ISO 27001 - ISO/IEC 27001 - Norm für Informationssicherheits-Managementsysteme (ISMS)
internationale Norm für Informationssicherheits-Managementsysteme
Lesezeit: 3 Min.
Was bedeutet ISO 27001?
ISO/IEC 27001 ist die internationale Norm für Informationssicherheits-Managementsysteme: Sie beschreibt, wie eine Organisation Informationssicherheit systematisch plant, umsetzt und nachweist, und kann durch eine unabhängige Stelle zertifiziert werden.
ISO/IEC 27001 ist die weltweit anerkannteste, zertifizierbare Norm für ein Informationssicherheits-Managementsystem (ISMS). Sie beschreibt in den Kapiteln 4 bis 10 die Anforderungen an Kontext, Führung, Planung, Unterstützung, Betrieb, Leistungsbewertung und Verbesserung eines ISMS, ergänzt um einen normativen Anhang A (Annex A) mit aktuell 93 Referenz-Controls in vier Themenbereichen. Kern des Verfahrens ist eine strukturierte Risikobewertung: Informationswerte werden identifiziert, Bedrohungen und Schwachstellen bewertet und passende Controls aus Annex A ausgewählt, deren Einsatz oder begründeter Ausschluss im Statement of Applicability (SoA) dokumentiert wird. Eine Zertifizierung durch eine akkreditierte Stelle bestätigt nach externem Audit, dass ein wirksames ISMS betrieben wird, und muss regelmäßig durch Überwachungs- und Rezertifizierungsaudits erneuert werden.
Aufbau: Kapitel 4 bis 10 plus 93 Controls in Annex A
Der Normtext (Kapitel 4 bis 10) beschreibt, wie ein ISMS aufgebaut, betrieben und verbessert wird: Kontext der Organisation, Führung und Verantwortlichkeiten, Risikobewertung und -behandlung, Ressourcen und Kompetenzen, operative Umsetzung, Leistungsbewertung durch internes Audit und Management-Review sowie kontinuierliche Verbesserung. Annex A ergänzt 93 Controls in vier Themenbereichen: organisatorische, personenbezogene, physische und technologische Maßnahmen. Nicht jedes Control muss umgesetzt werden, die Auswahl erfolgt risikobasiert und wird im Statement of Applicability begründet.
Risikoregister, SoA und Annex A: Wie die Bausteine zusammenspielen
In der Praxis entstehen aus der Normanforderung drei zentrale Dokumente: Das Risikoregister erfasst identifizierte Risiken, deren Bewertung und die geplanten Maßnahmen. Annex A liefert den Katalog möglicher Controls, aus denen passende Maßnahmen ausgewählt werden. Das Statement of Applicability (SoA) dokumentiert für jedes der 93 Controls, ob es angewendet wird und warum, beziehungsweise warum ein Ausschluss begründet ist. Alle drei Dokumente bauen aufeinander auf und werden bei jedem Audit geprüft.
Zertifizierung: Ablauf und Aufwand für den Mittelstand
Eine Zertifizierung erfolgt in zwei Stufen: Ein Stufe-1-Audit prüft die Dokumentation auf Vollständigkeit, ein Stufe-2-Audit prüft die tatsächliche Umsetzung vor Ort beziehungsweise remote. Nach erfolgreichem Audit gilt das Zertifikat drei Jahre, jährliche Überwachungsaudits prüfen zwischenzeitlich die Wirksamkeit. Für ein KMU ist der Hauptaufwand selten die Technik, sondern die Dokumentation: Ein belastbares Risikoregister, eine vollständige SoA und Nachweise über gelebte Prozesse (Schulungen, Vorfallmanagement, Lieferantenbewertung) sind meist der größere Zeitfaktor als neue technische Maßnahmen.
Bezug zu NIS2 und BSI IT-Grundschutz
NIS2 verlangt von betroffenen Einrichtungen angemessene technische und organisatorische Risikomanagementmaßnahmen, schreibt aber keine bestimmte Norm vor. Ein zertifiziertes ISMS nach ISO 27001 ist der gängigste Weg, diese Anforderungen strukturiert nachzuweisen, da es die geforderten Bereiche (Risikomanagement, Vorfallbehandlung, Lieferkettensicherheit, Zugriffskontrolle) bereits abdeckt. Der BSI IT-Grundschutz ist eine deutsche Alternative mit demselben Grundgedanken, arbeitet aber mit vorgegebenen Bausteinen statt einer freien, risikobasierten Control-Auswahl, und ist im Standard-Schutz mit ISO 27001 kompatibel zertifizierbar.
ISMS und AIMS: gemeinsam betreibbar
ISO/IEC 42001 (AIMS, Managementsystem für künstliche Intelligenz) folgt derselben Kapitelstruktur wie ISO 27001. Kontextanalyse, Rollen, internes Audit und Management-Review lassen sich für beide Managementsysteme gemeinsam führen, ergänzt um die KI-spezifischen Anforderungen und Controls aus ISO 42001. Für Organisationen, die bereits ein ISMS betreiben und zusätzlich KI-Systeme einsetzen, ist das der übliche Ausbauweg.
Praxis-Tool
Baue dein ISMS mit Handbuch, Risikoregister, SoA und Audit-Checkliste - kostenlos, lokal im Browser
Zum ISMS-Dokumentation →Auch bekannt als
ISO/IEC 27001 · ISMS · Informationssicherheits-Managementsystem
Teil des Themenbereichs: Compliance & Regulierung
- TARA - Threat Analysis and Risk Assessment
- NIS-2 - Network and Information Security Directive 2
- IT-Notfallmanagement - IT Incident Response
- CRA - Cyber Resilience Act
- IEC 62443 - Industrial Automation and Control Systems Security
- Risikoregister - Risk Register
- SoA - Statement of Applicability
- Risikomatrix - Risk Matrix
- Annex A - Annex A (ISO/IEC 27001:2022)
- BSI TR-03183 - Technische Richtlinie TR-03183: Cyber Resilience Requirements for Manufacturers and Products
- BSI TR-03185 - Technische Richtlinie TR-03185: Sicherer Software-Lebenszyklus
- EN 40000 - Horizontale Normenreihe EN 40000-1-x zum Cyber Resilience Act
- Harmonisierte Norm - Harmonisierte europäische Norm mit Konformitätsvermutung
- CE-Kennzeichnung - CE-Kennzeichnung nach dem Cyber Resilience Act
- Konformitätsbewertung - Konformitätsbewertungsverfahren nach Art. 32 des Cyber Resilience Act
- Benannte Stelle - Notifizierte Konformitätsbewertungsstelle
- ISO 42001 - ISO/IEC 42001:2023 - AI Management System
- Fördermittel IT-Sicherheit - öffentliche Zuschüsse, Kredite und Beratungsförderung für IT-Sicherheitsmaßnahmen
Verwandte Begriffe
Quellen
Zuletzt aktualisiert: 2026-08-25
Häufige Fragen zu ISO 27001
Ist ISO 27001 gesetzlich vorgeschrieben?
Nein, ISO 27001 ist eine freiwillige Norm, es gibt keine allgemeine gesetzliche Zertifizierungspflicht. NIS2 verlangt angemessene Risikomanagementmaßnahmen, schreibt aber keine bestimmte Norm vor. In der Praxis wird ISO 27001 zunehmend über Kundenverträge, Ausschreibungen und Lieferkettenanforderungen eingefordert.
Was ist der Unterschied zwischen ISO 27001 und BSI IT-Grundschutz?
Beide verfolgen dasselbe Ziel, ein wirksames ISMS. ISO 27001 arbeitet risikobasiert mit einer freien Auswahl von Controls aus Annex A. Der BSI IT-Grundschutz nutzt vorgegebene, standardisierte Bausteine für typische Einsatzszenarien und ist stärker auf den deutschen öffentlichen Sektor und Mittelstand zugeschnitten. Eine Zertifizierung nach IT-Grundschutz-Standard-Schutz ist mit ISO 27001 kompatibel.
Wie lange dauert eine ISO-27001-Zertifizierung?
Für ein KMU mit überschaubarem Geltungsbereich sind 6 bis 12 Monate von der Kontextanalyse bis zum Stufe-2-Audit realistisch, abhängig davon, wie viel Dokumentation und wie viele Prozesse bereits bestehen. Danach gilt das Zertifikat drei Jahre mit jährlichen Überwachungsaudits.
Was kostet eine ISO-27001-Zertifizierung für ein KMU?
Die Kosten hängen stark vom Geltungsbereich, der Unternehmensgröße und dem gewählten Zertifizierer ab. Neben den Auditkosten der Zertifizierungsstelle fällt in der Regel interner oder externer Aufwand für Dokumentation, Risikobewertung und Vorbereitung an, oft der größere Kostenfaktor. Öffentliche Fördermittel für IT-Sicherheitsberatung können einen Teil davon abdecken.
Brauche ich ISO 27001, wenn ich bereits nach ISO 42001 zertifiziert bin?
Nein, umgekehrt gilt dasselbe: ISO 42001 deckt die KI-spezifischen Risiken (Trainingsdaten, Bias, Erklärbarkeit) ab, nicht aber den allgemeinen Schutz von Informationen vor Verlust von Vertraulichkeit, Integrität und Verfügbarkeit. Beide Normen ergänzen sich und lassen sich wegen der gemeinsamen Struktur als integriertes Managementsystem betreiben.