ISO/IEC 27001
ISO/IEC 27001 legt fest, wie eine Organisation ihre Informationssicherheit planen, steuern und verbessern muss. Gegenstand ist ein Informationssicherheits-Managementsystem (ISMS): die Regeln, Zuständigkeiten und Abläufe, mit denen Risiken für Vertraulichkeit, Integrität und Verfügbarkeit von Informationen erkannt und behandelt werden. In Deutschland gilt die Norm als DIN EN ISO/IEC 27001.
Die Norm schreibt keine bestimmte Technik vor. Sie verlangt, dass eine Organisation ihre Risiken bewertet und begründet entscheidet, welche Maßnahmen sie ergreift. Zwei zertifizierte Unternehmen können deshalb sehr unterschiedlich abgesichert sein.
Aufbau
Die Norm besteht aus zwei Teilen: den Anforderungen an das Managementsystem und einem Katalog von Maßnahmen im Anhang A.
Anforderungen an das ISMS
| Kapitel | Inhalt |
|---|---|
| 4 Kontext | Geltungsbereich, interessierte Parteien, Anforderungen von außen |
| 5 Führung | Leitlinie zur Informationssicherheit, Verantwortung der Leitung, Rollen |
| 6 Planung | Risikobeurteilung, Risikobehandlung, Sicherheitsziele |
| 7 Unterstützung | Ressourcen, Kompetenz, Bewusstsein, Kommunikation, Dokumentation |
| 8 Betrieb | Risikobeurteilung und -behandlung durchführen, Änderungen steuern |
| 9 Bewertung | Messung, interne Audits, Managementbewertung |
| 10 Verbesserung | Abweichungen beheben, fortlaufende Verbesserung |
Der Aufbau ist bei allen ISO-Managementsystemnormen gleich. ISO/IEC 27001 lässt sich deshalb mit ISO 9001 oder ISO 50001 in einem gemeinsamen System betreiben.
Anhang A
Anhang A listet 93 Maßnahmen (Controls) in vier Themen:
| Thema | Beispiele |
|---|---|
| Organisatorisch | Leitlinien, Zuständigkeiten, Lieferantenbeziehungen, Umgang mit Vorfällen, Cloud-Dienste |
| Personenbezogen | Überprüfung vor der Einstellung, Schulung, Pflichten nach dem Ausscheiden |
| Physisch | Sicherheitsbereiche, Zutrittskontrolle, Schutz von Geräten, Verkabelung |
| Technologisch | Zugriffsrechte, privilegierte Zugänge, Verschlüsselung, Protokollierung, Datensicherung, Netzsicherheit |
Nicht jede Maßnahme muss umgesetzt werden. Die Organisation legt in der Erklärung zur Anwendbarkeit (Statement of Applicability, SoA) für jede Maßnahme fest, ob sie gilt und warum. Die Erklärung ist eines der wichtigsten Dokumente bei der Zertifizierung.
Die Maßnahmen selbst beschreibt ISO/IEC 27002 ausführlicher, mit Hinweisen zur Umsetzung. ISO/IEC 27002 ist nicht zertifizierbar; sie ist der Leitfaden zum Anhang A.
Ausgaben
| Ausgabe | Stand |
|---|---|
| ISO/IEC 27001:2005 | erste Ausgabe, hervorgegangen aus dem britischen Standard BS 7799-2 |
| ISO/IEC 27001:2013 | 114 Maßnahmen in 14 Bereichen; Zertifikate seit 31. Oktober 2025 ungültig |
| ISO/IEC 27001:2022 | 93 Maßnahmen in vier Themen, elf davon neu, etwa Threat Intelligence, Datenmaskierung, Webfilter und Sicherheit von Cloud-Diensten |
Seit 2024 gibt es eine Ergänzung zum Klimawandel, wie bei allen ISO-Managementsystemnormen.
Zertifizierung
Zertifiziert wird durch eine akkreditierte Zertifizierungsstelle. Das Zertifikat gilt drei Jahre, mit jährlichen Überwachungsaudits.
Entscheidend ist der Geltungsbereich. Er steht auf dem Zertifikat und kann eng gefasst sein: ein Standort, ein Dienst, eine Abteilung. Ein Unternehmen mit Zertifikat für sein Rechenzentrum in Frankfurt sagt damit nichts über seine Softwareentwicklung oder einen zweiten Standort aus. Wer einem Zertifikat vertrauen will, liest den Geltungsbereich und fragt nach der Erklärung zur Anwendbarkeit.
ISO 27001 auf Basis von IT-Grundschutz
In Deutschland gibt es eine zweite Form: das Zertifikat nach ISO 27001 auf Basis von IT-Grundschutz, vergeben vom BSI. Es erfüllt die Anforderungen der Norm, verlangt aber zusätzlich die Bausteine und Anforderungen des IT-Grundschutz-Kompendiums. Damit ist es konkreter und aufwendiger. Verbreitet ist es vor allem bei Behörden und Unternehmen, die für sie arbeiten.
Bezug zu Gesetzen
ISO/IEC 27001 ist keine gesetzliche Pflicht. Viele Vorschriften verlangen aber ein ISMS, und ein Zertifikat ist der übliche Nachweis:
- NIS2 verlangt von betroffenen Einrichtungen ein Risikomanagement für die Informationssicherheit
- Betreiber Kritischer Infrastrukturen weisen ihre Sicherheit gegenüber dem BSI nach
- DORA verlangt im Finanzsektor ein Rahmenwerk für IKT-Risiken
- Kunden fordern das Zertifikat in Ausschreibungen und Verträgen
Im Rechenzentrum
Für Rechenzentrumsbetreiber ist das Zertifikat nach ISO/IEC 27001 Standard. Bei Colocation-Anbietern umfasst der Geltungsbereich meist den Betrieb der Flächen: Zutritt, Strom, Kühlung, Überwachung, Personal. Die Systeme der Kunden fallen nicht darunter — für sie bleibt jeder Kunde selbst verantwortlich. Ein Kunde kann sich auf das Zertifikat des Betreibers stützen, wenn er für seine eigene Zertifizierung die physische Sicherheit nachweisen muss.
Normen
- DIN EN ISO/IEC 27001: Informationssicherheit, Cybersicherheit und Datenschutz — Informationssicherheitsmanagementsysteme — Anforderungen
- ISO/IEC 27002: Informationssicherheitsmaßnahmen
- ISO/IEC 27000: Überblick und Terminologie