Was ist ISO 27001?

Ein ISMS ist eine Sammlung von Richtlinien, Verfahren und Kontrollmaßnahmen, die festlegen, wie ein Unternehmen seine Informationssicherheitsrisiken verwaltet, und umfasst Anforderungen wie Risikobewertung, Asset-Management, Zugriffskontrolle, Kryptografie, Vorfallmanagement und vieles mehr.

Das Ziel eines ISMS ist es, Folgendes zu schützen:

• die Vertraulichkeit von Informationen, indem die unbefugte Offenlegung von Informationen verhindert wird;
  
  
• die die Integrität von Informationen, indem sichergestellt wird, dass Informationen korrekt und vollständig sind; und
• die Verfügbarkeit von Informationen, indem sichergestellt wird, dass Informationen bei Bedarf zugänglich sind.

Ein ISMS hilft einem Unternehmen dabei, einheitliche Sicherheitsmaßnahmen umzusetzen, die sich an ein sich veränderndes Risikoumfeld anpassen lassen.

ISO 27001 beschreibt einen umfassenden Prozess, den Unternehmen bei der Einrichtung und Aufrechterhaltung eines ISMS befolgen sollen:

• Risikobewertung – Identifizierung und Bewertung potenzieller Informationssicherheitsvorfälle, die im Zusammenhang mit den Informationen und Daten eines Unternehmens auftreten könnten;
  
  
• Risikomanagementprozess – Umsetzung relevanter Informationssicherheitsmaßnahmen zum Schutz vor diesen Sicherheitsvorfällen und zur Reduzierung des Informationssicherheitsrisikos; und
  
  
• Risikobehandlung – Risikominderung im Laufe der Zeit sowie fortlaufende Überwachung und Überprüfung der Wirksamkeit dieser Maßnahmen, um die kontinuierliche Verbesserung des Datenschutzes und der Informationssicherheit innerhalb eines Unternehmens voranzutreiben.

Außerdem hilft die ISO 27001 Unternehmen dabei, die Authentizität von Informationen zu gewährleisten – das heißt, die Identität von Nutzern und Systemen kann über den gesamten Informationslebenszyklus hinweg überprüft werden – und trägt dazu bei, die Nichtabstreitbarkeit sicherzustellen, was bedeutet, dass alle Transaktionen im Zusammenhang mit Informationen zurückverfolgt und überprüft werden können.

Kurz zusammengefasst verlangt die ISO 27001 von Unternehmen, dass sie:

• ihre Sicherheitsrisiken, einschließlich Bedrohungen, Sicherheitslücken und potenzieller Auswirkungen, systematisch untersuchen;
  
  
• ein umfassendes Bündel von Informationssicherheitsmaßnahmen und anderen Formen des Risikomanagements konzipieren und umsetzen, um Risiken zu bewältigen, die als inakzeptabel gelten; und
  
  
• einen übergreifenden Managementprozess einführen, um sicherzustellen, dass die Informationssicherheitsmaßnahmen auch weiterhin kontinuierlich den Anforderungen und Sicherheitszielen des Unternehmens entsprechen.

ISO 27001 schreibt außerdem vor, dass Unternehmen ein ISMS einrichten müssen, das auf ihre spezifischen geschäftlichen Anforderungen und Risiken zugeschnitten ist.

Die Norm ISO 27001 selbst besteht aus zwei Teilen:

• Elf (11) verbindliche Abschnitte (0 bis 10), die Anforderungen in bestimmten Bereichen festlegen, und
  
  
• Anhang A, der Leitlinien für 93 Kontrollziele enthält, von denen jedes eine konkrete Maßnahme darstellt, die umgesetzt werden kann, um Risiken auf ein akzeptables Maß zu reduzieren.
   

Obligatorische Klauseln

Der Hauptteil der Norm ISO 27001 – die 11 Paragrafen – führt zunächst in den Abschnitten 0 bis 3 in die Grundlagen der Norm ein; diese enthalten Definitionen und Zusammenfassungen der Anforderungen. Die Paragrafen 4–10 listen spezifische Anforderungen auf, die für die Einhaltung der ISO 27001 zwingend erforderlich sind:

Paragraf 4 – Kontext des Unternehmens ist eine ganzheitliche Anforderung an das Management, relevante externe und interne Themen – darunter auch regulatorische Herausforderungen – zu ermitteln, zu prüfen und zu verstehen sowie interessierte Parteien zu identifizieren und zu berücksichtigen.

Klausel 5 – Führung beschreibt die Anforderungen an eine angemessene Führung, einschließlich der Verpflichtung der obersten Führungsebene, wobei Rollen und Verantwortlichkeiten klar definiert sind. In Paragraf 5 ist festgelegt, dass die Geschäftsleitung folgende Aufgaben hat:

• Sicherheitsziele festlegen, die auf die strategische Ausrichtung und die Ziele des Unternehmens abgestimmt sind;
  
  
• die erforderlichen Ressourcen bereitstellen, um ein ISMS und die Beiträge der Mitarbeiter dazu zu unterstützen; und
  
  
• Legen Sie eine übergeordnete Richtlinie zur Informationssicherheit gemäß ISO 27001 fest, die dokumentiert und innerhalb des gesamten Unternehmens sowie gegenüber allen Stakeholdern und interessierten Parteien – von den Mitarbeitern über die Aktionäre bis hin zu staatlichen Aufsichtsbehörden und anderen – kommuniziert wird.

Paragraf 6 – Planung schreibt vor, Risiken und Chancen im Bereich der Informationssicherheit zu ermitteln und zu berücksichtigen (die Risikobewertung im Bereich der Informationssicherheit), auf der Grundlage dieser Bewertung Ziele für die Informationssicherheit und die Kontrollmaßnahmen festzulegen sowie einen Plan zur Risikobehandlung zu erstellen, der relevante Kontrollmaßnahmen aus Anhang A einbezieht.

Paragraf 7 – Unterstützung beschreibt, wie ein robustes ISMS und ein Security-Framework durch die Bereitstellung geeigneter Ressourcen, die Sicherstellung des Verständnisses der Mitarbeiter für das Informationssicherheitsmanagement sowie eine angemessene Kommunikation innerhalb und außerhalb des Unternehmens unterstützt werden können. Die Geschäftsleitung muss bestimmte Unterlagen, darunter einen Kommunikationsplan, aktualisieren und pflegen.

Paragraf 8 – Betrieb schreibt bestimmte Prozesse zur Informationssicherheit vor, die geplant, umgesetzt und überwacht werden müssen. Hier kommen die Risikobewertung und der Umgang mit Risiken zum Tragen.

Paragraf 9 – Leistungsbewertung schreibt vor, dass Unternehmen ihr ISMS überwachen, messen, analysieren und bewerten müssen, wobei sie regelmäßig die Leistungskennzahlen (KPIs) überprüfen und interne Audits durchführen müssen. In festgelegten Intervallen muss das Top-Management die ISM und ISO 27001-bezogenen KPIs überprüfen, um sicherzustellen, dass sie weiterhin relevant sind.

Paragraf 10 – Verbesserung: Nach der Leistungsbewertung müssen Unternehmen alle erforderlichen Korrekturmaßnahmen, die als „Verbesserung“ bezeichnet werden, ergreifen. Dies bedeutet, dass die Unternehmensleitung Maßnahmen ergreifen muss, um die Ursachen sogenannter „Nichtkonformitäten“ zu beseitigen. Darüber hinaus sollte sie einen Prozess zur kontinuierlichen Verbesserung einführen.

Anhang-A-Kontrollen

In Anhang A der Norm ISO 27001:2022 sind 93 Sicherheitsmaßnahmen bzw. Kontrollmaßnahmen aufgeführt, die Unternehmen anwenden können, um Risiken zu mindern und die Sicherheitsanforderungen von interessierten Parteien, wie beispielsweise Aufsichtsbehörden und Partnern, zu erfüllen. Teil der gemäß ISO 27001 vorgeschriebenen Dokumentation ist die Anwendbarkeitserklärung, in der das Unternehmen die spezifischen Kontrollmaßnahmen aus Anhang A, die umgesetzt werden sollen, detailliert aufführt, indem es diese als „anwendbar“ kennzeichnet.

Die Norm ISO 27001:2022 legt zudem vier Bereiche für die 93 Kontrollmaßnahmen fest:

Anhang A.5 – Organisatorische Kontrollmaßnahmen umfassen 37 Kontrollmaßnahmen, die durch die Festlegung der einzuhaltenden Regeln sowie des von Anwendern, Geräten, Software und Systemen erwarteten Verhaltens umgesetzt werden sollen (z. B. eine Richtlinie zur Zugriffskontrolle).

Anhang A.6 – Personbezogene Kontrollmaßnahmen sind acht Kontrollmaßnahmen, die durch den Austausch von Wissen, Ausbildung, Fähigkeiten und/oder Erfahrungen mit Personen umgesetzt werden, um diese in die Lage zu versetzen, ihre jeweiligen Tätigkeiten so auszuüben, dass die Informationssicherheit gewährleistet ist (z. B. Schulungen gemäß ISO 27001).

Anhang A.7 – Physische Kontrollmaßnahmen sind 14 Kontrollmaßnahmen, die durch den Schutz und die Sicherung von Geräten oder Vorrichtungen umgesetzt werden, die physisch mit Personen und Gegenständen interagieren (z. B. Videoüberwachungskameras oder Alarmanlagen).

Anhang A.8 – Technologische Kontrollmaßnahmen umfasst 34 Kontrollmaßnahmen mit Schwerpunkt auf IT und Kommunikation, die in erster Linie in Informationssystemen mithilfe von Software, Hardware und Firmware (z. B. Sicherungs- oder Antivirensoftware) umgesetzt werden.

Beachten Sie, dass die Norm ISO 27001:2022 21 Kontrollmaßnahmen in Anhang A weniger enthält als die Vorgängerversion, ISO 27001:2013. Die Anzahl der Kontrollmaßnahmen wurde reduziert, indem 57 Kontrollmaßnahmen zusammengefasst, 3 Kontrollmaßnahmen gestrichen, 35 Kontrollmaßnahmen unverändert beibehalten und 11 neue Kontrollmaßnahmen eingeführt wurden. Die neuen Kontrollmaßnahmen konzentrieren sich auf Cloud-Services, die Vorbereitung auf die Geschäftskontinuität, Threat-Intelligence, die Überwachung der physischen Sicherheit, Datenmaskierung, die Löschung von Informationen, den Schutz vor Datenlecks, Überwachungsaktivitäten, Webfilterung und sichere Codierung.

Unternehmen können die Norm ISO 27001 umsetzen, um von den darin enthaltenen Best Practices zu profitieren. Sie können sich zudem für ein formelles Zertifizierungsverfahren entscheiden, das Kunden und andere Stakeholder verdeutlicht, dass sie sich für einen sicheren und zuverlässigen Umgang mit Informationen einsetzen und dazu in der Lage sind.

Bevor der Zertifizierungsprozess beginnt, muss das Unternehmen ein konformes ISMS einführen, und die Unternehmensleitung muss den Geltungsbereich des ISMS speziell für die Zwecke der Zertifizierung festlegen (so kann sie den Geltungsbereich beispielsweise auf einen einzelnen Geschäftsbereich oder Standort beschränken). Die daraus resultierende Zertifizierung gilt ausschließlich für diesen begrenzten Geltungsbereich.

Anschließend muss das ISMS einem externen, mehrstufigen Zertifizierungsaudit durch eine akkreditierte Zertifizierungsstelle unterzogen werden, um die Einhaltung der Anforderungen zu überprüfen.

Der externe Prüfungsprozess umfasst drei Phasen.

• Phase 1: Vorläufige Überprüfung des ISMS.Die Zertifizierungsstelle überprüft, ob die wesentlichen Unterlagen vorliegen und vollständig sind (z. B. die Informationssicherheitsrichtlinie des Unternehmens, ihre Geltungserklärung (SoA) und ihr Risikobehandlungsplan (RTP)).
  
  
• Phase 2: Formelle Konformitätsprüfung.Die Zertifizierungsstelle führt eine detailliertere Prüfung durch und testet das ISMS des Unternehmens unabhängig, um sicherzustellen, dass es die Anforderungen der ISO 27001 erfüllt. Das Bestehen von Phase 2 bedeutet, dass das Unternehmen als konform mit der ISO 27001 zertifiziert wird.
  
  
• Phase 3: Laufende Überprüfung.Nach der Zertifizierung gemäß ISO 27001 muss das Unternehmen fortlaufend Nachprüfungen und interne Audits durchführen, um die Einhaltung der Anforderungen im Laufe der Zeit sicherzustellen.

Unternehmen, die bereits nach ISO 27001 zertifiziert sind, müssen bis zum 31. Oktober 2025 auf die neue Version von 2022 umstellen, indem sie sicherstellen, dass sie über ein aktualisiertes, konformes Informationssicherheits-Managementsystem (ISMS) verfügen.

Laut Berichten aus dem Jahr 2022 gibt es in 150 Ländern über 70.000 ISO 27001-Zertifikate. Zwar konzentriert sich der Großteil dieser Zertifikate auf die Informationstechnologie (IT), doch decken sie Unternehmen aus allen Wirtschaftsbereichen ab.

Die Einrichtung eines gut organisierten Informationssicherheits-Managementsystems (ISMS) auf der Grundlage der Einhaltung der Norm ISO 27001 und einer entsprechenden Zertifizierung ermöglicht Unternehmen Folgendes:

• die Sicherheitslücken gegenüber der stetig wachsenden Bedrohung durch Cyberangriffe zu verringern
  
  
• schneller und effektiver auf sich entwickelnde Risiken im Bereich der Informationssicherheit zu reagieren
  
  
• dazu beizutragen, dass Assets wie Jahresabschlüsse, geistiges Eigentum (IP), Mitarbeiterdaten und Informationen, die dem Unternehmen von Dritten anvertraut wurden, unbeschädigt, vertraulich und bei Bedarf verfügbar bleiben
  
  
• ein zentral verwaltetes Framework für die Informationssicherheit bereitzustellen, das Informationen von einer zentralen Kontrollstelle aus schützt
  
  
• Mitarbeiter, Prozesse und Technologien im gesamten Unternehmen darauf vorzubereiten, technologiebasierten Risiken und anderen Bedrohungen zu begegnen
  
  
• Informationen in allen Formen zu schützen, sei es in Papierform, cloudbasiert oder in digitaler Form
  
  
• Senken Sie die Kosten durch Effizienzsteigerung und Reduzierung unnötiger Ausgaben für ineffektive Cybersicherheitstechnologie.
  
  
• Einhaltung gesetzlicher und regulatorischer Anforderungen
  
  
• Reputation und Kundenvertrauen stärken