ISO/IEC 27001 beschreibt kein bestimmtes Sicherheitsprodukt, sondern ein Managementsystem: einen wiederkehrenden Ablauf, mit dem eine Organisation ihre Informationssicherheit plant, umsetzt, überprüft und verbessert. Kern ist die Risikobetrachtung. Welche Informationen sind schützenswert, welche Bedrohungen bestehen, welche Massnahmen sind angemessen, und wer trägt die Verantwortung?
Aufbau der Norm
Die Kapitel 4 bis 10 enthalten die Anforderungen an das Managementsystem: Kontext der Organisation, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung und Verbesserung. Anhang A listet in der Fassung von 2022 insgesamt 93 Massnahmen in vier Themen: organisatorische, personenbezogene, physische und technologische Massnahmen. Welche davon gelten, hält die Organisation in der Erklärung zur Anwendbarkeit fest, mit Begründung auch für ausgeschlossene Massnahmen.
Zertifizierung
Eine akkreditierte Zertifizierungsstelle prüft das ISMS in einem zweistufigen Audit. Das Zertifikat gilt drei Jahre, mit jährlichen Überwachungsaudits. Die Übergangsfrist von der Fassung 2013 auf die Fassung 2022 ist am 31. Oktober 2025 abgelaufen; gültige Zertifikate beruhen seither auf der neuen Fassung.
Bezug zu NIS2, TISAX und ISG
Weder NIS2 noch das Schweizer Informationssicherheitsgesetz schreiben eine ISO-Zertifizierung vor. Ein ISMS nach ISO 27001 deckt aber einen grossen Teil der Risikomanagementpflichten ab und erleichtert den Nachweis erheblich. TISAX, der Branchenstandard der Automobilindustrie, beruht inhaltlich auf ISO 27001 und ergänzt branchenspezifische Anforderungen.
Für wen sich ISO 27001 lohnt
Eine Zertifizierung lohnt sich, wenn Kunden sie verlangen, wenn ein Unternehmen regulierte Branchen beliefert oder wenn es seine Sicherheitsorganisation nach aussen belegen will. Für kleinere Unternehmen kann ein ISMS nach den Grundsätzen der Norm ohne Zertifizierung ein sinnvoller Zwischenschritt sein. Welche Pflichten für Ihr Unternehmen gelten, klärt eine Compliance-Analyse.