ISO 27001 – Der internationale Standard für Informationssicherheit

Was regelt die ISO 27001 Norm?

Die ISO 27001 Norm beschreibt die Forderungen, die Organisationen erfüllen müssen, um ein wirksames Informationssicherheitsmanagementsystem (ISMS) zu betreiben.

ISO/IEC 27001 legt Anforderungen fest für das Einführen, Umsetzen, Überwachen, Warten und fortlaufende Verbesserung eines ISMS. Sie definiert insbesondere, wie mit Risiken in Bezug auf die klassischen Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit umgegangen werden soll.

Die Norm orientiert sich an der High Level Structure (HLS), die in vielen modernen ISO-Managementnormen Anwendung findet (z. B. ISO 9001, ISO 14001).

ISO 27001 ist in mehrere Kapitel unterteilt (oft 4 bis 10 je nach Version) sowie durch einen verbindlichen Anhang (Annex A) mit Kontrollmaßnahmen.

Die Kapitel (Klauseln) 4–10 legen systemische Anforderungen fest (z. B. Kontext der Organisation, Führung, Planung, Unterstützung, Betrieb, Leistungsbewertung, Verbesserung).

Der Annex A enthält zahlreiche Controls (Maßnahmen), die Unternehmen auswählen, anpassen oder ausschließen können – je nach Risikoanalyse und Anwendbarkeit - so genanntes Statement of Applicability oder SoA.

Die Schutzziele der ISO 27001 umfassen:

• Vertraulichkeit: Informationen dürfen nur von Berechtigten eingesehen werden)

• Integrität: Informationen dürfen nicht unbemerkt verändert werden)

• Verfügbarkeit: Informationen müssen bei Bedarf zugänglich sein)

Organisationen müssen Risiken ermitteln, bewerten und Maßnahmen ableiten, um diese Schutzziele zu wahren.

ISO steht für International Organization for Standardization, IEC für International Electrotechnical Commission. In Kombination – ISO/IEC 27001 – handelt es sich um einen Normstandard für Informationssicherheit, herausgegeben von beiden Gremien.

Vorteile der ISO 27001 für Unternehmen

Die Einführung oder Zertifizierung nach ISO 27001 lohnt sich für Unternehmen aus mehreren Gründen. Durch eine strukturierte Risikoanalyse und gezielte Risikobehandlung lassen sich Datenschutzverletzungen, Systemausfälle und Sicherheitsvorfälle effektiv vermeiden – was langfristig Schäden und Kosten reduziert. Gleichzeitig hilft die Norm, gesetzliche und behördliche Anforderungen zu erfüllen, etwa im Bereich der kommenden NIS-2-Richtlinie, des Datenschutzes und des IT-Sicherheitsgesetzes.

Eine ISO 27001-Zertifizierung stärkt zudem das Vertrauen von Kunden, Partnern und Aufsichtsbehörden, da sie zeigt, dass Informationssicherheit im Unternehmen ernst genommen wird. Auch wirtschaftlich bietet sie Vorteile: Zertifizierte Unternehmen haben oft einen Wettbewerbsvorteil und erfüllen die Voraussetzungen für Ausschreibungen oder Partnerverträge, in denen Informationssicherheitsnachweise gefordert sind.

Darüber hinaus führt die Norm zu einer klaren Strukturierung und Standardisierung von Prozessen, was die Effizienz im Unternehmen erhöht. Da ISO 27001 die Nachweispflicht gegenüber Kunden und Auditoren zentral bündelt, lassen sich zudem mehrfache externe Audits vermeiden. Insgesamt trägt die Norm dazu bei, dass Informationssicherheit nicht als Einzelprojekt, sondern als fester Bestandteil der Unternehmensführung und -kultur verstanden und gelebt wird.

Was ist der Unterschied zwischen ISO 27001:2013 und ISO 27001:2022?

Zwischen der ISO 27001:2013 und der neueren Version von 2022 gibt es mehrere wichtige Anpassungen und Modernisierungen. Die überarbeitete Fassung enthält ein aktualisiertes Set an Sicherheitskontrollen im Annex A, das neu strukturiert wurde, um besser auf aktuelle Bedrohungslagen und technologische Entwicklungen zu reagieren. Einige dieser Kontrollen wurden zusammengeführt oder präziser formuliert, um Redundanzen zu vermeiden und mehr Klarheit in der Anwendung zu schaffen.

Der grundlegende Aufbau der Norm – insbesondere die Kapitel 4 bis 10 – bleibt zwar bestehen, doch Sprache und Anforderungen wurden überarbeitet und an moderne Managementsysteme angepasst. Zudem legt die neue Version größeren Wert auf Flexibilität bei der Auswahl von Kontrollen und berücksichtigt stärker den individuellen Kontext der Organisation.

Für Unternehmen, die bereits nach ISO 27001:2013 zertifiziert sind, bedeutet der Wechsel vor allem eine Aktualisierung der Dokumentation und gegebenenfalls eine Anpassung bestehender Maßnahmen im Rahmen der nächsten Rezertifizierung, um die neuen Anforderungen zu erfüllen.

Schritte zur Einführung von ISO 27001

1. Vorbereitung und Initiierung

• Festlegung des Geltungsbereichs (Scope) für das ISMS
• Durchführung einer Gap-Analyse, um Unterschiede zwischen Ist- und Soll-Zustand zu identifizieren
• Initiierung durch Projektorganisation mit Verantwortlichkeiten und Steuerung

2. Risikomanagement und Planung

• Identifikation und Bewertung von Informationssicherheitsrisiken
• Auswahl von Maßnahmen aus Annex A oder passgenauen Controls
• Erstellung des Statement of Applicability (SoA), in dem Sie festlegen, welche Kontrollen gelten und warum.

3. Implementierung und Betrieb

• Umsetzung der ausgewählten Kontrollen und Prozesse
• Schulungen, Awareness-Maßnahmen, Sensibilisierung der Mitarbeitenden (z. B. gemäß Anhang A 6.3)
  
• Aufbau von Monitoring- und Auditmechanismen

4. Überwachung, Bewertung und Verbesserung

• Durchführung interner Audits
• Management-Review und regelmäßige Leistungsbewertung
• Kontinuierliche Verbesserung des ISMS

5. Zertifizierung (optional, je nach Ziel)

• Auswahl einer akkreditierten Zertifizierungsstelle
• Vorbereitung für das externe Audit gemäß den Anforderungen
• Nach erfolgreichem Audit: Erhalt der Zertifizierung und Durchführung von Überwachungsaudits