ISO 27001:2022: Was ein ISMS tatsächlich leisten muss

Das Managementsystem ist der eigentliche Prüfgegenstand

ISO/IEC 27001 beschreibt Anforderungen an ein Informationssicherheits-Managementsystem. Zertifiziert wird deshalb nicht eine einzelne Firewall oder ein Satz Richtlinien, sondern die Fähigkeit der Organisation, Informationsrisiken systematisch zu erkennen, zu behandeln und zu überwachen.

Technische Maßnahmen sind wichtig. Belastbar werden sie aber erst durch einen festgelegten Geltungsbereich, klare Verantwortungen, dokumentierte Entscheidungen und einen wiederkehrenden Verbesserungsprozess.

Die Kapitel 4 bis 10 bilden eine Steuerungskette

Kontext und Scope setzen den Rahmen. Führung schafft Mandat und Ressourcen. Planung übersetzt Risiken in Ziele und Maßnahmen. Unterstützung und Betrieb bringen diese Entscheidungen in den Alltag. Bewertung und Verbesserung schließen den Regelkreis.

• Scope und interessierte Parteien nachvollziehbar festlegen
• Risiken nach einer konsistenten Methode bewerten und behandeln
• Wirksamkeit durch Kennzahlen, Audits und Managementbewertung prüfen
• Abweichungen mit Ursache, Korrektur und Wirksamkeitsnachweis schließen

Der beste Startpunkt ist ein belastbarer Scope

Viele Programme beginnen mit einer Kontrollliste. Praktischer ist es, zuerst den zu schützenden Leistungszusammenhang zu bestimmen: Produkte, Prozesse, Informationen, Standorte, Plattformen und Abhängigkeiten. Erst danach lässt sich entscheiden, welche Risiken und Controls relevant sind.