ISO 27001 beschreibt, wie ein Informationssicherheits-Managementsystem (ISMS) aufgebaut wird. Was dahintersteckt und wie ein realistischer Einstieg aussieht.
ISO/IEC 27001 ist ein internationaler Standard für Informationssicherheits-Managementsysteme. Er verlangt keine bestimmte Technik, sondern einen systematischen Prozess: Risiken erkennen, Maßnahmen auswählen, umsetzen, prüfen und verbessern. Maßnahmenbeispiele enthält der Anhang A der Norm.
Bausteine eines ISMS
Geltungsbereich festlegen: Welche Bereiche, Standorte und Systeme gehören dazu?
Informationssicherheitsleitlinie und Verantwortlichkeiten.
Risikoanalyse und Risikobehandlung.
Maßnahmen aus Anhang A auswählen und in einer Erklärung zur Anwendbarkeit begründen.
Schulung, Dokumentation und interne Audits.
Managementbewertung und kontinuierliche Verbesserung.
Zertifizierung ja oder nein?
Eine Zertifizierung durch eine akkreditierte Stelle schafft Vertrauen bei Kunden und kann Ausschreibungen erleichtern. Sie bindet aber Aufwand: Das Zertifikat gilt in der Regel drei Jahre mit jährlichen Überwachungsaudits. Auch ohne Zertifikat helfen die Methodik und die Maßnahmen, Informationssicherheit systematisch zu verbessern. Ergänzend gibt es den BSI IT-Grundschutz als deutsche Alternative.
ISO 27001ISMSInformationssicherheit ZertifizierungISO 27001 MittelstandInformationssicherheits-Managementsystem
Häufige Fragen
Was ist ein ISMS?
Ein Informationssicherheits-Managementsystem, also ein dauerhafter Prozess, der Risiken erfasst, Maßnahmen steuert und Wirksamkeit prüft.
Muss man für ISO 27001 zertifiziert sein?
Nein, die Anwendung der Norm ist auch ohne Zertifikat möglich. Eine Zertifizierung dient dem Nachweis gegenüber Dritten.
Wie lange gilt ein ISO-27001-Zertifikat?
In der Regel drei Jahre, mit jährlichen Überwachungsaudits.