ISO 27001 einfach erklärt: Was die Norm 2022 von einem ISMS verlangt

Was ist ISO 27001?

ISO/IEC 27001 ist die internationale Norm für Informationssicherheits-Managementsysteme (ISMS). Sie legt fest, welche Anforderungen ein ISMS erfüllen muss, damit eine Organisation Vertraulichkeit, Integrität und Verfügbarkeit ihrer Informationen systematisch steuert. Herausgegeben wird sie gemeinsam von ISO und IEC; gültig ist die Fassung ISO/IEC 27001:2022, ergänzt um das Amendment 1:2024 zu Klimaaspekten.

Die Norm ist branchenunabhängig und die zentrale zertifizierbare Norm der 27000er-Familie. Sie sagt, was ein ISMS leisten muss, nicht, mit welchem Werkzeug oder in welcher Form.

Das Managementsystem ist der eigentliche Prüfgegenstand

ISO/IEC 27001 beschreibt Anforderungen an ein Informationssicherheits-Managementsystem. Zertifiziert wird deshalb nicht eine einzelne Firewall oder ein Satz Richtlinien, sondern die Fähigkeit der Organisation, Informationsrisiken systematisch zu erkennen, zu behandeln und zu überwachen.

Technische Maßnahmen sind wichtig. Belastbar werden sie aber erst durch einen festgelegten Geltungsbereich, klare Verantwortungen, dokumentierte Entscheidungen und einen wiederkehrenden Verbesserungsprozess.

Die Kapitel 4 bis 10 bilden eine Steuerungskette

Kontext und Scope setzen den Rahmen. Führung schafft Mandat und Ressourcen. Planung übersetzt Risiken in Ziele und Maßnahmen. Unterstützung und Betrieb bringen diese Entscheidungen in den Alltag. Bewertung und Verbesserung schließen den Regelkreis.

• Scope und interessierte Parteien nachvollziehbar festlegen
• Risiken nach einer konsistenten Methode bewerten und behandeln
• Wirksamkeit durch Kennzahlen, Audits und Managementbewertung prüfen
• Abweichungen mit Ursache, Korrektur und Wirksamkeitsnachweis schließen

Anhang A: 93 Controls in vier Themen

Anhang A listet 93 Controls in vier Themen: 37 organisatorische, 8 personenbezogene, 14 physische und 34 technologische. Welche davon gelten, entscheidet die Risikobehandlung; festgehalten wird das in der Erklärung zur Anwendbarkeit (Statement of Applicability) mit Begründung für jede Auswahl und jeden Ausschluss. Umsetzungshinweise zu jedem Control enthält ISO/IEC 27002:2022.

Was sich mit der Fassung 2022 geändert hat

Gegenüber der Fassung von 2013 wurde Anhang A von 114 Controls in 14 Abschnitten auf 93 Controls in vier Themen umgestellt. Elf Controls sind neu, darunter Threat Intelligence, Informationssicherheit bei der Nutzung von Cloud-Diensten, Konfigurationsmanagement, Datenmaskierung und die Verhinderung von Datenabfluss. Im Hauptteil kam unter anderem die Planung von Änderungen (Kapitel 6.3) hinzu.

Zertifikate nach der Fassung von 2013 mussten bis zum 31. Oktober 2025 auf die neue Fassung umgestellt werden. Wer heute zertifiziert wird, wird nach ISO/IEC 27001:2022 auditiert.

Der beste Startpunkt ist ein belastbarer Scope

Viele Programme beginnen mit einer Kontrollliste. Praktischer ist es, zuerst den zu schützenden Leistungszusammenhang zu bestimmen: Produkte, Prozesse, Informationen, Standorte, Plattformen und Abhängigkeiten. Erst danach lässt sich entscheiden, welche Risiken und Controls relevant sind.