ISO 27001 erklärt

Ein unabhängiger Überblick von DQS, einer akkreditierten Zertifizierungsstelle.

ISO 27001 ist die führende internationale Norm für Informationssicherheits-Managementsysteme (ISMS). Sie legt die Anforderungen fest, die eine Organisation erfüllen muss, um Informationssicherheitsrisiken systematisch zu identifizieren, zu bewerten und zu behandeln – wobei sie Menschen, Prozesse und Technologie abdeckt und nicht nur eine einzelne technische Kontrollmaßnahme. Die Norm ist für Organisationen jeder Größe und Branche relevant, von Finanzinstituten, Gesundheitsdienstleistern und Behörden bis hin zu Cloud-Dienstleistern, Herstellern und Softwareunternehmen, die sensible Informationen im Auftrag von Kunden, Mitarbeitern oder Partnern verarbeiten. Die aktuelle Ausgabe ist ISO/IEC 27001:2022, die die Version von 2013 abgelöst hat; die dreijährige Übergangsfrist für zuvor zertifizierte Organisationen endete am 31. Oktober 2025, und eine im Jahr 2024 veröffentlichte Änderung (Änderung 1:2024) fügte ausdrückliche Anforderungen in Bezug auf Klimaschutzmaßnahmen hinzu.

Die wichtigsten Fakten zu ISO 27001 auf einen Blick

Hintergrund und Triebkräfte für ISO 27001

Regulatorischer Druck auf die Informationssicherheit

Das regulatorische Umfeld für die Informationssicherheit hat sich in den letzten Jahren stark verschärft, insbesondere in der Europäischen Union. Die Richtlinie über Netz- und Informationssicherheit 2 (NIS2) erweitert die Cybersicherheitsverpflichtungen auf einen deutlich größeren Kreis wesentlicher und wichtiger Einrichtungen, darunter mittelständische Unternehmen aus Branchen wie Energie, Verkehr, Gesundheitswesen, digitale Infrastruktur und Fertigung. Der Digital Operational Resilience Act (DORA), der für Finanzunternehmen und deren kritische Drittanbieter im Bereich der Informations- und Kommunikationstechnologie (IKT) gilt, legt detaillierte Anforderungen an das IKT-Risikomanagement, die Meldung von Vorfällen, die Prüfung der Widerstandsfähigkeit sowie die Überwachung von Anbietern fest. Weder NIS2 noch DORA schreiben ISO 27001 als verbindliche Grundlage vor, doch beide verweisen auf international anerkannte Standards für Informationssicherheit als Bezugspunkt, und viele Organisationen nutzen zertifizierte ISMS als strukturelle Grundlage, auf der ihre Compliance-Programme aufbauen.

Markterwartungen und Kundenvertrauen

Über die formelle Regulierung hinaus ist Informationssicherheit zu einem festen Bestandteil von Business-to-Business-Verträgen, Ausschreibungsverfahren und Lieferantenqualifizierungsprogrammen geworden. Unternehmenskunden verlangen zunehmend von ihren Lieferanten den Nachweis eines extern verifizierten ISMS, bevor sie Zugang zu Systemen oder Daten gewähren, und Zertifikate, die von akkreditierten Zertifizierungsstellen ausgestellt wurden, werden weithin als Nachweis für diese Reife akzeptiert. Für Softwareanbieter, Cloud-Anbieter und andere Organisationen, deren Geschäftsmodell auf Kundendaten basiert, ist ein ISO 27001-Zertifikat in vielen Branchen mittlerweile fast schon eine Voraussetzung für den Markteintritt. Dieser Trend wird durch das wachsende öffentliche Bewusstsein für Datenpannen, Ransomware und Angriffe auf die Lieferkette verstärkt, was die Erwartungen daran erhöht hat, wie Organisationen Informationen entlang ihrer gesamten Wertschöpfungskette schützen.

Konvergenz mit Resilienz, Datenschutz und Nachhaltigkeit

Informationssicherheit ist kein isoliertes Thema mehr. Sie überschneidet sich zunehmend mit operativer Resilienz, Geschäftskontinuität, Datenschutz und – seit der Veröffentlichung der Änderung 1:2024 – klimabezogenen Überlegungen. Vorstände und Risikoausschüsse betrachten die Informationssicherheit als einen Aspekt eines umfassenderen Gesamtbildes, das IKT-Ausfälle, Risiken durch Dritte und Störungen durch extreme Wetterereignisse, die kritische Infrastrukturen beeinträchtigen, umfasst. Die Norm ISO 27001 bietet einen strukturellen Anker, der es Organisationen ermöglicht, diese verwandten Themen – Datenschutz, Geschäftskontinuität, Lieferantenüberwachung und physische Resilienz – in ein einziges Managementsystem zu integrieren, anstatt sie als Flickenteppich aus unzusammenhängenden Initiativen zu behandeln.

Kernanforderungen der ISO 27001

ISO/IEC 27001:2022 folgt der harmonisierten Struktur „Annex SL“, die allen modernen ISO-Managementsystemnormen gemeinsam ist. Die Abschnitte 1–3 legen den Geltungsbereich, normative Verweise und Begriffe fest. Die Abschnitte 4–10 enthalten die nachprüfbaren Anforderungen an das Managementsystem, die im Folgenden zusammengefasst sind. Anhang A verweist dann auf 93 in der ISO 27002 detailliert beschriebene Informationssicherheitsmaßnahmen, aus denen eine Organisation auf der Grundlage ihrer Risikobewertung die für sie zutreffenden auswählt.

Abschnitt 4 – Kontext der Organisation

Die Organisation ermittelt interne und externe Themen, die ihr ISMS beeinflussen, und bestimmt die Bedürfnisse und Erwartungen interessierter Parteien wie Kunden, Aufsichtsbehörden, Partner in der Lieferkette und Aktionäre. Auf dieser Grundlage definiert sie den Geltungsbereich des ISMS, einschließlich der Standorte, Geschäftsaktivitäten, Technologien und Informationsressourcen, die darunter fallen.

Abschnitt 5 – Führung

Die oberste Leitung zeigt Führungsstärke und Engagement für das ISMS, eine Informationssicherheitsrichtlinie wird unterzeichnet, und Rollen, Verantwortlichkeiten und Befugnisse werden zugewiesen. Informationssicherheit wird als Thema von strategischer Relevanz positioniert und nicht als delegierte technische Funktion.

Abschnitt 6 – Planung

Die Organisation führt eine Informationssicherheits-Risikobewertung durch, definiert Kriterien für die Akzeptanz und den Umgang mit Risiken und wählt die zur Bewältigung dieser Risiken erforderlichen Kontrollmaßnahmen aus. In der Anwendbarkeitserklärung wird dokumentiert, welche Kontrollmaßnahmen aus Anhang A gelten, welche ausgeschlossen sind und wie dies jeweils begründet wird. Informationssicherheitsziele werden definiert und auf die Richtlinie abgestimmt.

Abschnitt 7 – Unterstützung

Ressourcen, Kompetenz, Sensibilisierung, Kommunikation und dokumentierte Informationen werden behandelt. Das am ISMS beteiligte Personal erhält eine angemessene Schulung, und die Dokumentation wird in einer Form gepflegt, die der Größe und Komplexität der Organisation angemessen ist.

Abschnitt 8 – Betrieb

Die Organisation plant, implementiert und kontrolliert die Prozesse, die zur Erfüllung der Anforderungen an die Informationssicherheit erforderlich sind, führt die Risikobewertung und die Maßnahmenpläne durch und verwaltet Änderungen, die sich auf das ISMS auswirken könnten.

Abschnitt 9 – Leistungsbewertung

Das ISMS wird überwacht, gemessen und analysiert. Interne Audits und Managementbewertungen bilden die Grundlage für die Beurteilung, ob das System wirksam ist, den Anforderungen entspricht und kontinuierlich verbessert wird. Die Ergebnisse fließen in die Planung und in operative Entscheidungen ein.

Abschnitt 10 – Verbesserung

Nichtkonformitäten werden durch Korrekturmaßnahmen behoben, und die Organisation ist verpflichtet, die Eignung, Angemessenheit und Wirksamkeit des ISMS kontinuierlich zu verbessern. Die kontinuierliche Verbesserung ist ein strukturelles Merkmal der Norm und kein optionales Zusatzelement.

Anhang A – Referenzkontrollkatalog

Anhang A verweist auf 93 Kontrollmaßnahmen, die in vier Themenbereiche gruppiert sind: Organisatorische Kontrollmaßnahmen (37), Personbezogene Kontrollmaßnahmen (8), Physische Kontrollmaßnahmen (14) und Technologische Kontrollmaßnahmen (34). In der Überarbeitung von 2022 wurden die 114 Kontrollmaßnahmen der Version von 2013 konsolidiert und neu gegliedert, 11 neue Kontrollmaßnahmen eingeführt (darunter Bedrohungsinformationen, Informationssicherheit für Cloud-Dienste, IKT-Bereitschaft für die Geschäftskontinuität, Überwachung der physischen Sicherheit, Konfigurationsmanagement, Löschung von Informationen, Datenmaskierung, Verhinderung von Datenlecks, Überwachungsaktivitäten, Webfilterung und sichere Programmierung) und wendet auf jede Kontrollmaßnahme fünf Attribute an (Kontrolltyp, Eigenschaften der Informationssicherheit, Konzepte der Cybersicherheit, operative Fähigkeiten und Sicherheitsdomänen), um die Filterung und Berichterstellung zu unterstützen.

Zielgruppen und Anwendungsbereiche der ISO 27001

Die ISO 27001 ist von ihrer Konzeption her branchenunabhängig. Ihre Anforderungen gelten gleichermaßen für eine multinationale Bank, ein regionales Krankenhausnetzwerk, eine Behörde und ein Software-Start-up, das Kundendaten im Auftrag von Kunden verarbeitet. In der Praxis haben sich bestimmte Anwendungsbereiche besonders herauskristallisiert.

Anbieter von Informations- und Kommunikationstechnologie – darunter Cloud-Plattformen, Software-as-a-Service-Anbieter (SaaS), Managed-Service-Provider und Betreiber von Rechenzentren – betrachten die ISO 27001 häufig als das von Unternehmenskunden erwartete grundlegende Sicherheitsrahmenwerk. Finanzdienstleister nutzen die ISO 27001 zur Strukturierung von IKT-Risikomanagementprogrammen, die auch die DORA-Verpflichtungen unterstützen. Organisationen im Gesundheitswesen wenden sie zum Schutz von Patientendaten und klinischen Systemen an, oft in Verbindung mit branchenspezifischen Datenschutz- und Sicherheitsanforderungen. Behörden des öffentlichen Sektors und Betreiber kritischer Infrastrukturen implementieren ISO 27001, um Verpflichtungen gemäß NIS2 und nationaler Cybersicherheitsgesetzgebung zu erfüllen. Unternehmen der Fertigungsindustrie setzen die Norm ein, um geistiges Eigentum zu schützen, Betriebstechnologieumgebungen zu sichern und Sicherheitsanforderungen großer Kunden in der Lieferkette – darunter Original Equipment Manufacturers (OEMs) – zu erfüllen.

Für alle diese Organisationen bietet ein zertifiziertes ISMS einen strukturierten Rahmen für evidenzbasierte Entscheidungen über Investitionen und Prioritäten im Bereich der Informationssicherheit. Es unterstützt fundierte Entscheidungen der Führungskräfte und bildet die Grundlage für risikobasierte Gespräche mit Aufsichtsbehörden, Kunden und Partnern in der Lieferkette, während die wesentlichen Entscheidungen den dafür Verantwortlichen überlassen bleiben.

Normen im Zusammenhang mit ISO 27001

Harmonisierte Struktur und typische Kombinationen

Die ISO 27001 teilt sich die harmonisierte Struktur des Anhangs SL mit anderen weit verbreiteten Managementsystemnormen, darunter ISO 9001 (Qualität), ISO 14001 (Umwelt) und ISO 22301 (Geschäftskontinuität). Diese gemeinsame Struktur ermöglicht es Organisationen, ein integriertes Managementsystem zu betreiben, in dem Anforderungen an Informationssicherheit, Qualität, Umwelt und Geschäftskontinuität gemeinsame Führungsverpflichtungen, Planungsprozesse, interne Audits und Managementbewertungen nutzen. Kombinierte Audits über diese Systeme hinweg sind in der Praxis üblich und tragen dazu bei, Doppelarbeit zu reduzieren.

Die ISO-27000-Normenfamilie 

ISO 27001 steht im Mittelpunkt der Normenfamilie ISO 27000, die sich gemeinsam eingehend mit dem Informationssicherheitsmanagement befasst. ISO 27000 bietet einen Überblick und ein Vokabular für diese Normenfamilie. ISO 27002 erweitert jede Kontrollmaßnahme aus Anhang A um detaillierte Umsetzungshinweise und ist die Norm, die bei der Umsetzung neben ISO 27001 am häufigsten herangezogen wird. ISO 27005 bietet Leitlinien zum Informationssicherheits-Risikomanagement und wird häufig zur Operationalisierung der risikobasierten Klauseln von ISO 27001 verwendet. ISO 27017 und ISO 27018 erweitern den Kontrollkatalog auf Cloud-Dienste bzw. auf den Schutz personenbezogener Daten (PII) in öffentlichen Cloud-Umgebungen. ISO 27019 ist eine Leitlinie zur Einrichtung eines Informationssicherheits-Managementsystems für Steuerungssysteme in der Energieversorgung. Die Norm baut auf den in ISO 27002 beschriebenen Kontrollmaßnahmen zur Informationssicherheit auf und ergänzt diese um branchenspezifische Anforderungen, die über die in dieser Norm definierten allgemeinen Maßnahmen hinausgehen. ISO 27701 legt Anforderungen und Leitlinien für ein Datenschutz-Informationsmanagementsystem (PIMS) fest.

Branchen- und themenspezifische Erweiterungen

Eine Reihe von branchenspezifischen Normen baut im normativen Sinne auf ISO 27001 auf. ISO/IEC 27011 bietet zusätzliche Leitlinien für Telekommunikationsunternehmen. ISO/IEC 27017 und ISO/IEC 27018 befassen sich mit Cloud-spezifischen Kontrollmaßnahmen. ISO/IEC 27019 bietet Leitlinien für die Energieversorgungsbranche. ISO/IEC 27799 wendet die Kontrollmaßnahmen der ISO/IEC 27002 auf die Gesundheitsinformatik an. Diese Erweiterungen nutzen das Managementsystem der ISO 27001 und ergänzen oder verfeinern die für den jeweiligen Sektor relevanten Kontrollmaßnahmen.

Unterscheidung von ähnlichen Rahmenwerken

ISO 27001 wird manchmal mit anderen Rahmenwerken zur Informationssicherheit verglichen, insbesondere mit SOC 2 und dem NIST-Cybersicherheits-Rahmenwerk. ISO 27001 ist eine internationale Norm, nach der ein Informationssicherheits-Managementsystem (ISMS) von einer Zertifizierungsstelle zertifiziert werden kann. SOC 2 ist ein vom American Institute of Certified Public Accountants (AICPA) definiertes Berichtsrahmenwerk, in dessen Rahmen Prüfungsfachleute Bestätigungsberichte zu Kontrollmaßnahmen erstellen, die für Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit oder Datenschutz relevant sind. Die beiden Rahmenwerke überschneiden sich zwar, decken jedoch unterschiedliche Anwendungsbereiche ab und folgen unterschiedlichen Governance-Modellen; sie sollten daher nicht als gleichwertig beschrieben werden. Das NIST-Cybersicherheits-Framework ist ein freiwilliges Rahmenwerk, das als Leitfaden für das Risikomanagement insbesondere in den Vereinigten Staaten dienen soll; es ist nicht im gleichen Sinne zertifizierbar wie ISO 27001.