ISO/IEC 27001 ist eine internationale Norm mit Anforderungen an ein Information Security Management System (ISMS). Unternehmen bestimmen ihren Geltungsbereich, bewerten Informationssicherheitsrisiken, behandeln diese systematisch und weisen nach, dass das Managementsystem überwacht und fortlaufend verbessert wird. Die aktuell maßgebliche Ausgabe ist ISO/IEC 27001:2022.
Was regelt ISO/IEC 27001?
Die Norm schreibt kein identisches Sicherheitskonzept für jedes Unternehmen vor. Sie definiert einen risikobasierten Managementrahmen. Größe, Branche, Geschäftsziele, verarbeitete Informationen und rechtliche Pflichten beeinflussen, welche Risiken relevant und welche Maßnahmen angemessen sind. Dadurch kann ISO 27001 sowohl für einen einzelnen Cloud-Dienst als auch für eine gesamte Organisation eingesetzt werden – der jeweilige Scope muss eindeutig beschrieben sein.
Welche Anforderungen enthält die Norm?
| Bereich | Beispiele für Anforderungen |
|---|---|
| Kontext | Interne und externe Themen, interessierte Parteien und Scope bestimmen. |
| Führung | Informationssicherheitspolitik, Rollen und Unterstützung durch die Leitung sicherstellen. |
| Planung | Risiken und Chancen bewerten, Behandlung planen und Sicherheitsziele festlegen. |
| Unterstützung und Betrieb | Ressourcen, Kompetenz, Kommunikation, Dokumentation und operative Prozesse steuern. |
| Bewertung | Kennzahlen, interne Audits und Managementbewertung durchführen. |
| Verbesserung | Abweichungen korrigieren und das ISMS kontinuierlich weiterentwickeln. |
Das Risikomanagement ist der rote Faden. Unternehmen benötigen nachvollziehbare Kriterien, eine Risikobewertung und einen Risikobehandlungsplan. Die Erklärung zur Anwendbarkeit, häufig als Statement of Applicability bezeichnet, dokumentiert die notwendigen Annex-A-Kontrollen, deren Umsetzungsstatus und die Begründung für Ein- oder Ausschlüsse.
Welche Rolle spielt Annex A?
Annex A der Ausgabe 2022 enthält 93 Referenzkontrollen in vier Themenbereichen: organisatorische, personelle, physische und technologische Kontrollen. Dazu zählen etwa Zugriffskontrolle, Lieferantenbeziehungen, Incident Management, sichere Entwicklung und Protokollierung. Annex A ist keine pauschale Checkliste, die ohne Bewertung vollständig übernommen werden muss. Die Organisation wählt Kontrollen passend zu ihren Risiken und ergänzt bei Bedarf andere Maßnahmen.
Wie läuft die Einführung ab?
- Verantwortung und Scope festlegen: Leitung, ISMS-Verantwortliche, Grenzen und Abhängigkeiten bestimmen.
- Ist-Zustand bewerten: Vorhandene Prozesse, Kontrollen, Nachweise und wesentliche Lücken erfassen.
- Risiken behandeln: Maßnahmen priorisieren, Verantwortliche und Termine festlegen.
- ISMS betreiben: Prozesse im Alltag anwenden, Mitarbeitende befähigen und Ergebnisse dokumentieren.
- Intern prüfen: Audit und Managementbewertung durchführen und erkannte Abweichungen bearbeiten.
Der größte Aufwand liegt selten im Schreiben einer einzelnen Richtlinie. Bestehende Abläufe müssen zusammengeführt, Verantwortlichkeiten geklärt und fehlende Nachweise dauerhaft erzeugt werden. Eine Zertifizierung unter Zeitdruck führt sonst leicht zu Dokumenten, die mit dem tatsächlichen Betrieb wenig gemeinsam haben.
Wie funktioniert die Zertifizierung?
Die Zertifizierung erfolgt durch eine unabhängige Zertifizierungsstelle, nicht durch ISO selbst. Üblicherweise prüft ein erstes Audit die grundsätzliche Bereitschaft und Dokumentation. Im zweiten Schritt wird bewertet, ob das ISMS im Scope tatsächlich umgesetzt und wirksam betrieben wird. Nach erfolgreicher Zertifizierung folgen regelmäßige Überwachungsaudits und später eine Rezertifizierung. Abweichungen müssen abhängig von ihrer Bedeutung vor oder innerhalb festgelegter Fristen korrigiert werden.
Was beweist ein ISO-27001-Zertifikat?
Ein Zertifikat belegt, dass das Managementsystem im ausgewiesenen Scope gegen die Norm geprüft wurde. Es beweist weder, dass jedes Produkt sicher ist, noch dass es keine Schwachstellen oder Vorfälle geben kann. Kunden sollten daher Zertifizierungsstelle, Gültigkeit und vor allem den Scope prüfen. Ein Zertifikat für einen Standort oder Teilprozess deckt nicht automatisch alle Leistungen eines Anbieters ab.
Welche Rolle spielen technische Sicherheitstests?
ISO 27001 ist eine Managementsystemnorm, technische Wirksamkeit muss dennoch belegt werden. Je nach Risiko können Schwachstellenscans, Konfigurationsprüfungen, Wiederherstellungstests und Penetrationstests angemessen sein. Entscheidend ist, dass Umfang und Häufigkeit aus Risiken abgeleitet werden und Findings in den Verbesserungsprozess zurückfließen. Ein Prüfbericht ohne Nachverfolgung erfüllt diesen Zweck nicht.
Vielen Dank für dein Feedback! Wir werden es prüfen und unseren Artikel anpassen.