ISO/IEC 27001: Anforderungen an ein ISMS

ISO/IEC 27001 ist eine internationale Norm, die Anforderungen an ein Informationssicherheits-Managementsystem (ISMS) festlegt. Ziel ist es, Vertraulichkeit, Integrität und Verfügbarkeit von Informationen zu sichern und Informationssicherheitsrisiken zu bewerten, zu steuern und zu verringern. Die Norm richtet sich an Organisationen jeder Größe und Branche, die ihre Informationssicherheit systematisch regeln und verbessern wollen. Ergänzend gibt es themen- und branchenspezifische Regelwerke, etwa die ISO/IEC 27017 für Cloud-Dienste, den C5-Katalog des BSI für Cloud-Anbieter, TISAX für die Automobilindustrie und den PCI DSS für Kartenzahlungen.

Aktuelle Ausgabe

Gültig ist die Ausgabe ISO/IEC 27001:2022 vom Oktober 2022. Die deutsche Fassung ist als DIN EN ISO/IEC 27001:2024-01 erschienen. Die größte Änderung gegenüber der Vorgängerausgabe betrifft den Anhang A: Statt 114 enthält er 93 Maßnahmen (Controls), gegliedert in 4 statt 14 Kategorien. Viele Maßnahmen wurden zusammengeführt, 11 kamen neu hinzu, etwa zu Threat Intelligence, Cloud-Sicherheit und sicherer Programmierung. Zertifizierte Unternehmen mussten bis Oktober 2025 auf die neue Fassung umstellen. Personenzertifikate für Auditoren sind etwa der ISO/IEC 27001 Lead Auditor von PECB oder die Auditor-Zertifikate der TÜV-Gesellschaften, siehe ISO 27001 Auditor (TÜV).

Kernanforderungen

Die Norm verlangt einen prozessorientierten und risikobasierten Ansatz mit kontinuierlicher Verbesserung. Zentrale Anforderungen sind:

• Risikomanagement: Informationssicherheitsrisiken identifizieren, bewerten und behandeln; dazu gehören ein Verfahren zur Risikobeurteilung und ein Plan zur Risikobehandlung.
• Informationssicherheitsleitlinie: eine Richtlinie, die Ausrichtung und Ziele der Organisation für die Sicherheit ihrer Informationen festlegt.
• Rollen und Verantwortlichkeiten: eine Struktur von Zuständigkeiten und Prozessen für die laufende Steuerung der Informationssicherheit.
• Maßnahmen nach Anhang A: Auswahl und Umsetzung geeigneter Maßnahmen, zum Beispiel zur Verwaltung von Informationswerten, zur Zugangssteuerung, zum Betrieb, zum Umgang mit Sicherheitsvorfällen und zur Informationssicherheit bei Betriebsunterbrechungen.
• Bewertung und Verbesserung: regelmäßige Überprüfung der Wirksamkeit des ISMS, einschließlich interner Audits und Managementbewertungen.

Beispiel aus der Praxis

Ein IT-Unternehmen verarbeitet und speichert Kundendaten und führt dafür ein ISMS nach ISO/IEC 27001 ein. Zuerst ermittelt es alle schutzbedürftigen Informationen und beurteilt die Risiken für diese Daten. Danach legt es Richtlinien und Maßnahmen fest, etwa die Verschlüsselung der Kundendaten, strenge Zugriffskontrollen und regelmäßige Sicherheitsaudits. Zudem regelt es den Umgang mit Sicherheitsvorfällen und die Vorsorge für Betriebsunterbrechungen.

Der risikobasierte Ansatz ermöglicht es, bestehende Risiken zu steuern und auf neue Bedrohungen zu reagieren. Ein ISMS nach ISO/IEC 27001 kann das Vertrauen von Kunden und Geschäftspartnern stärken und hilft, rechtliche Anforderungen an die Informationssicherheit zu erfüllen.

Häufige Fragen zu ISO/IEC 27001

Was versteht man unter einem Informationssicherheitsmanagementsystem (ISMS) nach ISO/IEC 27001?

Ein ISMS ist ein systematischer Ansatz zum Schutz von Informationen. Es umfasst Richtlinien, Verfahren und Kontrollen, die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen sichern. ISO/IEC 27001 legt fest, welche Anforderungen ein solches System erfüllen muss, damit Sicherheitsrisiken erkannt, bewertet und gesteuert werden.

Welche grundlegenden Prinzipien verfolgt die ISO/IEC 27001?

Die Norm folgt dem Prinzip der kontinuierlichen Verbesserung und stellt das Risikomanagement in den Mittelpunkt. Organisationen müssen Sicherheitsrisiken identifizieren, geeignete Maßnahmen umsetzen und deren Wirksamkeit regelmäßig überprüfen.

Welche Rollen und Verantwortlichkeiten definiert die ISO/IEC 27001 für die Informationssicherheit?

Die Norm verlangt, dass die oberste Leitung Rollen, Verantwortlichkeiten und Befugnisse für die Informationssicherheit festlegt und bekannt macht. Wie diese Rollen bezeichnet werden, zum Beispiel als Informationssicherheitsbeauftragter, entscheidet die Organisation. Beschäftigte müssen ihre Pflichten im Umgang mit Informationen und Sicherheitsvorfällen kennen.

Wie trägt die ISO/IEC 27001 zur Risikobewertung und zum Risikomanagement bei?

Die Norm verlangt einen festgelegten Prozess zur Beurteilung und Behandlung von Informationssicherheitsrisiken. Organisationen müssen Risiken für ihre Informationswerte erkennen, bewerten und Maßnahmen zur Minderung oder bewussten Akzeptanz festlegen. So stützen sich Sicherheitsentscheidungen auf das tatsächliche Risiko.

Inwiefern unterstützt die ISO/IEC 27001 bei der Bewältigung von Sicherheitsvorfällen?

Zu den Maßnahmen gehört ein geregeltes Management von Sicherheitsvorfällen. Vorfälle sollen zeitnah erkannt, analysiert und behandelt, dokumentiert und ausgewertet werden, um künftige Vorfälle zu verhindern.

Welche Bedeutung hat die kontinuierliche Verbesserung im Rahmen der ISO/IEC 27001?

Das ISMS wird regelmäßig überprüft und angepasst, etwa durch interne Audits und Managementbewertungen. So bleibt das Sicherheitsniveau auch bei veränderter Bedrohungslage angemessen.