Die meisten Organisationen benötigen eine dedizierte ISMS-Leitung sowie einige unterstützende Rollen, um die ISO 27001 Zertifizierung zu erlangen. Der Personalumfang reicht dabei von einer einzelnen Teilzeitkraft bei kleinen Unternehmen bis zu einem kleinen internen Team bei größeren Organisationen. Die ISMS-Leitung wendet während der Implementierung einen erheblichen Teil ihrer Arbeitszeit auf und reduziert ihr Engagement nach der Zertifizierung. Der entscheidende Punkt: Ihre effektive Kopfzahl für Auditzwecke umfasst auch Auftragnehmer und Freiberufler, die innerhalb des Geltungsbereichs tätig sind – nicht nur die fest angestellten Mitarbeitenden. Dieser eine Umstand verändert sowohl Ihre Schätzung für den Audittag als auch Ihr Budget erheblich.
Kurzfassung:
- Die Einbeziehung von Auftragnehmern und Freiberuflern, die an geltungsbereichsrelevanten Systemen arbeiten, kann Ihre Audit-Kopfzahl um bis zu 60 Prozent erhöhen – mit erheblichen Auswirkungen auf Ihr Zertifizierungsbudget.
- Zertifizierungsschätzungen basieren auf der Gesamtzahl der Personen, die unter Ihrer Kontrolle innerhalb des Geltungsbereichs tätig sind – nicht nur auf Ihrer Lohnbuchhaltung. Daher können Geltungsbereichsentscheidungen und Scope Creep die Personalanforderungen abrupt verändern.
- Kleine Organisationen mit weniger als 20 Mitarbeitenden benötigen in der Regel nur eine Teilzeit-ISMS-Leitung, während größere Unternehmen mit über 100 Mitarbeitenden üblicherweise ein dediziertes Team und eine komplexere Personalstruktur erfordern.
- Kompetenznachweise, Ressourcenzusagen und dokumentierte Ressourcenentscheidungen sind für das Bestehen von Audits entscheidend. Häufige Schwachstellen sind ungeschulte Mitarbeitende außerhalb der IT oder die ausschließliche Abhängigkeit von einem einzigen Sicherheitsexperten.
- Auftragnehmer und mehrere Standorte erhöhen die Audittage proportional. Eine frühzeitige Klärung des Geltungsbereichs und die Einbeziehung aller relevanten Personen vor der Angebotsanfrage verhindert unerwartete Budgetüberschreitungen während des Projekts.
Inhaltsverzeichnis
- Wie die Kopfzahl für ISO 27001 ermittelt wird (und warum das Ihre Richtwerte verändert)
- ISO 27001 Personalrichtwerte nach Organisationsgröße
- Was Auditoren tatsächlich gemäß Abschnitt 7 prüfen
- Wie Auftragnehmer und mehrere Standorte Ihre Audittage-Schätzung verändern
- Beratergestützt vs. intern: Zeit- und Kostenrichtwerte
- Diese Richtwerte in Ihren eigenen Personalplan umwandeln
- Was eine reibungslose Zertifizierung tatsächlich vorhersagt
- Ihre eigene Personalschätzung in zwei Minuten
- Quellen
- FAQ
Wie die Kopfzahl für ISO 27001 ermittelt wird (und warum das Ihre Richtwerte verändert)
ISO/IEC 27006-1, die Norm, die regelt, wie Zertifizierungsstellen die Auditdauer berechnen, definiert die Kopfzahl als Personen, die unter der Kontrolle der Organisation innerhalb des ISMS-Geltungsbereichs tätig sind. Diese Definition hat nichts mit Ihrem Lohnabrechnungssystem zu tun. Ein Auftragnehmer, der geltungsbereichsrelevante Systeme berührt, wird von einer Zertifizierungsstelle bei der Auditkalibrierung genauso wie ein Vollzeitangestellter gewertet.
Das überrascht mehr Unternehmen als erwartet. Ein Softwareunternehmen mit 40 Mitarbeitenden und 25 Auftragnehmern, die seine Produktionsumgebung betreuen, ist kein 40-Personen-Audit. Es handelt sich faktisch um eines mit 65 Personen, da diese Auftragnehmer innerhalb der ISMS-Grenze tätig sind. Eine fehlerhafte Zählung von Auftragnehmern vor der Angebotsanfrage ist einer der häufigsten Gründe, warum Zertifizierungsbudgets während des Projekts aus dem Ruder laufen. Sie erhalten ein Angebot auf Basis von 40 Personen, der Geltungsbereich weitet sich auf die von Auftragnehmern verwaltete Infrastruktur aus, und plötzlich ist die Audittage-Schätzung hinfällig.
Bevor Sie Angebote von Anbietern oder Zertifizierungsstellen einholen, stellen Sie eine Kopfzahl zusammen, die die Realität widerspiegelt – nicht das, was gerade bequem erscheint. Das bedeutet:
- Jeden Auftragnehmer, Freiberufler und Mitarbeitenden von Managed-Service-Providern zählen, der innerhalb des ISMS-Geltungsbereichs tätig ist – nicht nur diejenigen auf Ihrer Lohnliste
- Dokumentieren, welche Systeme, Prozesse und Standorte im Geltungsbereich liegen, da eine Kopfzahl ohne zugehörige Geltungsbereichsgrenze bedeutungslos ist
- „Im Geltungsbereich" frühzeitig von „unterstützt das Unternehmen, liegt aber außerhalb des Geltungsbereichs" trennen, da diese Entscheidung sowohl die Audittage als auch die Personalrichtwerte bestimmt
- Eine einfache Liste führen (Name, Beschäftigungsart, berührte In-Scope-Systeme), die Sie direkt einem Auditor oder einer Compliance-Plattform für ein Angebot übergeben können
Veröffentlichte Preisspannen von Compliance-Plattformen wie Vanta, Drata und Secureframe skalieren in der Regel ab etwa 100 Mitarbeitenden nicht mehr vorhersehbar. Darüber hinaus befinden Sie sich im Bereich individueller Angebote, und eine genaue Kopfzahl wird zum Unterschied zwischen einem vertretbaren Angebot und einer Schätzung ins Blaue.
ISO 27001 Personalrichtwerte nach Organisationsgröße
Der Personalbedarf skaliert nicht linear mit der Mitarbeiterzahl. Ein 15-köpfiges Unternehmen und ein 90-köpfiges Unternehmen können ISO 27001 möglicherweise beide mit einem einzigen dedizierten Koordinator betreiben, während der Sprung von 100 auf 500 Mitarbeitende in der Regel eine echte Teamstruktur erfordert. Nachfolgend wird erläutert, wie sich Rollen und Zeitaufwand typischerweise aufteilen.
1. Unter 20 Mitarbeitende: minimale funktionsfähige Abdeckung
Bei dieser Größe handelt es sich in der Regel um eine Teilzeit-ISMS-Leitung – oft der Gründer, der Leiter der Technik oder der Betriebsleiter – in Kombination mit gemeinsam genutztem IT-Support. Ein dedizierter Sicherheitsingenieur ist selten vorhanden. Die ISMS-Leitung sollte während der Implementierung mit einem nennenswerten wöchentlichen Stundenaufwand rechnen, der nach Stabilisierung des ISMS deutlich sinkt.
2. 20 bis 100 Mitarbeitende: ein dedizierter Koordinator entsteht
Abteilungsverantwortliche leisten anteiligen Zeitbeitrag für ihre eigenen Kontrollbereiche.
3. Ab 100 Mitarbeitenden: ein funktionierendes ISMS-Team
Ab 100 Mitarbeitenden betreiben die meisten Organisationen ein kleines dediziertes Team: einen ISMS-Manager, einen oder mehrere Sicherheitsingenieure, einen Risikobewerter sowie interne Auditoren, die rotieren, anstatt diese Aufgabe nebenbei zu erledigen. Hier hören die Personalrichtwerte auch auf, allein aus der Kopfzahl vorhersagbar zu sein. Branche, Standortanzahl und regulatorische Überschneidungen treiben den Ressourcenbedarf stärker als die reine Mitarbeiterzahl.
Die Zeitaufteilung verschiebt sich deutlich zwischen Implementierung und Betrieb.
Ein reales Beispiel: Eine Stellenanzeige für einen ISO 27001 Program Manager gliedert die Rolle in etwa 60 % praktische Dokumentations- und Beweisaufbereitung, 30 % bereichsübergreifende Zusammenarbeit und 10 % Meetings und Berichterstattung. Diese Aufteilung entspricht dem, was die meisten Implementierer in der Praxis erleben: Die Aufgabe dreht sich weniger um Sicherheitsarchitektur und mehr um kontinuierliche Beweissammlung.
Praxistipp: Stellen Sie unter 50 Mitarbeitenden keinen dedizierten internen Auditor ein. Schulen Sie stattdessen jemanden aus dem Bereich Finanzen oder Betrieb für die Durchführung interner Audits. Auditoren legen Wert auf Unabhängigkeit vom geprüften Prozess – nicht auf eine Berufsbezeichnung.
Jede Rolle verdient ihren Platz aus einem bestimmten Grund. Die ISMS-Leitung verantwortet die Anwendbarkeitserklärung, das Risikoregister und das Richtlinienwerk und steht dem Auditor während des Zertifizierungsbesuchs direkt Rede und Antwort. Der Sicherheitsingenieur implementiert und pflegt technische Kontrollen: Zugangsverwaltung, Protokollierung, Schwachstellenmanagement. Der interne Auditor existiert speziell dazu, das ISMS unabhängig zu testen, bevor es die Zertifizierungsstelle tut. IT-Administratoren übernehmen die Beweissammlung für technische Kontrollen, die sie bereits täglich betreiben – weshalb ihr Zeitaufwand vergleichsweise gering bleibt, obwohl ihre Systeme den Großteil der Auditnachweise liefern.
Was Auditoren tatsächlich gemäß Abschnitt 7 prüfen
Abschnitt 7 der ISO 27001 verpflichtet die Organisation, angemessene Ressourcen bereitzustellen und die Kompetenz der mit ISMS-Aufgaben betrauten Personen nachzuweisen. Auditoren vertrauen Ihnen dabei nicht auf Ihr Wort. Sie verlangen dokumentierte Nachweise, und die spezifischen Artefakte, die sie anfordern, sind recht vorhersehbar.
Rechnen Sie damit, dass eine Zertifizierungsstelle Folgendes anfordert:
- Sitzungsprotokolle von Management-Reviews, die belegen, dass Ressourcenentscheidungen tatsächlich besprochen und genehmigt wurden
- Budgetgenehmigungen oder Freigaben, die an Sicherheitsinitiativen geknüpft sind – kein bloßer Posten, der im allgemeinen IT-Budget vergraben ist
- Schriftliche Rollenbeschreibungen für alle Personen mit ISMS-Verantwortlichkeiten, einschließlich interner Auditoren und Risikoverantwortlicher
- Eine Kompetenzmatrix, die jede ISMS-Rolle den erforderlichen Fähigkeiten zuordnet und darlegt, wie diese Fähigkeiten nachgewiesen wurden
- Schulungsnachweise mit Abschlussdaten – nicht nur Anmeldebestätigungen
- Protokolle zur Abdeckung des Sensibilisierungsprogramms für die gesamte Organisation – nicht nur für einen Teil davon
Auditoren achten gezielt auf solche Nachweise, weil eine bloße Kopfzahl weder Kompetenz noch Engagement belegt. Der häufigste Befund im Zusammenhang mit der Personalbesetzung ist ein Sensibilisierungstraining, das nur die IT-Abteilung erreicht hat und Vertrieb, HR und Finanzen ungeschult in grundlegenden Sicherheitsthemen zurückließ. Der zweithäufigste: ein einzelner „Security Hero", der das gesamte ISMS-Wissen auf sich vereint, ohne dokumentierte Vertretungsregelung – ein Bus-Faktor-Risiko, das Auditoren fast jedes Mal flaggen, wenn sie es sehen.
Kleine Organisationen ohne Budget für ein großes Team können trotzdem Ressourceneinsatz nachweisen. Halten Sie die Zeitaufteilung der ISMS-Leitung explizit in einem Management-Review fest, holen Sie eine schriftliche Budgetgenehmigung ein – auch wenn der Betrag bescheiden ist –, und führen Sie ein einfaches Schulungsprotokoll. Ausführliche Nachweisbeispiele helfen dabei, da Auditoren Rückverfolgbarkeit mehr schätzen als schiere Dokumentationsmengen.
Wie Auftragnehmer und mehrere Standorte Ihre Audittage-Schätzung verändern
Jeder Auftragnehmer oder Standort, den Sie in den Geltungsbereich aufnehmen, erhöht die Auditdauer – und Auditzeit wird tagesweise abgerechnet. Ein Einzelstandort-Unternehmen mit 60 Mitarbeitenden und keinen In-Scope-Auftragnehmern benötigt für ein Stage-2-Audit möglicherweise zwei oder drei Audittage. Kommt ein zweiter Standort und 15 In-Scope-Auftragnehmer hinzu, steigt diese Schätzung – manchmal über das hinaus, was das ursprüngliche Angebot angenommen hat.
Geltungsbereich, der Anteil von Remote- gegenüber Vor-Ort-Audits sowie die Standortanzahl sind die spezifischen Stellschrauben, die die Audittage gemäß ISO/IEC 27006-1 Annex C bestimmen. Die meisten dieser Entscheidungen treffen Sie, bevor Sie überhaupt mit einer Zertifizierungsstelle sprechen.
Wenn Sie entscheiden, was in den Geltungsbereich gehört, wägen Sie den operativen Kompromiss ehrlich ab: Ein System oder Team vom Geltungsbereich auszuschließen, reduziert Audittage und Personalaufwand, schränkt aber auch ein, was Ihr Zertifikat tatsächlich abdeckt – was relevant ist, wenn Kunden im Beschaffungsprozess gezielte Fragen stellen. Stellen Sie Ihrer Zertifizierungsstelle diese sieben Fragen, bevor Sie ein Angebot akzeptieren:
- Wie viele Audittage setzt dieses Angebot voraus, und auf welcher Kopfzahl basiert es?
- Sind In-Scope-Auftragnehmer und Freiberufler in dieser Kopfzahl enthalten?
- Wie viele Standorte deckt das Angebot ab, und was passiert, wenn später ein Standort hinzukommt?
- Welcher Anteil des Audits wird remote und welcher vor Ort durchgeführt?
- Was löst eine Angebotsrevision während des laufenden Zertifizierungszyklus aus?
- Wie werden die Überwachungsaudittage nach dem ersten Jahr berechnet?
- Welche Unterlagen benötigen Sie vor der Finalisierung der Schätzung?
Beratergestützt vs. intern: Zeit- und Kostenrichtwerte
Die meisten Organisationen unterschätzen den internen Stundenaufwand erheblich. Der typische interne Aufwand beläuft sich auf 200 bis 500 Stunden Mitarbeiterzeit – aufgeteilt auf ISMS-Leitung, Sicherheitsingenieur und Abteilungsverantwortliche zusammen – verteilt über den Implementierungszeitraum.
Der Zeitunterschied ist real und wird durch Stunden – nicht durch Talent – bestimmt. Organisationen, die einen Berater hinzuziehen, zertifizieren sich in der Regel innerhalb von 3 bis 12 Monaten. Interne Implementierungen, die ausschließlich von bestehendem Personal durchgeführt werden, das die Norm im Lernprozess erarbeitet, dauern häufig 6 bis 12 Monate oder länger. Berater-Tagessätze und Gesamtprojektpakete variieren je nach Geltungsbereich und Region erheblich – betrachten Sie jede einzelne Zahl daher als Ausgangspunkt für Verhandlungen und nicht als festen Richtwert.
- Ein Berater übernimmt das Framework, Dokumentationsvorlagen und die Auditvorbereitung und verkürzt damit den Kalender, auch wenn interne Mitarbeitende die Beweissammlung weiterhin selbst durchführen müssen
- Interne Teams ohne Berater verwenden einen Teil ihrer 200 bis 500 Stunden allein auf das Erlernen der Norm – eine Zeit, die ein beratergestütztes Team vollständig einspart
- Eine grobe Kombinationsschätzung: 15 Beratertage plus 300 interne Stunden führen ein mittelgroßes Unternehmen häufig in 6 bis 8 Monaten zur Zertifizierung – im Vergleich zu 10 bis 12 Monaten bei einem gleichwertigen Scope ohne externe Unterstützung
Diese Richtwerte in Ihren eigenen Personalplan umwandeln
Allgemeine Bandbreiten helfen nur bedingt. ISMS Calculator wandelt diese in eine organisationsspezifische Zahl um, indem er Ihre tatsächliche Kopfzahl, Branche und Sicherheitsreifegrad abfragt und dann Modellreferenzvergleiche gegen editierbare Annahmen anwendet, die Sie selbst anpassen können.
- Geben Sie Ihre Mitarbeiterzahl ein und fügen Sie In-Scope-Auftragnehmer separat hinzu, da das Tool sie als separate Eingaben behandelt, die die Schätzung beeinflussen
- Wählen Sie Ihre Geltungsbereichsoptionen (einzelner Standort, mehrere Standorte, rein Cloud-basierte Infrastruktur), um zu sehen, wie jede Entscheidung die vorgeschlagene Rollenzeitaufteilung verschiebt
- Vergleichen Sie die generierte Rollen- und Zeitaufteilung mit den Richtwerten in diesem Artikel, um sie zu plausibilisieren
- Exportieren Sie die Schätzung als PDF oder als teilbaren Link und senden Sie ihn zur Budgetgenehmigung an den Einkauf oder Ihren Executive Sponsor
Was eine reibungslose Zertifizierung tatsächlich vorhersagt
Drei Faustregeln bewähren sich bei den meisten Implementierungen: Besetzen Sie die ISMS-Leitungsrolle zuerst, dokumentieren Sie Ressourcenentscheidungen von Tag eins an schriftlich und zählen Sie Auftragnehmer ehrlich, bevor Sie Angebote einholen. Zwei Warnsignale kündigen zuverlässig Probleme an: ein einzelner „Security Hero" ohne dokumentierte Vertretungsregelung und ein Sensibilisierungstraining, das die IT-Abteilung nie verlassen hat.
— Martin
Ihre eigene Personalschätzung in zwei Minuten
Richtwerte zu lesen ist eine Sache. Zu wissen, wo Ihre Organisation tatsächlich steht, ist eine andere. Ismscalculator liefert Ihnen eine Echtzeit-Schätzung, die auf Ihre Situation zugeschnitten ist – keine generischen Bandbreiten –, und berücksichtigt dabei Unternehmensgröße, Branche und aktuellen Sicherheitsreifegrad, sodass die Personal- und Kostenzahlen Ihre Situation widerspiegeln und nicht einen Modellreferenzwert.
Jede Eingabe, die Sie in den obigen Richtwerten gesehen haben (Kopfzahl, Auftragnehmer, Geltungsbereich, Rollenzeitaufteilung), fließt direkt in die Annahmen des Kalkulators ein – und Sie können jede einzelne anpassen, wenn Ihre Situation nicht dem Standard entspricht. Für den ersten Durchlauf ist keine Registrierung erforderlich, und die Methodik hinter jeder Zahl bleibt vollständig einsehbar, sodass Sie jede Annahme hinterfragen oder anpassen können, bevor Sie die Ergebnisse mit Ihrem Team teilen. Starten Sie mit der kostenlosen 2-Minuten-Readiness-Prüfung, um Ihre Lücken zu identifizieren, und öffnen Sie dann den vollständigen Kostenkalkulator, um eine detaillierte, exportierbare Personal- und Budgetschätzung zu erstellen, die Sie direkt an den Einkauf weitergeben können.
Quellen
Für die Audittage-Mechanik hinter diesen Richtwerten regelt ISO/IEC 27006-1, wie Zertifizierungsstellen die Zeit pro Auftrag berechnen – weshalb Angebote je nach akkreditierter Stelle variieren. Ergänzen Sie das mit einer Zertifizierungs-Checkliste, um Personalaufgaben gegen Ihren Implementierungszeitplan zu verfolgen, und einem Readiness Assessment, um Lücken zu erkennen, bevor es ein Auditor tut.
- Iso27001cost
- Iso27001
- ISO 27001 Berater vs. intern: Zeit & Kosten (2026)
- Ermittlung der In-Scope-Kopfzahl für Ihr ISO 27001 Audit (Sensiba)
FAQ
Wer zählt zur ISO 27001 Kopfzahl?
Die Kopfzahl umfasst alle Personen, die unter der Kontrolle Ihrer Organisation innerhalb des ISMS-Geltungsbereichs tätig sind – nicht nur fest angestellte Mitarbeitende. Das bedeutet, dass In-Scope-Auftragnehmer und Freiberufler in die Gesamtzahl einfließen, die Ihre Zertifizierungsstelle zur Auditkalibrierung heranzieht.
Welches Minimalteam wird für ISO 27001 benötigt?
Ein Unternehmen mit weniger als 20 Mitarbeitenden kann sich häufig mit einer Teilzeit-ISMS-Leitung und gemeinsam genutztem IT-Support für die technischen Kontrollen zertifizieren lassen. Größere Organisationen benötigen ab etwa 20 bis 100 Mitarbeitenden einen dedizierten Koordinator sowie anteilige Ressourcen für Sicherheitstechnik und interne Audits.
Wie viele Stunden wendet das IT-Personal für ISO 27001 auf?
Dieser Wert sinkt weiter, sobald das ISMS den stabilen Betriebsmodus erreicht.
Erhöhen Auftragnehmer meine Auditkosten?
Ja. Auftragnehmer, die innerhalb Ihres ISMS-Geltungsbereichs tätig sind, zählen zur Kopfzahl, und Geltungsbereich sowie Standortanzahl sind direkte Treiber der Audittage gemäß ISO/IEC 27006-1. Sie aus Ihrer ursprünglichen Kopfzahl herauszulassen, ist ein häufiger Grund dafür, dass Angebote im Laufe des Projekts nach oben korrigiert werden.
Wie erhalte ich eine genaue Personal- und Kostenschätzung?
Stellen Sie zunächst eine ehrliche Kopfzahl zusammen, die In-Scope-Auftragnehmer einschließt, und führen Sie diese Zahl dann durch ein Tool wie ISMS Calculator, das eine maßgeschneiderte Personal- und Kostenschätzung basierend auf Ihrer Größe, Branche und Ihrem Reifegrad generiert. Die kostenlose Readiness-Prüfung dauert etwa zwei Minuten und liefert Ihnen einen ersten Richtwert, bevor Sie Anbieter oder Zertifizierungsstellen kontaktieren.