Was ist ISO/IEC 27001?
ISO/IEC 27001 ist der international bekannteste Standard für Informationssicherheitsmanagementsysteme.
Er legt Anforderungen fest, mit denen Organisationen ein ISMS aufbauen, umsetzen, betreiben, überwachen und fortlaufend verbessern können. Der Standard ist grundsätzlich für Unternehmen und Organisationen jeder Größe und Branche geeignet.
Die derzeit maßgebliche Ausgabe ist ISO/IEC 27001:2022. Ergänzend wurde 2024 eine Änderung zu klimabezogenen Kontextanforderungen veröffentlicht.
Was ist das Ziel des Standards?
ISO/IEC 27001 soll Unternehmen dabei unterstützen, Informationssicherheitsrisiken nachvollziehbar zu steuern.
Im Mittelpunkt stehen insbesondere:
- Vertraulichkeit von Informationen,
- Integrität von Informationen und Systemen,
- Verfügbarkeit von Informationen und Diensten,
- systematische Risikobewertung,
- angemessene Sicherheitsmaßnahmen,
- regelmäßige Kontrolle und Verbesserung.
Der Standard macht keine einheitlichen technischen Vorgaben für alle Unternehmen. Die konkrete Ausgestaltung richtet sich nach Geschäftsmodell, Geltungsbereich, Risiken und Anforderungen der jeweiligen Organisation.
Welche Anforderungen enthält ISO/IEC 27001?
Die Norm umfasst Anforderungen an mehrere Bereiche eines Managementsystems.
Dazu gehören unter anderem:
- Kontext der Organisation,
- Führung und Verantwortung,
- Planung und Risikomanagement,
- Unterstützung und Ressourcen,
- operative Umsetzung,
- Bewertung der Leistung,
- kontinuierliche Verbesserung.
Diese Struktur orientiert sich an der einheitlichen Grundstruktur moderner ISO-Managementsystemstandards.
Was ist der Geltungsbereich?
Der Geltungsbereich – häufig als Scope bezeichnet – legt fest, welche Teile der Organisation vom ISMS umfasst werden.
Er kann beispielsweise enthalten:
- das gesamte Unternehmen,
- bestimmte Standorte,
- einzelne Geschäftseinheiten,
- bestimmte Dienstleistungen,
- Entwicklungs- oder Produktionsbereiche,
- IT-Betriebsleistungen.
Der Scope muss nachvollziehbar abgegrenzt sein. Gleichzeitig dürfen wesentliche Abhängigkeiten, Schnittstellen und unterstützende Prozesse nicht übersehen werden.
Welche Rolle spielt die Risikobewertung?
Die Risikobewertung ist ein zentraler Bestandteil von ISO/IEC 27001.
Unternehmen müssen ein nachvollziehbares Verfahren festlegen, mit dem Informationssicherheitsrisiken identifiziert, analysiert und bewertet werden.
Dabei wird beispielsweise betrachtet:
- welches Schutzobjekt betroffen ist,
- welche Bedrohung bestehen könnte,
- welche Schwachstelle ausgenutzt werden könnte,
- wie wahrscheinlich ein Ereignis ist,
- welche Auswirkungen entstehen könnten,
- welche Maßnahmen bereits vorhanden sind.
Aus der Bewertung ergibt sich, welche Risiken behandelt, vermieden, übertragen oder bewusst akzeptiert werden.
Was ist Anhang A?
Anhang A enthält einen Referenzsatz von Informationssicherheitsmaßnahmen.
Diese Maßnahmen decken unter anderem folgende Themen ab:
- organisatorische Sicherheit,
- personelle Sicherheit,
- physische Sicherheit,
- technologische Sicherheit.
Die Maßnahmen werden nicht automatisch vollständig übernommen. Das Unternehmen muss prüfen, welche davon aufgrund seiner Risiken und Anforderungen anwendbar sind.
Die Auswahl und Begründung wird in der Erklärung zur Anwendbarkeit dokumentiert.
Was ist die Erklärung zur Anwendbarkeit?
Die Erklärung zur Anwendbarkeit wird häufig als Statement of Applicability oder SoA bezeichnet.
Sie dokumentiert:
- welche Maßnahmen aus Anhang A berücksichtigt wurden,
- welche Maßnahmen anwendbar sind,
- welche Maßnahmen ausgeschlossen wurden,
- wie Ausschlüsse begründet werden,
- welchen Umsetzungsstand die Maßnahmen haben.
Die SoA verbindet die Risikobewertung mit den tatsächlich ausgewählten Sicherheitsmaßnahmen.
Ist eine Zertifizierung vorgeschrieben?
Eine Zertifizierung ist nicht automatisch erforderlich.
Unternehmen können ISO/IEC 27001 auch ohne Zertifikat als methodischen Rahmen verwenden.
Eine Zertifizierung kann sinnvoll sein, wenn:
- Kunden einen formalen Nachweis verlangen,
- Ausschreibungen eine Zertifizierung voraussetzen,
- vertragliche Anforderungen bestehen,
- Vertrauen gegenüber Geschäftspartnern gestärkt werden soll,
- das Unternehmen sein ISMS extern bewerten lassen möchte.
Die Zertifizierung erfolgt durch eine unabhängige Zertifizierungsstelle.
Wie läuft eine Zertifizierung ab?
Vor dem Zertifizierungsaudit muss das ISMS vollständig aufgebaut und bereits wirksam betrieben werden.
Typische Schritte sind:
- Geltungsbereich festlegen
- ISMS aufbauen
- Risiken bewerten
- Maßnahmen umsetzen
- Dokumentation und Nachweise erstellen
- internes Audit durchführen
- Managementbewertung durchführen
- Zertifizierungsaudit absolvieren
Das externe Audit erfolgt üblicherweise in mehreren Stufen. Dabei werden zunächst Auditfähigkeit und Dokumentation geprüft. Anschließend wird bewertet, ob das ISMS im Unternehmen tatsächlich umgesetzt und wirksam ist.
Was wird im Audit geprüft?
Auditoren prüfen nicht nur Dokumente.
Sie betrachten beispielsweise:
- Rollen und Verantwortlichkeiten,
- Risikobewertungen,
- Sicherheitsmaßnahmen,
- Schulungsnachweise,
- Berechtigungsprüfungen,
- Notfall- und Wiederherstellungstests,
- Lieferantenmanagement,
- interne Audits,
- Managemententscheidungen,
- Bearbeitung offener Maßnahmen.
Entscheidend ist, dass Dokumentation und tatsächliche Praxis übereinstimmen.
Wie lange gilt ein Zertifikat?
Ein Zertifikat gilt üblicherweise für einen begrenzten Zertifizierungszyklus.
Während dieser Zeit finden regelmäßige Überwachungsaudits statt. Am Ende des Zyklus ist eine erneute umfassende Prüfung erforderlich.
Das Unternehmen muss sein ISMS deshalb dauerhaft weiterführen und verbessern.
Welchen Nutzen bietet ISO/IEC 27001?
ISO/IEC 27001 schafft einen anerkannten Rahmen für Informationssicherheit.
Der Standard unterstützt Unternehmen dabei:
- Risiken strukturiert zu bewerten,
- Verantwortlichkeiten klar zu regeln,
- Sicherheitsmaßnahmen nachvollziehbar zu priorisieren,
- Kundenanforderungen nachzuweisen,
- Audits systematisch vorzubereiten,
- Informationssicherheit kontinuierlich weiterzuentwickeln.
Eine gute Umsetzung orientiert sich dabei nicht an möglichst vielen Dokumenten, sondern an einem wirksamen und zur Organisation passenden Managementsystem.