ISO 27001

Eine internationale Norm, die festlegt, wie ein Unternehmen ein Managementsystem für Informationssicherheit aufbaut, betreibt und verbessert.

Genauer erklärt

ISO/IEC 27001 wird von ISO und IEC herausgegeben; die aktuelle Ausgabe stammt von 2022. Sie verlangt eine risikobasierte Auswahl von Maßnahmen, dokumentierte Zuständigkeiten, interne Audits und eine Bewertung durch die Leitung. Anhang A listet 93 Maßnahmen in vier Themengruppen. Eine Zertifizierung durch akkreditierte Stellen ist freiwillig und gilt drei Jahre mit jährlichen Überwachungsaudits. In Deutschland gibt es zusätzlich die ISO-27001-Zertifizierung auf Basis von IT-Grundschutz, die das BSI erteilt.

Artikel zum Begriff

• WiBA: Weg in die Basis-AbsicherungBSI WiBA einfach erklärt: 19 Checklisten mit rund 250 Prüffragen, wie kleine Organisationen damit arbeiten und was danach kommt.
• DIN SPEC 27076: der CyberRisikoCheckDIN SPEC 27076 einfach erklärt: wie der CyberRisikoCheck abläuft, welche 27 Anforderungen geprüft werden und was im Ergebnisbericht steht.
• Informationssicherheitsbeauftragter (ISB)Was ein Informationssicherheitsbeauftragter ist, wo er im Betrieb angesiedelt sein sollte, welche Qualifikation nötig ist und wann ein ISB vorgeschrieben ist.
• ISMS: Managementsystem für InformationssicherheitWas ein ISMS ist, woraus es nach BSI-Standard 200-1 besteht und wie viel Managementsystem ein kleiner Betrieb für seine Informationssicherheit wirklich braucht.
• NIS-2 einfach erklärtNIS-2 (NIS2) einfach erklärt: was die EU-Richtlinie regelt, welche Unternehmen in Deutschland betroffen sind und welche Pflichten seit Dezember 2025 gelten.
• Das NIS-2-Umsetzungsgesetz in DeutschlandDas NIS2-Umsetzungsgesetz einfach erklärt: Entstehung, Inkrafttreten am 6. Dezember 2025, neues BSI-Gesetz, zentrale Paragrafen und was Unternehmen jetzt tun.