Die Norm wird gemeinsam von der Internationalen Organisation für Normung (ISO) und der Internationalen Elektrotechnischen Kommission (IEC) herausgegeben. Die aktuelle Fassung ist ISO/IEC 27001:2022; die Übergangsfrist für Zertifikate nach der Vorgängerfassung von 2013 ist im Oktober 2025 ausgelaufen.
Ein Zertifikat dient vielen Unternehmen als Nachweis gegenüber Kunden, Partnern und Versicherungen, und manche Ausschreibungen setzen es voraus. Die Norm eignet sich aber auch ohne Zertifizierung als Leitfaden, um ein ISMS strukturiert aufzubauen.
Wie ISO/IEC 27001 aufgebaut ist
Die Kapitel 4 bis 10 beschreiben die Anforderungen an das Managementsystem: Kontext der Organisation, Führung, Planung einschließlich Risikobeurteilung und Risikobehandlung, Unterstützung, Betrieb, Bewertung der Leistung und Verbesserung. Die Risikobeurteilung ist dabei das Herzstück, siehe IT-Risikoanalyse.
Der Anhang A enthält 93 Maßnahmen (Controls), gegliedert in vier Themen: Organisation, Personen, physische Sicherheit und Technologie. Unternehmen wählen anhand ihrer Risikobewertung aus, welche Maßnahmen sie umsetzen, und begründen die Auswahl in der Erklärung zur Anwendbarkeit (Statement of Applicability). Ausführliche Umsetzungshinweise liefert die ergänzende Norm ISO/IEC 27002.
Die Zertifizierung erfolgt durch eine akkreditierte Zertifizierungsstelle in einem zweistufigen Audit. Das Zertifikat gilt drei Jahre, mit jährlichen Überwachungsaudits und anschließender Rezertifizierung.
Typische Beispiele
- Ein Softwareanbieter lässt sich zertifizieren, weil Kunden in Ausschreibungen einen Nachweis verlangen.
- Ein Unternehmen orientiert sich an der Norm, ohne ein Zertifikat anzustreben, um sein Sicherheitsniveau planvoll zu verbessern.
- Bei der Auswahl eines Cloud-Anbieters wird geprüft, ob dessen Zertifikat die tatsächlich genutzten Dienste umfasst.
- Ein Unternehmen nutzt die Maßnahmen aus Anhang A als Prüfliste, um Lücken etwa bei Zugriffsschutz, Protokollierung oder Lieferantensteuerung zu finden.
Worauf Unternehmen achten sollten
- Bei fremden Zertifikaten auf Geltungsbereich, ausstellende Stelle und Gültigkeit achten.
- Den Aufwand realistisch planen: Aufbau, Dokumentation und interne Audits brauchen Zeit und Personal.
- Die Norm als Werkzeug zur Risikosteuerung nutzen, nicht nur als Urkunde.
- Überschneidungen mit NIS2 und der DSGVO nutzen: Ein ISMS nach ISO/IEC 27001 kann für beide eine strukturierte Grundlage bilden, ersetzt die Prüfung der jeweiligen Pflichten aber nicht.
Dieser Eintrag ist eine allgemeine Einordnung und ersetzt keine Rechtsberatung.
Cyber Security ansehen