ISO/IEC 27001 – Informationssicherheitsmanagement
Die ISO/IEC 27001 ist die internationale Norm für Informationssicherheitsmanagementsysteme. Sie beschreibt, wie ein Unternehmen seine Informationen schützt: systematisch, nachvollziehbar und auf Basis bewerteter Risiken. Die Norm gilt für jede Branche und jede Größe.
Sie schreibt keine Technik vor. Sie fordert, dass Sie Ihre Risiken kennen und begründet entscheiden, was Sie dagegen tun. Genau deshalb sehen zwei Systeme mit demselben Zertifikat oft völlig unterschiedlich aus. Das eine steuert den Alltag, das andere existiert nur für das Audit.
Wen sie betrifft
- Unternehmen, deren Kunden ein Zertifikat als Lieferantenkriterium voraussetzen – häufig aus regulierten Sektoren
- Betriebe, die unter das NIS2-Umsetzungsgesetz fallen und eine belastbare Grundlage suchen
- Dienstleister, die fremde Daten verarbeiten: IT, Rechenzentren, Cloud, Verwaltung, Personaldienstleistung
- Organisationen mit einem bestehenden System nach ISO 9001, die Informationssicherheit integrieren statt danebenstellen wollen
Woran es in der Praxis hakt
Der Anwendungsbereich wird zu eng geschnitten
Um Aufwand zu sparen, wird nur ein Teil des Unternehmens einbezogen. Ein Standort, eine Abteilung, ein Geschäftsfeld. Das klingt nach einem klugen Einstieg und ist im Grundsatz auch erlaubt. Der Anwendungsbereich muss aber sachlich begründbar sein.
Im Audit fällt dann auf, dass die ausgeklammerten Bereiche dieselben Systeme nutzen. Dasselbe Netzwerk, dieselbe Dateiablage, dieselben Benutzerkonten. Die Abgrenzung lässt sich nicht erklären, und das Zertifikat verliert seine Aussagekraft. Ein ehrlich geschnittener kleiner Bereich ist besser als ein künstlich zurechtgeschnittener großer.
Risikobehandlung und Erklärung zur Anwendbarkeit passen nicht zusammen
Die Maßnahmen aus Anhang A werden als Liste abgehakt. Jede Zeile bekommt ein Häkchen, die Erklärung zur Anwendbarkeit ist vollständig ausgefüllt. Nur der Bezug zu den bewerteten Risiken lässt sich nicht herstellen. Fragt man im Audit, welches Risiko eine bestimmte Maßnahme adressiert, kommt keine Antwort.
Besonders deutlich wird das bei ausgeschlossenen Maßnahmen. Dort fehlt die Begründung fast immer. Dabei ist genau das der Punkt, an dem ein Auditor zuerst nachfragt. Ein Ausschluss ist zulässig, wenn Sie ihn tragfähig erklären können.
Wirksamkeit wird nicht gemessen
Die Maßnahmen sind eingeführt, die Dokumente liegen vor. Aber niemand prüft, ob sie im Alltag greifen. Es gibt eine Richtlinie zu Passwörtern, und es gibt keine Auswertung, ob sie eingehalten wird.
Das ist der häufigste Befund im Überwachungsaudit. Die Norm verlangt Überwachung, Messung und Bewertung – nicht nur Einführung. Oft reichen wenige Kennzahlen aus den Systemen, die Sie ohnehin betreiben. Auswertungen aus dem Verzeichnisdienst, Zahlen aus dem Ticketsystem, Ergebnisse aus Schulungen.
Verhältnis zu NIS-2
ISO 27001 deckt einen erheblichen Teil der NIS-2-Anforderungen ab. Risikomanagement, Zugriffssteuerung, Lieferkette, Notfallvorsorge, Schulung der Beschäftigten – all das steckt bereits in der Norm. Wer zertifiziert ist, hat die inhaltliche Arbeit weitgehend geleistet. Ein Ersatz ist das Zertifikat aber nicht.
NIS-2 enthält Pflichten, die über die Norm hinausgehen. Dazu gehören die Registrierung beim BSI und die Meldepflichten mit ihren engen Fristen. Auch die Verantwortung der Leitungsebene ist ausdrücklich geregelt. Wer beides vor sich hat, sollte es zusammen planen. Zwei getrennte Projekte kosten mehr und erzeugen doppelte Dokumentation. Details unter NIS-2-Beratung.
Wie wir begleiten
Wir beginnen mit einer Standortbestimmung. Was ist an Sicherheitsmaßnahmen, Regelungen und Nachweisen bereits vorhanden? Erfahrungsgemäß mehr, als die Beteiligten vermuten. Es ist nur nicht als Nachweis aufbereitet. Daraus entsteht ein Plan, der die echten Lücken benennt.
Danach folgen der Anwendungsbereich, die Risikobeurteilung und die Erklärung zur Anwendbarkeit. Wir achten darauf, dass diese drei Dokumente zueinander passen. Anschließend internes Audit und Vorbereitung auf das Zertifizierungsaudit. Details unter Managementsystem aufbauen und Interne Audits & GAP-Analysen.
Wer das bei uns macht
Rüdiger Rammé – IRCA certified and registered QMS / OHSMS Lead Auditor #01192806, Fachgebiet Informationssicherheit
Diese Norm wird bei uns von einer Person abgedeckt. Das sagen wir offen, weil es für Ihre Planung zählt: Bei Urlaub oder Krankheit gibt es hier keine zweite Besetzung wie bei der ISO 9001.
Dafür bekommen Sie technische Tiefe. Rüdiger Rammé entwickelt selbst Datenbanken und Schnittstellen und kennt die Systeme, über die im Audit gesprochen wird. Berechtigungen, Protokollierung, Schnittstellen, Datenflüsse. Wenn die Nachweisführung eine technische Lösung braucht, bauen wir sie, siehe Software & Datenbanken.
Verwandte Normen
- ISO 22301 – Betriebskontinuität, ergänzt die Notfallvorsorge
- ISO 31000 – Risikomanagement, liefert die methodische Grundlage
- ISO 9001 – Qualitätsmanagement, gleiche Grundstruktur und oft die Basis
Häufige Fragen
Wie lange dauert es bis zur Zertifizierung?
Rechnen Sie mit neun bis achtzehn Monaten, wenn Sie ohne bestehendes Managementsystem starten. Mit einem gelebten System nach ISO 9001 geht es deutlich schneller. Den größten Zeitfaktor bestimmen Sie selbst: die Verfügbarkeit der Beteiligten aus IT und Fachbereichen.
Was kostet das?
Projekte dieser Art bewegen sich typischerweise zwischen 10.000 und 50.000 Euro. Wo Sie darin landen, hängt vom Anwendungsbereich, der Zahl der Standorte und dem Reifegrad Ihrer IT ab. Die Gebühren der Zertifizierungsstelle kommen separat hinzu.
Erfüllen wir mit ISO 27001 automatisch NIS-2?
Nein, aber einen erheblichen Teil. Registrierung beim BSI und die Meldepflichten mit ihren Fristen gehen über die Norm hinaus. Wenn beides ansteht, planen wir es gemeinsam statt nacheinander.
Können wir den Anwendungsbereich klein halten?
Ja, wenn er sachlich begründbar ist. Ein Bereich mit eigenen Systemen und klaren Schnittstellen lässt sich sauber abgrenzen. Eine Abteilung, die dasselbe Netzwerk wie alle anderen nutzt, dagegen nicht. Wir prüfen das früh, damit es im Audit keine Überraschung gibt.
Brauchen wir eine eigene IT-Abteilung?
Nein. Viele zertifizierte Unternehmen arbeiten mit externen Dienstleistern. Wichtig ist, dass Sie die Verantwortung behalten und steuern können. Was der Dienstleister leistet, gehört vertraglich geregelt und regelmäßig überprüft. Genau das schaut sich ein Auditor an.
Sprechen wir darüber
Das Erstgespräch ist kostenlos und unverbindlich.