ISO 27001 — ISO/IEC 27001 — Informationssicherheits-Managementsystem

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern. Eine Zertifizierung durch eine akkreditierte Stelle ist der gängige, prüfbare Nachweis dafür, dass ein ISMS wirksam betrieben wird.

Historie. Die Wurzeln reichen zum britischen Standard BS 7799 (1995) zurück, der 2005 als ISO/IEC 27001 internationalisiert wurde. Die heute gültige Fassung ist ISO/IEC 27001:2022, veröffentlicht im Oktober 2022; die Übergangsfrist für Bestandszertifikate nach der Vorgängerfassung von 2013 endete 2025. Der begleitende Maßnahmenkatalog im Anhang A wurde dabei neu strukturiert. Fakten. Der normative Kern (Kapitel 4-10) verlangt u. a. Kontext- und Stakeholder-Analyse, Führungsverantwortung, eine Risikobewertung und -behandlung, messbare Ziele sowie kontinuierliche Verbesserung nach dem Plan-Do-Check-Act-Zyklus. Anhang A:2022 bündelt 93 Controls in vier Themen — organisatorisch, personenbezogen, physisch und technologisch. Wichtig ist die Trennung: Die 27001 ist zertifizierbar, während die ISO/IEC 27002 die Controls lediglich ausführlich erläutert. Ausblick & Empfehlung. Mit NIS2 gewinnt die 27001 als belastbare Grundlage an Bedeutung, ohne automatisch Compliance zu garantieren — die regulatorischen Nachweispflichten gehen teils über den Standard hinaus. Entscheidend ist ein gelebtes, nicht nur dokumentiertes ISMS. NEOSEC-Geschäftsführer J. Benjamin Espagné ist zertifizierter ISO-27001-Lead-Auditor; in der Praxis trennt sich an der Frage „funktioniert das ISMS im Ernstfall“ die Zertifikats-Optik von echter Wirksamkeit.

Auch interessant