ISO 27001: Anforderungen, Zertifizierung und Ablauf einfach erklärt

Was ist ISO 27001?

ISO 27001 wird von zwei Normungsorganisationen gemeinsam herausgegeben: der ISO und der IEC. Deshalb lautet der volle Name ISO/IEC 27001. Die erste Fassung erschien 2005. Die aktuelle Fassung stammt von 2022. Zertifikate nach der alten Fassung von 2013 sind seit dem 31. Oktober 2025 nicht mehr gültig.

Die Norm schreibt keine bestimmte Technik vor. Sie verlangt ein Managementsystem, ein ISMS. Damit erkennt ein Unternehmen seine Risiken, entscheidet über Maßnahmen und prüft regelmäßig, ob sie wirken.

Ein Bild: ISO 27001 ist kein Schloss, sondern die Hausordnung. Sie regelt, wer für welche Tür zuständig ist, wie oft die Schlösser geprüft werden und was passiert, wenn ein Schlüssel verloren geht.

Warum ist ISO 27001 wichtig?

Cyberangriffe und Datenpannen kosten Geld, Vertrauen und manchmal die Existenz. ISO 27001 sorgt dafür, dass Sicherheit nicht vom Zufall oder von einzelnen Personen abhängt.

Vorteile der Zertifizierung

• Klarer Umgang mit Risiken: Sie wissen, welche Risiken bestehen und wie Sie sie behandeln.
• Vertrauen: Kunden und Partner sehen, dass ein unabhängiger Prüfer Ihr ISMS bewertet hat.
• Gesetze und Verträge: Die Norm hilft bei Pflichten aus NIS-2, DSGVO und Kundenverträgen.
• Weniger Fragebögen: Ein Zertifikat beantwortet viele Fragen in Ausschreibungen und Lieferantenprüfungen.

Die Anforderungen der ISO 27001

Die Norm besteht aus zwei Teilen: den Pflichtkapiteln 4 bis 10 und dem Anhang A.

Kapitel 4 bis 10

• Kontext (4): Wer sind die Beteiligten, was erwarten sie, und welcher Bereich gehört zum ISMS?
• Führung (5): Die Leitung trägt die Verantwortung und legt eine Leitlinie fest.
• Planung (6): Risiken beurteilen, Maßnahmen wählen und Ziele setzen.
• Unterstützung (7): Personal, Wissen, Schulung, Kommunikation und Dokumentation.
• Betrieb (8): Die geplanten Maßnahmen umsetzen und Risiken regelmäßig neu bewerten.
• Bewertung (9): Messen, interne Audits und Managementbewertung.
• Verbesserung (10): Abweichungen beheben und das ISMS laufend besser machen.

Anhang A: 93 Maßnahmen

Anhang A listet 93 Maßnahmen in vier Gruppen: 37 organisatorische, 8 personenbezogene, 14 physische und 34 technische. Beispiele sind Zugriffsrechte, Schulungen, Backups, Protokollierung und Lieferantensteuerung. Nicht jede Maßnahme passt zu jedem Unternehmen. In der Erklärung zur Anwendbarkeit (Statement of Applicability, SoA) begründen Sie, welche Sie umsetzen und welche nicht.

Ein ISMS nach ISO 27001 einführen

1. Leitung gewinnen: Ohne Rückhalt und Budget der Geschäftsführung scheitert das Projekt.
2. Geltungsbereich festlegen: Welche Standorte, Abteilungen und Systeme gehören dazu?
3. Werte und Risiken erfassen: Was ist schützenswert, was kann passieren, wie schlimm wäre es? Siehe IT-Risikomanagement.
4. Maßnahmen wählen: Risiken behandeln und die Erklärung zur Anwendbarkeit schreiben.
5. Regeln und Schulungen: Richtlinien erstellen und die Mitarbeitenden schulen.
6. Prüfen: Internes Audit und Managementbewertung durchführen, bevor der Zertifizierer kommt.

Eine ausführliche Anleitung finden Sie in unserem Beitrag ISO-27001-Zertifizierung mit 6-Phasen-Roadmap.

Der Ablauf der ISO-27001-Zertifizierung

1. Stufe-1-Audit: Die Zertifizierungsstelle prüft die Dokumentation und ob Sie für das Hauptaudit bereit sind.
2. Stufe-2-Audit: Die Auditoren prüfen vor Ort oder per Video, ob die Regeln im Alltag gelebt werden.
3. Zertifikat: Sind wesentliche Abweichungen behoben, wird das Zertifikat ausgestellt.
4. Überwachung: In den beiden Folgejahren gibt es je ein Überwachungsaudit.
5. Rezertifizierung: Nach drei Jahren wird das ISMS erneut vollständig geprüft.

Achten Sie darauf, dass die Zertifizierungsstelle akkreditiert ist. In Deutschland ist dafür die DAkkS zuständig.

ISO 27001 und kontinuierliche Verbesserung

Ein ISMS ist nie fertig. Neue Bedrohungen, neue Systeme und Änderungen im Unternehmen verlangen Anpassungen. Dafür nutzt die Norm den PDCA-Zyklus:

• Plan: Ziele festlegen und Maßnahmen planen.
• Do: Maßnahmen umsetzen.
• Check: Ergebnisse messen und prüfen.
• Act: Nachbessern, wo etwas nicht wirkt.

Kosten und Aufwand

Die Kosten bestehen aus mehreren Teilen. Die Zertifizierungsstelle berechnet Audittage. Wie viele es sind, hängt vor allem von der Zahl der Mitarbeitenden und vom Geltungsbereich ab. Dazu kommen der interne Aufwand, gegebenenfalls externe Beratung und Kosten für fehlende Maßnahmen. Planen Sie auch die jährlichen Überwachungsaudits ein. Oft macht die eigene Arbeitszeit den größten Teil aus, nicht das Audit.

ISO 27001, BSI IT-Grundschutz, TISAX und SOC 2

• BSI IT-Grundschutz: deutscher Ansatz mit sehr konkreten Bausteinen. Auch hier ist ein ISO-27001-Zertifikat möglich, auf Basis von IT-Grundschutz.
• TISAX: Prüfverfahren der Autoindustrie, das auf ISO 27001 aufbaut.
• SOC 2: Prüfbericht eines Wirtschaftsprüfers, vor allem in den USA verbreitet. Viele Maßnahmen überschneiden sich mit ISO 27001.

Für wen ist ISO 27001 geeignet?

Die Norm passt zu Organisationen jeder Größe und Branche. Besonders gefragt ist sie bei IT-Dienstleistern, Software- und Cloud-Anbietern, im Finanz- und Gesundheitswesen, in der öffentlichen Verwaltung und bei Zulieferern, deren Kunden ein Zertifikat verlangen.

Unterstützung durch SecTepe

Unsere ISO-27001-Beratung begleitet Sie vom Geltungsbereich über die Risikoanalyse bis zum Audit. Mit der ISO-27001-Software SecTepe.Core verwalten Sie Risiken, Maßnahmen, Erklärung zur Anwendbarkeit und Nachweise an einer Stelle.

Fazit

ISO 27001 legt fest, wie ein Unternehmen Informationssicherheit planvoll steuert. Kern sind die Risikobeurteilung, die passenden Maßnahmen aus Anhang A und die laufende Verbesserung. Das Zertifikat zeigt Kunden und Partnern, dass ein unabhängiger Prüfer das ISMS bewertet hat. Es gilt drei Jahre und wird jedes Jahr überprüft.