Security & Compliance

ISO 27001 (Informationssicherheits-Managementsystem)

Overview

ISO/IEC 27001 ist der international verbreitete Standard für Informationssicherheits-Managementsysteme (ISMS). Er beschreibt keine einzelne Technik, sondern ein Managementsystem: Verantwortung der Leitung, Risikobewertung, Auswahl von Maßnahmen, Dokumentation, Überwachung und kontinuierliche Verbesserung.

Aktuell gilt die Ausgabe ISO/IEC 27001:2022. Die Übergangsfrist für Zertifikate nach der Ausgabe 2013 ist am 31. Oktober 2025 abgelaufen, alte Zertifikate sind seitdem abgelaufen oder zurückgezogen. Erst- und Rezertifizierungen werden seit Mai 2024 nur noch nach der Ausgabe 2022 durchgeführt.

Abzugrenzen sind ISO/IEC 27002 (Leitfaden zu den Maßnahmen, nicht zertifizierbar), der BSI IT-Grundschutz (deutsche Methodik, auch als ISO 27001 auf Basis von IT-Grundschutz zertifizierbar) und TISAX, das in der Automobilindustrie inhaltlich auf ISO 27001 aufbaut. NIS2 verlangt keine Zertifizierung, ein ISMS nach ISO 27001 deckt aber einen großen Teil der Risikomanagementpflichten aus § 30 BSIG ab.

How it works

Der Standard folgt dem Zyklus Planen, Umsetzen, Prüfen, Verbessern:

  1. Kontext, interessierte Parteien und Geltungsbereich (Scope) festlegen.
  2. Informationssicherheitsleitlinie durch die Leitung verabschieden, Rollen und Verantwortungen zuweisen.
  3. Risiken identifizieren, bewerten und eine Behandlung wählen.
  4. Maßnahmen aus Anhang A auswählen und in der Erklärung zur Anwendbarkeit (Statement of Applicability) begründen.
  5. Umsetzen, schulen, dokumentieren und Wirksamkeit messen.
  6. Interne Audits und Managementbewertung durchführen, Abweichungen korrigieren.

Anhang A der Ausgabe 2022 enthält 93 Maßnahmen in vier Themen (organisatorisch, personenbezogen, physisch, technologisch) statt bisher 114 in 14 Kapiteln, darunter elf neue wie Threat Intelligence, Cloud-Dienste und IKT-Bereitschaft für Business Continuity. Ein Zertifikat gilt drei Jahre mit jährlichen Überwachungsaudits.

Benefits

  • Anerkannter Nachweis für Kunden, Ausschreibungen und Partner
  • Risikobasiertes Vorgehen statt Einzelmaßnahmen nach Bauchgefühl
  • Gemeinsame Sprache zwischen Geschäftsleitung, IT und Fachbereichen
  • Gute Basis für NIS2, TISAX und DSGVO, weil viele Anforderungen sich überschneiden

Practical example

Ein IT-Dienstleister mit 80 Mitarbeitenden wird in Ausschreibungen nach einer ISO-27001-Zertifizierung gefragt. Er legt den Geltungsbereich auf Rechenzentrumsbetrieb und Support fest, führt eine Risikoanalyse durch und schließt die Lücken mit Richtlinien, Schulungen und technischen Maßnahmen wie PIM und zentralem Logging. Nach rund einem Jahr besteht er das Zertifizierungsaudit, die jährlichen Überwachungsaudits sind fest eingeplant.

Things to keep in mind

  • Den Geltungsbereich bewusst festlegen, ein zu großer Scope verlängert die Einführung erheblich
  • Das ISMS als Managementaufgabe verankern, die Geschäftsleitung muss Leitlinie und Ressourcen tragen
  • Zertifikate nach Ausgabe 2013 sind seit 31. Oktober 2025 ungültig, Lieferantennachweise entsprechend prüfen
  • Eine Zertifizierung bescheinigt das Managementsystem im Scope, nicht die Sicherheit jedes einzelnen Systems
  • Werkzeuge ersetzen weder Risikoanalyse noch interne Audits noch Managementbewertung

Conclusion

ISO 27001 lohnt sich für Unternehmen, die Kunden gegenüber Sicherheit belegen müssen oder ein belastbares Fundament für NIS2 suchen. Rechne mit mehreren Monaten Aufbauzeit und dauerhaftem Pflegeaufwand.

Further reading

Related articles