ISO 27001.
Ein Informationssicherheitsmanagementsystem aufbauen, Risiken steuern und den passenden Nachweis für Kunden und Vertragspartner wählen.
- ISO/IEC 27001:2022 + Amd 1:2024
- Von Jonathan Bezdek
- Stand: 22.10.2026
- Fachlich freigegeben von Jonathan Bezdek am 22.10.2026
- Lesezeit: 7 Min.
Kurzantwort.
ISO 27001 ist die internationale Norm für Informationssicherheitsmanagementsysteme, kurz ISMS. Sie beschreibt, wie Organisationen ihre Informationssicherheit risikobasiert organisieren, betreiben und verbessern. ISO/IEC 27001:2022 gilt für unterschiedliche Größen und Branchen. Eine unabhängige Zertifizierungsstelle kann die Konformität des Managementsystems im festgelegten Geltungsbereich bestätigen; ISO selbst stellt keine Zertifikate aus.
ISO 27001 und ISMS.
ISO 27001 beschreibt Anforderungen an das Management der Informationssicherheit. Ein ISMS verbindet Entscheidungen der Leitung mit dem Umgang mit Informationen, Menschen, Prozessen und Technik. Geschützt werden Vertraulichkeit, Integrität und Verfügbarkeit: Wer darf Informationen sehen, wie bleiben sie zuverlässig und wann müssen sie nutzbar sein? Die öffentliche Beschreibung der ISO/IEC 27001:2022 stellt dafür einen risikobasierten Ansatz in den Mittelpunkt.
Die veröffentlichte Grundausgabe ist ISO/IEC 27001:2022; hinzu kommt Amd 1:2024. Das Amendment ergänzt die Betrachtung klimabezogener Themen im Kontext des Managementsystems. Nach dem gemeinsamen ISO/IAF-Kommuniqué vom Februar 2024 geht es darum, deren Relevanz für das jeweilige Managementsystem zu prüfen. Daraus folgt kein für jede Organisation identisches Maßnahmenprogramm.
Das ISMS ist die laufende Arbeit der Organisation, die Zertifizierung ein möglicher externer Nachweis darüber. Ein eingeführtes Werkzeug, ein ausgefüllter Fragebogen oder ein Schulungszertifikat ersetzt weder den Betrieb des Managementsystems noch dessen unabhängige Bewertung.
Für wen ISO 27001 geeignet ist.
ISO 27001 eignet sich nach der öffentlichen ISO-Beschreibung für Organisationen verschiedener Größen und Branchen. Entscheidend sind die Informationen und Abhängigkeiten im gewählten Geltungsbereich. Ein kleiner Dienstleister kann deshalb andere Zuständigkeiten und Abläufe brauchen als ein Unternehmen mit mehreren Standorten, ohne dass die grundlegende Aufgabe des Sicherheitsmanagements eine andere wird.
Kundenanforderungen bestimmen häufig, welcher Zertifizierungsumfang gebraucht wird. Klären Sie, ob ein Vertragspartner einen bestimmten Dienst, einen Standort oder eine juristische Person beurteilen lassen möchte. Ein bewusst abgegrenzter Scope muss die relevanten Schnittstellen berücksichtigen. Eine ausgelagerte Tätigkeit verschwindet nicht allein dadurch aus der Sicherheitsbetrachtung, dass ein Lieferant sie ausführt.
Die Anforderungen der ISO 27001.
Die ISO-27001-Anforderungen verbinden die Steuerung des ISMS mit dem Betrieb geeigneter Sicherheitsmaßnahmen. Die folgenden sechs Arbeitsbereiche fassen die Kapitel 4 bis 10 der ISO/IEC 27001:2022 zur Orientierung in eigenen Worten zusammen.
Kontext und Geltungsbereich festlegen.
Die Organisation grenzt ab, welche Tätigkeiten und Informationen ihr ISMS umfasst. Dazu gehören relevante Anforderungen interessierter Parteien und die Abhängigkeiten zu anderen Bereichen. Für die Umsetzung empfiehlt sich eine Beschreibung, die Fachverantwortliche und externe Leser gleichermaßen verstehen: Ein Dienstname allein erklärt seine unterstützenden Systeme und Schnittstellen noch nicht.
Führung und Verantwortung verankern.
Die Leitung gibt der Sicherheitsarbeit Richtung, Befugnisse und Ressourcen. Verantwortliche müssen Entscheidungen treffen können, die zu ihren Aufgaben passen. Eine zentrale koordinierende Person kann den Überblick halten; sie übernimmt dadurch nicht automatisch sämtliche Aufgaben der Personalabteilung, des Einkaufs, der IT oder der Entwicklung.
Risiken bewerten und behandeln.
Risikobeurteilung und Risikobehandlung bestimmen, welche Probleme zuerst bearbeitet werden. Bewertungskriterien, zuständige Personen und nachvollziehbare Entscheidungen verbinden die Analyse mit konkreter Arbeit. Die Erklärung zur Anwendbarkeit, auch Statement of Applicability oder SoA, hält die Maßnahmenauswahl und deren Begründung fest. Anhang A dient dabei als Referenz für Sicherheitsmaßnahmen.
Ressourcen und Dokumentation organisieren.
Kompetenz, Kommunikation und gepflegte dokumentierte Informationen tragen den Betrieb. Legen Sie praktisch fest, wer eine Vorgabe freigibt, wer sie anwendet und wo die gültige Fassung zu finden ist. Eine umfangreiche Dokumentensammlung hilft wenig, wenn ihre Aussagen von der tatsächlichen Arbeit abweichen oder Zuständige ihre Aufgaben nicht kennen.
Maßnahmen im Alltag betreiben.
Sicherheitsmaßnahmen müssen im gewählten Umfang tatsächlich funktionieren. Organisatorische, personelle, physische und technische Vorkehrungen greifen ineinander. Als praktische Arbeitshilfe können Verantwortliche zu jeder ausgewählten Maßnahme festhalten, welchen Prozess sie schützt und welche Aufzeichnungen den Betrieb zeigen. Der Annex-A-Blog vertieft die Auswahl und den Betrieb der Maßnahmen.
Bewerten und verbessern.
Interne Audits, Managementbewertungen und die Behandlung von Abweichungen halten das ISMS in Bewegung. Die Organisation prüft, ob ihre Arbeitsweise zu den Anforderungen passt und die beabsichtigten Ergebnisse unterstützt. Für den Alltag ist hilfreich, bei einer Korrektur bereits festzulegen, woran ihre Wirkung später erkennbar sein soll.
Der Weg zur ISO-27001-Zertifizierung.
Ziel und Scope vereinbaren.
Klären Sie als praktischen Einstieg, welcher Nachweis für welche Tätigkeit gebraucht wird, und beschreiben Sie den Geltungsbereich einschließlich seiner relevanten Abhängigkeiten.
Verantwortung und Kapazität festlegen.
Benennen Sie die entscheidungsbefugte Leitung, die Koordination und die Prozessverantwortlichen und reservieren Sie Zeit für Einführung sowie laufende Pflege.
Risiken und Maßnahmen bearbeiten.
Wenden Sie ein nachvollziehbares Bewertungsverfahren an, entscheiden Sie über die Behandlung und dokumentieren Sie die Auswahl der Maßnahmen in der Erklärung zur Anwendbarkeit.
Betrieb und Nachweise zusammenführen.
Setzen Sie die ausgewählten Maßnahmen um und bewahren Sie passende Aufzeichnungen aus dem tatsächlichen Betrieb auf, statt lediglich Dokumentvorlagen zu füllen.
Intern bewerten und korrigieren.
Nutzen Sie internes Audit und Managementbewertung, um offene Entscheidungen, Abweichungen und Ressourcenbedarf vor einer externen Prüfung zu bearbeiten.
Externe Prüfung und Weiterbetrieb planen.
Vereinbaren Sie mit einer geeigneten Zertifizierungsstelle Umfang und Auditprogramm und führen Sie das ISMS nach der Zertifizierungsentscheidung mit den erforderlichen Überprüfungen weiter.
Was das ISO-27001-Zertifikat aussagt.
Das ISO-27001-Zertifikat bestätigt die bewertete Konformität des Managementsystems im angegebenen Geltungsbereich. Prüfen Sie deshalb den Scope, die Normausgabe, die ausstellende Stelle sowie Gültigkeitsdatum und aktuellen Status gemeinsam. Das Zertifikat ist keine Garantie, dass jeder Unternehmensbereich erfasst wurde oder künftig kein Sicherheitsvorfall auftreten kann.
Externe Zertifizierungsstellen führen die Zertifizierung durch; ISO selbst stellt keine Zertifikate aus. ISO/IEC 27006-1:2024 ergänzt die Anforderungen an solche Stellen für ISMS-Zertifizierungen. Akkreditierung betrifft deren Kompetenz und ist vom Zertifikat der geprüften Organisation zu unterscheiden. Die öffentliche ISO-Seite zur Zertifizierung erläutert, wie Zertifizierungs- und Akkreditierungsstatus überprüft werden können.
Die Planung endet nicht mit der erstmaligen Ausstellung. Lassen Sie sich das Auditprogramm, die Bedingungen der Aufrechterhaltung und den Ablauf einer Erneuerung von Ihrer Zertifizierungsstelle erklären. Für die Budgetentscheidung zählen diese wiederkehrenden Leistungen zusammen mit dem internen Betrieb, nicht allein das erste Angebot.
Weiterlesen im Blog.
- Was ist ein ISMS?Sicherheitsarbeit mit Entscheidungen der Organisation verbinden.
- ISO-27001-Zertifizierung vorbereitenVorbereitung, Aufwand und Prüfungen ausführlich planen.
- ISO 27001 Anhang AAusgewählte Maßnahmen im Betrieb verankern.
- Internes ISO-27001-AuditAuditkriterien, Nachweise und Korrekturen organisieren.
- ISO 27001 ChecklisteArbeitsbereiche und vorhandene Einstiegshilfen vorsortieren.
Andere Frameworks einordnen.
ISO 27002 ergänzt ISO 27001 mit Orientierung zur Umsetzung von Informationssicherheitsmaßnahmen. IT-Grundschutz beschreibt eine BSI-Methodik für die Sicherheitsarbeit und einen eigenen Zertifizierungsweg. NIS2 begründet für erfasste Einrichtungen eigenständige gesetzliche Pflichten; ein ISO-27001-Zertifikat ersetzt deren Prüfung nicht. TISAX nutzt für die automobile Lieferkette ein eigenes Assessment- und Austauschverfahren.
In Secani.
Secani stellt einen eigenen redaktionellen Prüfkatalog zu ISO/IEC 27001:2022 mit Amendment 1:2024 bereit. Im Workspace lassen sich Maßnahmen, Nachweise und Aufgaben im Zusammenhang bearbeiten. Der Katalog enthält eigene Umsetzungshinweise und ersetzt den lizenzierten Normtext nicht; die fachliche Bewertung und Zertifizierungsentscheidung bleiben gesonderte Aufgaben.
Mit einem konkreten Geltungsbereich beginnen.
Wählen Sie einen Dienst, für den ein nachvollziehbarer Sicherheitsnachweis gebraucht wird. Halten Sie fest, welche Informationen, beteiligten Teams und Lieferanten dazu gehören und wer über Risiken entscheiden darf. Mit dieser Grundlage lassen sich der Umsetzungsumfang und die Erwartungen an ein Zertifikat besprechen.
Fragen Sie anschließend nach einem Auditangebot auf derselben Scope-Grundlage. Trennen Sie dabei internen Aufwand, notwendige Verbesserungen und die Kosten der externen Prüfung. So werden Angebote vergleichbarer, ohne bereits einen Zertifizierungstermin oder ein Ergebnis zu versprechen.
Quellen.
- ENX: TISAX-Teilnehmerhandbuch
- ISO/IEC 27001:2022 – öffentliche Normseite
- ISO/IEC 27001:2022/Amd 1:2024
- ISO/IAF-Kommuniqué zu klimabezogenen Ergänzungen, Februar 2024
- ISO – Zertifizierung und Akkreditierung
- ISO/IEC 27006-1:2024 – Anforderungen an Zertifizierungsstellen
- ISO/IEC 27002:2022 – ergänzende Umsetzungshilfe
Häufige Fragen.
Nein, es gibt keine allgemeine ISO-27001-Zertifizierungspflicht für jedes Unternehmen. Ob ein konkreter Nachweis verlangt wird, hängt von anwendbaren gesetzlichen, vertraglichen oder branchenspezifischen Anforderungen ab.
Ein belastbarer Einheitspreis lässt sich ohne Geltungsbereich und Ausgangslage nicht nennen. Planen Sie internen Aufwand, notwendige Verbesserungen und externe Auditkosten sowie die laufende Aufrechterhaltung getrennt ein.
Die Auswahl richtet sich nach Risiken und relevanten Anforderungen. Die Erklärung zur Anwendbarkeit dokumentiert erforderliche Maßnahmen, ihren Umsetzungsstand und begründete Ausschlüsse von Referenzmaßnahmen.
Ja. Ein ISMS umzusetzen und es durch eine externe Stelle zertifizieren zu lassen sind unterschiedliche Entscheidungen; ISO beschreibt die Zertifizierung als wählbaren Nachweis.
Nein. Externe Zertifizierungsstellen stellen Zertifikate aus; ISO entwickelt und veröffentlicht die Normen.
Den Geltungsbereich klären.
Besprechen Sie, wie Sie Anforderungen, Maßnahmen und Nachweise in Secani bearbeiten können.
Diese Seite ordnet ISO 27001 in eigenen Worten ein und ersetzt den lizenzierten Normtext oder eine fachliche Prüfung nicht. Maßgeblich sind die Originalveröffentlichungen und das anwendbare Zertifizierungsverfahren.