ISO/IEC 27001 beschreibt die Anforderungen an ein Informationssicherheits-Managementsystem, kurz ISMS. Der Kern ist unspektakulär und wird trotzdem oft missverstanden: Die Norm schreibt Ihnen kein bestimmtes Sicherheitsniveau vor. Sie verlangt, dass Sie Ihre Informationswerte kennen, die Risiken darauf bewerten, bewusst entscheiden, wie Sie damit umgehen, und diese Entscheidungen belegen können.
Ein Unternehmen mit hohem Restrisiko kann zertifiziert werden — wenn die Geschäftsführung dieses Risiko kennt, formal akzeptiert hat und die Entscheidung dokumentiert ist. Genau das ist der Unterschied zwischen einem Managementsystem und einer Checkliste.
Die geltende Fassung ist ISO/IEC 27001:2022. Sie hat den Maßnahmenkatalog in Anhang A grundlegend umgebaut: aus 114 Maßnahmen in 14 Abschnitten wurden 93 Maßnahmen in vier Themengruppen. Die Übergangsfrist für Zertifikate nach der Vorgängerfassung ist abgelaufen; Neuzertifizierungen erfolgen ausschließlich nach der 2022er Fassung.
Aufbau der Norm
Die Anforderungen stehen wie bei allen modernen Managementsystemnormen in den Kapiteln 4 bis 10. Der entscheidende Unterschied zu ISO 9001: Es gibt zusätzlich einen normativen Anhang.
| Teil | Inhalt | Verbindlichkeit |
|---|---|---|
| Kapitel 4–10 | Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung, Verbesserung | Vollständig zu erfüllen, keine Ausschlüsse möglich |
| Anhang A | 93 Maßnahmen in vier Gruppen | Jede Maßnahme muss bewertet werden; Ausschluss nur mit Begründung |
Die vier Gruppen in Anhang A
- Organisatorisch: Richtlinien, Rollen, Lieferantenbeziehungen, Umgang mit Vorfällen, Informationsklassifizierung, Bedrohungsinformationen.
- Personenbezogen: Überprüfung vor Einstellung, Vertraulichkeitsvereinbarungen, Sensibilisierung, Verfahren bei Austritt und Rollenwechsel.
- Physisch: Zutrittskontrolle, Sicherheitsbereiche, Umgang mit Datenträgern, Arbeitsplatzsicherheit, Entsorgung von Geräten.
- Technologisch: Zugriffskontrolle, Verschlüsselung, Protokollierung, Schwachstellenmanagement, sichere Entwicklung, Datenlöschung.
Die Verteilung sagt etwas Wichtiges: Nur ein gutes Drittel der Maßnahmen ist technisch. Die Mehrheit betrifft Organisation und Menschen. ISO 27001 ist kein IT-Projekt, auch wenn es in vielen Unternehmen als solches gestartet wird — einer der häufigsten Gründe für Verzögerungen.
Die drei Dokumente, an denen alles hängt
Der Geltungsbereich
Er legt fest, welche Organisationseinheiten, Standorte, Prozesse und Systeme das ISMS umfasst. Er erscheint auf dem Zertifikat, und Ihre Kunden lesen genau dort nach.
Ein Geltungsbereich, der nur die IT-Abteilung umfasst, während der Kunde die Sicherheit seines Auftragsverarbeitungsprozesses geprüft haben will, erfüllt seinen Zweck nicht. Diese Entscheidung fällt zu Projektbeginn und bestimmt Aufwand, Kosten und Marktwert des Zertifikats gleichermaßen.
Die Risikobeurteilung
Sie identifizieren Informationswerte und die Risiken darauf, bewerten sie nach einem selbst festgelegten, konsistent angewendeten Verfahren und entscheiden über die Behandlung: vermindern, vermeiden, übertragen oder akzeptieren.
Die Norm schreibt keine Methode vor. Sie schreibt vor, dass die Methode wiederholbare Ergebnisse liefert — zwei Personen müssen bei derselben Sachlage zu vergleichbaren Einstufungen kommen. Das ist der Grund, warum Kriterien vorab festgelegt und dokumentiert werden müssen.
Bewährt hat sich, bei den Geschäftsprozessen zu beginnen statt bei der Technik: Welche Prozesse gibt es, welche Informationen brauchen sie, wo liegen die, wer greift zu? Wer umgekehrt bei der Serverliste anfängt, erhält ein IT-Inventar und keine Risikobeurteilung.
Die Erklärung zur Anwendbarkeit
Das zentrale Dokument der Zertifizierung, meist als SoA abgekürzt. Für jede der 93 Maßnahmen halten Sie fest, ob sie anwendbar ist, warum, und wie sie umgesetzt wurde.
Der Auditor arbeitet sich im Stufe-2-Audit an diesem Dokument entlang: Er wählt Maßnahmen aus und lässt sich die Umsetzung zeigen. Eine SoA, deren Angaben nicht der Realität entsprechen, ist der schnellste Weg zu einer Hauptabweichung — schreiben Sie hinein, was Sie tatsächlich tun, nicht was gut aussieht.
Der Weg zum Zertifikat
Der Ablauf entspricht dem allgemeinen Zertifizierungsverfahren, mit ISMS-spezifischen Schwerpunkten:
- Geltungsbereich festlegen — und dabei die Erwartung Ihrer Auftraggeber kennen.
- Informationswerte erfassen. Welche Daten, Systeme, Räume und Lieferanten sind relevant, und wer verantwortet sie?
- Risiken beurteilen und behandeln. Ergebnis ist ein Risikobehandlungsplan mit Terminen und Verantwortlichen.
- Maßnahmen umsetzen und SoA erstellen.
- Betriebsphase. Protokolle, Vorfallsbearbeitung, Schulungen und Wirksamkeitsnachweise müssen über mehrere Monate entstehen.
- Internes Audit und Managementbewertung.
- Stufe-1-Audit: Dokumentenprüfung und Bewertung der Auditbereitschaft.
- Stufe-2-Audit: Prüfung der Wirksamkeit im Betrieb.
- Zertifikatserteilung, danach jährliche Überwachungsaudits und nach drei Jahren die Rezertifizierung.
Der Zeitbedarf
Der kritische Pfad ist selten die Technik. Er liegt bei der Risikobeurteilung und bei der Frage, wer im Unternehmen tatsächlich für welche Informationswerte verantwortlich ist. Diese Zuständigkeiten existieren in vielen Organisationen nicht — sie müssen im Projekt erst geschaffen werden, und das ist eine Führungsaufgabe, keine Dokumentationsaufgabe.
Woran Projekte scheitern
Das ISMS wird an die IT delegiert. Die IT kann Verschlüsselung einführen, aber nicht entscheiden, welches Restrisiko das Unternehmen trägt. Diese Entscheidung gehört zur Leitung. Kapitel 5 verlangt das ausdrücklich, und Auditoren prüfen es durch Gespräche mit der Geschäftsführung, nicht mit dem Administrator.
Der Geltungsbereich wird zu spät durchdacht. Eine Erweiterung nach der Zertifizierung bedeutet ein zusätzliches Audit und häufig neue Risikoanalysen.
Die Risikoanalyse wird zur Tabellenübung. 400 Zeilen mit Ampelfarben, die niemand nach dem Audit wieder öffnet, sind formal konform und praktisch wertlos. Die Norm verlangt, dass die Ergebnisse in Entscheidungen münden.
Die SoA beschreibt einen Sollzustand. Wenn dort steht, dass Zugriffsrechte quartalsweise überprüft werden, wird der Auditor nach den letzten drei Protokollen fragen.
Lieferanten werden vergessen. Anhang A widmet den Lieferantenbeziehungen mehrere Maßnahmen. Wer Cloud-Dienste, Rechenzentren oder Entwicklungsdienstleister einsetzt, muss deren Sicherheit bewerten und vertraglich absichern — inklusive der Frage, was bei einem Vorfall beim Dienstleister passiert.
Es gibt keine Vorfälle. Ein ISMS, das in zwölf Monaten keinen einzigen Sicherheitsvorfall verzeichnet hat, hat kein Meldeverfahren — oder niemand nutzt es. Beides fällt im Audit auf. Auch der falsch zugestellte Brief und die versehentlich weitergeleitete Mail sind Vorfälle.
Abgrenzung zu verwandten Nachweisen
| Nachweis | Wann er stattdessen gefordert wird |
|---|---|
| TISAX | Auftraggeber aus der Automobilindustrie. Beruht auf dem VDA ISA, wird über die ENX Association abgewickelt und ist kein ISO-Zertifikat. |
| BSI C5 | Cloud-Anbieter im Behördenumfeld. Prüfbericht eines Wirtschaftsprüfers, kein Zertifikat. |
| IT-Grundschutz | Behörden und KRITIS-nahe Organisationen. Zertifizierung erfolgt auf Basis von ISO 27001. |
| SOC 2 | US-amerikanische Kunden, vor allem im SaaS-Vertrieb. Prüfbericht nach US-Standard. |
| ISO 27701 | Ergänzung für den Datenschutznachweis. Setzt ein bestehendes ISMS voraus. |
| ISO 22301 | Wenn nicht die Sicherheit, sondern die Fortführung des Betriebs nachzuweisen ist. |
Wer für mehrere dieser Anforderungen aufgestellt sein muss, sollte das ISMS von vornherein so bauen, dass sich Nachweise mehrfach verwenden lassen. Die inhaltliche Überschneidung zwischen ISO 27001, TISAX und C5 ist groß — die Prüfwege sind es nicht.
Was ISO 27001 für die DSGVO leistet
Die Frage kommt in fast jedem Projekt. Die Antwort hat zwei Teile.
Was abgedeckt ist: Die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO — Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit, Wiederherstellbarkeit und regelmäßige Überprüfung. Ein funktionierendes ISMS liefert hier belastbare Nachweise, die sonst mühsam einzeln erbracht werden müssten.
Was nicht abgedeckt ist: Rechtsgrundlagen der Verarbeitung, Betroffenenrechte, Löschkonzepte, Verarbeitungsverzeichnis, Datenschutz-Folgenabschätzung, Auftragsverarbeitungsverträge in ihrer datenschutzrechtlichen Dimension.
Für den zweiten Teil gibt es ISO 27701 als Erweiterung. Sie setzt ein bestehendes ISMS voraus und ergänzt die datenschutzspezifischen Anforderungen — für Auftragsverarbeiter, die ihren Kunden einen Nachweis schulden, ein zunehmend gefragter Baustein.