ISO 27001 im Unternehmen: Was die Norm verlangt und was sie bringt

Wenn ein Großkunde einen Fragebogen zur Informationssicherheit schickt, taucht fast immer eine Frage auf: Sind Sie nach ISO 27001 zertifiziert? Für viele Unternehmen ist das der erste Kontakt mit der Norm. Sie wirkt dann wie eine Hürde, die man mit möglichst wenig Aufwand nehmen möchte.

Dabei lohnt ein genauerer Blick. Die Norm, vollständig ISO/IEC 27001, schreibt keine bestimmte Technik vor. Sie verlangt, dass ein Unternehmen Informationssicherheit planvoll steuert. Es soll Risiken erkennen, Maßnahmen festlegen, deren Wirkung prüfen und laufend nachbessern. Die aktuelle Fassung stammt aus dem Jahr 2022.

Dieser Beitrag erklärt die Grundlagen ohne Fachjargon. Er hilft Ihnen bei der Entscheidung, ob eine Zertifizierung für Ihr Unternehmen sinnvoll ist oder ob die Norm zunächst als Leitfaden reicht.

Was ein ISMS ist

ISMS steht für Informationssicherheits-Managementsystem. Gemeint ist kein Softwareprodukt, sondern ein Regelwerk aus Zuständigkeiten, Abläufen und Dokumenten. Es legt fest, wer im Unternehmen für Sicherheit verantwortlich ist, wie Risiken bewertet und wie Vorfälle behandelt werden.

Die Norm folgt dem Aufbau anderer Managementsystemnormen wie ISO 9001 für Qualität. Sie verlangt unter anderem, dass die Geschäftsleitung Verantwortung übernimmt, Ziele festlegt und Mittel bereitstellt. Dazu kommen interne Audits und eine regelmäßige Bewertung durch das Management. Der Gedanke dahinter ist ein Kreislauf aus Planen, Umsetzen, Prüfen und Verbessern.

Wichtig ist auch der Anwendungsbereich. Ein Unternehmen kann das ISMS auf das ganze Haus beziehen oder auf einzelne Standorte, Bereiche und Dienstleistungen. Ein Zertifikat gilt immer nur für diesen festgelegten Bereich. Wer das Zertifikat eines Partners prüft, sollte deshalb auch den Geltungsbereich lesen.

Das Herzstück: die Risikobewertung

Ohne Risikobewertung gibt es kein ISMS. Das Unternehmen erfasst zunächst, welche Informationen und Systeme für seine Arbeit wichtig sind. Danach fragt es: Was könnte ihnen passieren, wie wahrscheinlich ist das, und wie groß wäre der Schaden? Typische Szenarien sind ein Ausfall der Server, ein gestohlenes Notebook oder ein Angriff mit Schadsoftware.

Die Ergebnisse unterscheiden sich je nach Geschäft deutlich. Ein Onlinehändler stellt vielleicht fest, dass ein Ausfall seines Shops in der Vorweihnachtszeit besonders teuer wäre. Er setzt deshalb auf Ausfallsicherheit. Ein Steuerbüro legt den Schwerpunkt eher auf Vertraulichkeit, weil es mit sensiblen Daten seiner Mandanten arbeitet.

Für jedes relevante Risiko entscheidet das Unternehmen, wie es damit umgeht. Es kann das Risiko senken, vermeiden, teilweise auf Dritte übertragen oder bewusst tragen. Die Norm schreibt keine bestimmte Methode vor. Sie verlangt aber, dass die Bewertung nachvollziehbar ist und bei Wiederholung zu vergleichbaren Ergebnissen führt.

Genau hier liegt der Wert für die Praxis. Statt Sicherheitsbudgets nach Bauchgefühl zu verteilen, entsteht eine begründete Rangfolge. Die Verantwortlichen für die einzelnen Risiken genehmigen den Plan zur Behandlung. Sie akzeptieren ausdrücklich, welche Restrisiken bleiben.

Anhang A und die Erklärung zur Anwendbarkeit

Im Anhang A der Norm steht ein Katalog von Sicherheitsmaßnahmen, im Fachjargon Controls genannt. Er reicht von Regeln für Zugriffsrechte und Datensicherung über Schulungen bis zum Schutz von Räumen. Eine ergänzende Norm, ISO/IEC 27002, erläutert die Maßnahmen ausführlich und gibt Hinweise zur Umsetzung.

Das Unternehmen gleicht diesen Katalog mit seiner Risikobewertung ab. Das Ergebnis ist die Erklärung zur Anwendbarkeit, im Englischen Statement of Applicability. Sie hält fest, welche Maßnahmen gelten, ob sie umgesetzt sind und warum andere ausgeschlossen wurden. Ein Betrieb ohne eigene Softwareentwicklung braucht zum Beispiel keine ausführlichen Regeln für sicheres Programmieren.

Diese Erklärung gehört zu den wichtigsten Dokumenten im ganzen ISMS. Auditoren prüfen sie genau. Kunden fragen sie manchmal an, um den Umfang des Schutzes einzuschätzen.

Wie die Zertifizierung abläuft

Zertifizieren darf nur eine unabhängige Stelle, die dafür akkreditiert ist. In Deutschland ist für die Akkreditierung die Deutsche Akkreditierungsstelle zuständig, kurz DAkkS. Der Ablauf ist bei den meisten Zertifizierungsstellen ähnlich.

• Stufe 1: Die Auditoren prüfen die Dokumentation und ob das Unternehmen für das eigentliche Audit bereit ist.
• Stufe 2: Sie prüfen vor Ort oder aus der Ferne, ob das ISMS im Alltag tatsächlich gelebt wird.
• Schwere Abweichungen muss das Unternehmen beheben, bevor das Zertifikat ausgestellt wird. Für kleinere genügt meist ein Maßnahmenplan.
• In den Folgejahren finden Überwachungsaudits statt, in der Regel einmal im Jahr.
• Nach Ablauf der Gültigkeit, üblicherweise drei Jahre, folgt eine Rezertifizierung.

Auditoren erwarten Nachweise, dass das System bereits eine Weile läuft. Dazu gehören Protokolle interner Audits, eine Managementbewertung und dokumentierte Vorfälle. Ein frisch geschriebener Ordner voller Richtlinien reicht nicht.

Für wen sich der Aufwand lohnt

Die Zertifizierung kostet Zeit und Geld. Interne Arbeitsstunden fallen dabei meist stärker ins Gewicht als die Gebühren der Zertifizierungsstelle. Deshalb lohnt eine nüchterne Abwägung.

Klar dafür spricht es, wenn Kunden das Zertifikat ausdrücklich verlangen. Das betrifft häufig IT-Dienstleister, Rechenzentren, Softwareanbieter und Zulieferer großer Konzerne. Auch in Ausschreibungen wird es oft gefordert. Hier öffnet das Zertifikat Türen, die sonst verschlossen bleiben.

Hinzu kommt ein Nebeneffekt, den viele erst später bemerken. Fragebögen von Kunden lassen sich schneller beantworten, weil die Antworten bereits dokumentiert sind. Auch Gespräche mit Versicherern werden einfacher, wenn klar ist, wie das Unternehmen mit Risiken umgeht.

Anders sieht es bei einem kleinen Betrieb aus, den niemand nach dem Zertifikat fragt. Er kann die Norm als Leitfaden nutzen, ohne sich prüfen zu lassen. Eine ehrliche Risikobewertung, klare Zuständigkeiten und geprüfte Datensicherungen bringen schon viel. In Deutschland bietet zudem der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik eine ausführliche Orientierung.

Ein Zertifikat beweist, dass ein System existiert. Ob es schützt, zeigt sich erst im Ernstfall.

Typische Fehler bei der Einführung

Der häufigste Fehler ist ein ISMS, das nur auf dem Papier existiert. Richtlinien werden aus Vorlagen übernommen, aber niemand kennt sie. Beim Audit fällt das meist auf, spätestens im Gespräch mit den Mitarbeitern.

Ein zweiter Fehler ist die Behandlung als reines IT-Projekt. Informationssicherheit betrifft auch Personal, Einkauf, Gebäude und Verträge mit Dienstleistern. Ohne Rückhalt der Geschäftsleitung bleiben diese Bereiche außen vor.

Drittens unterschätzen viele den laufenden Aufwand. Das ISMS muss gepflegt werden, sonst veraltet die Risikobewertung. Neue Systeme, neue Dienstleister und neue Bedrohungen gehören regelmäßig auf den Prüfstand.

Wer diese Punkte im Blick behält, gewinnt mehr als ein Zertifikat. Er hat einen klaren Überblick über seine Risiken. Und er hat eine Organisation, die bei einem Vorfall weiß, was zu tun ist.