ISO 27001: Was eine Zertifizierung wirklich voraussetzt

Eine Zertifizierung bestätigt ein funktionierendes Managementsystem

ISO/IEC 27001 ist der international bekannteste Standard für Informationssicherheitsmanagementsysteme. Er beschreibt Anforderungen an den Aufbau, die Umsetzung, die Aufrechterhaltung und die fortlaufende Verbesserung eines ISMS. Die Anforderungen gelten grundsätzlich für Organisationen jeder Größe und Branche.

Eine Zertifizierung bestätigt deshalb nicht lediglich, dass ein Unternehmen bestimmte Sicherheitsprodukte einsetzt. Geprüft wird, ob Informationssicherheit als dauerhaftes Managementsystem organisiert ist.

Dazu gehören unter anderem:

• ein definierter Geltungsbereich,
• klare Verantwortlichkeiten,
• eine nachvollziehbare Risikobewertung,
• ausgewählte Sicherheitsmaßnahmen,
• dokumentierte Entscheidungen,
• interne Kontrollen,
• Managementbewertungen,
• ein Verfahren zur kontinuierlichen Verbesserung.

Die aktuell maßgebliche Fassung ist ISO/IEC 27001:2022. Ergänzend wurde 2024 eine Änderung zu klimabezogenen Kontextanforderungen veröffentlicht.

1. ISMS und Zertifizierung voneinander unterscheiden

Ein Unternehmen kann ein ISMS aufbauen, ohne sich anschließend zertifizieren zu lassen.

Die Einführung eines Informationssicherheitsmanagementsystems kann bereits sinnvoll sein, um:

• Risiken besser zu steuern,
• Kundenanforderungen zu erfüllen,
• NIS2-Strukturen vorzubereiten,
• interne Verantwortlichkeiten zu klären,
• Notfall- und Wiederanlaufprozesse zu verbessern,
• Lieferanten systematisch zu prüfen.

Eine Zertifizierung ergänzt diesen internen Nutzen um einen unabhängigen Nachweis. Eine externe Zertifizierungsstelle prüft, ob das ISMS die Anforderungen der Norm erfüllt und im Unternehmen tatsächlich angewendet wird.

Die ISO weist ausdrücklich darauf hin, dass Organisationen die Norm entweder als Rahmen für gute Praxis nutzen oder zusätzlich eine Zertifizierung anstreben können.

Eine Zertifizierung ist daher kein Ersatz für den Aufbau eines ISMS. Sie ist die externe Prüfung eines bereits eingeführten und wirksamen Systems.

2. Den Geltungsbereich sorgfältig festlegen

Jede Zertifizierung bezieht sich auf einen klar definierten Geltungsbereich.

Dieser sogenannte Scope legt fest, welche Teile der Organisation geprüft werden. Dazu können gehören:

• bestimmte Standorte,
• Geschäftseinheiten,
• Produkte oder Dienstleistungen,
• Rechenzentren,
• Entwicklungsbereiche,
• IT-Betriebsleistungen,
• Produktionsumgebungen,
• unterstützende Prozesse.

Der Geltungsbereich muss fachlich nachvollziehbar sein. Kritische Schnittstellen dürfen nicht allein deshalb ausgeschlossen werden, weil ihre Einbeziehung aufwendig wäre.

Bei der Festlegung sollten mindestens folgende Punkte berücksichtigt werden:

• Welche Leistungen sollen vom Zertifikat erfasst werden?
• Welche Prozesse sind für diese Leistungen notwendig?
• Welche Systeme und Informationen werden eingesetzt?
• Welche internen Bereiche unterstützen den Betrieb?
• Welche externen Dienstleister sind wesentlich?
• Welche Standorte und rechtlichen Einheiten gehören dazu?
• Welche Abhängigkeiten bestehen zu Bereichen außerhalb des Scopes?

Ein unklarer oder künstlich kleiner Scope führt spätestens im Audit zu Rückfragen.

3. Kontext und interessierte Parteien bestimmen

ISO/IEC 27001 verlangt, dass die Organisation ihren eigenen Kontext versteht.

Dazu gehört die Betrachtung interner und externer Einflussfaktoren. Beispiele sind:

• Geschäftsmodell,
• Kundenanforderungen,
• gesetzliche Verpflichtungen,
• Branchenstandards,
• technologische Abhängigkeiten,
• Lieferketten,
• Wettbewerbssituation,
• personelle Ressourcen,
• Sicherheitslage,
• Veränderungen im Markt.

Zusätzlich müssen sogenannte interessierte Parteien betrachtet werden. Das können unter anderem sein:

• Kunden,
• Beschäftigte,
• Eigentümer,
• Behörden,
• Versicherer,
• Lieferanten,
• Geschäftspartner,
• Zertifizierungsstellen.

Dabei geht es nicht darum, jede denkbare Erwartung aufzunehmen. Relevant sind Anforderungen, die für das ISMS und den festgelegten Geltungsbereich tatsächlich von Bedeutung sind.

Die 2024 veröffentlichte Änderung der Norm ergänzt die Kontextprüfung um die Frage, ob der Klimawandel ein relevantes Thema für das Managementsystem darstellt und ob interessierte Parteien entsprechende Anforderungen haben.

4. Informationssicherheitsrisiken nachvollziehbar bewerten

Die Risikobewertung gehört zu den zentralen Anforderungen der ISO/IEC 27001.

Das Unternehmen muss ein nachvollziehbares Verfahren festlegen, mit dem Informationssicherheitsrisiken identifiziert, analysiert und bewertet werden.

Eine Risikobewertung sollte beispielsweise dokumentieren:

• betroffenes Schutzobjekt,
• mögliche Bedrohung,
• vorhandene Schwachstelle,
• Eintrittswahrscheinlichkeit,
• mögliche Auswirkung,
• bestehende Maßnahmen,
• verbleibendes Restrisiko,
• verantwortliche Person.

Typische Schutzobjekte sind:

• Informationen,
• Anwendungen,
• IT-Systeme,
• Cloud-Dienste,
• Endgeräte,
• Produktionsanlagen,
• Kommunikationswege,
• Standorte,
• Dienstleister,
• Geschäftsprozesse.

Die Bewertungsmethode muss nicht mathematisch kompliziert sein. Sie muss jedoch konsistent, verständlich und wiederholbar sein.

Wichtig ist außerdem, dass Risiken nicht nur dokumentiert, sondern behandelt werden. Für wesentliche Risiken muss entschieden werden, ob sie:

• reduziert,
• vermieden,
• übertragen,
• oder bewusst akzeptiert

werden.

5. Die Erklärung zur Anwendbarkeit erstellen

Ein zentrales Dokument der ISO-27001-Umsetzung ist die Erklärung zur Anwendbarkeit, häufig als Statement of Applicability oder SoA bezeichnet.

Darin wird festgehalten:

• welche Sicherheitsmaßnahmen berücksichtigt wurden,
• welche Maßnahmen anwendbar sind,
• welche Maßnahmen nicht angewendet werden,
• wie Ausschlüsse begründet werden,
• wie die Maßnahmen umgesetzt sind oder werden.

Der Anhang A der ISO/IEC 27001 enthält einen Referenzsatz von Informationssicherheitsmaßnahmen. Die ergänzende ISO/IEC 27002 bietet dazu ausführlichere Empfehlungen und Umsetzungshinweise, etwa zu Zugriffskontrolle, Kryptografie, Personal, Betrieb und Vorfallmanagement.

Die SoA darf nicht einfach aus einer Vorlage übernommen werden. Sie muss zur eigenen Risikobewertung, zum Geltungsbereich und zu den tatsächlichen Maßnahmen passen.

Typische Schwächen sind:

• Maßnahmen ohne Bezug zu Risiken,
• pauschale Übernahme aller Controls,
• unbegründete Ausschlüsse,
• abweichende Dokumentation,
• Maßnahmen, die nur geplant, aber als umgesetzt dargestellt werden.

6. Sicherheitsziele messbar formulieren

Die Norm verlangt Informationssicherheitsziele.

Diese sollten nicht nur allgemein formuliert sein, etwa:

Wir verbessern kontinuierlich unsere Informationssicherheit.

Solche Aussagen sind schwer überprüfbar.

Besser sind konkrete Ziele, beispielsweise:

• vollständige Einführung von Mehrfaktor-Authentifizierung bis zu einem festgelegten Termin,
• Reduzierung kritischer offener Schwachstellen,
• Durchführung eines Wiederherstellungstests pro Quartal,
• Prüfung aller administrativen Berechtigungen,
• Schulung aller Beschäftigten innerhalb eines definierten Zeitraums,
• Verkürzung der Bearbeitungszeit von Sicherheitsvorfällen.

Zu jedem Ziel sollten festgelegt werden:

• Messgröße,
• Zielwert,
• Verantwortlichkeit,
• Termin,
• benötigte Ressourcen,
• Verfahren zur Überprüfung.

Im Audit muss erkennbar sein, dass Ziele gesteuert und nicht nur dokumentiert werden.

7. Dokumentierte Informationen kontrollieren

Ein zertifizierungsfähiges ISMS benötigt dokumentierte Informationen.

Dazu gehören typischerweise:

• Informationssicherheitsleitlinie,
• Geltungsbereich,
• Risikobewertungsmethode,
• Risikobewertungen,
• Risikobehandlungsplan,
• Erklärung zur Anwendbarkeit,
• Rollen und Verantwortlichkeiten,
• Sicherheitsziele,
• relevante Richtlinien,
• Auditberichte,
• Managementbewertungen,
• Maßnahmenverfolgung.

Zusätzlich entstehen operative Nachweise, zum Beispiel:

• Berechtigungsprüfungen,
• Schulungsnachweise,
• Protokolle von Wiederherstellungstests,
• Schwachstellenberichte,
• Freigaben,
• Vorfallberichte,
• Lieferantenbewertungen,
• technische Prüfprotokolle.

Dokumente müssen gelenkt werden. Dazu gehören:

• eindeutige Bezeichnung,
• Version,
• Verantwortlicher,
• Freigabe,
• Aktualisierungsdatum,
• Zugriffsregelung,
• Archivierung.

Entscheidend ist die Übereinstimmung von Dokumentation und gelebter Praxis.

8. Interne Audits durchführen

Vor einer Zertifizierung muss das Unternehmen sein ISMS selbst überprüfen.

Interne Audits sollen feststellen:

• ob die Anforderungen der Norm erfüllt werden,
• ob interne Vorgaben eingehalten werden,
• ob Prozesse wirksam sind,
• wo Abweichungen bestehen,
• welche Verbesserungen erforderlich sind.

Ein internes Audit ist mehr als eine Dokumentenprüfung. Es umfasst häufig:

• Interviews,
• Stichproben,
• Prüfung technischer Nachweise,
• Nachverfolgung von Maßnahmen,
• Bewertung tatsächlicher Abläufe.

Die Auditoren sollten ausreichend unabhängig von den geprüften Tätigkeiten sein. In kleineren Unternehmen kann deshalb externe Unterstützung sinnvoll sein.

Festgestellte Abweichungen müssen dokumentiert, bewertet und bearbeitet werden. Vor dem Zertifizierungsaudit sollten wesentliche Lücken geschlossen sein.

9. Eine Managementbewertung vorweisen

Die Geschäftsleitung muss das ISMS regelmäßig bewerten.

Dabei sollten unter anderem betrachtet werden:

• Ergebnisse interner Audits,
• Status früherer Maßnahmen,
• Veränderungen im Unternehmensumfeld,
• Sicherheitsvorfälle,
• Zielerreichung,
• Kennzahlen,
• Risikosituation,
• Rückmeldungen interessierter Parteien,
• Ressourcenbedarf,
• Verbesserungsmöglichkeiten.

Die Managementbewertung muss zu konkreten Entscheidungen führen.

Beispiele sind:

• Freigabe zusätzlicher Ressourcen,
• Anpassung von Sicherheitszielen,
• Priorisierung technischer Maßnahmen,
• Änderung des Geltungsbereichs,
• Überarbeitung von Richtlinien,
• Beauftragung zusätzlicher Prüfungen.

Ein Protokoll ohne erkennbare Entscheidung oder Folgeaktivität erfüllt den Zweck nur unzureichend.

10. Das Zertifizierungsaudit vorbereiten

Das Zertifizierungsaudit erfolgt typischerweise in mehreren Stufen.

In einer ersten Phase wird geprüft, ob das ISMS grundsätzlich auditfähig ist. Betrachtet werden unter anderem:

• Geltungsbereich,
• zentrale Dokumentation,
• Risikobewertung,
• Erklärung zur Anwendbarkeit,
• interne Audits,
• Managementbewertung,
• organisatorische Reife.

In der anschließenden Hauptprüfung wird bewertet, ob das ISMS tatsächlich umgesetzt und wirksam betrieben wird.

Auditoren prüfen beispielsweise:

• ob Beschäftigte ihre Aufgaben kennen,
• ob Richtlinien angewendet werden,
• ob Maßnahmen nachvollziehbar umgesetzt sind,
• ob Risiken regelmäßig aktualisiert werden,
• ob Vorfälle behandelt werden,
• ob Nachweise vollständig sind,
• ob Abweichungen bearbeitet werden.

Für Zertifizierungsstellen gelten eigene Kompetenz- und Unabhängigkeitsanforderungen. ISO/IEC 27006-1 ergänzt die allgemeinen Regeln speziell für Stellen, die ISMS nach ISO/IEC 27001 auditieren und zertifizieren.

11. Abweichungen nicht nur formal schließen

Im Audit können Abweichungen festgestellt werden.

Dabei wird gewöhnlich zwischen unterschiedlich schwerwiegenden Feststellungen unterschieden. Entscheidend ist nicht nur die unmittelbare Korrektur, sondern die Ursachenanalyse.

Ein belastbarer Prozess umfasst:

1. Feststellung beschreiben
2. Ursache analysieren
3. unmittelbare Korrektur durchführen
4. dauerhafte Korrekturmaßnahme festlegen
5. Verantwortlichkeit und Termin bestimmen
6. Wirksamkeit überprüfen

Wird beispielsweise festgestellt, dass eine Berechtigungsprüfung nicht durchgeführt wurde, reicht es nicht unbedingt, sie einmal nachzuholen.

Zusätzlich sollte geklärt werden:

• Warum wurde sie versäumt?
• War die Verantwortlichkeit unklar?
• Fehlte eine Terminüberwachung?
• War der Prozess nicht praktikabel?
• Sind weitere Bereiche betroffen?

Nur dadurch wird verhindert, dass dieselbe Abweichung erneut auftritt.

12. Die Zertifizierung dauerhaft aufrechterhalten

Mit der Ausstellung des Zertifikats endet die Arbeit nicht.

Ein ISMS muss weiter betrieben und verbessert werden. Dazu gehören:

• regelmäßige interne Audits,
• Managementbewertungen,
• Aktualisierung der Risiken,
• Bearbeitung von Abweichungen,
• Pflege der Dokumentation,
• Überprüfung der Ziele,
• Anpassung an organisatorische Veränderungen,
• externe Überwachungsaudits.

Eine ISO-27001-Zertifizierung bestätigt deshalb keinen dauerhaft unveränderten Zustand. Sie bestätigt, dass ein Managementsystem vorhanden ist, mit dem Veränderungen, Risiken und Verbesserungen gesteuert werden.

Auch das BSI beschreibt Zertifizierungen auf Basis von IT-Grundschutz als formelle Prüfung durch qualifizierte Auditoren und eine anschließende Zertifizierungsentscheidung.

Gute Vorbereitung beginnt vor dem Audit

Die häufigsten Probleme entstehen nicht erst im Zertifizierungsaudit.

Sie entstehen, wenn:

• der Scope unklar ist,
• Risiken nur oberflächlich bewertet wurden,
• Maßnahmen nicht zur Risikobewertung passen,
• Dokumente und Praxis voneinander abweichen,
• interne Audits zu spät stattfinden,
• die Geschäftsleitung nicht eingebunden ist,
• Nachweise fehlen,
• offene Maßnahmen nicht systematisch verfolgt werden.

Eine sinnvolle Vorbereitung beginnt deshalb mit einer Gap-Analyse.

Dabei werden die Anforderungen der ISO/IEC 27001 mit dem tatsächlichen Stand im Unternehmen verglichen. Das Ergebnis sollte ein priorisierter Maßnahmenplan sein, kein bloßer Fragenkatalog.

CTA am Ende des Beitrags

Ist Ihr ISMS bereit für eine Zertifizierung?

ProtectYourIT prüft Geltungsbereich, Risikomanagement, Dokumentation und Nachweise und zeigt nachvollziehbar auf, welche Lücken vor einem Audit noch geschlossen werden sollten.

ISO-27001-Reifegrad prüfen lassen –>

Hinweis: Dieser Beitrag dient der allgemeinen Orientierung. Die konkrete Vorbereitung und Zertifizierung sollte an Geltungsbereich, Organisation, Risikosituation und Anforderungen der ausgewählten Zertifizierungsstelle angepasst werden.