Die Norm ISO/IEC 27001:2022 verstehen
Was istISO 27001 ? Wie funktioniert ein ISMS, der risikobasierte Ansatz und der kontinuierliche Verbesserungszyklus? Klare, verständliche Einblicke für Entscheidungsträger und CISO.
Was ist ISO/IEC 27001?
ISO/IEC 27001:2022 ist die internationale Norm, die die Anforderungen für die Einrichtung eines ISMS und ermöglicht als einzige Norm der ISO-27000-Familie eine Zertifizierung durch eine akkreditierte Stelle.
ISO/IEC 27001:2022 ist die internationale Referenznorm für das Informationssicherheitsmanagement. Sie wurde gemeinsam von ISO und IEC veröffentlicht und definiert die Anforderungen für den Aufbau, die Umsetzung, Aufrechterhaltung und kontinuierliche Verbesserung eines Informationssicherheits-Managementsystems (ISMS). Ihre aktuelle Version wurde von derISO am 25. Oktober 2022 veröffentlicht; der Übergang von der Ausgabe 2013 wurde am 31. Oktober 2025 abgeschlossen, und nur Zertifikate nach der Ausgabe 2022 sind nun gültig. Ein Zertifikat wird für 3 Jahre ausgestellt, mit einem Überwachungsaudit alle 12 Monate; bei einem KMU sollten Sie vom Projektstart bis zum Zertifikat mit etwa 8 Monaten rechnen.
Anders als ein einfacher technischer Rahmen verfolgt dieISO 27001 adopte une logique de management : elle ne dicte pas une liste figée de mesures à appliquer, mais impose une démarche structurée pour protéger la confidentialité, l'intégrité et la disponibilité de l'information, quelle que soit sa forme (numérique, papier, savoir-faire). C'est aussi la seule norme de la famille ISO 27000 sur laquelle une organisation peut être certifiée par un organisme accrédité. ISO/IEC-27001-Seite von PECB, einer mit BCIT kooperierenden Zertifizierungsstelle.
Was sind die Grundpfeiler der Norm?
Das ISMS
Ein Governance-Rahmen, der die Informationssicherheit an den Zielen und dem Kontext der Organisation ausrichtet und von der Unternehmensleitung getragen wird.
Der risikobasierte Ansatz
Risiken für Informationen identifizieren, analysieren und behandeln, statt wahllos Maßnahmen anzuwenden.
Anhang A / ISO 27002
Ein Katalog mit 93 Referenz-Sicherheitsmaßnahmen, aus denen Sie entsprechend Ihren tatsächlichen Risiken auswählen.
Der PDCA-Zyklus
Planen, Umsetzen, Prüfen, Verbessern: Sicherheit wird zu einem dynamischen, niemals statischen Prozess.
Wie funktioniert der risikobasierte Ansatz?
Die Organisation identifiziert ihre Risiken, entscheidet, sie zu mindern, zu akzeptieren, zu vermeiden oder zu teilen, und begründet anschließend jede Entscheidung in der Erklärung zur Anwendbarkeit (SoA).
Das Herzstück derISO 27001 ist Risikobeurteilung. Die Organisation identifiziert Bedrohungen und Schwachstellen, die ihre Informationswerte betreffen, bewertet deren Eintrittswahrscheinlichkeit und Auswirkungen und entscheidet anschließend, wie sie diese behandelt:
- Das Risiko mindern, indem eine oder mehrere Sicherheitsmaßnahmen aus Anhang A umgesetzt werden.
- Das Risiko akzeptieren, wenn sein Niveau im jeweiligen Kontext als tolerierbar gilt.
- Das Risiko vermeiden, indem die Tätigkeit oder Verarbeitung, die es verursacht, aufgegeben wird.
- Das Risiko teilen, beispielsweise durch eine Versicherung oder einen vertraglich gebundenen Dritten.
So werden Aufwand und Budgets gezielt dort eingesetzt, wo sie wirklich wichtig sind. Das Ergebnis dieses Vorgehens zeigt sich insbesondere in der Erklärung zur Anwendbarkeit (SoA), die die Aufnahme oder den Ausschluss jeder Maßnahme aus Anhang A begründet.
Wie ist der Zusammenhang mit ISO/IEC 27002?
Anhang A führt 93 Maßnahmen in 4 Themenbereichen auf; dieISO/IEC 27002 ist die ergänzende Norm, die deren Umsetzung im Einzelnen beschreibt.
Anhang A derISO 27001:2022 führt 93 Sicherheitsmaßnahmen auf, die in 4 Themenbereiche gegliedert sind:
- Organisatorische Maßnahmen: Richtlinien, Rollen, Verwaltung von Werten und Lieferanten, Vorfallmanagement.
- Personenbezogene Maßnahmen: Sensibilisierung, Schulungen, Überprüfungen, Telearbeit.
- Physische Maßnahmen: Sicherheit der Räumlichkeiten, Sicherheitsbereiche, Schutz der Ausstattung.
- Technologische Maßnahmen: Zugriffskontrolle, Verschlüsselung, Protokollierung, Netzwerksicherheit.
| Themenbereich | Anzahl der Maßnahmen |
|---|---|
| Organisatorisch | 37 |
| Personenbezogen | 8 |
| Physisch | 14 |
| Technologisch | 34 |
Dieser Anhang ist nur eine Zusammenfassung: Die ergänzende Norm ISO/IEC 27002:2022 beschreibt für jede Maßnahme deren Ziel und bewährte Umsetzungsverfahren. Sie wählen die relevanten Maßnahmen anhand der Ergebnisse Ihrer Risikobeurteilung aus. Nichts wird blind vorgeschrieben.
Die Version 2022 hat Anhang A deutlich verschlankt: Die Version 2013 umfasste 114 Maßnahmen in 14 Kategorien; die Überarbeitung von 2022 fasste sie in nur 93 Maßnahmen und 4 Themenbereichen zusammen und sorgt so für eine übersichtlichere Struktur.
Wie funktioniert der kontinuierliche Verbesserungszyklus (PDCA)?
Plan: Planen
Geltungsbereich, Richtlinie und Ziele festlegen und die Informationssicherheitsrisiken bewerten.
Do: Umsetzen
Risikobehandlungsplan und ausgewählte Sicherheitsmaßnahmen umsetzen.
Check: Überprüfen
Überwachen, messen und interne Audits sowie Managementbewertungen durchführen, um die Wirksamkeit zu beurteilen.
Act: Verbessern
Abweichungen korrigieren und die ISMS auf Grundlage der Feststellungen kontinuierlich verbessern.
Wie lange ist das Zertifikat gültig?
Nach der Erteilung ist das Zertifikat 3 Jahre gültig, vorbehaltlich jährlicher Überwachungsaudits durch die Zertifizierungsstelle; nach Ablauf der 3 Jahre setzt ein Rezertifizierungsaudit den Zyklus neu in Gang.
ISO 27001 ersetzt keine gesetzlichen Vorschriften, deckt aber deren Grundlagen ab. Die Richtlinie NIS 2 schreibt 10 Maßnahmenbereiche vor (Artikel 21). Verstöße können mit Geldbußen von bis zu 10 000 000 € oder 2 % des weltweiten Umsatzes für eine wesentliche Einrichtung und 7 000 000 € oder 1,4 % für eine wichtige Einrichtung geahndet werden:
„Die Mitgliedstaaten stellen sicher, dass wesentliche und wichtige Einrichtungen geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen ergreifen, um die Risiken für die Sicherheit der Netz- und Informationssysteme zu bewältigen, die diese Einrichtungen für ihre Tätigkeiten oder die Erbringung ihrer Dienste nutzen.“ (Richtlinie (EU) 2022/2555, Artikel 21 Absatz 1).
- Konzepte zur Risikoanalyse und zur Sicherheit von Informationssystemen
- Vorfallmanagement
- Geschäftskontinuität, Sicherungskopien, Wiederherstellung und Krisenmanagement
- Sicherheit der Lieferkette
- Sicherheit bei Beschaffung, Entwicklung und Wartung von Systemen sowie Behandlung von Schwachstellen
- Bewertung der Wirksamkeit der Maßnahmen
- Grundlegende Cyberhygiene und Schulungen zur Cybersicherheit
- Kryptografie und Verschlüsselung
- Personalsicherheit, Zugriffskontrolle und Verwaltung von Werten
- Mehr-Faktor-Authentifizierung und sichere Kommunikation
Die 93 Maßnahmen in Anhang A decken diese 10 Bereiche ab, ebenso wie die 42 Maßnahmen des Leitfadens der ANSSI zur IT-Hygiene (veröffentlicht am 23. Januar 2017), den die ANSSI als „einen Fahrplan, der den Interessen jeder Einrichtung Rechnung trägt, die sich des Wertes ihrer Daten bewusst ist“ beschreibt.
Welche Vorteile bietet eine ISO-27001-Zertifizierung?
Vertrauen & Geschäft
Ein international anerkannter Nachweis, der Kunden, Partner und öffentliche Auftraggeber überzeugt und den Zugang zu Ausschreibungen eröffnet.
Einhaltung gesetzlicher Vorgaben
Eine solide Grundlage, um die Anforderungen von DSGVO, NIS2, DORA oder HDS zu erfüllen und Ihr rechtliches Risiko zu verringern.
Risikomanagement
Weniger Vorfälle, besser eingedämmte Auswirkungen und höhere Widerstandsfähigkeit gegen Cyberbedrohungen.
Möchten Sie mehr über ISO 27001 erfahren?
BCIT Formation unterstützt Sie dabei, die Norm zu verstehen, Ihr ISMS aufzubauen und die Zertifizierung anzustreben — bewertet mit 4,7/5 auf Trustpilot. Lassen Sie uns 15 Minuten über Ihre Situation und Ziele sprechen.
Die Norm ISO/IEC 27001:2022 verstehen
Was istISO 27001 ? Wie funktioniert ein ISMS, der risikobasierte Ansatz und der kontinuierliche Verbesserungszyklus? Klare, verständliche Einblicke für Entscheidungsträger und CISO.
Was ist ISO/IEC 27001?
ISO/IEC 27001:2022 ist die internationale Norm, die die Anforderungen für die Einrichtung eines ISMS und ermöglicht als einzige Norm der ISO-27000-Familie eine Zertifizierung durch eine akkreditierte Stelle.
ISO/IEC 27001:2022 ist die internationale Referenznorm für das Informationssicherheitsmanagement. Sie wurde gemeinsam von ISO und IEC veröffentlicht und definiert die Anforderungen für den Aufbau, die Umsetzung, Aufrechterhaltung und kontinuierliche Verbesserung eines Informationssicherheits-Managementsystems (ISMS). Ihre aktuelle Version wurde von derISO am 25. Oktober 2022 veröffentlicht; der Übergang von der Ausgabe 2013 wurde am 31. Oktober 2025 abgeschlossen, und nur Zertifikate nach der Ausgabe 2022 sind nun gültig. Ein Zertifikat wird für 3 Jahre ausgestellt, mit einem Überwachungsaudit alle 12 Monate; bei einem KMU sollten Sie vom Projektstart bis zum Zertifikat mit etwa 8 Monaten rechnen.
Anders als ein einfacher technischer Rahmen verfolgt dieISO 27001 adopte une logique de management : elle ne dicte pas une liste figée de mesures à appliquer, mais impose une démarche structurée pour protéger la confidentialité, l'intégrité et la disponibilité de l'information, quelle que soit sa forme (numérique, papier, savoir-faire). C'est aussi la seule norme de la famille ISO 27000 sur laquelle une organisation peut être certifiée par un organisme accrédité. ISO/IEC-27001-Seite von PECB, einer mit BCIT kooperierenden Zertifizierungsstelle.
Was sind die Grundpfeiler der Norm?
Das ISMS
Ein Governance-Rahmen, der die Informationssicherheit an den Zielen und dem Kontext der Organisation ausrichtet und von der Unternehmensleitung getragen wird.
Der risikobasierte Ansatz
Risiken für Informationen identifizieren, analysieren und behandeln, statt wahllos Maßnahmen anzuwenden.
Anhang A / ISO 27002
Ein Katalog mit 93 Referenz-Sicherheitsmaßnahmen, aus denen Sie entsprechend Ihren tatsächlichen Risiken auswählen.
Der PDCA-Zyklus
Planen, Umsetzen, Prüfen, Verbessern: Sicherheit wird zu einem dynamischen, niemals statischen Prozess.
Wie funktioniert der risikobasierte Ansatz?
Die Organisation identifiziert ihre Risiken, entscheidet, sie zu mindern, zu akzeptieren, zu vermeiden oder zu teilen, und begründet anschließend jede Entscheidung in der Erklärung zur Anwendbarkeit (SoA).
Das Herzstück derISO 27001 ist Risikobeurteilung. Die Organisation identifiziert Bedrohungen und Schwachstellen, die ihre Informationswerte betreffen, bewertet deren Eintrittswahrscheinlichkeit und Auswirkungen und entscheidet anschließend, wie sie diese behandelt:
- Das Risiko mindern, indem eine oder mehrere Sicherheitsmaßnahmen aus Anhang A umgesetzt werden.
- Das Risiko akzeptieren, wenn sein Niveau im jeweiligen Kontext als tolerierbar gilt.
- Das Risiko vermeiden, indem die Tätigkeit oder Verarbeitung, die es verursacht, aufgegeben wird.
- Das Risiko teilen, beispielsweise durch eine Versicherung oder einen vertraglich gebundenen Dritten.
So werden Aufwand und Budgets gezielt dort eingesetzt, wo sie wirklich wichtig sind. Das Ergebnis dieses Vorgehens zeigt sich insbesondere in der Erklärung zur Anwendbarkeit (SoA), die die Aufnahme oder den Ausschluss jeder Maßnahme aus Anhang A begründet.
Wie ist der Zusammenhang mit ISO/IEC 27002?
Anhang A führt 93 Maßnahmen in 4 Themenbereichen auf; dieISO/IEC 27002 ist die ergänzende Norm, die deren Umsetzung im Einzelnen beschreibt.
Anhang A derISO 27001:2022 führt 93 Sicherheitsmaßnahmen auf, die in 4 Themenbereiche gegliedert sind:
- Organisatorische Maßnahmen: Richtlinien, Rollen, Verwaltung von Werten und Lieferanten, Vorfallmanagement.
- Personenbezogene Maßnahmen: Sensibilisierung, Schulungen, Überprüfungen, Telearbeit.
- Physische Maßnahmen: Sicherheit der Räumlichkeiten, Sicherheitsbereiche, Schutz der Ausstattung.
- Technologische Maßnahmen: Zugriffskontrolle, Verschlüsselung, Protokollierung, Netzwerksicherheit.
| Themenbereich | Anzahl der Maßnahmen |
|---|---|
| Organisatorisch | 37 |
| Personenbezogen | 8 |
| Physisch | 14 |
| Technologisch | 34 |
Dieser Anhang ist nur eine Zusammenfassung: Die ergänzende Norm ISO/IEC 27002:2022 beschreibt für jede Maßnahme deren Ziel und bewährte Umsetzungsverfahren. Sie wählen die relevanten Maßnahmen anhand der Ergebnisse Ihrer Risikobeurteilung aus. Nichts wird blind vorgeschrieben.
Die Version 2022 hat Anhang A deutlich verschlankt: Die Version 2013 umfasste 114 Maßnahmen in 14 Kategorien; die Überarbeitung von 2022 fasste sie in nur 93 Maßnahmen und 4 Themenbereichen zusammen und sorgt so für eine übersichtlichere Struktur.
Wie funktioniert der kontinuierliche Verbesserungszyklus (PDCA)?
Plan: Planen
Geltungsbereich, Richtlinie und Ziele festlegen und die Informationssicherheitsrisiken bewerten.
Do: Umsetzen
Risikobehandlungsplan und ausgewählte Sicherheitsmaßnahmen umsetzen.
Check: Überprüfen
Überwachen, messen und interne Audits sowie Managementbewertungen durchführen, um die Wirksamkeit zu beurteilen.
Act: Verbessern
Abweichungen korrigieren und die ISMS auf Grundlage der Feststellungen kontinuierlich verbessern.
Wie lange ist das Zertifikat gültig?
Nach der Erteilung ist das Zertifikat 3 Jahre gültig, vorbehaltlich jährlicher Überwachungsaudits durch die Zertifizierungsstelle; nach Ablauf der 3 Jahre setzt ein Rezertifizierungsaudit den Zyklus neu in Gang.
ISO 27001 ersetzt keine gesetzlichen Vorschriften, deckt aber deren Grundlagen ab. Die Richtlinie NIS 2 schreibt 10 Maßnahmenbereiche vor (Artikel 21). Verstöße können mit Geldbußen von bis zu 10 000 000 € oder 2 % des weltweiten Umsatzes für eine wesentliche Einrichtung und 7 000 000 € oder 1,4 % für eine wichtige Einrichtung geahndet werden:
„Die Mitgliedstaaten stellen sicher, dass wesentliche und wichtige Einrichtungen geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen ergreifen, um die Risiken für die Sicherheit der Netz- und Informationssysteme zu bewältigen, die diese Einrichtungen für ihre Tätigkeiten oder die Erbringung ihrer Dienste nutzen.“ (Richtlinie (EU) 2022/2555, Artikel 21 Absatz 1).
- Konzepte zur Risikoanalyse und zur Sicherheit von Informationssystemen
- Vorfallmanagement
- Geschäftskontinuität, Sicherungskopien, Wiederherstellung und Krisenmanagement
- Sicherheit der Lieferkette
- Sicherheit bei Beschaffung, Entwicklung und Wartung von Systemen sowie Behandlung von Schwachstellen
- Bewertung der Wirksamkeit der Maßnahmen
- Grundlegende Cyberhygiene und Schulungen zur Cybersicherheit
- Kryptografie und Verschlüsselung
- Personalsicherheit, Zugriffskontrolle und Verwaltung von Werten
- Mehr-Faktor-Authentifizierung und sichere Kommunikation
Die 93 Maßnahmen in Anhang A decken diese 10 Bereiche ab, ebenso wie die 42 Maßnahmen des Leitfadens der ANSSI zur IT-Hygiene (veröffentlicht am 23. Januar 2017), den die ANSSI als „einen Fahrplan, der den Interessen jeder Einrichtung Rechnung trägt, die sich des Wertes ihrer Daten bewusst ist“ beschreibt.
Welche Vorteile bietet eine ISO-27001-Zertifizierung?
Vertrauen & Geschäft
Ein international anerkannter Nachweis, der Kunden, Partner und öffentliche Auftraggeber überzeugt und den Zugang zu Ausschreibungen eröffnet.
Einhaltung gesetzlicher Vorgaben
Eine solide Grundlage, um die Anforderungen von DSGVO, NIS2, DORA oder HDS zu erfüllen und Ihr rechtliches Risiko zu verringern.
Risikomanagement
Weniger Vorfälle, besser eingedämmte Auswirkungen und höhere Widerstandsfähigkeit gegen Cyberbedrohungen.
Möchten Sie mehr über ISO 27001 erfahren?
BCIT Formation unterstützt Sie dabei, die Norm zu verstehen, Ihr ISMS aufzubauen und die Zertifizierung anzustreben — bewertet mit 4,7/5 auf Trustpilot. Lassen Sie uns 15 Minuten über Ihre Situation und Ziele sprechen.