--- title: "Pentest ISO 27001: Nachweise für Anhang A 8.8 | Mr Cyber" url: https://mr-cyber.com/de/pentest-iso-27001 language: de-DE description: "Schreibt ISO 27001 einen Pentest vor? Nicht wörtlich. Ein Pentest liefert Prüfern Nachweise für Anhang A 8.8 und 8.29. Festpreis, Retest inklusive." --- # Pentest für ISO 27001: nicht namentlich gefordert, aber ein starker Nachweis ISO/IEC 27001 schreibt einen Penetrationstest nicht wörtlich vor. Die Norm verlangt aber, technische Schwachstellen zu managen (Anhang A 8.8) und Sicherheit in Entwicklung und Abnahme zu testen (Anhang A 8.29). Ein Pentest-Bericht ist einer der klarsten Wege, Ihrem Auditor beides zu belegen, samt Nachweis, dass Sie die Befunde behoben haben. [Festpreis berechnen](https://mr-cyber.com/de/angebot) Lieber erst sprechen? [Gespräch buchen](https://mr-cyber.com/de/kontakt#book) Wichtig: Wir zertifizieren nicht, und ein Pentest allein führt nicht zur Zertifizierung. Zertifizieren kann nur eine akkreditierte Zertifizierungsstelle; wir liefern Testergebnisse, mit denen sie arbeiten kann. ## Was ISO 27001 verlangt. Und wo ein Pentest hilft. - ### Anhang A 8.8: Management technischer Schwachstellen Informationen über technische Schwachstellen gewinnen, die eigene Gefährdung bewerten und geeignete Maßnahmen ergreifen. Ein Pentest findet und bewertet Schwachstellen in Ihren Systemen, der Retest belegt die Behebung. - ### Anhang A 8.29: Sicherheitstests in Entwicklung und Abnahme Sicherheitstests festlegen und im Entwicklungsprozess durchführen. Ein Pentest vor dem Go-live oder nach einer größeren Änderung ist der typische Abnahmetest. - ### Abschnitt 9.1: Wirksamkeit bewerten Die Norm verlangt, die Informationssicherheitsleistung und die Wirksamkeit des ISMS zu bewerten. Datierte Testergebnisse und Retest-Bestätigungen sind dafür messbare Grundlagen. - ### ISO/IEC 27002 als Leitfaden Die Umsetzungshinweise zu 8.8 nennen unter anderem Penetrationstests und Schwachstellenanalysen als Wege, technische Schwachstellen zu erkennen. Nummerierung nach ISO/IEC 27001:2022. In der Fassung von 2013 entsprach 8.8 dem Control A.12.6.1. ## Wie ein Pentest-Bericht als Nachweis dient Ihr Auditor möchte sehen, dass Sie Schwachstellen finden, bewerten und beheben, und zwar nachvollziehbar. Genau so ist der Bericht aufgebaut. ### Das erhalten Sie - Dokumentierter Scope, Zeitraum und Methodik - Befunde mit CVSS-3.1-Bewertung, Geschäftsrisiko und Empfehlung - Kostenloser Retest innerhalb von 60 Tagen, schriftlich bestätigt - Prüfbescheinigung: eine Seite mit Scope, Zeitraum und Status nach dem Retest - Importfertige Tickets für Jira, ServiceNow, GitLab, Azure DevOps und GitHub - E-Mail-Import für Helpdesks wie OTRS/Znuny, Zammad, TOPdesk und Matrix42 [Festpreis berechnen](https://mr-cyber.com/de/angebot?service=unsure&driver=iso27001) ## Welche Tests zu Ihrem ISMS-Scope passen. Testen Sie, was im Geltungsbereich Ihres ISMS liegt, zuerst die Systeme mit dem höchsten Risiko. - [Externer Pentest Festpreis ab 1.900 €.](https://mr-cyber.com/de/leistungen/externer-penetrationstest) - [Webanwendungs-Pentest Festpreis ab 2.900 €.](https://mr-cyber.com/de/leistungen/webanwendung-penetrationstest) - [API-Pentest Festpreis ab 2.400 €.](https://mr-cyber.com/de/leistungen/api-penetrationstest) - [Interner Pentest Festpreis ab 3.800 €.](https://mr-cyber.com/de/leistungen/interner-penetrationstest) - [Active-Directory-Pentest Festpreis ab 3.400 €.](https://mr-cyber.com/de/leistungen/active-directory-pentest) - [Cloud-Pentest Festpreis ab 3.300 €.](https://mr-cyber.com/de/leistungen/cloud-penetrationstest) ## Häufige Fragen zu ISO 27001 und Penetrationstests Schreibt ISO 27001 einen Penetrationstest vor? Nicht namentlich. Anhang A 8.8 verlangt ein Management technischer Schwachstellen, Anhang A 8.29 Sicherheitstests in Entwicklung und Abnahme. In der Praxis erwarten viele Auditoren regelmäßige technische Prüfungen, und ein Pentest ist dafür ein gängiger, anerkannter Nachweis. Reicht ein Schwachstellenscan für ISO 27001? Er kann Anhang A 8.8 für bekannte Schwachstellen unterstützen. Ob Ihr Auditor ihn allein akzeptiert, hängt von Ihren Risiken und Ihrem Scope ab; für selbst entwickelte Anwendungen und kritische Systeme wird meist ein Pentest erwartet. Der Vergleich: [Pentest oder Schwachstellenscan?](https://mr-cyber.com/de/pentest-oder-schwachstellenscan). Wie oft sollten wir für ISO 27001 testen? Die Norm legt kein festes Intervall fest. Üblich ist mindestens ein Test pro Jahr und nach wesentlichen Änderungen, abgestimmt auf Ihren Auditzyklus. Erhalten wir von Ihnen ein ISO-27001-Zertifikat? Nein. Zertifizieren können nur akkreditierte Zertifizierungsstellen. Sie erhalten einen prüffähigen Bericht, eine Retest-Bestätigung und eine einseitige Prüfbescheinigung. Was kostet ein Pentest für ISO 27001? Das hängt vom Scope ab. Ein externer Pentest beginnt bei 1.900 €; alle Festpreise stehen auf der Seite [Preise](https://mr-cyber.com/de/preise). Im [Anfrageformular](https://mr-cyber.com/de/angebot) sehen Sie Ihren verbindlichen Festpreis sofort. Auch hilfreich: [NIS2 & Compliance](https://mr-cyber.com/de/nis2-penetrationstest) [Pentest oder Schwachstellenscan?](https://mr-cyber.com/de/pentest-oder-schwachstellenscan) [TISAX Pentest](https://mr-cyber.com/de/tisax-pentest) [Pentest Cyberversicherung](https://mr-cyber.com/de/pentest-cyberversicherung)