ISO 27001 (Informationssicherheits-Managementsystem)

Was ist ISO 27001?

ISO/IEC 27001 (aktuelle Version: ISO 27001:2022, veröffentlicht Oktober 2022) ist der globale Standard für Informationssicherheits-Managementsysteme (ISMS). Gemeinsam von der Internationalen Organisation für Normung (ISO) und der Internationalen Elektrotechnischen Kommission (IEC) veröffentlicht, legt er Anforderungen für die Einrichtung, Implementierung, Aufrechterhaltung und kontinuierliche Verbesserung eines ISMS im Kontext der Organisation fest.

Im Gegensatz zu einer technischen Checkliste ist ISO 27001 ein Managementsystem-Standard – er integriert Informationssicherheit in die Unternehmensführung, das Risikomanagement und die Geschäftsprozesse, anstatt sie als reine IT-Angelegenheit zu behandeln.

Struktur: Die High-Level Structure (HLS)

ISO 27001:2022 folgt der standardisierten Annex SL High-Level Structure, die von allen modernen ISO-Managementsystem-Standards verwendet wird (auch ISO 9001, ISO 14001, ISO 22301). Dies erleichtert die Integration mit anderen Managementsystemen. Die Hauptklauseln sind:

• Klausel 4: Kontext der Organisation
• Klausel 5: Führung und Verpflichtung
• Klausel 6: Planung (Risikobewertung und -behandlung)
• Klausel 7: Unterstützung (Ressourcen, Kompetenz, Bewusstsein, Kommunikation, dokumentierte Informationen)
• Klausel 8: Betrieb (Umsetzung von Risikobehandlungsplänen, Kontrollen)
• Klausel 9: Leistungsbewertung (Überwachung, internes Audit, Managementbewertung)
• Klausel 10: Verbesserung (Nichtkonformitäten, Korrekturmaßnahmen, kontinuierliche Verbesserung)

Annex A Kontrollen

ISO 27001:2022 referenziert Annex A mit 93 Informationssicherheitskontrollen in vier Themen (aktualisiert gegenüber der vorherigen 14-Domänen-Struktur):

1. Organisatorische Kontrollen (37 Kontrollen) – Richtlinien, Rollen, Verantwortlichkeiten, Asset-Management, Lieferantenbeziehungen
2. Personenbezogene Kontrollen (8 Kontrollen) – Überprüfung, Beschäftigungsbedingungen, Schulung, Disziplinarverfahren
3. Physische Kontrollen (14 Kontrollen) – physische Sicherheitsbereiche, Clean-Desk-Policy, sichere Entsorgung
4. Technologische Kontrollen (34 Kontrollen) – Zugangskontrolle, Kryptographie, Netzwerksicherheit, Schwachstellenmanagement, Überwachung

Neue Kontrollen der Revision 2022 umfassen Bedrohungsintelligenz, Cloud-Sicherheit, Datenmaskierung und IKT-Bereitschaft für die Geschäftskontinuität.

Das Zertifizierungsverfahren

Die ISO 27001 Zertifizierung wird von akkreditierten Zertifizierungsstellen vergeben (in Spanien ENAC-akkreditierte Stellen wie AENOR, Bureau Veritas, TÜV, BSI). Das Verfahren folgt typischerweise diesen Stufen:

1. Lückenanalyse – aktuellen Stand gegenüber ISO 27001 Anforderungen bewerten
2. ISMS-Design und -Implementierung – Geltungsbereich definieren, Risikobewertung durchführen, Kontrollen auswählen, Richtlinien und Verfahren verfassen
3. Anwendbarkeitserklärung (Statement of Applicability – SoA) – dokumentieren, welche Annex A Kontrollen anwendbar sind und warum
4. Internes Audit – Implementierung vor externem Audit verifizieren
5. Stufe-1-Audit (Dokumentenprüfung) – Zertifizierungsstelle prüft ISMS-Dokumentation
6. Stufe-2-Audit (Implementierungsüberprüfung) – Vor-Ort-Verifikation der Implementierung
7. Zertifikat ausgestellt – gültig für drei Jahre, mit jährlichen Überwachungsaudits

Für ein mittelgroßes spanisches Unternehmen dauert der Prozess von der ersten Lückenanalyse bis zur Zertifizierung typischerweise 6–12 Monate.

ISO 27001 und regulatorische Compliance

Die ISO 27001 Zertifizierung bietet erhebliche Vorteile bei der Erfüllung regulatorischer Verpflichtungen:

• DSGVO/LOPD-GDD: Die TOMs von ISO 27001 erfüllen direkt die Anforderungen von Artikel 32 DSGVO. Die AEPD erkennt ISO 27001 als Nachweis angemessener Sicherheitsmaßnahmen an.
• NIS2: ISO 27001 adressiert viele der von NIS2 geforderten Risikomanagementmaßnahmen. NIS2 erkennt ausdrücklich die Verwendung europäischer und internationaler Normen an, und ISO 27001 ist die am häufigsten zitierte Referenz.
• DORA: Für Finanzunternehmen unterstützt ISO 27001 die Anforderungen des IKT-Risikomanagementrahmens, obwohl DORA zusätzliche sektorspezifische Anforderungen über ISO 27001 hinaus hat.
• ENS (Esquema Nacional de Seguridad): Spaniens nationaler Sicherheitsrahmen für öffentliche Einrichtungen ist eng an ISO 27001 angelehnt.

Geschäftliche Vorteile über die Compliance hinaus

Über die regulatorische Compliance hinaus liefert die ISO 27001 Zertifizierung greifbaren wirtschaftlichen Mehrwert:

• Bei Enterprise-Kunden und öffentlichen Beschaffungsrahmen erforderlich oder stark bevorzugt
• Reduziert in vielen Fällen Cyber-Versicherungsprämien
• Bietet einen strukturierten Ansatz für Sicherheitsbewertungen der Lieferkette
• Zeigt Sicherheitsreife gegenüber Investoren bei M&A-Due-Diligence

Wie BMC helfen kann

Wir begleiten Organisationen auf dem gesamten ISO 27001 Implementierungsweg – von der ersten Lückenanalyse und Geltungsbereichsdefinition über die Risikobewertungsmethodik, Kontrollauswahl, Richtlinienentwurf, Vorbereitung auf das interne Audit bis zur Koordination mit der Zertifizierungsstelle. Wir helfen Unternehmen auch zu verstehen, wie ISO 27001 mit ihren DSGVO- und NIS2-Verpflichtungen zusammenwirkt.