Wer sich mit ISO 27001 beschäftigt, stößt schnell auf zwei Teile: die Anforderungen an das Managementsystem und eine lange Liste von Sicherheitsmaßnahmen im Anhang. Viele Unternehmen beginnen mit der Maßnahmenliste und wundern sich im Audit, warum trotzdem Abweichungen festgestellt werden. Der Grund: Zertifiziert wird nicht die Technik, sondern das Managementsystem, das sie steuert.
In diesem Beitrag erfahren Sie, was die ISO 27001 im Einzelnen verlangt: Kapitel für Kapitel, welche Dokumente Pflicht sind, was in Anhang A steht, was sich mit der Fassung 2022 geändert hat und wie die Norm mit NIS2 zusammenhängt. Was ein Informationssicherheitsmanagementsystem grundsätzlich ist, erklären wir im Beitrag Was ist ein ISMS?.
Was sind die ISO-27001-Anforderungen?
Die ISO/IEC 27001 legt fest, welche Anforderungen ein Informationssicherheitsmanagementsystem erfüllen muss, um zertifiziert zu werden. Die aktuelle Fassung ist die ISO/IEC 27001:2022, in Deutschland als DIN EN ISO/IEC 27001 veröffentlicht. Die Norm ist risikobasiert: Sie schreibt nicht vor, welche Firewall oder welches Passwort Sie verwenden. Sie verlangt, dass Sie Ihre Risiken systematisch ermitteln, angemessene Maßnahmen auswählen, diese umsetzen, ihre Wirksamkeit prüfen und das System laufend verbessern.
Die Norm ist so aufgebaut:
| Teil | Inhalt | Verbindlich für die Zertifizierung |
|---|---|---|
| Kapitel 0 bis 3 | Einleitung, Anwendungsbereich, Verweise, Begriffe | nein |
| Kapitel 4 bis 10 | Anforderungen an das Managementsystem | ja, vollständig |
| Anhang A | 93 Informationssicherheitsmaßnahmen | ja, als Referenz für die Risikobehandlung und die Anwendbarkeitserklärung |
Die Kapitel 4 bis 10 folgen der einheitlichen Struktur aller ISO-Managementsystemnormen. Wer bereits ein Qualitätsmanagement nach ISO 9001 hat, findet sich deshalb schnell zurecht.
Kapitel 4: Kontext der Organisation
Am Anfang steht die Frage: Wer sind wir, was ist uns wichtig, und was soll das ISMS umfassen?
- Interne und externe Themen (4.1): Was beeinflusst die Informationssicherheit? Etwa Geschäftsmodell, Standorte, Abhängigkeit von Dienstleistern, Gesetze, Bedrohungslage. Seit einer Ergänzung der Norm im Jahr 2024 muss zudem geprüft werden, ob der Klimawandel ein relevantes Thema ist.
- Interessierte Parteien (4.2): Wer hat Anforderungen an Ihre Informationssicherheit? Kunden, Behörden, Versicherer, Beschäftigte, Eigentümer. Seit 2022 muss auch festgelegt werden, welche dieser Anforderungen über das ISMS adressiert werden.
- Geltungsbereich (4.3): Welche Standorte, Prozesse, Systeme und Schnittstellen gehören dazu? Der Geltungsbereich muss dokumentiert sein.
- ISMS (4.4): Das ISMS einschließlich der benötigten Prozesse und ihrer Wechselwirkungen ist aufzubauen, umzusetzen, aufrechtzuerhalten und fortlaufend zu verbessern.
Ein sauber definierter Geltungsbereich ist entscheidend. Ist er zu eng, ist das Zertifikat für Kunden wenig wert. Ist er zu weit, wird die Einführung unnötig aufwendig.
Kapitel 5: Führung
Die ISO 27001 macht Informationssicherheit ausdrücklich zur Aufgabe der obersten Leitung.
- Führung und Verpflichtung (5.1): Die Geschäftsleitung muss sicherstellen, dass Politik und Ziele festgelegt sind, die Anforderungen in die Geschäftsprozesse integriert werden, Ressourcen bereitstehen und das ISMS seine Ziele erreicht.
- Informationssicherheitspolitik (5.2): Eine dokumentierte Leitlinie mit Zielen oder einem Rahmen für Ziele und der Verpflichtung zur Erfüllung von Anforderungen und zur fortlaufenden Verbesserung. Sie muss bekannt gemacht werden.
- Rollen und Verantwortlichkeiten (5.3): Verantwortung und Befugnisse müssen zugewiesen und kommuniziert werden, insbesondere für die Berichterstattung über die Leistung des ISMS.
Im Audit wird geprüft, ob die Geschäftsleitung tatsächlich eingebunden ist, etwa durch Gespräche und Protokolle der Managementbewertung.
Kapitel 6: Planung
Kapitel 6 ist das Herzstück der Norm. Hier wird festgelegt, wie Risiken ermittelt und behandelt werden.
- Risikobeurteilung (6.1.2): Ein festgelegter, dokumentierter Prozess mit Kriterien für die Risikoakzeptanz. Risiken werden identifiziert, analysiert und bewertet, und für jedes Risiko gibt es einen Verantwortlichen. Wiederholte Beurteilungen müssen zu vergleichbaren Ergebnissen führen.
- Risikobehandlung (6.1.3): Für jedes Risiko wird entschieden, wie damit umgegangen wird: mindern, vermeiden, übertragen oder akzeptieren. Die nötigen Maßnahmen werden mit Anhang A abgeglichen, damit nichts Wichtiges übersehen wird.
- Anwendbarkeitserklärung: Sie listet alle Maßnahmen aus Anhang A auf, begründet, warum sie angewendet werden oder nicht, und gibt an, ob sie umgesetzt sind.
- Risikobehandlungsplan: Er beschreibt, welche Maßnahmen bis wann von wem umgesetzt werden. Die Risikoeigentümer müssen ihn und die verbleibenden Restrisiken genehmigen.
- Informationssicherheitsziele (6.2): Messbare Ziele mit Verantwortlichen, Ressourcen, Terminen und Bewertungsmethode.
- Planung von Änderungen (6.3): Neu seit 2022: Änderungen am ISMS müssen geplant erfolgen.
Kapitel 7: Unterstützung
- Ressourcen (7.1): Personal, Budget, Werkzeuge.
- Kompetenz (7.2): Wer Aufgaben im ISMS übernimmt, muss dafür qualifiziert sein. Die Kompetenz ist nachzuweisen, etwa durch Schulungsnachweise.
- Bewusstsein (7.3): Alle Beschäftigten müssen die Leitlinie kennen, ihren Beitrag verstehen und wissen, welche Folgen Verstöße haben.
- Kommunikation (7.4): Was wird wann, an wen und wie kommuniziert, intern wie extern?
- Dokumentierte Information (7.5): Dokumente müssen erstellt, gekennzeichnet, geprüft, freigegeben, geschützt und gelenkt werden.
Kapitel 8: Betrieb
Kapitel 8 verlangt, dass die geplanten Prozesse tatsächlich ausgeführt und gesteuert werden.
- Betriebliche Planung und Steuerung (8.1): Prozesse werden nach festgelegten Kriterien betrieben. Auch ausgelagerte Prozesse und Dienstleistungen, etwa Cloud-Dienste oder ein externes Rechenzentrum, müssen gesteuert werden.
- Risikobeurteilung (8.2): In geplanten Abständen und bei wesentlichen Änderungen durchführen, Ergebnisse dokumentieren.
- Risikobehandlung (8.3): Den Risikobehandlungsplan umsetzen, Ergebnisse dokumentieren.
Kapitel 9: Bewertung der Leistung
- Überwachung und Messung (9.1): Was wird gemessen, wie, wann und von wem? Wer wertet aus? Die Ergebnisse sind zu dokumentieren.
- Internes Audit (9.2): In geplanten Abständen prüfen, ob das ISMS die eigenen Anforderungen und die der Norm erfüllt und wirksam umgesetzt ist. Es braucht ein Auditprogramm, objektive Auditoren und dokumentierte Ergebnisse.
- Managementbewertung (9.3): Die Geschäftsleitung bewertet das ISMS in geplanten Abständen anhand festgelegter Eingaben, etwa Auditergebnisse, Kennzahlen, Vorfälle, Stand der Maßnahmen und Rückmeldungen interessierter Parteien. Die Ergebnisse werden dokumentiert.
Kapitel 10: Verbesserung
- Fortlaufende Verbesserung (10.1): Eignung, Angemessenheit und Wirksamkeit des ISMS müssen laufend verbessert werden.
- Nichtkonformität und Korrekturmaßnahmen (10.2): Abweichungen werden behoben, ihre Ursachen untersucht und Maßnahmen ergriffen, damit sie nicht wieder auftreten. Art der Abweichung, Maßnahmen und Ergebnisse sind zu dokumentieren.
Pflichtdokumente der ISO 27001
Die Norm verlangt an vielen Stellen „dokumentierte Information“. Diese Dokumente und Nachweise prüfen Auditoren mindestens:
| Dokument oder Nachweis | Kapitel |
|---|---|
| Geltungsbereich des ISMS | 4.3 |
| Informationssicherheitspolitik | 5.2 |
| Prozess zur Risikobeurteilung | 6.1.2 |
| Prozess zur Risikobehandlung | 6.1.3 |
| Anwendbarkeitserklärung | 6.1.3 |
| Risikobehandlungsplan | 6.1.3 und 8.3 |
| Informationssicherheitsziele | 6.2 |
| Nachweise der Kompetenz | 7.2 |
| Vom Unternehmen als notwendig festgelegte Dokumente | 7.5 |
| Dokumentation zur betrieblichen Steuerung | 8.1 |
| Ergebnisse der Risikobeurteilung | 8.2 |
| Ergebnisse der Risikobehandlung | 8.3 |
| Ergebnisse von Überwachung und Messung | 9.1 |
| Auditprogramm und Auditergebnisse | 9.2 |
| Ergebnisse der Managementbewertung | 9.3 |
| Nichtkonformitäten und Korrekturmaßnahmen | 10.2 |
Hinzu kommen Dokumente, die sich aus den Maßnahmen in Anhang A ergeben, etwa Regeln zur Zugriffssteuerung, ein Inventar der Werte oder Verfahren für den Umgang mit Sicherheitsvorfällen.
Anhang A: die 93 Sicherheitsmaßnahmen
Anhang A enthält in der Fassung 2022 insgesamt 93 Maßnahmen, die in vier Themen gegliedert sind. Die Umsetzungshinweise zu jeder Maßnahme stehen in der begleitenden Norm ISO/IEC 27002.
| Thema | Anzahl | Beispiele |
|---|---|---|
| Organisatorische Maßnahmen (A.5) | 37 | Leitlinien, Rollen, Inventar, Zugriffssteuerung, Lieferantenbeziehungen, Vorfallmanagement, Business Continuity, rechtliche Anforderungen |
| Personenbezogene Maßnahmen (A.6) | 8 | Sicherheitsüberprüfung, Beschäftigungsbedingungen, Schulung und Sensibilisierung, Vertraulichkeitsvereinbarungen, Telearbeit |
| Physische Maßnahmen (A.7) | 14 | Sicherheitszonen, Zutrittskontrolle, Schutz vor Umweltgefahren, aufgeräumter Arbeitsplatz, Entsorgung von Datenträgern |
| Technologische Maßnahmen (A.8) | 34 | Endgeräte, privilegierte Zugänge, Schutz vor Schadsoftware, Schwachstellenmanagement, Datensicherung, Protokollierung, Netzwerksicherheit, Kryptografie, sichere Entwicklung |
Die elf neuen Maßnahmen seit 2022
Mit der Fassung 2022 wurden Maßnahmen zusammengefasst und elf neue aufgenommen. Sie zeigen gut, worauf die Norm heute Wert legt:
- Informationen über Bedrohungen (Threat Intelligence)
- Informationssicherheit bei der Nutzung von Cloud-Diensten
- IKT-Bereitschaft für die Business Continuity
- Überwachung der physischen Sicherheit
- Konfigurationsmanagement
- Löschung von Informationen
- Datenmaskierung
- Verhinderung von Datenabfluss
- Überwachung von Aktivitäten
- Filterung von Webzugriffen
- Sichere Programmierung
Die Anwendbarkeitserklärung
Nicht jede Maßnahme passt zu jedem Unternehmen. Wer keine eigene Software entwickelt, braucht keine Regeln für sichere Programmierung. Die Anwendbarkeitserklärung, englisch Statement of Applicability, hält für alle 93 Maßnahmen fest, ob sie angewendet werden, warum oder warum nicht, und wie der Umsetzungsstand ist. Sie ist eines der wichtigsten Dokumente im Audit, weil sie die Brücke zwischen Risikoanalyse und Maßnahmen schlägt.
Was hat sich mit der Fassung 2022 geändert?
| Bereich | Änderung |
|---|---|
| Anhang A | von 114 Maßnahmen in 14 Kapiteln auf 93 Maßnahmen in 4 Themen, davon 11 neu |
| Kapitel 4.2 | Festlegung, welche Anforderungen interessierter Parteien über das ISMS adressiert werden |
| Kapitel 4.4 | ausdrücklich auch die benötigten Prozesse und ihre Wechselwirkungen |
| Kapitel 6.3 | neue Anforderung zur Planung von Änderungen |
| Kapitel 8.1 | Steuerung extern bereitgestellter Prozesse und Dienstleistungen |
| Kapitel 9.1 und 9.3 | präzisere Anforderungen an Messung und Managementbewertung |
| Ergänzung 2024 | Prüfung, ob der Klimawandel ein relevantes Thema ist |
Die Übergangsfrist für Zertifikate nach der alten Fassung von 2013 ist Ende Oktober 2025 abgelaufen. Wer heute zertifiziert ist, muss die Anforderungen der Fassung 2022 erfüllen.
ISO 27001 und NIS2
Viele Unternehmen fragen, ob eine ISO-27001-Zertifizierung für NIS2 ausreicht. Das Gesetz schreibt keine Zertifizierung vor, und eine Zertifizierung ersetzt die gesetzlichen Pflichten nicht automatisch. Inhaltlich decken sich die Anforderungen aber weitgehend. Die zehn Mindestbereiche nach § 30 BSIG finden sich in der Norm wieder:
| Bereich nach § 30 Abs. 2 BSIG | Entsprechung in ISO 27001 |
|---|---|
| Risikoanalyse und Sicherheitskonzepte | Kapitel 6.1, A.5.1 |
| Bewältigung von Sicherheitsvorfällen | A.5.24 bis A.5.28 |
| Betriebskontinuität, Backup, Krisenmanagement | A.5.29, A.5.30, A.8.13 |
| Sicherheit der Lieferkette | A.5.19 bis A.5.23 |
| Sicherheit bei Erwerb, Entwicklung, Wartung, Schwachstellen | A.8.8, A.8.25 bis A.8.32 |
| Bewertung der Wirksamkeit | Kapitel 9 |
| Schulung und Sensibilisierung | Kapitel 7.3, A.6.3 |
| Kryptografie | A.8.24 |
| Personal, Zugriffskontrolle, Management der Anlagen | A.5.9, A.5.15 bis A.5.18, A.6.1 |
| Multi-Faktor-Authentifizierung, sichere Kommunikation | A.8.5, A.5.14 |
Zusätzlich verlangt NIS2 Dinge, die über die Norm hinausgehen: die Registrierung beim BSI, feste Meldefristen von 24 und 72 Stunden und persönliche Pflichten der Geschäftsleitung. Ein bestehendes ISMS nach ISO 27001 ist deshalb eine sehr gute Grundlage, sollte aber gezielt um diese Punkte ergänzt werden. Welche Pflichten genau gelten, zeigt unsere NIS2-Checkliste.
ISO 27001 oder ISO 27001 auf Basis von IT-Grundschutz?
In Deutschland gibt es zwei Wege zum Zertifikat. Die klassische ISO-27001-Zertifizierung erfolgt durch Zertifizierungsstellen, die von der Deutschen Akkreditierungsstelle akkreditiert sind. Das BSI zertifiziert zusätzlich nach ISO 27001 auf Basis von IT-Grundschutz. Dieser Weg ist detaillierter, weil er die konkreten Anforderungen des IT-Grundschutz-Kompendiums einbezieht, und ist vor allem bei Behörden und im Umfeld kritischer Infrastrukturen verbreitet. Für die meisten mittelständischen Unternehmen ist die klassische Zertifizierung der übliche Weg.
Die Anforderungen in sieben Schritten umsetzen
- Gap-Analyse: Den aktuellen Stand gegen die Kapitel 4 bis 10 und die 93 Maßnahmen aus Anhang A prüfen. So wird sichtbar, was bereits vorhanden ist und was fehlt.
- Geltungsbereich und Leitlinie: Den Rahmen festlegen und von der Geschäftsleitung beschließen lassen.
- Risikoprozess aufsetzen: Methode, Bewertungskriterien und Akzeptanzgrenzen definieren, dann die erste Risikobeurteilung durchführen.
- Anwendbarkeitserklärung und Behandlungsplan: Maßnahmen auswählen, begründen, Verantwortliche und Termine festlegen.
- Maßnahmen umsetzen und dokumentieren: Vorhandene Maßnahmen zuordnen, fehlende einführen, Richtlinien schreiben, Beschäftigte schulen.
- Messen und prüfen: Kennzahlen erheben, ein internes Audit durchführen, die Managementbewertung abhalten.
- Zertifizierungsaudit: Eine akkreditierte Zertifizierungsstelle beauftragen, Stufe-1- und Stufe-2-Audit durchlaufen, Abweichungen fristgerecht beheben.
Wie das Zertifizierungsaudit im Einzelnen abläuft, beschreiben wir im Beitrag Was ist ein ISMS?.
Wie lange dauert die Umsetzung?
Die Dauer hängt vor allem vom Ausgangsstand, vom Geltungsbereich und von den verfügbaren Ressourcen ab. Erfahrungswerte für die Zeit bis zur Zertifizierungsreife:
| Ausgangslage | Typische Dauer |
|---|---|
| Kleines Unternehmen mit guter technischer Basis und klarem Geltungsbereich | etwa 4 bis 6 Monate |
| Mittelständisches Unternehmen ohne bisheriges Managementsystem | etwa 6 bis 12 Monate |
| Unternehmen mit mehreren Standorten oder komplexer IT | 12 Monate und mehr |
| Bestehendes ISMS nach der Fassung 2013, Umstellung auf 2022 | wenige Wochen bis wenige Monate |
Der größte Zeitfaktor ist meist nicht die Technik, sondern die Abstimmung im Unternehmen: Verantwortliche finden, Entscheidungen der Geschäftsleitung einholen, Prozesse mit den Fachbereichen klären. Wer früh einen festen Projektverantwortlichen benennt und die Geschäftsleitung regelmäßig einbindet, kommt deutlich schneller voran.
Typische Abweichungen im Audit
Diese Punkte führen in Zertifizierungsaudits besonders häufig zu Abweichungen:
- Risikoanalyse ohne Bezug zur Praxis: Risiken sind beschrieben, aber nicht mit den tatsächlichen Maßnahmen verknüpft.
- Anwendbarkeitserklärung nicht aktuell: Maßnahmen stehen als umgesetzt drin, sind es aber nicht.
- Kein echtes internes Audit: Das Audit wurde von den Verantwortlichen selbst durchgeführt oder deckt nicht alle Bereiche ab.
- Managementbewertung fehlt oder ist dünn: Kein Protokoll, keine Entscheidungen.
- Ziele ohne Messung: Ziele sind formuliert, aber nicht messbar oder werden nicht verfolgt.
- Dienstleister nicht gesteuert: Cloud-Anbieter und IT-Dienstleister werden nicht bewertet und überwacht.
- Schulungen ohne Nachweis: Beschäftigte wurden geschult, aber es gibt keine Teilnahmelisten.
Praxisbeispiel: Gap-Analyse bei einem IT-Dienstleister
Ein IT-Dienstleister mit 80 Beschäftigten will sich zertifizieren lassen, weil zwei große Kunden es verlangen. Technisch ist vieles vorhanden: Multi-Faktor-Authentifizierung, Backups, Endgeräteschutz, ein Ticketsystem für Vorfälle.
Eine Gap-Analyse entlang der Kapitel 4 bis 10 zeigt jedoch: Es gibt keinen festgelegten Geltungsbereich, keine dokumentierte Risikobeurteilung, keine Anwendbarkeitserklärung, kein internes Audit und keine Managementbewertung. Die Lücken liegen also fast ausschließlich im Managementsystem, nicht in der Technik. In sechs Monaten werden Geltungsbereich, Leitlinie, Risikoprozess und Anwendbarkeitserklärung erstellt, die bestehenden Maßnahmen zugeordnet und die fehlenden ergänzt, etwa Lieferantenbewertung und Regeln zur Löschung von Informationen. Nach internem Audit und Managementbewertung besteht das Unternehmen das Zertifizierungsaudit mit zwei kleineren Abweichungen, die innerhalb der Frist behoben werden.
ISO 27001 mit der Deutschen Cyberkom
Wir unterstützen Sie auf dem Weg zur ISO-27001-Zertifizierung: mit einer Gap-Analyse entlang aller Kapitel und Maßnahmen, beim Aufbau von Risikoprozess und Anwendbarkeitserklärung, bei der Umsetzung technischer Maßnahmen und bei der Vorbereitung auf das Audit. Für die Verwaltung von Risiken, Maßnahmen und Nachweisen setzen wir als Partner auf die GRC-Plattform von Commugen. Mehr dazu im Beitrag Commugen GRC: Compliance automatisieren und auf unserer Seite zum IT-Security Consulting.
Fazit: Erst das System, dann die Maßnahmen
Die ISO 27001 verlangt vor allem ein funktionierendes Managementsystem: einen klaren Geltungsbereich, eine engagierte Geschäftsleitung, eine nachvollziehbare Risikobeurteilung, eine begründete Auswahl von Maßnahmen, regelmäßige Messung und Audits sowie eine echte Verbesserungsschleife. Anhang A liefert mit 93 Maßnahmen die Bausteine, die Anwendbarkeitserklärung verbindet beides. Wer diese Logik verstanden hat, erfüllt nicht nur die Norm, sondern schafft auch eine solide Grundlage für NIS2 und die Anforderungen seiner Kunden.
Sie planen eine ISO-27001-Zertifizierung? Wir prüfen Ihren Stand und zeigen den kürzesten Weg zum Zertifikat. Jetzt kostenlose Erstberatung buchen.
