ISO 27001
Informationssicherheits-Managementsystem nach ISO 27001
Organisationen, die Informationen schützen müssen - darunter Lieferanten im Verteidigungsbereich, die kontrollierte Daten verarbeiten.
ISO 27001 ist die Norm für ein Informationssicherheits-Managementsystem (ISMS). ComplyTrain liefert Ihnen den Rahmen, um Ihr ISMS aufzubauen, zu betreiben und nachzuweisen. Das Zertifikat erwerben Sie selbst.
ComplyTrain unterstützt diese Norm vollständig
Was ISO 27001 ist
ISO 27001 ist die internationale Norm für ein Informationssicherheits-Managementsystem (ISMS). Sie beschreibt einen systematischen Weg, Vertraulichkeit, Integrität und Verfügbarkeit von Informationen zu schützen, indem Sie Risiken bewerten und Maßnahmen anwenden. Sie gilt als anerkannter Maßstab dafür, dass eine Organisation Sicherheit ernst nimmt und das belegen kann. Für Lieferanten in den Bereichen Verteidigung, Technologie und Dual-Use wird sie zunehmend zur vertraglichen Erwartung statt zum Unterscheidungsmerkmal.
Ein ISMS ist keine Firewall und kein Virenschutzprodukt. Es ist das Managementsystem rund um Ihre Sicherheit: die Richtlinien, die Risikoentscheidungen, die Maßnahmen und der Nachweis, dass diese tatsächlich wirken. ISO 27001 legt fest, was dieses System enthalten muss. Welche Technik Sie dafür einsetzen, entscheiden Sie.
Warum es ISO 27001 gibt
Sicherheitsvorfälle entstehen selten aus einem Mangel an Werkzeugen. Sie entstehen aus ungesteuertem Risiko: ein ungepatchtes System, für das sich niemand zuständig fühlte, ein Lieferant, den niemand bewertet hat, ein Zugriffsrecht, das niemand entzogen hat. ISO 27001 macht aus Sicherheit eine gesteuerte, nachgewiesene Disziplin statt einer Sammlung guter Absichten. Ein Zertifikat sagt Ihrem Kunden, dass ein unabhängiger Auditor nicht nur geprüft hat, ob Sie Maßnahmen haben, sondern auch, ob Sie Ihre Risiken kennen und in einem festen Zyklus steuern.
Wer ISO 27001 braucht
Jede Organisation, die Informationen hält, die für andere von Bedeutung sind: Kundendaten, geistiges Eigentum, kontrollierte technische Informationen. In der Praxis treiben drei Dinge die Nachfrage an:
- Kunden- und Vertragsanforderungen: Großunternehmen und öffentliche Auftraggeber fordern die Norm zunehmend, bevor sie Daten teilen oder Aufträge vergeben. Verteidigungsverträge können sie für den Umgang mit kontrollierten Informationen vorschreiben.
- Regulierung und Nachbarschaft: Sie bildet das Rückgrat, auf das sich Rahmenwerke wie ISO 27018 (Datenschutz in der Cloud), die EU-Richtlinie NIS2 und viele DSGVO-Programme stützen.
- Das Risiko selbst: Für ein Unternehmen, dessen Produkt oder Ruf auf Vertrauen beruht, ist ein gesteuertes ISMS schlicht der Weg, den Vorfall zu vermeiden, der jedes Gespräch beendet.
Wie die Norm aufgebaut ist
ISO 27001:2022 hat zwei Teile. Die Kapitel zum Managementsystem (4–10) entsprechen ISO 9001: Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung, Verbesserung. So passen beide Normen natürlich zusammen. Zur Informationssicherheitsnorm wird sie durch den Risikoprozess und den Anhang A:
- Ein Prozess zur Risikobeurteilung und -behandlung: Sie ermitteln Ihre Informationssicherheitsrisiken, entscheiden, wie Sie jedes einzelne behandeln, und dokumentieren die Entscheidung.
- Anhang A: ein Katalog von 93 Maßnahmen in der Fassung von 2022, gegliedert in organisatorische, personenbezogene, physische und technologische Themen, auf den Sie bei der Risikobehandlung zurückgreifen.
- Die Erklärung zur Anwendbarkeit (Statement of Applicability, SoA): das Dokument, das festhält, welche Maßnahmen aus Anhang A Sie anwenden, welche nicht und warum. Es ist das Rückgrat der gesamten Zertifizierung.
Die Zertifizierung erteilt eine akkreditierte Stelle nach einem zweistufigen Audit, mit jährlicher Überwachung und einer Rezertifizierung alle drei Jahre, genau wie bei ISO 9001.
Häufige Missverständnisse
- Es ist kein Projekt der IT-Abteilung. Informationssicherheit betrifft die Personalabteilung (Ein- und Austritte), den Einkauf (Lieferantenrisiko), die Gebäudeverwaltung (physischer Zugang) und die Führung (Risikobereitschaft). Die Norm sagt das ausdrücklich.
- Es geht nicht darum, Maßnahmen einzukaufen. Anhang A ist eine Auswahl, keine Checkliste: Sie wenden die Maßnahmen an, die Ihre Risikobeurteilung rechtfertigt, und müssen erklären können, welche Sie weglassen.
- Es ist nicht mit einem Mal erledigt. Ohne die laufenden Risikobewertungen, internen Audits und Managementbewertungen, die das System am Leben halten, verfällt das Zertifikat.
Wie ComplyTrain Sie dabei unterstützt
ComplyTrain bietet Ihnen den Rahmen, um Ihr ISMS aufzubauen und zu betreiben und die Nachweise vorzuhalten, die ein ISO 27001 Audit verlangt:
- Sicherheitsrichtlinien und -verfahren unter Versionskontrolle, mit signierter Kenntnisnahme - Dokumentenlenkung
- Controls aus Anhang A als Anforderungen erfasst und rückverfolgbar mit den erfüllenden Nachweisen verknüpft - Anforderungsmanagement
- Ihre Risikobeurteilung und -behandlung zur Informationssicherheit, als lebendes Register geführt - Risikomanagement
- Sicherheit Ihrer Lieferanten bewertet und dokumentiert - Lieferantenmanagement
- Schulungen zum Sicherheitsbewusstsein zugewiesen, geprüft und dokumentiert - Schulungsmanagement
ComplyTrain selbst ist nicht nach ISO 27001 zertifiziert und muss es auch nicht sein. Es ist das System, in dem Sie Ihr eigenes ISO 27001 Programm aufbauen und betreiben. Das Zertifikat müssen Sie sich selbst erarbeiten. In ComplyTrain liegen die Nachweise dafür.
Fragen
Ist ComplyTrain nach ISO 27001 zertifiziert?
Nein - und wir behaupten auch nichts anderes. ComplyTrain ist die Software, mit der Sie Ihr eigenes ISO 27001 Informationssicherheits-Managementsystem aufbauen, betreiben und belegen. Das Zertifikat erhält Ihre Organisation von einer akkreditierten Stelle. In ComplyTrain verwalten Sie die Richtlinien, Risikobewertungen, Maßnahmen und Nachweise, die dazu führen.
Worin unterscheiden sich ISO 27001 und ISO 27018?
ISO 27001 ist die Managementsystem-Norm für Informationssicherheit im Allgemeinen. ISO 27018 ist ein Leitfaden, der diese Norm gezielt um den Schutz personenbezogener Daten (PII) in öffentlichen Cloud-Diensten erweitert. Organisationen, die personenbezogene Daten in der Cloud verarbeiten, behandeln beide oft gemeinsam.
Was sind Annex A und das Statement of Applicability?
Anhang A ist der Katalog der Informationssicherheitsmaßnahmen aus ISO 27001 (93 in der Fassung von 2022). Die Erklärung zur Anwendbarkeit hält fest, welche dieser Maßnahmen Sie anwenden und welche Sie ausschließen, jeweils mit Begründung. Grundlage dafür ist Ihre Risikobewertung. Der Auditor arbeitet mit diesem Dokument. Halten Sie es deshalb korrekt und mit Nachweisen belegt - das ist zentral für die Zertifizierung.
Wie lange dauert eine ISO 27001 Zertifizierung?
In der Regel dauert eine Erstzertifizierung sechs bis zwölf Monate, je nach Größe Ihrer Organisation und danach, wie viel von einem Informationssicherheits-Managementsystem bereits vorhanden ist. Am längsten dauert es meist, das ISMS lange genug zu betreiben, um vor dem Stage-2-Audit echte Nachweise zu erzeugen: Risikobewertungen, interne Audits und eine Managementbewertung.
Deckt ISO 27001 die DSGVO ab?
Nicht direkt. ISO 27001 betrifft das Informationssicherheits-Managementsystem, die DSGVO ist ein Datenschutzgesetz mit eigenen Pflichten. Ein funktionierendes ISMS liefert aber einen großen Teil der technischen und organisatorischen Sicherheit, die die DSGVO erwartet. Viele Organisationen betreiben deshalb beides zusammen und ergänzen es um ISO 27018 für die Besonderheiten von Cloud und personenbezogenen Daten.
Einführung
Wie Sie ISO 27001 einführen - ein praxisnaher Weg
Ein ISMS beruht auf einer Risikobewertung und wird durch Nachweise seines Betriebs belegt. Dieser Weg ist erprobt.
Anwendungsbereich und Kontext
Legen Sie fest, was das ISMS abdeckt: welche Informationen, Systeme, Standorte und Personen. Definieren Sie die Sicherheitsleitlinie und die Sicherheitsziele, für die die Leitung die Verantwortung trägt.
Risiken bewerten und behandeln
Ermitteln Sie Ihre Risiken für die Informationssicherheit und entscheiden Sie, wie Sie mit jedem einzelnen umgehen. Wählen Sie anschließend die Controls aus Annex A aus, die Ihre Erklärung zur Anwendbarkeit begründen.
Kontrollen anwenden
Setzen Sie die ausgewählten Maßnahmen im gesamten Unternehmen um: Zugriffsrechte, Lieferanten, Ein- und Austritte von Mitarbeitern sowie physische Sicherheit. Hinterlegen Sie dazu die Richtlinien und die dokumentierte Information, mit der Sie die Umsetzung nachweisen.
Betreiben, auditieren und bewerten
Betreiben Sie das ISMS lange genug, um Nachweise zu erzeugen. Führen Sie anschließend ein internes Audit durch und halten Sie eine Managementbewertung ab. Genau diesen Nachweis des laufenden Betriebs verlangt eine Zertifizierungsstelle.
Zertifizierung und Überwachung
Die Stage-1- und Stage-2-Audits führt eine akkreditierte Stelle durch. Sie schließen die Abweichungen, dann wird das Zertifikat ausgestellt. Gültig bleibt es durch jährliche Überwachungsaudits und die Rezertifizierung alle drei Jahre.