Was ist ISO 27001?

ISO 27001: Definition und Geltungsbe­reich

Die Norm ISO/IEC 27001 beschreibt die Anforderungen an ein ISMS. Das ist kein Produkt, sondern ein Managementsystem aus Regeln, Verantwortlichkeiten, Prozessen und Nachweisen, das Vertraulichkeit, Integrität und Verfügbarkeit von Informationen schützt. Die aktuelle Fassung ist ISO/IEC 27001:2022; die Übergangsfrist für Zertifikate nach der älteren Fassung ist abgelaufen.

Die Norm gilt für Organisationen jeder Größe und Branche. Das Unternehmen legt selbst fest, welchen Bereich (Scope) das ISMS umfasst, etwa einen Standort oder nur eine Dienstleistung. Ergänzend beschreibt ISO/IEC 27002 mögliche Maßnahmen. Eine Zertifizierung ist freiwillig, wird aber von Kunden und in Lieferketten häufig verlangt.

So funktioniert ein ISMS

Kern ist ein Kreislauf aus Planen, Umsetzen, Prüfen und Verbessern. Das Unternehmen erfasst seine Informationswerte, bewertet Risiken und wählt passende Maßnahmen aus dem Anhang A der Norm, der 93 Maßnahmen in vier Themenfeldern enthält. In der Anwendbarkeitserklärung (Statement of Applicability) begründet es, welche es nutzt. Interne Audits und Managementbewertungen sorgen für Kontrolle.

Die Zertifizierung führt eine akkreditierte Zertifizierungsstelle in zwei Stufen durch: Dokumentenprüfung und Audit vor Ort. Das Zertifikat gilt drei Jahre, jährliche Überwachungsaudits sichern die laufende Wirksamkeit. Wer zwischenzeitlich nachlässt, riskiert, dass das Zertifikat eingeschränkt oder entzogen wird. Das System muss also dauerhaft gelebt werden, nicht nur zum Audittermin.

• Organisatorisch: Richtlinien, Rollen, Lieferantenmanagement, Notfallplanung
• Personenbezogen: Schulungen, Verpflichtungen, Ein- und Austrittsprozesse
• Physisch: Zutritt, Räume, Geräte, Entsorgung
• Technologisch: Zugriffsrechte, Verschlüsselung, Patches, Backups, Protokollierung

Praxis­bei­spiel: Zulieferer unter Kundendruck

Ein Zulieferer mit 120 Mitarbeitern erhält von einem großen Kunden die Anforderung, Informationssicherheit nachzuweisen. Bisher gibt es nur einzelne Maßnahmen: Virenschutz, ein Backup, eine Passwortregel. Wer wofür zuständig ist, wie Vorfälle gemeldet werden und welche Lieferanten Zugriff haben, ist nirgends festgehalten.

Das Unternehmen legt einen Scope fest, führt eine Risikoanalyse durch, schließt Lücken bei Zugriffsrechten, Updates und Notfallplanung und dokumentiert alles. Nach der Zertifizierung gehört das ISMS zum Alltag. In der Automobilindustrie wird zusätzlich häufig TISAX verlangt, ein branchenspezifischer Nachweis auf Basis eines eigenen Prüfkatalogs.

Nutzen, Aufwand und Umsetzung

Der Nutzen liegt in klaren Verantwortlichkeiten, weniger Ausfällen und einem anerkannten Nachweis gegenüber Kunden. Der Aufwand ist real: Er hängt von Scope, Reifegrad und Größe ab und bindet vor allem Zeit von Geschäftsleitung und IT. Typische Fehler sind ein zu großer Scope, Papier ohne gelebte Praxis und die Delegation allein an die IT. Ein ISMS hilft auch bei NIS2-Anforderungen, ersetzt aber nicht die Prüfung der gesetzlichen Pflichten.

Nano Concepts unterstützt bei der technischen Umsetzung der Maßnahmen, etwa Härtung, Patch-Management, Backup, Zugriffsrechte und Protokollierung. Die Beratung zum Managementsystem und die Zertifizierung selbst übernehmen spezialisierte Berater und eine akkreditierte Zertifizierungsstelle. So bleibt klar getrennt, was technisch umgesetzt und was unabhängig geprüft wird.