Zum Inhalt springen

Pentest für ISO 27001: nicht namentlich gefordert, aber ein starker Nachweis

ISO/IEC 27001 schreibt einen Penetrationstest nicht wörtlich vor. Die Norm verlangt aber, technische Schwachstellen zu managen (Anhang A 8.8) und Sicherheit in Entwicklung und Abnahme zu testen (Anhang A 8.29). Ein Pentest-Bericht ist einer der klarsten Wege, Ihrem Auditor beides zu belegen, samt Nachweis, dass Sie die Befunde behoben haben.

Festpreis berechnen

Lieber erst sprechen? Gespräch buchen

Wichtig: Wir zertifizieren nicht, und ein Pentest allein führt nicht zur Zertifizierung. Zertifizieren kann nur eine akkreditierte Zertifizierungsstelle; wir liefern Testergebnisse, mit denen sie arbeiten kann.

Was ISO 27001 verlangt. Und wo ein Pentest hilft.

  • Anhang A 8.8: Management technischer Schwachstellen

    Informationen über technische Schwachstellen gewinnen, die eigene Gefährdung bewerten und geeignete Maßnahmen ergreifen. Ein Pentest findet und bewertet Schwachstellen in Ihren Systemen, der Retest belegt die Behebung.

  • Anhang A 8.29: Sicherheitstests in Entwicklung und Abnahme

    Sicherheitstests festlegen und im Entwicklungsprozess durchführen. Ein Pentest vor dem Go-live oder nach einer größeren Änderung ist der typische Abnahmetest.

  • Abschnitt 9.1: Wirksamkeit bewerten

    Die Norm verlangt, die Informationssicherheitsleistung und die Wirksamkeit des ISMS zu bewerten. Datierte Testergebnisse und Retest-Bestätigungen sind dafür messbare Grundlagen.

  • ISO/IEC 27002 als Leitfaden

    Die Umsetzungshinweise zu 8.8 nennen unter anderem Penetrationstests und Schwachstellenanalysen als Wege, technische Schwachstellen zu erkennen.

Nummerierung nach ISO/IEC 27001:2022. In der Fassung von 2013 entsprach 8.8 dem Control A.12.6.1.

Wie ein Pentest-Bericht als Nachweis dient

Ihr Auditor möchte sehen, dass Sie Schwachstellen finden, bewerten und beheben, und zwar nachvollziehbar. Genau so ist der Bericht aufgebaut.

Das erhalten Sie

  • Dokumentierter Scope, Zeitraum und Methodik
  • Befunde mit CVSS-3.1-Bewertung, Geschäftsrisiko und Empfehlung
  • Kostenloser Retest innerhalb von 60 Tagen, schriftlich bestätigt
  • Prüfbescheinigung: eine Seite mit Scope, Zeitraum und Status nach dem Retest
  • Importfertige Tickets für Jira, ServiceNow, GitLab, Azure DevOps und GitHub
  • E-Mail-Import für Helpdesks wie OTRS/Znuny, Zammad, TOPdesk und Matrix42
Festpreis berechnen

Welche Tests zu Ihrem ISMS-Scope passen.

Testen Sie, was im Geltungsbereich Ihres ISMS liegt, zuerst die Systeme mit dem höchsten Risiko.

Häufige Fragen zu ISO 27001 und Penetrationstests

Schreibt ISO 27001 einen Penetrationstest vor?
Nicht namentlich. Anhang A 8.8 verlangt ein Management technischer Schwachstellen, Anhang A 8.29 Sicherheitstests in Entwicklung und Abnahme. In der Praxis erwarten viele Auditoren regelmäßige technische Prüfungen, und ein Pentest ist dafür ein gängiger, anerkannter Nachweis.
Reicht ein Schwachstellenscan für ISO 27001?
Er kann Anhang A 8.8 für bekannte Schwachstellen unterstützen. Ob Ihr Auditor ihn allein akzeptiert, hängt von Ihren Risiken und Ihrem Scope ab; für selbst entwickelte Anwendungen und kritische Systeme wird meist ein Pentest erwartet. Der Vergleich: Pentest oder Schwachstellenscan?.
Wie oft sollten wir für ISO 27001 testen?
Die Norm legt kein festes Intervall fest. Üblich ist mindestens ein Test pro Jahr und nach wesentlichen Änderungen, abgestimmt auf Ihren Auditzyklus.
Erhalten wir von Ihnen ein ISO-27001-Zertifikat?
Nein. Zertifizieren können nur akkreditierte Zertifizierungsstellen. Sie erhalten einen prüffähigen Bericht, eine Retest-Bestätigung und eine einseitige Prüfbescheinigung.
Was kostet ein Pentest für ISO 27001?
Das hängt vom Scope ab. Ein externer Pentest beginnt bei 1.900 €; alle Festpreise stehen auf der Seite Preise. Im Anfrageformular sehen Sie Ihren verbindlichen Festpreis sofort.

Auch hilfreich: NIS2 & CompliancePentest oder Schwachstellenscan?TISAX PentestPentest Cyberversicherung

Was sollen wir testen?

Wählen Sie aus, um Ihre Anfrage zu starten. Sie erhalten Ihren verbindlichen Festpreis sofort und das schriftliche Angebot (PDF) direkt nach Ihrer Anfrage per E-Mail.

Festpreis berechnen

Lieber erst sprechen? Gespräch buchen