Ratgeber › ISO 27001
ISO 27001 umsetzen: Schritt für Schritt zum Zertifikat.
ISO/IEC 27001 ist der internationale Standard für Informationssicherheits-Managementsysteme (ISMS). Ein Zertifikat zeigt Kunden, Partnern und Behörden, dass Sie Informationssicherheit systematisch steuern. Dieser Leitfaden zeigt, welche Schritte nötig sind, welche Dokumente der Auditor sehen will und wie die Zertifizierung abläuft.
Was ISO 27001 verlangt.
Die Norm besteht aus zwei Teilen: den Anforderungen an das Managementsystem selbst und einem Katalog von Sicherheitsmaßnahmen. Zertifiziert wird immer das Zusammenspiel aus beidem.
Managementsystem (Kapitel 4 bis 10)
Kontext und Geltungsbereich, Führung, Planung mit Risikobeurteilung, Unterstützung, Betrieb, Bewertung der Leistung und fortlaufende Verbesserung. Diese Kapitel sind ausnahmslos verbindlich.
Anhang A mit 93 Controls
Seit der Version 2022 in vier Themen gegliedert: 37 organisatorische, 8 personenbezogene, 14 physische und 34 technologische Maßnahmen. Welche Sie anwenden, begründen Sie in der Erklärung zur Anwendbarkeit.
Zertifikat für drei Jahre
Nach dem Zertifizierungsaudit gilt das Zertifikat drei Jahre. Jährliche Überwachungsaudits prüfen, ob das ISMS weiterhin gelebt wird, danach folgt die Rezertifizierung.
Warum sich der Aufwand lohnt.
Kunden und Ausschreibungen
Immer mehr Auftraggeber verlangen ein ISO-27001-Zertifikat von ihren Dienstleistern, besonders in der IT, der Industrie und im öffentlichen Sektor.
Grundlage für NIS2
Ein ISMS nach ISO 27001 deckt einen großen Teil der Risikomanagement-Pflichten aus NIS2 ab. Wer zertifiziert ist, hat die Nachweise bereits strukturiert. Mehr dazu im NIS2-Ratgeber.
Weniger Überraschungen
Wer seine Risiken kennt und regelmäßig überprüft, erkennt Schwachstellen, bevor ein Angreifer oder ein Ausfall sie offenlegt.
ISO 27001 in 12 Schritten.
Die Reihenfolge hat sich in der Praxis bewährt. In Klammern steht das Kapitel der Norm, auf das sich der Schritt bezieht.
Rückendeckung der Leitung
Ziele, Budget und Verantwortung mit der Geschäftsführung festlegen (Kap. 5.1).
Kontext verstehen
Interne und externe Themen sowie interessierte Parteien und ihre Anforderungen erfassen (Kap. 4.1, 4.2).
Geltungsbereich festlegen
Standorte, Organisationseinheiten, Prozesse und Systeme abgrenzen (Kap. 4.3).
Leitlinie und Rollen
Informationssicherheitsleitlinie verabschieden, ISB und Verantwortlichkeiten benennen (Kap. 5.2, 5.3).
Assets erfassen
Informationen, Anwendungen, Systeme und Dienstleister inventarisieren und den Schutzbedarf bestimmen (A.5.9).
Risiken beurteilen
Methode festlegen, Risiken identifizieren, analysieren und bewerten (Kap. 6.1.2, 8.2).
Risiken behandeln
Maßnahmen auswählen, Behandlungsplan aufstellen und Restrisiken von den Risikoeignern akzeptieren lassen (Kap. 6.1.3, 8.3).
Erklärung zur Anwendbarkeit
Für alle 93 Controls festhalten, ob sie angewendet werden und warum (Kap. 6.1.3 d).
Maßnahmen umsetzen
Richtlinien schreiben, technische Maßnahmen einführen und alles nachvollziehbar dokumentieren (Kap. 8.1).
Schulen und sensibilisieren
Mitarbeitende zu Richtlinien und Risiken schulen und die Teilnahme nachweisen (Kap. 7.2, 7.3).
Internes Audit
Das ISMS vor der Zertifizierung selbst prüfen und Abweichungen beheben (Kap. 9.2, 10.2).
Managementbewertung
Die Leitung bewertet Ergebnisse, Kennzahlen und Risiken und beschließt Verbesserungen (Kap. 9.3).
Diese Dokumente will der Auditor sehen.
ISO 27001 schreibt eine Reihe dokumentierter Informationen verbindlich vor. Fehlt eines davon, ist das im Audit eine Abweichung.
| Pflichtdokument | Kapitel | In WolfISMS |
|---|---|---|
| Geltungsbereich des ISMS | 4.3 | Onboarding-Dialog, KPIs & Ziele |
| Informationssicherheitsleitlinie | 5.2 | Dokumente, Richtlinien-Assistent |
| Prozess zur Risikobeurteilung und -behandlung | 6.1.2, 6.1.3 | Risikomanagement-Richtlinie aus dem Onboarding-Dialog |
| Erklärung zur Anwendbarkeit (SoA, Ratgeber) | 6.1.3 d | Normen & Controls, automatisch erstellt |
| Informationssicherheitsziele | 6.2 | KPIs & Ziele |
| Nachweise der Kompetenz | 7.2 | Personal-Management, Policy Portal |
| Planung und Steuerung des Betriebs | 8.1 | Maßnahmen, Operational Plan |
| Ergebnisse der Risikobeurteilung und -behandlung | 8.2, 8.3 | Risiko-Management |
| Ergebnisse von Überwachung und Messung | 9.1 | KPIs & Ziele |
| Auditprogramm und Auditergebnisse | 9.2 | Audits |
| Ergebnisse der Managementbewertung | 9.3 | Managementreview |
| Nichtkonformitäten und Korrekturmaßnahmen | 10.2 | Audits, Maßnahmen |
Dazu kommen die Dokumente, die Sie selbst für nötig halten (Kap. 7.5.1), etwa Richtlinien zu den angewendeten Controls aus Anhang A.
Zeitrahmen und Ablauf.
Für ein kleines oder mittleres Unternehmen dauert der Weg zum Zertifikat typischerweise sechs bis zwölf Monate, je nach Ausgangslage und verfügbarer Zeit.
Aufbau
Schritte 1 bis 10: Kontext, Risiken, SoA, Richtlinien und Maßnahmen.
Betrieb
Das ISMS läuft, Kennzahlen entstehen, internes Audit und Managementbewertung finden statt.
Zertifizierungsaudit
Stufe 1 prüft die Dokumentation, Stufe 2 die Wirksamkeit vor Ort. Durchgeführt von einer akkreditierten Zertifizierungsstelle.
Aufrechterhalten
Überwachungsaudits im ersten und zweiten Jahr, Rezertifizierung nach drei Jahren.
Typische Fehler und wie Sie sie vermeiden.
Der Geltungsbereich ist zu groß
Wer gleich alles einbezieht, verzettelt sich. Starten Sie mit dem Bereich, den Ihre Kunden zertifiziert sehen wollen, und erweitern Sie später.
Vorlagen statt eigener Dokumente
Auditoren erkennen Musterdokumente sofort. Richtlinien müssen zu Ihrer Organisation passen und gelebt werden.
Die SoA wird einmal erstellt und vergessen
Die Erklärung zur Anwendbarkeit muss zu Risiken und Maßnahmen passen. Ändern sich diese, muss auch die SoA nachziehen.
Internes Audit und Managementbewertung zu spät
Beides muss vor dem Zertifizierungsaudit mindestens einmal durchlaufen sein. Planen Sie dafür genug Zeit ein.
Mit WolfISMS schneller zum Zertifikat.
Der Onboarding-Dialog legt Geltungsbereich, Leitlinie und Risikomanagement-Richtlinie an, der Gap-Assistent zeigt Ihre Lücken, und die Erklärung zur Anwendbarkeit entsteht automatisch. Ein Zertifikat garantiert keine Software, aber sie nimmt Ihnen die Fleißarbeit ab.