ISO 27001 für Softwarehäuser: Warum Unternehmenskunden sie verlangen

Die ISO 27001 ist für Softwarehäuser, die mit Unternehmenskunden zusammenarbeiten möchten, zu einer faktischen Anforderung geworden. Banken, Versicherungen, Versorgungsunternehmen und große Industriekonzerne geben sich nicht mehr mit einer allgemeinen Sicherheitserklärung zufrieden; sie verlangen Nachweise. Die Zertifizierung nach ISO/IEC 27001:2022 ist ein solcher Nachweis, den der Einkauf ohne Weiteres anerkennt. In diesem Artikel erfahren wir, warum diese Zertifizierung gefordert wird, was sie wirklich bedeutet und wie man sie ohne Lähmung der Entwicklung erreicht.

Warum Unternehmenskunden die ISO 27001 verlangen

Der Grund ist einfach: Management von Drittparteirisiken. Wenn ein großes Unternehmen einem Anbieter die Softwareentwicklung anvertraut, gewährt es diesem Zugang zu kritischen Daten, Systemen und Prozessen. Erleidet der Anbieter einen Vorfall, so wirkt sich dies auf den Kunden aus, auch hinsichtlich der Verantwortung gegenüber Behörden und betroffenen Personen. Aus diesem Grund bewerten die Teams für Lieferantenrisikomanagement jeden Anbieter vor Vertragsunterzeichnung und anschließend regelmäßig.

Ein nach ISO 27001 zertifiziertes Softwarehaus ermöglicht es dem Kunden, den Prüfaufwand erheblich zu reduzieren: Eine akkreditierte Zertifizierungsstelle hat bereits überprüft, ob ein funktionierendes Informationssicherheits-Managementsystem vorhanden ist. Ohne Zertifizierung muss jeder Kunde alles selbst prüfen. Mit der Zertifizierung durchläuft Ihr Name die Lieferantenqualifizierungsfilter, die Sie sonst noch vor der Angebotseinholung ausschließen würden.

Die wahren Kosten von Sicherheitsfragebögen

Wer mit strukturierten Kunden zusammenarbeitet, kennt die Lieferantenbewertungen gut: Fragebögen mit Hunderten von Fragen zu Verschlüsselung, Zugriffsmanagement, Backups, sicherer Entwicklung, Vorfallmanagement und Betriebskontinuität. Jeder Kunde hat sein eigenes Format, jede Antwort muss dokumentiert werden, und oft folgen Detailanfragen oder Second-Party-Audits.

Ohne ein Managementsystem ist jeder Fragebogen ein eigenständiges Projekt: Informationen werden gesucht, Antworten improvisiert, Kontrollen versprochen, die nicht existieren. Mit einem zertifizierten ISMS sind die Antworten bereits vorhanden: Richtlinien, Verfahren, Aufzeichnungen und Ergebnisse interner Audits. Die Bearbeitungszeit verkürzt sich, und vor allem sind die Antworten im Falle einer Überprüfung verteidigungsfähig.

Was die Zertifizierung für ein Softwarehaus bedeutet

Die ISO/IEC 27001:2022 fordert den Aufbau eines risikobasierten Informationssicherheits-Managementsystems (ISMS). Konkret bedeutet dies für ein Softwarehaus typischerweise:

• den Geltungsbereich festlegen: welche Dienste, Standorte, Teams und Infrastrukturen in das ISMS fallen;
• Risiken für Quellcode, Entwicklungsumgebungen, Kundendaten und die Lieferkette (Repositories, CI/CD, Cloud-Anbieter) bewerten;
• die relevanten Controls aus Anhang A anwenden, einschließlich sicherer Entwicklung: Sicherheitsanforderungen, Umgebungsmanagement, Tests, Schwachstellenmanagement;
• bereits teilweise vorhandene Prozesse formalisieren: Management von Zugriffen, Vorfällen, Änderungen, Backups;
• interne Audits und Management-Reviews durchführen und das Zertifizierungsaudit in zwei Phasen (Stufe 1 und Stufe 2) bestehen.

Der kritische Punkt ist nicht die Technologie: Die meisten Softwarehäuser verfügen bereits über gute technische Praktiken. Die eigentliche Aufgabe besteht darin, diese systematisch, dokumentiert und messbar zu machen.

Wie man die Zertifizierung ohne Blockade der Entwicklung erreicht

Der klassische Fehler ist, die Norm als ein Dokumentenprojekt anzugehen: Man erstellt Dutzende von kopierten Richtlinien, die niemand anwendet, und im Audit wird die Diskrepanz zwischen Papier und Realität offensichtlich. Der richtige Ansatz ist risikobasiert: Beginnen Sie mit einer ehrlichen Gap-Analyse, konzentrieren Sie die Anstrengungen auf die realen Risiken in Ihrem Kontext und integrieren Sie die Kontrollen in bestehende Arbeitsabläufe, von der CI/CD-Pipeline bis zum Onboarding der Mitarbeiter.

Ein gut aufgesetzter Weg für ein Software-KMU dauert in der Regel mehrere Monate, abhängig von der Ausgangsreife und dem gewählten Geltungsbereich. Die Wahl des Geltungsbereichs verdient besondere Aufmerksamkeit: Ein klar abgegrenzter anfänglicher Geltungsbereich macht das Projekt überschaubar und die Zertifizierung bei Kunden verwertbar.

Wo man anfangen sollte

Der erste Schritt ist zu verstehen, wo Sie im Verhältnis zur Norm stehen: Welche Kontrollen existieren bereits, welche müssen formalisiert werden, welche fehlen. PL Consulting begleitet Softwarehäuser und IT-Unternehmen während des gesamten Prozesses, von der anfänglichen Gap-Analyse bis zum Zertifizierungsaudit. Entdecken Sie den Service zur ISO 27001-Zertifizierung und fordern Sie eine Gap-Analyse an, um ein konkretes Bild von Zeitrahmen und Aktivitäten zu erhalten.

Hinweis: Dieser Artikel dient zu Informationszwecken und ersetzt keine spezifische Bewertung des einzelnen Unternehmenskontextes. Artikel aktualisiert im Juli 2026.