Was ist ISO/IEC 27001

Wann ISO 27001 für Sie relevant wird

Der Weg zur Zertifizierung in fünf Phasen

Häufige Fragen zu ISO 27001 und ISMS

• Wie lange dauert der Aufbau eines ISMS?

  Typischerweise vier bis sechs Monate bis zur Zertifizierungsreife. Die Dauer hängt von drei Faktoren ab: dem Geltungsbereich (ein einzelnes SaaS-Produkt geht schneller als ein Konzern mit mehreren Standorten), der bestehenden Reife (existieren bereits Richtlinien, Asset-Übersichten und Prozesse?) und der Verfügbarkeit der internen Ansprechpartner. Die Zertifizierungsaudits selbst kommen danach: Stage 1 prüft die Dokumentation, Stage 2 die Wirksamkeit im Betrieb, mit typischerweise vier bis acht Wochen Abstand.

• Verpflichtet NIS2 zu einer ISO-27001-Zertifizierung?

  Nein. Das deutsche NIS2-Umsetzungsgesetz verlangt angemessene und verhältnismäßige Risikomanagementmaßnahmen, schreibt aber weder eine bestimmte Norm noch eine Zertifizierung vor. In der Praxis ist ein ISMS nach ISO 27001 der etablierte Weg, diese Maßnahmen nachzuweisen, weil sich die Anforderungen aus Art. 21 NIS2 weitgehend auf Annex-A-Maßnahmen abbilden lassen. Wer bereits ein ISMS betreibt, muss NIS2 nicht von null aufbauen, sondern schließt gezielt die NIS2-spezifischen Lücken, insbesondere bei Meldeprozessen, Lieferkettensicherheit und Governance-Pflichten der Leitungsorgane.

• Was ist der Unterschied zwischen ISMS und ISO 27001?

  Ein ISMS (Informationssicherheits-Managementsystem) ist das Managementsystem, mit dem eine Organisation Informationssicherheit systematisch steuert: Rollen, Risiken, Maßnahmen, Überprüfung, Verbesserung. ISO/IEC 27001 ist die Norm, gegen die ein solches System zertifiziert werden kann. Jedes Unternehmen kann ein ISMS betreiben, ohne zertifiziert zu sein. Zertifizierungsfähig wird es erst, wenn die Anforderungen der Kapitel 4 bis 10 vollständig erfüllt, dokumentiert und nachweislich wirksam sind. Die Begriffe werden häufig gleichgesetzt, bezeichnen aber Managementsystem und Prüfmaßstab.

• Wie viele Annex-A-Maßnahmen muss ich umsetzen?

  Der Annex A der ISO/IEC 27001:2022 enthält 93 Maßnahmen in vier Themenbereichen: organisatorisch, personenbezogen, physisch und technologisch. Umzusetzen sind nicht automatisch alle. Maßgeblich ist das Ergebnis Ihrer Risikobeurteilung: Für jede Maßnahme wird begründet, ob sie anwendbar ist und wie sie umgesetzt wird. Diese Begründung wird im Statement of Applicability festgehalten. Ein Ausschluss ist zulässig, muss aber nachvollziehbar aus der Risikolage folgen, nicht aus dem Umsetzungsaufwand.

• Was bedeutet „Statement of Applicability"?

  Das Statement of Applicability, auf Deutsch Anwendbarkeitserklärung, ist das zentrale Dokument der ISO-27001-Zertifizierung. Es listet alle 93 Annex-A-Maßnahmen und hält für jede fest, ob sie anwendbar ist, wie sie umgesetzt wurde und, bei Nichtanwendbarkeit, aus welchem Grund sie ausgeschlossen wird. Das SoA verbindet die Risikobeurteilung mit den tatsächlich implementierten Maßnahmen und ist damit das Dokument, an dem sich das Auditteam im Zertifizierungsaudit entlangarbeitet. Ein schwaches SoA ist einer der häufigsten Gründe für Feststellungen.

• Was kostet eine ISO-27001-Zertifizierung?

  Die Kosten bestehen aus zwei getrennten Blöcken. Erstens die Zertifizierungsstelle: Deren Auditaufwand richtet sich nach anerkannten Berechnungsregeln, im Wesentlichen nach der Zahl der Mitarbeitenden im Geltungsbereich, der Anzahl der Standorte und der Komplexität. Zweitens der Aufbauaufwand: interne Kapazität plus externe Begleitung. Dieser Block ist der größere und der einzige, den Sie aktiv beeinflussen können, vor allem über einen eng gefassten Geltungsbereich und über bewährte Vorlagen statt Dokumentation von null. Eine belastbare Zahl nennen wir nach dem Scoping-Gespräch, nicht vorher.