ISO/IEC 27001
Die Norm, ausgeschrieben
ISO 27001 ist eine sehr gute Möglichkeit, Informationssicherheit in einem Unternehmen zu ordnen. Sie zwingt niemanden zu einer bestimmten Technik. Sie verlangt, dass Sie wissen, was Sie schützen, warum Sie es schützen und ob das funktioniert.
Nur wirkt sie beim ersten Kontakt kompliziert. Der Normtext ist knapp, formal und kostenpflichtig. Die Begriffe klingen austauschbar. Und die Beratung dazu erklärt oft mit Fachsprache, was mit Alltagssprache erklärt werden könnte.
Diese Seite dreht das um. Der Domainname ist 27001 ausgeschrieben. Das ist auch das Versprechen: die Norm ausgeschrieben statt abgekürzt.
Einordnung
Was die Norm tatsächlich leistet
ISO 27001 beschreibt kein Produkt und keine Software. Sie beschreibt ein Managementsystem für Informationssicherheit, kurz ISMS. Zertifiziert wird nicht die Firewall, sondern die Art, wie eine Organisation mit Sicherheit umgeht.
Sicherheit hängt nicht mehr an einzelnen Personen
Ohne System weiß meist eine Person, warum eine Regel existiert. Fällt sie aus, fällt das Wissen mit aus. Ein ISMS schreibt auf, wer wofür verantwortlich ist und woran das nachvollziehbar bleibt.
Sie können Ihre Sicherheit belegen
Große Kunden, Versicherer und Muttergesellschaften fragen zunehmend nach einem Nachweis. Ein Zertifikat beantwortet diese Frage einmal für alle, statt jeden Fragebogen einzeln auszufüllen.
Aufwand geht dorthin, wo das Risiko ist
Die Norm schreibt keine feste Liste von Maßnahmen vor. Sie verlangt, dass Sie Ihre Risiken kennen und begründen, was Sie dagegen tun und was bewusst nicht.
Das ist der eigentliche Gewinn. Nicht das Zertifikat an der Wand, sondern die Tatsache, dass jemand die Fragen einmal geordnet beantwortet hat.
Warum der Einstieg schwerfällt
Warum sie trotzdem kompliziert wirkt
Der Eindruck täuscht nicht. Es gibt vier nachvollziehbare Gründe.
- Der Normtext ist für Auditoren geschrieben, nicht für Einsteiger. Er ist kurz, abstrakt und kostet Geld. Wer ihn zum ersten Mal liest, weiß hinterher, welche Anforderungen es gibt, aber nicht, was er montags tun soll.
- Die Begriffe klingen alle gleich. Scope und SoA. Ereignis und Vorfall. Korrektur und Korrekturmaßnahme. Risiko und Restrisiko. Zutritt, Zugang und Zugriff. Jedes Paar meint zwei verschiedene Dinge, und die Verwechslung führt im Audit zu einer Feststellung.
- Anhang A sieht aus wie eine Checkliste, ist aber keine. Dort stehen 93 Maßnahmen in vier Gruppen. Wer sie der Reihe nach abarbeitet, macht viel Arbeit an den falschen Stellen. Welche Maßnahme für Sie gilt, ergibt sich aus Ihren Risiken, nicht aus der Reihenfolge im Anhang.
- Komplexität ist bequem für den Markt. Wer erklärt, macht sich entbehrlich. Wer Fachsprache spricht, wird gebucht. Das ist kein Vorwurf an einzelne Beratungen, aber es erklärt, warum verständliches Material selten ist.
Drei Wege durch das Thema
Was diese Seite anders macht
Drei Werkzeuge, alle kostenlos, ohne Anmeldung und ohne Datenübertragung.
Begriffslexikon
40 Begriffe von Asset bis Least Privilege, je mit einfacher Erklärung, einem Beispiel aus dem Arbeitsalltag, dem Praxishinweis und den Nachweisen, die im Audit gezeigt werden können. Dazu die sechs Paare, die am häufigsten verwechselt werden. Durchsuchbar, jeder Begriff einzeln verlinkbar.
Der Weg zum Zertifikat
Acht Schritte vom Anwendungsbereich bis zur Managementbewertung, in der Reihenfolge, in der sie sinnvoll sind. Mit einer ehrlichen Einordnung, was jeder Schritt an Zeit kostet und wo Projekte üblicherweise hängenbleiben.
Standortbestimmung
Elf Fragen, vier Antwortstufen, ein Ergebnis über sechs Bereiche. Sie sehen, was fehlt und was der nächste sinnvolle Schritt ist. Die Auswertung läuft vollständig in Ihrem Browser. Es gibt kein Formular und keinen Server, der Ihre Antworten sieht.
Drei Praxisanleitungen
Informationssicherheit im Alltag umsetzen
Ein verlorenes Notebook, eine Zugangsfreigabe oder eine verdächtige Nachricht: An konkreten Beispielen sehen Sie, wie Sie Risiken beurteilen, Nachweise festhalten und auf einen Vorfall reagieren können.
Risiken verstehen
Was kann passieren, und was hilft dagegen?
Vom verlorenen Notebook zur begründeten Entscheidung: Folgen, Wahrscheinlichkeit, Schutzmaßnahmen und das verbleibende Risiko.
Nachweise festhalten
Zeigen, was tatsächlich gemacht wurde
Zugangsfreigabe, Wiederherstellung und Schulung: Drei Beispiele zeigen, wie Sie die Durchführung einer Aufgabe nachvollziehbar festhalten.
Geordnet reagieren
Melden, Schaden begrenzen und daraus lernen
Ein einfacher Ablauf für Beschäftigte und verantwortliche Personen. Mit einem Beispiel für eine erste interne Meldung.
Einordnung aus der Praxis
Der häufigste Befund ist kein technischer
Ein Muster wiederholt sich in Zertifizierungsprojekten: Die technischen Maßnahmen sind meist da. Die Sicherungen laufen, die Berechtigungen sind vergeben, die Systeme sind gepflegt. Was fehlt, ist die Aufzeichnung, dass das auch tatsächlich geschieht.
Ein Auditor prüft nicht, ob Sie eine Richtlinie haben. Er prüft an Stichproben, ob der beschriebene Ablauf gelebt wird. Wurde der Zugang beantragt, genehmigt, eingerichtet und beim Austritt wieder entzogen? Gibt es dazu einen Nachweis?
Das ist eine Einordnung aus der Praxis, keine Aussage der Norm. Für die Vorbereitung hat sie eine praktische Folge: Fangen Sie nicht bei der Technik an. Fangen Sie bei der Frage an, was Sie im Zweifel zeigen können.
Abgrenzung
Was ISO 27001 nicht abdeckt
Ein ISMS nach ISO 27001 ist kein Sammelnachweis für alle Sicherheits- und Digitalpflichten. Drei Regelwerke werden regelmäßig damit verwechselt.
| Regelwerk | Worum es geht | Verhältnis zu ISO 27001 |
|---|---|---|
| DSGVO | Schutz personenbezogener Daten | Überschneidet sich bei den technischen und organisatorischen Maßnahmen, verlangt aber eigene Nachweise und eine eigene Rechtsgrundlage |
| Cyber Resilience Act | Sicherheitsanforderungen an Produkte mit digitalen Elementen | Betrifft das, was Sie ausliefern, nicht Ihre interne Organisation. Ein ISMS erfüllt die Produktpflichten nicht |
| KI-Verordnung | Pflichten für Anbieter und Betreiber von KI-Systemen | Knüpft am Zweck des KI-Einsatzes an. Ein Zertifikat nach ISO 27001 ersetzt diese Einordnung nicht |
Wer alle drei gleichzeitig auf dem Tisch hat, spart trotzdem Arbeit: die Bestandsaufnahme, welche Systeme, Daten und Produkte es überhaupt gibt, wird nur einmal gebraucht.
Grenzen
Was diese Seite nicht ist
- Kein Ersatz für den Normtext. Die Erklärungen sind Einstiegshilfen. Für eine Zertifizierungsentscheidung sind der tatsächliche Anwendungsbereich, die aktuelle Normausgabe und die Lage Ihrer Organisation maßgeblich.
- Keine Rechtsberatung. Wo rechtliche Anforderungen berührt sind, ist eine Prüfung im Einzelfall nötig.
- Keine Garantie. Eine Vorbereitung nach diesen Seiten führt nicht zwangsläufig zu einem bestandenen Audit.
- Kein Werbetrichter. Sie können alles hier nutzen, ohne Kontakt aufzunehmen. Es gibt kein Formular, keine Anmeldung und keine Auswertung Ihres Verhaltens.