ISO/IEC 27001 ist die anerkannteste internationale Norm der Informationssicherheit, und die Zertifizierung Lead Implementer ist diejenige, die Sie dafür qualifiziert, ein Informationssicherheits-Managementsystem (ISMS) aufzubauen, das ihr entspricht. In diesem Artikel erläutere ich, was die Zertifizierung abdeckt, was Sie im Kurs wirklich lernen, für welche Profile sie sinnvoll ist, worin sie sich vom Lead Auditor unterscheidet und warum sie Jahr für Jahr die rentabelste Schulungsinvestition im Bereich GRC bleibt.

Was ISO/IEC 27001 ist und warum sie wichtig ist

ISO/IEC 27001 ist die internationale Norm, die die Anforderungen an ein Informationssicherheits-Managementsystem (ISMS) festlegt. Einfach gesagt: ein vollständiger, auditierbarer und zertifizierbarer Rahmen, der nachweist, dass Ihre Organisation die Informationssicherheit systematisch und nicht nach Gutdünken steuert.

Die geltende Fassung ist ISO/IEC 27001:2022, veröffentlicht im Oktober 2022, die die Struktur der Maßnahmen des Anhangs A aktualisiert hat, nun ausgerichtet an der neuen ISO/IEC 27002:2022. Die sichtbarste Änderung ist die Zusammenführung der früheren 114 Maßnahmen zu 93, gegliedert in vier Gruppen: organisatorische, personenbezogene, physische und technologische.

Warum sie die Leitnorm bleibt: ISO 27001 ist nicht nur ein schönes Zertifikat. Sie ist das Fundament, auf dem fast die gesamte europäische Regulierung zur Sicherheit aufbaut: NIS 2, DORA und die KI-Verordnung stützen sich direkt oder indirekt auf die Grundsätze des Betriebs eines ISMS nach 27001.

Was der Kurs Lead Implementer abdeckt

Der Kurs PECB Certified ISO/IEC 27001 Lead Implementer ist ein intensives fünftägiges Programm, das Sie dafür qualifiziert, den Aufbau eines normkonformen ISMS zu leiten. Es ist kein theoretischer Kurs: Der Ansatz ist praxisnah und auf ein reales Projekt ausgerichtet.

Das Programm deckt die fünf typischen Phasen einer Umsetzung ab:

  1. Grundlagen und Planung. Kernkonzepte des ISMS, Kontext der Organisation, interessierte Parteien, Anwendungsbereich, Sicherheitsleitlinie und der Ansatz des Risikomanagements.
  2. Risikoanalyse und Risikobewertung. Identifizierung von Werten, Bedrohungen, Schwachstellen, Wahrscheinlichkeit und Auswirkung. Wahl der Methode (kompatibel mit ISO/IEC 27005).
  3. Risikobehandlung und Erklärung zur Anwendbarkeit. Auswahl und Begründung der Maßnahmen des Anhangs A, Behandlungsplan und SoA.
  4. Operative Umsetzung. Einführung der ausgewählten Maßnahmen, Schulung, Sensibilisierung, Vorfallmanagement und Kontinuität.
  5. Messung, Überwachung, internes Audit und fortlaufende Verbesserung. Kennzahlen, Managementbewertung und Vorbereitung auf das Zertifizierungsaudit.

Der letzte Tag ist der Wiederholung und der offiziellen dreistündigen PECB-Prüfung gewidmet.

Für wen er relevant ist

Lead Implementer ist die naheliegende Zertifizierung für mehrere Profile, jedes mit einem anderen Ziel:

  • Unabhängiger Berater oder Berater in einer kleinen Firma, der Kunden die Einführung eines ISMS anbieten möchte. Ohne diese Zertifizierung ist es schwer, ernsthafte Projekte zu gewinnen.
  • Sicherheitsverantwortlicher oder CISO, der das Zertifizierungsprojekt im eigenen Haus leiten oder einen externen Berater beaufsichtigen wird.
  • Interner Auditor oder Compliance-Verantwortlicher, der die Umsetzung von innen verstehen muss, um sie besser auditieren zu können (auch wenn Lead Auditor die dem Audit gewidmete Zertifizierung ist).
  • Fachkraft im Wandel, die Positionen mit höherer Verantwortung im GRC-Bereich anstrebt. ISO 27001 LI ist die Investition mit dem besten Ertrag für diesen Übergang.

Möchten Sie sich als ISO/IEC 27001 Lead Implementer zertifizieren lassen?
Offizielle PECB-Schulung mit einem praktizierenden Berater, in Ihrem Tempo oder mit Einzelbegleitung.

Zum Kurs →Mit Ricardo sprechen

Lead Implementer vs. Lead Auditor: welchen wählen

Das ist die häufigste Frage, wenn man sich der ISO-27001-Familie nähert. Die kurze Antwort: Es hängt davon ab, was Sie beruflich tun möchten.

Wählen Sie Lead Implementer, wenn Sie auf der Seite des “Aufbauens” stehen werden: das ISMS entwerfen und einführen, das Projekt steuern, die Maßnahmen konfigurieren, das Team schulen. Es ist die Zertifizierung für die Person, die umsetzt.

Wählen Sie Lead Auditor, wenn Sie auf der Seite des “Überprüfens” stehen werden: ISMS auditieren, sei es als interner Auditor, als externer, als Drittpartei (Zertifizierungsstelle) oder als Bewerter für Kunden und Lieferanten. Es ist die Zertifizierung für den Auditor.

Viele Fachleute halten im Laufe ihrer Karriere am Ende beide, weil sie die zwei Seiten derselben Medaille abdecken. Wenn Sie zu Beginn nur eine wählen können, empfehle ich den Lead Implementer: Die konzeptionelle Grundlage ist breiter und öffnet mehr Türen. Der anschließende Schritt zum Lead Auditor fällt dann natürlicher.

Die Prüfung, die CPD-Credits und die Zertifizierung

Die offizielle PECB-Prüfung zum Lead Implementer dauert drei Stunden und deckt die sieben Kompetenzbereiche ab: Grundlagen, Planung, Umsetzung, Überwachung, fortlaufende Verbesserung und Vorbereitung auf das Audit. Das Format sind offene Fragen (mit Aufsatzcharakter), keine Multiple-Choice-Fragen, was verlangt, dass Sie den Stoff wirklich beherrschen.

Der Kurs vergibt 31 CPD-Credits (Continuing Professional Development), die zur Aufrechterhaltung anderer Zertifizierungen beitragen, die Sie vielleicht bereits halten (CISSP, CISM, CRISC). Die Prüfung umfasst zwei Versuche: den ersten plus eine kostenlose Wiederholung innerhalb der folgenden 12 Monate, ein wichtiges Sicherheitsnetz.

Der tatsächliche Ertrag der Zertifizierung

Wenn Sie mich nach der reinen Rentabilität der Investition fragen: ISO 27001 LI bleibt Jahr für Jahr eine der Zertifizierungen mit dem besten Ertrag im GRC-Bereich. Aus drei konkreten Gründen:

Erstens: stabile und wachsende Nachfrage. ISO 27001 ist das Fundament, auf dem ein großer Teil der europäischen Compliance (NIS 2, DORA) aufbaut. Die Nachfrage nach Implementierern wird nicht sinken; sie wird steigen.

Zweitens: das Gehalt. Ein als ISO 27001 LI zertifizierter Berater verlangt zwischen 20 und 40 % mehr als ein vergleichbares Profil ohne die Zertifizierung. In einer Anstellung öffnet sie die Tür zu Positionen als Sicherheitsverantwortlicher oder CISO.

Drittens: Sie lässt sich kombinieren. Es ist die Dachzertifizierung. Als Implementierer der 27001 können Sie die Verbindung zu NIS 2, DORA, ISO 27701 (Datenschutz), ISO 22301 (Kontinuität) und dem übrigen Ökosystem herstellen. Sie ist das Zentrum der Landkarte.

ISO 27001 Lead Implementer ist nicht nur ein Kurs: Er ist das Herzstück der europäischen GRC-Compliance-Landkarte. Wer ihn hält, hat einen soliden Ausgangspunkt für fast alles Weitere.

Schulung und Zertifizierung

Wenn Sie den Schritt zur offiziellen PECB-Zertifizierung gehen möchten, ist der Kurs ISO/IEC 27001 Lead Implementer der direkte Weg: offizielles PECB-Selbststudium, damit Sie in Ihrem Tempo vorankommen und sich auf die Zertifizierungsprüfung vorbereiten.