nach ISO/IEC 27001:2022.
Kurz beantwortet
Eine ISO 27001 Checkliste muss sich an ISO/IEC 27001:2022 mit Amd 1:2024 orientieren und die Kapitel 4 bis 10 vollständig abdecken, denn dagegen wird zertifiziert. Anhang A mit 93 Controls ist kein Pflichtprogramm: Massgebend sind Ihre Risikobehandlung und die relevanten rechtlichen und vertraglichen Anforderungen, die Anwendbarkeitserklärung begründet jeden Ein- und Ausschluss. Der Selbstcheck zeigt Ihnen, wo Sie stehen. Eine Gap-Analyse mit Nachweisprüfung und das interne Audit ersetzt er nicht.
Welche Fassung gilt für Ihre ISO 27001 Checkliste?
Massgebend ist ISO/IEC 27001:2022, erschienen am 25.10.2022, einschliesslich der Änderung Amd 1:2024, erschienen am 23.02.2024. Diese Änderung betrifft nur die Ziff. 4.1 und 4.2: Sie müssen entscheiden, ob der Klimawandel für Ihr ISMS ein relevantes Thema ist, und interessierte Parteien können Anforderungen zum Klima haben. Ein volles Übergangsprogramm hat die Änderung nicht ausgelöst, weil die IAF sie als Klarstellung behandelt und keine neuen Zertifikate verlangt (gemeinsame Mitteilung von IAF und ISO vom 22.02.2024 und Entscheid des IAF Technical Committee, Februar 2024).
Seit dem 30.04.2024 erfolgen Erst- und Rezertifizierungen nur noch nach der Fassung 2022, und Zertifikate nach der Fassung 2013 sind seit dem 31.10.2025 ungültig (IAF MD 26). Eine Neuausgabe der Norm ist per Oktober 2026 nicht publiziert.
Ein schneller Test für jede Vorlage aus dem Internet: Zeigt sie 114 Controls, 14 Domänen oder die Abschnitte A.5 bis A.18, ist sie veraltet.
Wie nutzen Sie diese ISO 27001 Checkliste richtig?
Gehen Sie jede Prüffrage durch und stellen Sie sich dazu eine zweite Frage: Womit können Sie es belegen? Auditoren prüfen Nachweise, nicht nur Dokumente. Bewerten Sie jeden Punkt mit einer von vier Stufen:
| Stufe | Bedeutung |
|---|---|
| nicht vorhanden | Es gibt weder Regelung noch Praxis. |
| teilweise vorhanden | Es gibt Ansätze, aber Lücken in Inhalt oder Geltungsbereich. |
| vorhanden, aber ohne Nachweis | Es wird gelebt, ist aber nicht belegt. |
| vorhanden mit Nachweis | Regelung, Umsetzung und Beleg liegen vor. |
Rechnen Sie das Ergebnis nicht in einen Prozentwert für die «Zertifizierungsreife» um. Ein einziger fehlender Pflichtpunkt, etwa ein internes Audit, wiegt schwerer als viele vollständige.
Was verlangen die Kapitel 4 bis 10 der ISO 27001?
Ausschlüsse von Anforderungen der Kapitel 4 bis 10 sind nicht zulässig (Ziff. 1). Seit 2022 neue oder präzisierte Anforderungen sind markiert. Wo die Norm ausdrücklich dokumentierte Information verlangt, zeigt die Übersicht im nächsten Abschnitt. Die Spalten «Status», «Vorhandener Nachweis» und «Offene Massnahme» sind zum Ausfüllen gedacht: Übernehmen Sie die Tabellen in Ihr eigenes Dokument, tragen Sie je Zeile eine der vier Stufen ein, nennen Sie den Beleg und halten Sie fest, was noch fehlt.
Kapitel 4 und 5: Kontext und Führung
| Ziff. | Prüffrage | Status | Vorhandener Nachweis | Offene Massnahme |
|---|---|---|---|---|
| 4.1 | Haben Sie interne und externe Themen bestimmt und den Klimawandel ausdrücklich bewertet, auch wenn das Ergebnis «nicht relevant» lautet? (Amd 1:2024) Beleg zum Beispiel: Kontextanalyse. | |||
| 4.2 | Kennen Sie die Anforderungen von Kunden, Behörden und Versicherern, und wissen Sie, welche davon das ISMS abdeckt? (4.2 c neu 2022) Beleg zum Beispiel: Liste interessierter Parteien. | |||
| 4.3 | Ist der Geltungsbereich mit Schnittstellen und Abhängigkeiten festgelegt und begründet? Beleg zum Beispiel: Scope-Dokument. | |||
| 4.4 | Haben Sie die nötigen ISMS-Prozesse und ihre Wechselwirkungen festgelegt? (Prozessbezug neu 2022) Beleg zum Beispiel: Prozessübersicht. | |||
| 5.1 | Stellt die Geschäftsleitung Ressourcen bereit und ist sie sichtbar beteiligt? Beleg zum Beispiel: Freigaben, Protokolle. | |||
| 5.2 | Gibt es eine freigegebene und kommunizierte Informationssicherheitspolitik? Beleg zum Beispiel: Politik mit Freigabe. | |||
| 5.3 | Sind Rollen, Verantwortlichkeiten und Befugnisse zugewiesen und kommuniziert? Beleg zum Beispiel: Rollenmatrix. |
Kapitel 6: Planung
| Ziff. | Prüffrage | Status | Vorhandener Nachweis | Offene Massnahme |
|---|---|---|---|---|
| 6.1.1 | Haben Sie Risiken und Chancen für das ISMS selbst betrachtet? Beleg zum Beispiel: Planungsunterlage. | |||
| 6.1.2 | Gibt es eine wiederholbare Methode zur Risikobeurteilung mit Akzeptanzkriterien und benannten Risikoeignern? Beleg zum Beispiel: Methodik, Risikoregister. | |||
| 6.1.3 | Liegen Anwendbarkeitserklärung, Risikobehandlungsplan und die Freigabe der Restrisiken durch die Risikoeigner vor? Beleg zum Beispiel: SoA, Behandlungsplan, Freigabe. | |||
| 6.2 | Sind die Informationssicherheitsziele, soweit praktikabel, messbar, und wird ihre Erreichung überwacht? (6.2 d neu 2022) Beleg zum Beispiel: Zielübersicht mit Kennzahlen. | |||
| 6.3 | Werden Änderungen am ISMS geplant umgesetzt? (neu 2022) Beleg zum Beispiel: Änderungsplanung. |
Kapitel 7 und 8: Unterstützung und Betrieb
| Ziff. | Prüffrage | Status | Vorhandener Nachweis | Offene Massnahme |
|---|---|---|---|---|
| 7.1 bis 7.4 | Sind Ressourcen, Kompetenz, Bewusstsein und Kommunikation geregelt, und können Sie die Kompetenz belegen? Beleg zum Beispiel: Schulungsnachweise. | |||
| 7.5 | Sind Dokumente versioniert, freigegeben und zugriffsgeschützt, auch externe? Beleg zum Beispiel: Dokumentenlenkung. | |||
| 8.1 | Sind betriebliche Abläufe geplant, und werden ausgelagerte Prozesse wie Cloud oder Managed Services gesteuert? (präzisiert 2022) Beleg zum Beispiel: Lieferantenübersicht, Verträge. | |||
| 8.2 | Ist die letzte Risikobeurteilung aktuell, auch nach wesentlichen Änderungen? Beleg zum Beispiel: datierte Risikobeurteilung. | |||
| 8.3 | Ist der Umsetzungsstand des Risikobehandlungsplans nachweisbar? Beleg zum Beispiel: Massnahmenstatus. |
Kapitel 9 und 10: Bewertung und Verbesserung
| Ziff. | Prüffrage | Status | Vorhandener Nachweis | Offene Massnahme |
|---|---|---|---|---|
| 9.1 | Wissen Sie, was Sie messen, wie, wann und wer auswertet? Beleg zum Beispiel: Auswertungen. | |||
| 9.2 | Gibt es ein Auditprogramm und mindestens einen vollständigen internen Auditbericht? Beleg zum Beispiel: Auditprogramm, Bericht. | |||
| 9.3 | Liegt ein Protokoll der Managementbewertung mit allen Eingaben und Entscheidungen vor? (9.3.2 c neu 2022) Beleg zum Beispiel: Protokoll. | |||
| 10.1 | Gibt es Belege für fortlaufende Verbesserung? Beleg zum Beispiel: Verbesserungsliste. | |||
| 10.2 | Werden Abweichungen mit Ursachenanalyse und Wirksamkeitsprüfung bearbeitet? Beleg zum Beispiel: Korrekturmassnahmen. |
Welche Dokumente sind für ISO 27001 Pflicht?
Ausdrücklich verlangt die Norm diese dokumentierten Informationen:
| Kapitel 4 bis 10 | Dokumentierte Information |
|---|---|
| 4.3 | Geltungsbereich des ISMS |
| 5.2 | Informationssicherheitspolitik |
| 6.1.2 | Prozess der Risikobeurteilung |
| 6.1.3 | Prozess der Risikobehandlung, Anwendbarkeitserklärung (SoA), Risikobehandlungsplan |
| 6.2 | Informationssicherheitsziele |
| 7.2 | Nachweise der Kompetenz |
| 7.5.1 b | was Sie selbst für die Wirksamkeit des ISMS für nötig halten |
| 8.1 | soweit nötig, um zu belegen, dass Prozesse wie geplant durchgeführt wurden |
| 8.2 und 8.3 | Ergebnisse der Risikobeurteilungen und der Risikobehandlung |
| 9.1 | Ergebnisse von Überwachung und Messung |
| 9.2 | Auditprogramm und Auditergebnisse |
| 9.3 | Ergebnisse der Managementbewertung |
| 10.2 | Art der Nichtkonformitäten, ergriffene Massnahmen und Ergebnisse der Korrekturmassnahmen |
Dazu kommen Controls aus Anhang A, die ausdrücklich Dokumentation verlangen, sofern sie in Ihrer SoA anwendbar sind, beispielsweise 5.10 (Regeln zum zulässigen Gebrauch), 5.26 (Reaktion auf Vorfälle nach dokumentierten Verfahren), 5.31 (rechtliche, regulatorische und vertragliche Anforderungen), 5.37 (dokumentierte Betriebsverfahren) und 6.6 (Vertraulichkeitsvereinbarungen).
Halten Sie die Dokumentation schlank. Eine Vorlage aus dem Internet ohne gelebte Nachweise wie Protokolle, Logs und Schulungsnachweise führt im Audit zu Abweichungen.
Wie prüfen Sie Anhang A und die Anwendbarkeitserklärung?
Anhang A ist eine Referenzliste. Sie gleichen Ihre Massnahmenauswahl damit ab (Ziff. 6.1.3 c), und Controls aus anderen Quellen sind zulässig.
| Thema | Anzahl Controls | Beispiele |
|---|---|---|
| 5 Organisatorische Controls | 37 (5.1 bis 5.37) | Richtlinien, Inventar, Zugangssteuerung, Lieferanten und Cloud, Vorfälle, IKT-Bereitschaft für Business Continuity, Schutz von Personendaten |
| 6 Personenbezogene Controls | 8 (6.1 bis 6.8) | Sensibilisierung und Schulung, Remote-Arbeit, Meldung von Ereignissen |
| 7 Physische Controls | 14 (7.1 bis 7.14) | Überwachung der physischen Sicherheit, Speichermedien |
| 8 Technologische Controls | 34 (8.1 bis 8.34) | sichere Authentisierung, technische Schwachstellen, Datensicherung, Protokollierung, Kryptografie |
Seit 2022 neu sind 11 Controls: 5.7 Threat Intelligence, 5.23 Informationssicherheit bei Cloud-Diensten, 5.30 IKT-Bereitschaft für Business Continuity, 7.4 Überwachung der physischen Sicherheit, 8.9 Konfigurationsmanagement, 8.10 Löschung von Informationen, 8.11 Datenmaskierung, 8.12 Verhinderung von Datenlecks, 8.16 Überwachungstätigkeiten, 8.23 Webfilterung und 8.28 sichere Programmierung.
Für IT-Dienstleister besonders prüfrelevant sind 5.19 bis 5.23 (Lieferanten und Cloud), 5.30, 8.9, 8.16 und 8.28. Umsetzungshinweise gibt ISO/IEC 27002:2022. Diese Norm ist eine Anleitung und nicht zertifizierbar.
Prüffragen zur Anwendbarkeitserklärung (SoA, Ziff. 6.1.3 d):
- Enthält die SoA die nötigen Controls mit Begründung für den Einschluss?
- Ist für jedes Control der Umsetzungsstand festgehalten?
- Ist für jedes ausgeschlossene Control nachvollziehbar dokumentiert, weshalb es im definierten Geltungsbereich nicht erforderlich ist? Berücksichtigt die Begründung die Risikobeurteilung sowie relevante gesetzliche, regulatorische und vertragliche Anforderungen?
Der häufigste Fehler ist ein Ausschluss mit «nicht relevant» ohne Bezug zur Risikobeurteilung und zu den gesetzlichen, regulatorischen und vertraglichen Anforderungen. Was die SoA ist und wie sie entsteht, erklärt der Ratgeber ISO 27001 in 12 Wochen: Wann das realistisch ist. Dort finden Sie auch Zeitplan und Roadmap.
Was muss vor der Erstzertifizierung nachweisbar sein?
Vor der Erstzertifizierung müssen Sie mindestens diese Nachweise vorlegen können: eine durchgeführte Risikobeurteilung und Risikobehandlung (Ziff. 6.1.2, 6.1.3, 8.2 und 8.3), in Betrieb genommene Controls mit Nachweisen, ein internes Audit (Ziff. 9.2), eine Managementbewertung (Ziff. 9.3) und den Umgang mit Nichtkonformitäten und Korrekturmassnahmen (Ziff. 10.2). Ein volles Betriebsjahr verlangt die Norm nicht. Stage 1 prüft unter anderem, ob internes Audit und Managementbewertung geplant und durchgeführt werden und ob Sie bereit für Stage 2 sind (ISO/IEC 17021-1:2015 Ziff. 9.3.1.2.2 g). Spätestens zum Stage-2-Audit müssen beide durchgeführt sein.
- Internes Audit (Ziff. 9.2): Es braucht ein Auditprogramm und spätestens zum Stage-2-Audit mindestens einen vollständigen Bericht. Die Norm verlangt, dass Auswahl der Auditoren und Durchführung die Objektivität und Unparteilichkeit des Auditprozesses sicherstellen (Ziff. 9.2.2). Als praktische Leitlinie gilt: Niemand prüft die eigene Arbeit. Eine externe Vergabe verlangt die Norm nicht.
- Managementbewertung (Ziff. 9.3): Die Norm verlangt sie «in geplanten Abständen», nicht zwingend genau einmal jährlich. Weil jedes Überwachungsaudit internes Audit und Managementbewertung prüft (ISO/IEC 17021-1 Ziff. 9.6.2.2 a), ist ein jährlicher Rhythmus in der Praxis naheliegend. Spätestens zum Stage-2-Audit muss mindestens eine dokumentierte Bewertung mit allen Eingaben und Entscheidungen vorliegen.
Welche Fehler stecken in vielen Checklisten?
- «Alle 93 Controls sind Pflicht.» Falsch. Massgebend sind die Risikobehandlung und die relevanten gesetzlichen, regulatorischen und vertraglichen Anforderungen, und die SoA begründet Ausschlüsse.
- «Anhang A ist die Auditcheckliste.» Unvollständig. Zwingend sind die Kapitel 4 bis 10.
- «Das interne Audit muss extern sein.» Falsch, verlangt sind Objektivität und Unparteilichkeit.
- «Klimawandel betrifft uns nicht, also ist nichts zu tun.» Seit Amd 1:2024 muss der Entscheid getroffen und vertretbar sein, auch wenn er negativ ausfällt.
- «ISO 27002 lässt sich zertifizieren.» Falsch, zertifizierbar ist nur ISO/IEC 27001.
- «Ein Penetrationstest ist Pflicht.» Nicht aus der Norm. Er kann aber als Massnahme zu 8.8 oder 8.29 angemessen sein.
- «Checkliste, Gap-Analyse und internes Audit sind dasselbe.» Nein. Die Checkliste zeigt den Stand, die Gap-Analyse prüft Nachweise, das interne Audit ist eine Normanforderung.
Eine Checkliste kann Ihnen nicht zusagen, dass Sie ein Audit bestehen. Darüber entscheidet die unabhängige Zertifizierungsstelle.
Wie hängt die Checkliste mit dem DSG und NIS2 zusammen?
ISO 27001 wird vom DSG nicht verlangt und erfüllt es nicht automatisch. Viele Prüfpunkte überschneiden sich aber:
| Schweizer Recht | Bezug in Anhang A |
|---|---|
| Art. 8 DSG und Art. 1 bis 3 DSV: angemessene Datensicherheit, für alle | gesamtes ISMS als Rahmen |
| Art. 4 DSV (Fassung seit 01.12.2025): Private müssen protokollieren, wenn sie besonders schützenswerte Personendaten in grossem Umfang automatisiert bearbeiten oder ein Profiling mit hohem Risiko durchführen und die präventiven Massnahmen den Datenschutz nicht gewährleisten können. Protokolle mindestens ein Jahr getrennt vom System aufbewahren | 8.15 Protokollierung |
| Art. 5 DSV: Private müssen ein Reglement für automatisierte Bearbeitungen erstellen und regelmässig aktualisieren, wenn sie besonders schützenswerte Personendaten in grossem Umfang bearbeiten oder ein Profiling mit hohem Risiko durchführen | 5.1 und 5.37 |
| Art. 12 DSG: Verzeichnis der Bearbeitungstätigkeiten. Befreit sind Unternehmen, die am 1. Januar weniger als 250 Mitarbeitende beschäftigen, ausser sie bearbeiten besonders schützenswerte Personendaten in grossem Umfang oder führen ein Profiling mit hohem Risiko durch (Art. 24 DSV) | 5.34 Schutz von Personendaten |
| Art. 24 DSG: Meldung an den EDÖB «so rasch als möglich», wenn eine Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko führt | 5.24 bis 5.28 Vorfälle |
Die Pflichten selbst erklären die Ratgeber Datenschutzgesetz Schweiz: Pflichten für KMU und Bearbeitungsverzeichnis: Anleitung für Schweizer KMU.
Seit dem 01.04.2025 müssen die gesetzlich erfassten Betreiberinnen kritischer Infrastrukturen meldepflichtige Cyberangriffe innert 24 Stunden dem BACS melden (Art. 74a ff. ISG, SR 128). Welche Behörden und Organisationen meldepflichtig sind, legt Art. 74b ISG fest. Für alle KMU gilt die Meldepflicht nicht. Eine Zertifizierungspflicht folgt daraus nicht.
NIS2 betrifft Schweizer Unternehmen nur bei EU-Bezug, also mit Niederlassung oder Tätigkeit in der EU in erfassten Sektoren. Häufiger wirkt die Richtlinie indirekt über Lieferkettenanforderungen von EU-Kunden (Art. 21 Abs. 2 lit. d). Die Massnahmen nach Art. 21 überschneiden sich stark mit Anhang A, eine ISO-Zertifizierung schreibt NIS2 aber nicht vor.
Wie geht es nach dem Selbstcheck weiter?
Haben Sie viele Punkte mit «nicht vorhanden» oder «ohne Nachweis» bewertet, ist eine Gap-Analyse der nächste sinnvolle Schritt. Sie ist keine Normpflicht, prüft aber Ist und Soll entlang der Kapitel 4 bis 10 und des Anhangs A mit Blick auf die Nachweise.
Mit welchen Kosten Sie rechnen müssen, lesen Sie im Ratgeber Was kostet eine ISO-27001-Zertifizierung?. Wie PlanSec Sie begleitet, steht auf der Seite ISO 27001 mit PlanSec. Wenn Sie Ihr Ergebnis gemeinsam einordnen möchten, buchen Sie ein kostenloses Erstgespräch.
Alle verlinkten Quellen wurden am 23.10.2026 abgerufen.
