Eine Zertifizierung weist Kunden und Partnern nach, dass Sicherheit gelebt wird, nicht nur behauptet.
Wie funktioniert ein ISMS nach ISO 27001?
ISO/IEC 27001 ist laut ISO der weltweit bekannteste Standard für Informationssicherheits-Managementsysteme (ISMS). Er legt Anforderungen fest, wie ein Unternehmen Informationssicherheitsrisiken systematisch bewertet und behandelt, unabhängig von Grösse und Branche.
Im Zentrum steht ein fortlaufender Zyklus: Risiken identifizieren und bewerten, Massnahmen im Statement of Applicability begründen und priorisieren, umsetzen, überprüfen im internen Audit und Management-Review, und auf Basis der Ergebnisse verbessern. Die aktuelle Fassung stammt aus dem Jahr 2022 mit einer Änderung 2024, der Standard selbst wird seit 2005 kontinuierlich weiterentwickelt.
Wen betrifft ISO 27001?
Grundsätzlich kann sich jedes Unternehmen zertifizieren lassen, unabhängig von Grösse und Branche. In der Praxis wird ISO 27001 vor allem dort verlangt, wo Kunden, Partner oder Aufsichtsbehörden einen belastbaren Nachweis für Informationssicherheit erwarten: bei IT-Dienstleistern, in der Luftfahrt, im Finanzwesen, bei Zulieferern regulierter Konzerne und überall dort, wo NIS2 oder DORA greifen, denn ein bestehendes ISMS deckt bereits einen grossen Teil dieser Pflichten ab.
Was braucht es für eine Zertifizierung?
Der Weg beginnt mit einer ehrlichen Gap-Analyse: Wo steht das Unternehmen heute, wo sind die Lücken zum Standard. Darauf folgen ein realistisch abgegrenzter Anwendungsbereich, eine Risikobewertung und das Statement of Applicability, das für jede Referenzmassnahme begründet, ob und wie sie umgesetzt wird. Erst nach internem Audit und Management-Review folgt das externe Zertifizierungsaudit durch eine unabhängige, akkreditierte Zertifizierungsstelle.
- Gap-Analyse gegen den aktuellen Standard
- Realistische Scope-Definition statt Grossprojekt
- Risikobewertung und Statement of Applicability
- Richtlinien, die zum tatsächlichen Betrieb passen
- Internes Audit und Management-Review vor dem externen Audit
Welche Fehler passieren bei ISO 27001 am häufigsten?
Der häufigste Fehler ist ein ISMS, das nur auf Papier existiert: Richtlinien werden geschrieben, aber nicht gelebt, und Nachweise werden erst kurz vor dem Audit hektisch zusammengesucht. Fast ebenso häufig wird der Anwendungsbereich zu gross gewählt, wodurch aus einem handhabbaren Projekt ein Grossprojekt wird, das nie fertig wird.
Ein dritter Fehler ist die Annahme, das Zertifikat werde vom beratenden Unternehmen selbst ausgestellt: Das ist gesetzlich getrennt und geschieht ausschliesslich durch eine unabhängige, akkreditierte Zertifizierungsstelle.
Aufwand und Kostentreiber bei ISO 27001
Der Aufwand hängt vom gewählten Anwendungsbereich, vom bestehenden Reifegrad der Informationssicherheit und von der Anzahl der Standorte und Systeme im Scope ab. Je nach Ausgangslage vergehen typischerweise mehrere Monate bis zum Zertifizierungsaudit, mit klarer Roadmap und realistischem Scope oft zügiger als erwartet. Konkrete Beträge lassen sich ohne Kenntnis der individuellen Ausgangslage nicht seriös nennen.
Zusammenhang mit anderen Normen
ISO 27001 ist die gemeinsame Grundlage für NIS2, DORA und weite Teile der DSGVO-Anforderungen an technische und organisatorische Massnahmen. Mit ISO 9001 teilt es dieselbe High Level Structure, was ein integriertes Managementsystem erleichtert, und für Medizinprodukte-Hersteller ergänzt ISO 13485 die Anforderungen um Risikomanagement und Rückverfolgbarkeit für das Produkt selbst.
Häufige Fragen
Wie lange dauert eine ISO-27001-Zertifizierung?
Je nach Reifegrad und Grösse typischerweise mehrere Monate bis zum Zertifizierungsaudit. Eine klare Roadmap mit realistischem Scope verkürzt die Zeit deutlich.
Was ist ein Statement of Applicability?
Das zentrale ISO-27001-Dokument, das für jede Referenzmassnahme aus Anhang A begründet, ob und wie sie umgesetzt wird, oder warum sie nicht anwendbar ist.
Vergibt der Berater das Zertifikat?
Nein. Das Zertifikat stellt ausschliesslich eine unabhängige, akkreditierte Zertifizierungsstelle aus, das ist gesetzlich getrennt von der Beratung beim Aufbau des ISMS.
Reicht ISO 27001 auch für NIS2?
Ein bestehendes ISMS deckt einen grossen Teil der NIS2-Anforderungen ab, ersetzt aber nicht die zusätzlichen Pflichten wie das gesetzliche Meldewesen.
Was ist der Unterschied zwischen ISO 27001 und einem ISMS?
Das ISMS ist das tatsächliche System aus Richtlinien, Prozessen und Kontrollen im Unternehmen, ISO 27001 ist der Standard, gegen den dieses System bewertet und zertifiziert wird.
Quellen
- ISO/IEC 27001:2022, Information security management systems, International Organization for Standardization (ISO), 2022
- ISO/IEC 27001:2022 Information Security Management Systems, a practical guide for SMEs, International Organization for Standardization (ISO), 2022