# ISO 27001 Certified: Why It Is No Longer Enough Today > Der Beitrag von Swiss GRC erklärt, warum eine ISO-27001-Zertifizierung allein nicht genügt. Er richtet sich an Organisationen und zeigt, dass Risiken laufend erkannt, bewertet und gesteuert werden müssen, auch bei Lieferanten, Regulierung und KI. - URL: https://swissgrc.com/en/iso-27001-certified-why-it-is-no-longer-enough-today/ - Publisher: SwissGRC® - Published: 2026-08-18 - Last updated: 2026-08-20 ## Key facts - Die ISO-27001-Zertifizierung gilt weltweit als einer der wichtigsten Standards für das Management der Informationssicherheit. - Laut Swiss GRC ist die Zertifizierung für viele Organisationen erst der Anfang, weil sich die Anforderungen an die Informationssicherheit laufend verändern. - Entscheidend ist, ob Risiken kontinuierlich erkannt, bewertet und gesteuert werden, nicht die Zertifizierung allein. - Werden Risiken nur in festen Intervallen geprüft, können neue Schwachstellen, Cyberangriffe oder regulatorische Änderungen zu lange unbemerkt bleiben. - Neben ISO 27001 nennt der Beitrag DORA, NIS2, GDPR, ISO 27701 und branchenspezifische Vorgaben als weitere Anforderungen. - Ein strukturiertes Third Party Risk Management schafft Transparenz und ermöglicht die laufende Bewertung aller relevanten Dritten. ISO 27001 certification is recognised worldwide as one of the most important standards for information security management. It helps organisations protect information assets, systematically assess risks, and establish clear processes for handling security incidents. For many organisations, certification marks the end of an extensive project. In practice, however, it is only the beginning. The requirements for [Information Security](https://swissgrc.com/informationssicherheit-isms-software/) are constantly evolving. Cyberattacks are becoming more complex, regulatory requirements are increasing, and companies are working with a growing number of suppliers, cloud providers, and digital services. The key question is therefore no longer whether a company is ISO 27001 certified. Much more important is whether risks can be continuously identified, assessed, and managed. What matters is not the certification alone, but whether risks are continuously identified, assessed, and managed. ## Information security is an ongoing process. Many companies rely on internal or external audits when managing information security. Risks are assessed regularly, controls are documented, and evidence is collected. However, the reality changes much faster. New vulnerabilities, cyberattacks, or regulatory changes can create new risks within just a few days. If risks are only reviewed at fixed intervals, developments can remain unnoticed for too long. A modern information security management system should therefore operate continuously rather than being focused solely on audits. ## Suppliers and service providers need to be actively monitored. Hardly any company operates without external partners today. Cloud providers, software vendors, and service providers often handle business-critical tasks or process sensitive information. This creates additional risks that cannot be adequately controlled through a one-time assessment. ### Companies should ask themselves the following questions, among others: - Which suppliers have access to critical data? - How high is the risk associated with our key service providers? - Do our partners continue to meet all security requirements? - How do we respond to changes in a supplier's risk profile? Structured Third Party Risk Management creates **transparency** and enables the continuous assessment of all relevant third parties. ## Regulatory requirements are becoming increasingly comprehensive In addition to ISO 27001, companies today must comply with numerous other legal and regulatory requirements. These include, for example: - DORA - NIS2 - GDPR - ISO 27701 - Industry-specific requirements The real challenge is to connect these requirements with existing risks, controls, and responsibilities. If this is managed across different systems or spreadsheets, the effort increases significantly and important connections can easily be lost. ## Artificial Intelligence Creates New Requirements The use of Artificial Intelligence is continuously increasing in companies. At the same time, new questions are emerging around governance and compliance. Companies should be able to answer the following questions at any time: - Which AI applications are being used? - What data does the AI process? - Who is responsible? - What risks arise from this? - Are regulatory requirements being met? ## Frequently asked questions ### Reicht eine ISO-27001-Zertifizierung heute noch aus? Laut Swiss GRC nicht. Die Zertifizierung ist ein wichtiger Schritt, entscheidend ist aber, ob Risiken fortlaufend erkannt, bewertet und gesteuert werden. ### Warum muss Informationssicherheit ein laufender Prozess sein? Neue Schwachstellen, Cyberangriffe oder regulatorische Änderungen können innerhalb weniger Tage neue Risiken schaffen. Wer nur in festen Intervallen prüft, bemerkt Entwicklungen unter Umständen zu spät. ### Warum sollten Lieferanten und Dienstleister überwacht werden? Cloud-Anbieter, Softwarehersteller und Dienstleister übernehmen oft geschäftskritische Aufgaben oder verarbeiten sensible Informationen. Diese Risiken lassen sich mit einer einmaligen Bewertung nicht ausreichend kontrollieren. ### Welche Regulierungen nennt der Beitrag neben ISO 27001? Genannt werden DORA, NIS2, GDPR, ISO 27701 und branchenspezifische Anforderungen. Die Herausforderung liegt darin, diese mit bestehenden Risiken, Kontrollen und Verantwortlichkeiten zu verbinden. ### Welche Fragen sollten Unternehmen zum Einsatz von KI beantworten können? Welche KI-Anwendungen im Einsatz sind, welche Daten sie verarbeiten, wer verantwortlich ist, welche Risiken entstehen und ob regulatorische Anforderungen erfüllt werden.