ISO 27001

Die ISO/IEC 27001 ist der international führende Standard für Informationssicherheitsmanagementsysteme (ISMS). Die aktuelle Fassung ISO/IEC 27001:2022 wurde im Oktober 2022 veröffentlicht und löst die Vorgängerversion aus dem Jahr 2013 ab. Der Standard wird von der Internationalen Organisation für Normung (ISO) und der Internationalen Elektrotechnischen Kommission (IEC) gemeinsam herausgegeben und definiert die Anforderungen an Aufbau, Implementierung, Betrieb, Überwachung, Überprüfung, Aufrechterhaltung und kontinuierliche Verbesserung eines ISMS. Eine Zertifizierung nach ISO 27001 gilt weltweit als Nachweis für ein wirksames Informationssicherheitsmanagement.

Was ist ISO 27001?

ISO 27001 folgt der High Level Structure (HLS) der ISO-Managementsystemnormen und ist damit kompatibel mit anderen Managementsystemen wie ISO 9001 (Qualität), ISO 22301 (Business Continuity) oder ISO 14001 (Umwelt). Der Standard verfolgt einen risikobasierten Ansatz: Organisationen müssen ihre Informationssicherheitsrisiken systematisch identifizieren, bewerten und behandeln. Anhang A des Standards enthält 93 Sicherheitsmaßnahmen (Controls), gegliedert in vier Themen: organisatorische, personelle, physische und technologische Maßnahmen. Die Umsetzung wird in der begleitenden Norm ISO/IEC 27002:2022 detailliert erläutert.

Für wen ist ISO 27001 relevant?

ISO 27001 ist branchenübergreifend anwendbar und relevant für Organisationen jeder Größe:

  • Finanzdienstleister: Banken, Versicherungen und Finanzdienstleister, bei denen eine ISO 27001-Zertifizierung häufig durch aufsichtsrechtliche Anforderungen (MaRisk, BAIT, DORA) gefordert oder empfohlen wird.
  • IT-Dienstleister und Cloud-Anbieter: Unternehmen, die IT-Services für Dritte erbringen und ihren Kunden ein nachweisbar hohes Sicherheitsniveau garantieren müssen.
  • Kritische Infrastrukturen: Betreiber kritischer Infrastrukturen, die unter KRITIS-Regulierung oder NIS2 fallen und ein zertifiziertes ISMS nachweisen müssen.
  • Industrieunternehmen: Unternehmen im produzierenden Gewerbe, die Informationssicherheit in ihrer Lieferkette sicherstellen müssen.
  • Öffentliche Verwaltung: Behörden und öffentliche Einrichtungen, die den IT-Grundschutz des BSI umsetzen, der auf ISO 27001 basiert.

Zunehmend wird eine ISO 27001-Zertifizierung auch als Wettbewerbsvorteil und Vertrauensnachweis gegenüber Kunden, Partnern und Aufsichtsbehörden eingesetzt.

Kernforderungen

Die ISO 27001 gliedert sich in die Anforderungen an das Managementsystem (Kapitel 4-10) und die Sicherheitsmaßnahmen (Anhang A):

Anforderungen an das Managementsystem:

  • Kontext der Organisation (Kap. 4): Verständnis der Organisation, ihrer Stakeholder und des Anwendungsbereichs des ISMS.
  • Führung (Kap. 5): Engagement der obersten Leitung, Informationssicherheitspolitik und Zuweisung von Rollen und Verantwortlichkeiten.
  • Planung (Kap. 6): Risikobewertung und -behandlung, Informationssicherheitsziele und Planung zu deren Erreichung.
  • Unterstützung (Kap. 7): Ressourcen, Kompetenz, Bewusstsein, Kommunikation und dokumentierte Information.
  • Betrieb (Kap. 8): Operative Planung und Steuerung, Durchführung der Risikobewertung und Umsetzung des Risikobehandlungsplans.
  • Bewertung der Leistung (Kap. 9): Überwachung, Messung, Analyse, Bewertung, interne Audits und Managementbewertung.
  • Verbesserung (Kap. 10): Umgang mit Nichtkonformitäten, Korrekturmaßnahmen und fortlaufende Verbesserung des ISMS.

Sicherheitsmaßnahmen (Anhang A – 93 Controls in 4 Themen):

  • Organisatorische Maßnahmen (37 Controls): Richtlinien, Rollen, Verantwortlichkeiten, Asset-Management, Zugriffskontrolle, Lieferantenbeziehungen, Incident Management, Business Continuity und Compliance.
  • Personelle Maßnahmen (8 Controls): Screening, Arbeitsverträge, Sensibilisierung, Schulung, Disziplinarverfahren und Verantwortlichkeiten nach Beendigung.
  • Physische Maßnahmen (14 Controls): Sicherheitsbereiche, Zutrittskontrolle, Schutz von Geräten und Betriebsmitteln.
  • Technologische Maßnahmen (34 Controls): Endgeräte, Zugangsrechte, Kryptografie, Netzwerksicherheit, sichere Entwicklung, Schwachstellenmanagement und Protokollierung.

Zertifizierungsprozess

Die Zertifizierung nach ISO 27001 erfolgt durch eine akkreditierte Zertifizierungsstelle in einem zweistufigen Audit: In Stufe 1 wird die Dokumentation des ISMS geprüft und die Auditreife bewertet. In Stufe 2 wird die tatsächliche Implementierung und Wirksamkeit des ISMS vor Ort überprüft. Das Zertifikat hat eine Gültigkeit von drei Jahren und erfordert jährliche Überwachungsaudits sowie ein Rezertifizierungsaudit im dritten Jahr. Organisationen, die noch nach der Version 2013 zertifiziert sind, müssen bis spätestens 31. Oktober 2025 auf die Version 2022 umstellen.