ISO/IEC 27001:2022 beschreibt die Anforderungen an Aufbau, Betrieb, Bewertung und Verbesserung eines Informationssicherheits-Managementsystems (ISMS). Amendment 1:2024 ergänzt die Prüfung, ob Klimawandel ein relevantes Kontextthema ist und ob interessierte Parteien dazu Anforderungen haben.
Eine Zertifizierung bestätigt die bewertete Konformität des ISMS in einem definierten Geltungsbereich. Sie garantiert nicht, dass kein Sicherheitsvorfall eintritt, und ist keine Gewähr für die Erfüllung aller Gesetze oder Kundenverträge.
ISMS in sechs Schritten aufbauen
- Scope festlegen: Produkte, Standorte, Prozesse, Systeme, Schnittstellen und begründete Grenzen dokumentieren.
- Governance etablieren: Leitung, ISMS-Verantwortung, Risikoeigner und Entscheidungswege bestimmen.
- Risiken beurteilen: konsistente Kriterien für Eintrittswahrscheinlichkeit, Auswirkung und Akzeptanz verwenden.
- Risiken behandeln: Controls auswählen, Verantwortliche und Termine festlegen und das Statement of Applicability erstellen.
- Betrieb nachweisen: Richtlinien allein genügen nicht; Tickets, Reviews, Protokolle, Tests und Kennzahlen zeigen Wirksamkeit.
- Prüfen und verbessern: interne Audits, Managementbewertung, Korrekturen und kontinuierliche Verbesserung durchführen.
Welche Controls sind verpflichtend?
Die Klauseln 4 bis 10 sind die verbindlichen Managementsystemanforderungen. Annex A enthält 93 Referenz-Controls. Jedes Control muss im SoA als anwendbar oder nicht anwendbar bewertet werden; Ausschlüsse brauchen eine nachvollziehbare Begründung. Umgekehrt kann die Risikobeurteilung Maßnahmen verlangen, die nicht in Annex A stehen.
Typische Themen sind Asset- und Identitätsmanagement, Lieferanten, Cloud-Dienste, Protokollierung, sichere Entwicklung, Vorfallmanagement, physische Sicherheit und IKT-Bereitschaft für Geschäftskontinuität.
Auditablauf
Vor dem externen Audit sollten ein abgeschlossener ISMS-Zyklus, internes Audit und Managementbewertung vorliegen.
- Stage 1: Scope, Dokumentation und Auditbereitschaft werden bewertet.
- Stage 2: Umsetzung und Wirksamkeit werden anhand von Interviews, Stichproben und Evidenz geprüft.
- Überwachung: Im Zertifizierungszyklus folgen regelmäßige Überwachungsaudits.
- Re-Zertifizierung: Vor Ende des dreijährigen Zyklus wird erneut umfassender bewertet.
ISO selbst zertifiziert keine Unternehmen. Für ein akkreditiertes Zertifikat ist eine entsprechend akkreditierte Zertifizierungsstelle zu wählen; Scope und Akkreditierungsstatus sollten vor Beauftragung geprüft werden.
ISO 27001, BSI-Grundschutz, NIS2 und TISAX
Diese Rahmenwerke sind anschlussfähig, aber nicht austauschbar. IT-Grundschutz bietet detaillierte BSI-Methodik und Bausteine. NIS2 beziehungsweise das nationale Recht enthalten gesetzliche Pflichten. TISAX organisiert branchenspezifische Assessments und Ergebnisaustausch in der Automotive-Lieferkette. Ein gemeinsames Kontroll- und Evidenzmodell kann Doppelarbeit reduzieren; die jeweiligen Scope-, Melde- und Nachweispflichten bleiben separat zu prüfen.
Aufwand realistisch schätzen
Projektzeit und Kosten hängen von Scope, Standorten, Reifegrad, technischer Komplexität, bestehenden Kontrollen und verfügbaren internen Ressourcen ab. Seriöse Angebote trennen interne Arbeit, Beratung, technische Verbesserungen, Schulung und Zertifizierung. Ein garantierter Zertifizierungserfolg oder eine universelle Festpreisspanne ist kein belastbarer Planungsansatz.
Vision Compliance begleitet ISO-27001- und ISMS-Projekte von Scope und Risikoanalyse bis zur internen Prüfung und Auditbegleitung.
Quellen und Prüfung
Robert Lozo, mag. iur., ist Partner bei Vision Compliance mit Schwerpunkt EU-Regulierung. Er berät Organisationen zu DSGVO, NIS2, EU AI Act und Finanzregulierung und liefert auditfähige Dokumentation und Compliance-Fahrpläne für regulierte Branchen.