ISO 27001 einfach erklärt
ISO 27001 einfach erklärt: was die Norm für Informationssicherheit verlangt, wie sie aufgebaut ist, was Anhang A enthält und für wen sich die Umsetzung lohnt.
ISO 27001 (vollständig ISO/IEC 27001) ist die weltweit verbreitete Norm für Informationssicherheit. Sie beschreibt, wie ein Unternehmen ein Managementsystem aufbaut, mit dem es seine Informationen dauerhaft und nachvollziehbar schützt. Die aktuelle Fassung stammt aus dem Jahr 2022.
Worum es geht
ISO 27001 schreibt nicht vor, welche Firewall Sie kaufen sollen. Sie verlangt, dass Sie Ihre Risiken kennen, passende Maßnahmen festlegen, Zuständigkeiten klären, alles dokumentieren und regelmäßig prüfen, ob es wirkt. Eine Liste mit 93 Maßnahmen im Anhang hilft dabei, nichts Wichtiges zu vergessen.
Wozu Unternehmen sie nutzen
Viele Betriebe setzen ISO 27001 um, weil Kunden oder Ausschreibungen ein Zertifikat verlangen. Andere nutzen sie als Ordnungsrahmen, um Informationssicherheit planbar zu machen. Für NIS-2 ist die Norm nicht vorgeschrieben, gilt aber als gute Grundlage. Die Zertifizierung ist freiwillig und wird von unabhängigen, akkreditierten Stellen durchgeführt.
Passt das zu meinem Betrieb?
Für sehr kleine Betriebe ist der Aufwand für ein vollständiges Managementsystem oft hoch. Dann sind ein schlanker Einstieg wie die Basis-Absicherung nach IT-Grundschutz oder ein CyberRisikoCheck nach DIN SPEC 27076 sinnvolle Vorstufen. Wer ein Zertifikat braucht, plant am besten mehrere Monate Vorbereitung ein.
Der nächste Schritt
Klären Sie, warum Sie ISO 27001 wollen: Kundenanforderung, gesetzliche Pflicht oder eigener Ordnungsanspruch. Daraus ergeben sich Umfang, Zeitplan und die Frage, ob ein Zertifikat nötig ist.
Einordnung der ISO 27001
ISO/IEC 27001 gehört zur Normenfamilie ISO/IEC 27000 und wird gemeinsam von ISO und IEC herausgegeben. Sie legt Anforderungen an ein Informationssicherheits-Managementsystem (ISMS) fest. Die dritte Ausgabe ISO/IEC 27001:2022 ersetzte die Fassung von 2013; 2024 kam eine kleine Ergänzung zum Thema Klimawandel hinzu. In Deutschland ist die Norm als DIN EN ISO/IEC 27001 übernommen. Die Übergangsfrist für Zertifikate nach der alten Fassung endete am 31. Oktober 2025; seitdem wird nur noch nach der Ausgabe 2022 zertifiziert.
Wichtige Begleitnormen sind ISO/IEC 27002 (Leitfaden mit Erläuterungen zu den Maßnahmen), ISO/IEC 27005 (Risikomanagement) und ISO/IEC 27006 (Anforderungen an Zertifizierungsstellen).
Aufbau der Norm
ISO 27001 folgt der einheitlichen Grundstruktur der ISO-Managementsystemnormen. Die Anforderungen stehen in den Kapiteln 4 bis 10:
- Kapitel 4 Kontext der Organisation: interne und externe Themen, interessierte Parteien, Anwendungsbereich (Scope) des ISMS.
- Kapitel 5 Führung: Verpflichtung der obersten Leitung, Informationssicherheitspolitik, Rollen und Verantwortlichkeiten.
- Kapitel 6 Planung: Risikobeurteilung und Risikobehandlung, Erklärung zur Anwendbarkeit, Sicherheitsziele, Planung von Änderungen.
- Kapitel 7 Unterstützung: Ressourcen, Kompetenz, Bewusstsein, Kommunikation, dokumentierte Information.
- Kapitel 8 Betrieb: Umsetzung der Planung, regelmäßige Risikobeurteilung und -behandlung.
- Kapitel 9 Bewertung der Leistung: Überwachung und Messung, interne Audits, Managementbewertung.
- Kapitel 10 Verbesserung: fortlaufende Verbesserung, Nichtkonformitäten und Korrekturmaßnahmen.
Dazu kommt Anhang A mit 93 Maßnahmen (Controls) in vier Themengruppen: organisatorisch (37), personenbezogen (8), physisch (14) und technologisch (34).
Der Kern: risikobasiertes Vorgehen
ISO 27001 ist kein Maßnahmenkatalog zum Abhaken. Das Unternehmen legt eine Methode zur Risikobeurteilung fest, identifiziert Risiken für Vertraulichkeit, Integrität und Verfügbarkeit, bewertet sie und entscheidet, wie es sie behandelt: reduzieren, vermeiden, übertragen oder bewusst akzeptieren. Die ausgewählten Maßnahmen werden mit Anhang A abgeglichen, damit keine notwendige Maßnahme übersehen wird.
Das Ergebnis dieses Abgleichs ist die Erklärung zur Anwendbarkeit, das Statement of Applicability. Darin steht für jede der 93 Maßnahmen, ob sie umgesetzt wird, warum, und falls nicht, mit welcher Begründung sie ausgeschlossen ist.
Pflichtdokumente
Die Norm verlangt an mehreren Stellen dokumentierte Information. Dazu gehören unter anderem:
- Anwendungsbereich des ISMS
- Informationssicherheitspolitik und Sicherheitsziele
- Verfahren und Ergebnisse der Risikobeurteilung und Risikobehandlung
- Statement of Applicability und Risikobehandlungsplan
- Nachweise zu Kompetenz und Schulungen
- Ergebnisse von Überwachung und Messung
- Auditprogramm und Ergebnisse interner Audits
- Ergebnisse der Managementbewertung
- Nichtkonformitäten und Korrekturmaßnahmen
Welche weiteren Richtlinien und Verfahren nötig sind, hängt von den ausgewählten Maßnahmen ab.
Verhältnis zum IT-Grundschutz
Der BSI-Standard 200-1 beschreibt Anforderungen an ein ISMS und ist mit ISO 27001 kompatibel. Der Unterschied liegt in der Konkretisierung: ISO 27001 lässt die Auswahl der Maßnahmen offen und arbeitet mit einer eigenen Risikobeurteilung, der IT-Grundschutz liefert mit dem Kompendium konkrete Anforderungen je Baustein. In Deutschland gibt es mit der ISO-27001-Zertifizierung auf Basis von IT-Grundschutz einen Weg, beides zu verbinden; das BSI erteilt diese Zertifikate selbst.
Verhältnis zu NIS-2
NIS-2 schreibt keine ISO-Zertifizierung vor. Nach Einschätzung des BSI deckt ein umfassend umgesetztes ISMS nach ISO 27001 einen großen Teil der Maßnahmen nach § 30 BSIG ab. Registrierung, Meldefristen, Pflichten der Geschäftsleitung und der Geltungsbereich für die gesamte Einrichtung sind aber zusätzlich zu beachten.
Aufwand realistisch einschätzen
Der Aufwand hängt vor allem vom Scope, vom Reifegrad der vorhandenen IT-Organisation und von der Größe ab. Typische Treiber sind die erstmalige Risikobeurteilung, das Erstellen und Abstimmen von Richtlinien, das Schließen technischer Lücken und der Aufbau der Prüfprozesse (interne Audits, Managementbewertung). Kleine Unternehmen profitieren davon, den Scope klar zu begrenzen und vorhandene Dokumente zu nutzen, statt Vorlagenpakete unverändert zu übernehmen. Ein ISMS, das nur für das Audit existiert, hilft im Ernstfall wenig.
Für wen ISO 27001 sinnvoll ist
- Unternehmen, deren Kunden ein Zertifikat verlangen, etwa IT-Dienstleister, Rechenzentren oder Zulieferer größerer Konzerne
- Unternehmen mit NIS-2-Pflichten, die ihre Umsetzung strukturiert und nachweisbar gestalten wollen
- Unternehmen, die international tätig sind, weil die Norm weltweit anerkannt ist
Für Zulieferer der Automobilindustrie ist häufig TISAX der gefragtere Nachweis; TISAX beruht ebenfalls weitgehend auf den Inhalten der ISO 27001.
Häufige Missverständnisse
- «Das Zertifikat macht uns sicher.» Es bestätigt, dass ein Managementsystem im festgelegten Geltungsbereich funktioniert. Wie gut die Maßnahmen sind, hängt von der Risikobeurteilung und der Umsetzung ab.
- «Die Norm betrifft nur die IT.» ISO 27001 umfasst auch Personal, Verträge, Räume, Papierakten und Lieferanten.
- «Einmal zertifiziert, fertig.» Überwachungsaudits, interne Audits und Managementbewertung sind jährlich fällig; das ISMS muss gelebt werden.
Häufige Fragen
Was ist ISO 27001 kurz erklärt?
Eine internationale Norm, die Anforderungen an ein Managementsystem für Informationssicherheit festlegt: Risiken erkennen, Maßnahmen festlegen, Verantwortung regeln, dokumentieren und regelmäßig verbessern.
Ist ISO 27001 Pflicht?
Nein, die Norm und die Zertifizierung sind freiwillig. Kunden, Ausschreibungen oder Branchenvorgaben können ein Zertifikat aber faktisch verlangen. NIS-2 schreibt ISO 27001 nicht vor.
Was ist der Unterschied zwischen ISO 27001 und ISO 27002?
ISO 27001 enthält die prüfbaren Anforderungen an das ISMS und die Liste der Maßnahmen in Anhang A. ISO 27002 ist ein Leitfaden, der diese Maßnahmen ausführlich erläutert; nach ihr wird nicht zertifiziert.