ISO/IEC 27001 einfach erklärt
Die ISO/IEC 27001 stammt von zwei internationalen Normungsorganisationen: der ISO (Internationale Organisation für Normung) und der IEC (Internationale Elektrotechnische Kommission). Die aktuelle Fassung ist aus dem Jahr 2022. Die Norm beschreibt, wie ein ISMS aufgebaut sein muss – also das Managementsystem, mit dem ein Unternehmen Informationssicherheit plant, umsetzt, überprüft und verbessert.
Ein Vergleich hilft: Die Norm funktioniert ähnlich wie die Hauptuntersuchung beim Auto. Es gibt feste Prüfregeln, eine unabhängige Prüfstelle und am Ende eine Plakette – bei der ISO/IEC 27001 ist diese Plakette das Zertifikat. Anders als beim Auto entscheidet das Unternehmen aber selbst, welche Schutzmaßnahmen zu seinen Risiken passen. Es muss diese Entscheidungen nur nachvollziehbar begründen.
Jedes Unternehmen kann die Norm als Leitfaden nutzen. Wer seine Umsetzung belegen will, lässt sich von einer akkreditierten Zertifizierungsstelle prüfen. Akkreditiert heißt: Die Stelle wurde selbst geprüft und zugelassen – in Deutschland durch die Deutsche Akkreditierungsstelle (DAkkS).
Das regelt die ISO/IEC 27001
Die Norm besteht aus zwei Teilen:
- Kapitel 4 bis 10 enthalten die Pflichtanforderungen an das Managementsystem. Dazu gehören etwa Führung und Verantwortung, Risikobeurteilung, Ressourcen und Kompetenzen, interne Audits, die Bewertung durch die Geschäftsleitung und laufende Verbesserung.
- Anhang A listet 93 Sicherheitsmaßnahmen (englisch Controls) in vier Themen: organisatorische, personenbezogene, physische und technologische Maßnahmen. Beispiele sind Zugriffsrechte, Schulungen, Zutrittsschutz, Datensicherung, Verschlüsselung und sichere Softwareentwicklung.
Kern der Norm ist die Risikobeurteilung. Das Unternehmen ermittelt, welche Risiken für seine Informationen bestehen, und entscheidet, wie es damit umgeht. In der Erklärung zur Anwendbarkeit (Statement of Applicability) hält es fest, welche Maßnahmen aus Anhang A es umsetzt – und begründet, warum es einzelne nicht anwendet. Umsetzungshinweise zu den Maßnahmen liefert die Schwesternorm ISO/IEC 27002.
Penetrationstests – autorisierte, simulierte Angriffe durch Fachleute – schreibt die Norm nicht ausdrücklich vor. Anhang A enthält aber unter anderem eine Maßnahme, um technische Schwachstellen zu ermitteln, zu bewerten und zu behandeln (Maßnahme 8.8). Eine weitere betrifft Sicherheitstests bei Entwicklung und Abnahme (Maßnahme 8.29). Ein Pentest ist ein anerkannter Weg, beides nachvollziehbar zu belegen.
Die Zertifizierung läuft in zwei Stufen: Zuerst prüft die Zertifizierungsstelle Dokumentation und Vorbereitung, danach, ob das ISMS im Alltag tatsächlich gelebt wird. Das Zertifikat gilt drei Jahre. In den Jahren dazwischen kontrolliert die Stelle in jährlichen Überwachungsaudits, ob das ISMS weiterhin funktioniert; danach folgt eine Rezertifizierung. Die Übergangsfrist für Zertifikate nach der Vorgängerfassung von 2013 ist Ende Oktober 2025 abgelaufen. Eine Alternative ist die Zertifizierung nach ISO 27001 auf der Basis von IT-Grundschutz, die das BSI vergibt.
Ein Beispiel aus der Praxis
Ein mittelständisches Softwarehaus entwickelt eine Plattform für die Personalabrechnung. Ein großer Neukunde verlangt in der Ausschreibung ein Zertifikat nach ISO/IEC 27001. Das Unternehmen legt als Geltungsbereich Entwicklung und Betrieb der Plattform fest, benennt eine verantwortliche Person und bewertet die Risiken. In der Erklärung zur Anwendbarkeit hält es fest, dass vor jedem größeren Release Sicherheitstests stattfinden. Ein Penetrationstest der Plattform deckt eine Lücke in der Rechteprüfung auf: Angemeldete Nutzende konnten Abrechnungen anderer Firmenkunden abrufen. Das Team behebt die Lücke vor dem Audit, ein Retest bestätigt die Behebung. Im Audit kann das Unternehmen belegen, dass seine Maßnahmen nicht nur auf dem Papier stehen.
Warum ist das für Unternehmen wichtig?
Ein Zertifikat nach ISO/IEC 27001 ist im Geschäftsleben ein weit verbreiteter Nachweis für geprüfte Informationssicherheit. Viele Auftraggeber fragen danach – besonders, wenn Dienstleister mit sensiblen Daten arbeiten oder Zugriff auf ihre Systeme erhalten. Ohne Zertifikat müssen Unternehmen oft umfangreiche Fragebögen beantworten oder scheiden in manchen Ausschreibungen von vornherein aus.
Auch gesetzliche Pflichten lassen sich mit der Norm leichter erfüllen. Wer unter NIS2 fällt, kann mit einem ISMS nach ISO/IEC 27001 die geforderten Risikomanagementmaßnahmen strukturiert umsetzen. Betreiber von Strom- und Gasnetzen müssen nach dem IT-Sicherheitskatalog der Bundesnetzagentur sogar ein nach der Norm zertifiziertes ISMS nachweisen.
Wichtig ist aber auch die Grenze: Ein Zertifikat belegt ein funktionierendes Managementsystem. Es ist aber kein Beleg dafür, dass Ihre Systeme frei von Schwachstellen sind. Genau deshalb gehören technische Prüfungen zu einem wirksamen ISMS dazu.
Was Unternehmen jetzt tun sollten
- Ziel klären: Wollen Sie die Norm als Leitfaden nutzen oder ein Zertifikat erwerben, etwa weil Kunden es verlangen?
- Geltungsbereich festlegen: Beginnen Sie mit den Bereichen, auf die es Ihren Kunden ankommt.
- Lücken ermitteln: Vergleichen Sie Ihren Ist-Zustand mit den Kapiteln 4 bis 10 und den Maßnahmen aus Anhang A.
- Entscheidungen dokumentieren: Halten Sie Risikobewertung und Maßnahmenauswahl in der Erklärung zur Anwendbarkeit fest.
- Technische Wirksamkeit belegen: Planen Sie Schwachstellenscans und Penetrationstests fest ein – vor dem Audit und danach in regelmäßigen Abständen.
- Zertifizierungsstelle früh einbinden: Klären Sie Ablauf und Zeitplan rechtzeitig mit einer akkreditierten Stelle.
Wie Rootsektor unterstützt
Rootsektor liefert die technischen Nachweise, die ein ISMS nach ISO/IEC 27001 braucht. Unser Penetration Testing umfasst Webanwendungen, Netzwerke, Cloud-Umgebungen und mehr. Jeden Befund bewerten wir nach CVSS, einem Standard für den Schweregrad von Schwachstellen; dazu kommen eine Zusammenfassung für die Geschäftsleitung und konkrete Maßnahmenempfehlungen. Nach Abschluss erhalten Sie eine Prüfbescheinigung zur Vorlage bei Auditoren und Kunden, und behobene Schwachstellen prüfen wir im kostenlosen Retest erneut. Die Zertifizierung selbst übernimmt eine akkreditierte Zertifizierungsstelle.