ISO 27001 ist die internationale Norm für Informationssicherheits-Managementsysteme (ISMS). Sie legt fest, wie Organisationen Informationssicherheitsrisiken systematisch ermitteln, behandeln, überwachen und verbessern, und ist die einzige zertifizierbare Norm der ISO-27000-Reihe. Die aktuelle Fassung ISO/IEC 27001:2022 umfasst die Managementsystem-Anforderungen der Kapitel 4 bis 10 sowie 93 Maßnahmen im normativen Anhang A. Zertifiziert werden Organisationen und abgegrenzte Organisationsteile, nicht Produkte oder Personen.

Was ist ISO 27001?

ISO 27001 beschreibt die Anforderungen an ein Managementsystem, mit dem eine Organisation ihre Informationssicherheit steuert – und zwar risikobasiert statt maßnahmenbasiert. Die Norm schreibt nicht vor, welche Firewall zu betreiben oder welches Verschlüsselungsverfahren zu wählen ist. Sie verlangt stattdessen einen nachvollziehbaren Prozess: Risiken identifizieren, bewerten, über den Umgang mit ihnen entscheiden, Maßnahmen umsetzen, deren Wirksamkeit messen und die Erkenntnisse zurück in die Steuerung führen.

Die korrekte Bezeichnung lautet ISO/IEC 27001, da die Norm gemeinsam von der Internationalen Organisation für Normung und der Internationalen Elektrotechnischen Kommission herausgegeben wird. In Deutschland ist sie als DIN EN ISO/IEC 27001 veröffentlicht. Im Sprachgebrauch hat sich die verkürzte Form ISO 27001 durchgesetzt, gemeint ist damit in aller Regel die Fassung von 2022.

Wichtig für das Verständnis ist die Abgrenzung innerhalb der Normenfamilie. Nur ISO 27001 selbst ist zertifizierbar; ISO/IEC 27002:2022 enthält ausführliche Umsetzungshinweise zu denselben 93 Maßnahmen, begründet aber keine Zertifizierung. Ergänzend liefern ISO/IEC 27005 Methodik für das Risikomanagement, ISO/IEC 27017 und 27018 Hinweise für Cloud-Umgebungen und ISO/IEC 27701 eine Erweiterung um ein Datenschutzmanagement. Zertifiziert werden zudem ausschließlich Organisationen beziehungsweise abgegrenzte Organisationsteile – nicht Produkte und nicht Personen.

Was ist ein ISMS nach ISO 27001?

Ein Informationssicherheits-Managementsystem (ISMS) nach ISO 27001 ist die Gesamtheit aus Richtlinien, Verfahren, Rollen, Ressourcen und Nachweisen, mit der eine Organisation Informationssicherheit dauerhaft steuert. Der Begriff ist bewusst weit gefasst: Ein ISMS ist keine Software und kein Dokumentensatz, sondern ein Regelkreis.

Dieser Regelkreis folgt dem PDCA-Prinzip aus Planen, Umsetzen, Überprüfen und Verbessern. Praktisch bedeutet das, dass jede Maßnahme auf ein bewertetes Risiko zurückführbar sein muss und jede Entscheidung – auch die bewusste Entscheidung, ein Risiko zu akzeptieren – dokumentiert wird. Die Norm schützt dabei ausdrücklich nicht nur digitale Daten: Erfasst sind Informationen in jeder Form, einschließlich Papierakten, mündlicher Kommunikation und dem Wissen von Beschäftigten.

Zentral ist der Anwendungsbereich, im Normtext Scope genannt. Er legt fest, welche Standorte, Geschäftsprozesse, Systeme und Organisationseinheiten das ISMS umfasst. Der Scope ist gleichzeitig der am häufigsten unterschätzte Hebel: Ein sehr eng geschnittener Anwendungsbereich vereinfacht die Zertifizierung erheblich, mindert aber die Aussagekraft des Zertifikats – ein Punkt, der bei der Bewertung fremder Zertifikate im Lieferantenmanagement zuerst geprüft werden sollte.

Wie ist die ISO 27001 aufgebaut?

ISO 27001 folgt der harmonisierten Struktur, die alle modernen ISO-Managementsystemnormen teilen. Die verpflichtenden Anforderungen stehen in den Kapiteln 4 bis 10; die Kapitel 1 bis 3 enthalten Anwendungsbereich, normative Verweisungen und Begriffe.

Kapitel	Titel	Kerninhalt
4	Kontext der Organisation	Interne und externe Themen, Erwartungen interessierter Parteien, Festlegung des Anwendungsbereichs
5	Führung	Verpflichtung der obersten Leitung, Informationssicherheitspolitik, Rollen und Verantwortlichkeiten
6	Planung	Risikobeurteilung und Risikobehandlung, Erklärung zur Anwendbarkeit, Sicherheitsziele, Änderungsplanung
7	Unterstützung	Ressourcen, Kompetenz, Bewusstsein, Kommunikation, dokumentierte Information
8	Betrieb	Umsetzung der geplanten Prozesse, Durchführung der Risikobeurteilung und der Risikobehandlung
9	Bewertung der Leistung	Überwachung und Messung, internes Audit, Managementbewertung
10	Verbesserung	Fortlaufende Verbesserung, Umgang mit Nichtkonformitäten und Korrekturmaßnahmen

Die praktische Gewichtung weicht von der Reihenfolge ab. Kapitel 6 ist das Herzstück, weil dort der gesamte Risikoprozess samt Erklärung zur Anwendbarkeit verankert ist. Kapitel 5 entscheidet dagegen über den Erfolg des Projekts: Ohne belegbares Engagement der obersten Leitung – Ressourcen, Entscheidungen, sichtbare Beteiligung an der Managementbewertung – scheitern Zertifizierungsvorhaben regelmäßig unabhängig vom technischen Reifegrad.

Welche Maßnahmen enthält Annex A der ISO 27001?

Annex A der ISO 27001:2022 enthält 93 Maßnahmen, die in vier Themenbereiche gegliedert sind. Diese Maßnahmen sind kein Pflichtkatalog: Die Organisation gleicht ihre aus der Risikobehandlung abgeleiteten Maßnahmen mit Annex A ab, um Lücken zu erkennen, und begründet in der Erklärung zur Anwendbarkeit, welche Maßnahmen sie umsetzt und welche sie mit welcher Begründung ausschließt.

Themenbereich	Anzahl	Beispiele
A.5 Organisatorische Maßnahmen	37	Richtlinien, Rollen, Lieferantenbeziehungen, Bedrohungsinformationen, Cloud-Nutzung, Vorfallsmanagement
A.6 Personenbezogene Maßnahmen	8	Überprüfung vor Einstellung, Sensibilisierung und Schulung, Disziplinarverfahren, Remote-Arbeit
A.7 Physische Maßnahmen	14	Sicherheitsbereiche, Zutrittskontrolle, Überwachung, Verkabelung, Umgang mit Datenträgern
A.8 Technologische Maßnahmen	34	Zugriffskontrolle, Kryptografie, Protokollierung, Schwachstellenmanagement, sichere Entwicklung

Jede Maßnahme ist in der Fassung 2022 zusätzlich mit Attributen versehen – etwa Maßnahmenart, betroffene Schutzziele, Zuordnung zu den Funktionen Identifizieren, Schützen, Erkennen, Reagieren und Wiederherstellen sowie operative Fähigkeiten. Diese Attribute sind nicht verpflichtend anzuwenden, erleichtern aber die Filterung und die Zuordnung zu anderen Rahmenwerken erheblich.

Was hat sich mit der ISO 27001:2022 geändert?

Die Fassung 2022 hat vor allem den Anhang A neu geordnet: Aus 114 Maßnahmen in 14 Abschnitten wurden 93 Maßnahmen in vier Themenbereichen. Der Rückgang beruht überwiegend auf Zusammenlegungen, nicht auf Streichungen – inhaltlich ist der Umfang gewachsen. Elf Maßnahmen sind neu hinzugekommen und spiegeln die Entwicklung der Bedrohungslage seit 2013:

Bedrohungsinformationen (A.5.7)
Informationssicherheit bei der Nutzung von Cloud-Diensten (A.5.23)
IKT-Bereitschaft für die Geschäftskontinuität (A.5.30)
Überwachung der physischen Sicherheit (A.7.4)
Konfigurationsmanagement (A.8.9)
Löschung von Informationen (A.8.10)
Datenmaskierung (A.8.11)
Verhinderung von Datenlecks (A.8.12)
Überwachungsaktivitäten (A.8.16)
Web-Filterung (A.8.23)
Sichere Programmierung (A.8.28)

In den Kapiteln 4 bis 10 fallen die Änderungen geringer aus; hinzugekommen ist unter anderem die Planung von Änderungen am ISMS. Eine spätere Ergänzung der Norm hat zudem die Berücksichtigung des Klimawandels als möglichen relevanten Kontextfaktor in den Kapiteln 4.1 und 4.2 aufgenommen.

Für zertifizierte Organisationen war mit der Neufassung eine Übergangsfrist verbunden, nach deren Ablauf Zertifikate nach der Fassung 2013 ihre Gültigkeit verloren haben. Der genaue Stand von Übergangsfristen und Ergänzungen sollte vor der Anwendung geprüft werden, da Akkreditierungsstellen die Regelungen fortschreiben.

Welche Dokumente verlangt die ISO 27001?

ISO 27001 verlangt eine überschaubare Zahl verpflichtender dokumentierter Informationen – deutlich weniger, als die Umsetzungspraxis oft nahelegt. Zwingend sind unter anderem der Anwendungsbereich des ISMS, die Informationssicherheitspolitik, das Verfahren zur Risikobeurteilung und zur Risikobehandlung samt Ergebnissen, die Erklärung zur Anwendbarkeit, die Informationssicherheitsziele, Nachweise über Kompetenz, Ergebnisse der Überwachung und Messung, das interne Auditprogramm mit Auditergebnissen, die Ergebnisse der Managementbewertung sowie die Dokumentation von Nichtkonformitäten und Korrekturmaßnahmen.

Herausgehoben ist die Erklärung zur Anwendbarkeit (Statement of Applicability, SoA). Sie listet alle 93 Maßnahmen aus Annex A auf und dokumentiert für jede einzelne, ob sie anwendbar ist, warum, ob sie umgesetzt wurde und worauf die Entscheidung beruht. Die SoA ist damit das Bindeglied zwischen Risikobeurteilung und Maßnahmen – und das Dokument, das Auditoren zuerst anfordern, weil sich an ihm die Konsistenz des gesamten Systems ablesen lässt.

Die häufigste Fehleinschätzung betrifft den Umfang: Ein ISMS wird nicht besser, wenn es mehr Dokumente enthält. Auditoren prüfen, ob die dokumentierte Information die tatsächliche Praxis beschreibt. Eine schlanke, gelebte Richtlinie besteht die Prüfung; ein umfangreiches Regelwerk, das im Tagesgeschäft niemand anwendet, erzeugt Nichtkonformitäten.

Welche Anforderungen stellt ISO 27001 an die Kommunikation?

ISO 27001 behandelt Kommunikation auf zwei Ebenen. Kapitel 7.4 verlangt, dass die Organisation die für das ISMS relevanten internen und externen Kommunikationen bestimmt – also festlegt, worüber, wann, mit wem und auf welchem Weg kommuniziert wird. Diese scheinbar formale Anforderung wird im Ereignisfall zur Kernfrage, weil sie Zuständigkeiten und Kanäle vorab festschreibt.

Auf Maßnahmenebene ist vor allem A.5.14 einschlägig: Die Informationsübertragung verlangt Regeln, Verfahren und Vereinbarungen für alle Arten von Übertragungswegen, ausdrücklich einschließlich elektronischer Nachrichtenübermittlung. Praktisch bedeutet das eine Festlegung, über welche Dienste welche Informationsklassen ausgetauscht werden dürfen – und damit auch eine Aussage zu privaten Consumer-Messengern im dienstlichen Einsatz. Hinzu kommen die Maßnahmen zum Umgang mit Informationssicherheitsvorfällen (A.5.24 bis A.5.28), die Informationssicherheit während einer Störung (A.5.29) und die neue Maßnahme zur IKT-Bereitschaft für die Geschäftskontinuität (A.5.30), die die Verbindung zum Business Continuity Management herstellt.

Aus dem Zusammenspiel dieser Anforderungen ergibt sich eine Konsequenz, die in Zertifizierungsprojekten oft spät auffällt: Die im ISMS festgelegten Kommunikationswege müssen auch dann tragen, wenn die eigene Infrastruktur Gegenstand des Vorfalls ist. Wird ein kompromittiertes Netzwerk isoliert oder das Mailsystem vorsorglich abgeschaltet, entfallen Verzeichnisdienst, E-Mail und Kollaborationsplattform als Koordinationswege. Organisationen halten deshalb vorab freigegebene Kanäle bereit, die unabhängig von der betroffenen Infrastruktur funktionieren, nachvollziehbar dokumentiert werden und in den Übungen zur Krisenkommunikation mitgeprüft werden.

Wie sich ein von der regulären IT unabhängiger Kanal für Alarmierung und Vorfallskoordination abbilden lässt, zeigt Teamwire in einer Demo oder im kostenlosen Test.

Wie läuft eine ISO 27001-Zertifizierung ab?

Eine ISO 27001-Zertifizierung erfolgt durch eine unabhängige, akkreditierte Zertifizierungsstelle in einem zweistufigen Audit und wird anschließend über einen Dreijahreszyklus aufrechterhalten.

Im Stage-1-Audit prüft die Zertifizierungsstelle, ob das ISMS grundsätzlich zertifizierungsreif ist: Anwendungsbereich, Politik, Risikobeurteilung, Erklärung zur Anwendbarkeit, internes Audit und Managementbewertung müssen vorliegen und schlüssig zusammenpassen. Festgestellte Lücken lassen sich vor dem zweiten Schritt schließen. Im Stage-2-Audit prüfen die Auditoren die tatsächliche Umsetzung vor Ort und in Interviews – hier zählt nicht das Dokument, sondern der Nachweis, dass die beschriebenen Verfahren angewendet werden. Nichtkonformitäten werden nach Schwere klassifiziert und müssen mit Korrekturmaßnahmen samt Ursachenanalyse behoben werden.

Nach erfolgreichem Abschluss wird ein Zertifikat mit dreijähriger Gültigkeit ausgestellt. In den beiden Folgejahren finden Überwachungsaudits mit reduziertem Umfang statt, im dritten Jahr die Rezertifizierung als vollständiges Audit. Voraussetzung für die Aussagekraft ist die Akkreditierung der Zertifizierungsstelle – in Deutschland durch die Deutsche Akkreditierungsstelle. Nicht akkreditierte Zertifikate haben in Ausschreibungen und Lieferantenbewertungen regelmäßig keinen Bestand.

Vor dem externen Audit sind zwei interne Schritte verpflichtend: mindestens ein internes Audit über den gesamten Anwendungsbereich und eine dokumentierte Managementbewertung durch die oberste Leitung. Beide sind keine Formalien, sondern die häufigste Ursache für Verzögerungen, wenn sie zu spät angesetzt werden.

Wie verhält sich ISO 27001 zu NIS-2, DORA und der DSGVO?

ISO 27001 ist ein freiwilliger Standard und ersetzt keine gesetzliche Pflicht – liefert aber die Methodik, mit der sich regulatorische Anforderungen strukturiert erfüllen und nachweisen lassen.

Rahmenwerk	Charakter	Verhältnis zu ISO 27001
NIS-2	Gesetzliche Pflicht für wesentliche und wichtige Einrichtungen	Ein ISMS deckt viele Anforderungen methodisch ab; ein Zertifikat ersetzt die Pflichten nicht
DORA	Unmittelbar geltende EU-Verordnung für den Finanzsektor	Gute Grundlage; DORA-Spezifika wie Informationsregister und Meldefristen fehlen im ISMS
DSGVO Art. 32	Gesetzliche Pflicht zu angemessenen Schutzmaßnahmen	Unterstützt den Nachweis, ist aber keine Zertifizierung nach Art. 42 DSGVO
BSI IT-Grundschutz	Nationales Vorgehensmodell mit Bausteinkatalog	Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz durch das BSI möglich
ISO 22301	Norm für Business-Continuity-Managementsysteme	Ergänzt ISO 27001 um Methodik für Fortführung und Wiederanlauf
TISAX	Prüf- und Austauschverfahren der Automobilindustrie	Baut inhaltlich auf ISO 27001 auf, ist aber ein eigenes Verfahren

Bemerkenswert ist die Rolle des Zertifikats im Marktgeschehen. Es ersetzt zwar keine Rechtspflicht, verkürzt in der Praxis aber Lieferantenprüfungen erheblich, wird in öffentlichen Ausschreibungen und Rahmenverträgen zunehmend vorausgesetzt und dient im Rahmen eines Auftragsverarbeitungsvertrags als Nachweiselement – ohne die Auswahl- und Kontrollpflicht des Verantwortlichen aufzuheben.

Welche typischen Fehler treten bei der ISO 27001-Umsetzung auf?

Der häufigste Fehler ist die Behandlung der ISO 27001 als Dokumentationsprojekt mit Zertifikat als Ziel. Die Norm verlangt einen Regelbetrieb; ein System, das nur vor Audits belebt wird, erzeugt bei jedem Überwachungsaudit dieselben Feststellungen. Weitere Muster aus der Umsetzungspraxis:

Anwendungsbereich so eng geschnitten, dass wesentliche Prozesse außerhalb liegen und das Zertifikat gegenüber Kunden wenig aussagt
Risikobeurteilung als einmalige Tabelle statt als wiederkehrender Prozess mit definierten Auslösern
Erklärung zur Anwendbarkeit ohne erkennbaren Bezug zu den tatsächlich bewerteten Risiken
Maßnahmen aus Annex A übernommen, ohne dass ein zugehöriges Risiko dokumentiert ist
oberste Leitung nur formal beteiligt, Managementbewertung als nachträglich erstelltes Protokoll
Kennzahlen, die Aktivität messen statt Wirksamkeit – etwa die Zahl durchgeführter Schulungen statt deren Effekt
Lieferantenmanagement auf das Einsammeln von Zertifikaten reduziert, ohne Prüfung von Anwendungsbereich und Gültigkeit
interne Audits durch dieselben Personen, die die geprüften Prozesse verantworten

Zusammenfassung: Wichtige Punkte zu ISO 27001

ISO 27001 ist die internationale Norm für Informationssicherheits-Managementsysteme und die einzige zertifizierbare Norm der ISO-27000-Reihe.
Die Norm arbeitet risikobasiert statt maßnahmenbasiert: Jede Maßnahme muss auf ein bewertetes Risiko zurückführbar und jede Entscheidung dokumentiert sein.
Die verpflichtenden Anforderungen stehen in den Kapiteln 4 bis 10, von Kontext und Führung über Planung und Betrieb bis zu Leistungsbewertung und Verbesserung.
Annex A der Fassung 2022 enthält 93 Maßnahmen in vier Themenbereichen: organisatorisch, personenbezogen, physisch und technologisch.
Die Neufassung 2022 brachte elf neue Maßnahmen, darunter Bedrohungsinformationen, Cloud-Nutzung, Verhinderung von Datenlecks und IKT-Bereitschaft für die Geschäftskontinuität.
Die Erklärung zur Anwendbarkeit (SoA) verbindet Risikobeurteilung und Maßnahmen und ist das zentrale Prüfdokument im Audit.
Die Zertifizierung erfolgt zweistufig und wird über einen Dreijahreszyklus aus zwei Überwachungsaudits und einer Rezertifizierung aufrechterhalten.
Aussagekraft hat ein Zertifikat nur bei akkreditierter Zertifizierungsstelle und ausreichend weit gefasstem Anwendungsbereich.
ISO 27001 ersetzt keine gesetzlichen Pflichten aus NIS-2, DORA oder DSGVO, liefert aber die Methodik für deren strukturierte Erfüllung und den Nachweis.
Der häufigste Umsetzungsfehler ist die Behandlung als Dokumentationsprojekt statt als Regelbetrieb – ein nur vor Audits belebtes System erzeugt wiederkehrende Feststellungen.