Was ist ein ISMS und wie setzt man es mit ISO 27001 um?

Ein ISMS (Informationssicherheits-Managementsystem) ist die Gesamtheit aus Richtlinien, Prozessen, Verantwortlichkeiten und Maßnahmen, mit denen eine Organisation festlegt, dokumentiert und überprüft, wie sie ihre Informationen schützt. ISO/IEC 27001:2022 beschreibt die Anforderungen an ein ISMS in den Kapiteln 4 bis 10 und enthält in Anhang A 93 Referenzmaßnahmen (Controls); eine Organisation kann sich zertifizieren lassen, wenn eine Zertifizierungsstelle bestätigt, dass ihr ISMS diese Anforderungen erfüllt.

Wozu dient ein ISMS?

Ein ISMS behandelt Informationssicherheit wie ein Managementsystem: Ziele werden festgelegt, Risiken bewertet, Maßnahmen umgesetzt und ihre Wirksamkeit gemessen. So hängt Sicherheit nicht mehr von Einzelaktionen ab, sondern wird wiederholbar, messbar und gegenüber Kunden, Auditoren und Aufsichtsbehörden nachweisbar.

Der Aufbau von ISO/IEC 27001:2022

Kapitel	Thema	Worum es geht
4	Kontext	Interne und externe Themen, interessierte Parteien und Anwendungsbereich des ISMS
5	Führung	Verpflichtung der Leitung, Informationssicherheitsleitlinie und Rollen
6	Planung	Risikobeurteilung und -behandlung, Erklärung zur Anwendbarkeit und Ziele
7	Unterstützung	Ressourcen, Kompetenz, Bewusstsein, Kommunikation und dokumentierte Information
8	Betrieb	Umsetzung der Maßnahmen und regelmäßige Risikobeurteilungen
9	Bewertung der Leistung	Überwachung und Messung, internes Audit und Managementbewertung
10	Verbesserung	Nichtkonformitäten, Korrekturmaßnahmen und fortlaufende Verbesserung

Die 93 Maßnahmen in Anhang A

Die Version 2022 ordnet die Maßnahmen vier Themen zu: 37 organisatorische, 8 personenbezogene, 14 physische und 34 technologische. Nicht jede Maßnahme passt zu jeder Organisation: Die Erklärung zur Anwendbarkeit (Statement of Applicability, SoA) hält fest, welche angewendet werden, warum und mit welchem Umsetzungsstand.

Welche Dokumente braucht ein ISMS?

Anwendungsbereich des ISMS und Informationssicherheitsleitlinie.
Methode und Ergebnisse der Risikobeurteilung sowie Risikobehandlungsplan.
Erklärung zur Anwendbarkeit (SoA).
Informationssicherheitsziele und Nachweise der Kompetenz des Personals.
Ergebnisse von Überwachung und Messung.
Auditprogramm und Ergebnisse interner Audits sowie Managementbewertung.
Nachweise zu Nichtkonformitäten und Korrekturmaßnahmen.

Darüber hinaus dokumentiert jede Organisation, was sie für ein wirksames ISMS braucht, zum Beispiel themenspezifische Richtlinien (Zugriffssteuerung, Datensicherung, Lieferanten) und Verfahren.

ISO 27001 oder BSI IT-Grundschutz?

In Deutschland begegnet man häufig auch dem IT-Grundschutz des BSI. Beide Ansätze schließen sich nicht aus: Das BSI bietet sogar eine ISO-27001-Zertifizierung auf Basis von IT-Grundschutz an. Der Unterschied liegt im Vorgehen: ISO 27001 leitet die Maßnahmen aus der eigenen Risikobeurteilung ab, IT-Grundschutz arbeitet mit vorgegebenen Bausteinen und Anforderungen. Für viele mittelständische Unternehmen mit internationalen Kunden ist die native ISO 27001 der direktere Weg.

Wie läuft die Zertifizierung ab?

Die Zertifizierung erteilt eine akkreditierte Zertifizierungsstelle (in Deutschland akkreditiert durch die DAkkS), meist in zwei Stufen: zuerst eine Prüfung der Dokumentation, dann ein Audit der Umsetzung. Das Zertifikat wird durch jährliche Überwachungsaudits aufrechterhalten. Die Norm selbst erhalten Sie bei ISO oder als DIN EN ISO/IEC 27001 beim DIN Media Verlag; Vorlagenkits enthalten sie nicht.

Wo anfangen?

Legen Sie den Anwendungsbereich fest, sichern Sie die Unterstützung der Leitung und führen Sie die Risikobeurteilung durch: Aus ihr ergeben sich die nötigen Maßnahmen und die Erklärung zur Anwendbarkeit. Bearbeitbare Vorlagen sparen Zeit beim Schreiben, jedes Dokument muss aber an die Realität der Organisation angepasst werden. Das NexoDocs-Kit auf Deutsch bündelt 84 Word- und Excel-Dateien, nach Phasen geordnet; die Risikomatrix können Sie vorab kostenlos testen (Probe auf Englisch).

Kostenlose Probe herunterladen (Englisch) Zum vollständigen Kit

Häufige Fragen

Sind ISMS und ISO 27001 dasselbe?

Nein. Das ISMS ist das Managementsystem der Organisation; ISO/IEC 27001 ist die Norm, die die Anforderungen festlegt, die dieses System für eine Zertifizierung erfüllen muss.

Wie viele Maßnahmen hat ISO 27001:2022?

Anhang A enthält 93 Maßnahmen in vier Themen: 37 organisatorische, 8 personenbezogene, 14 physische und 34 technologische.

Kann ein KMU ein ISMS einführen?

Ja. Die Norm gilt für Organisationen jeder Größe; Anwendungsbereich und Dokumentation werden an die jeweilige Organisation angepasst.

Verlangt NIS2 eine ISO-27001-Zertifizierung?

Nein. Die NIS2-Richtlinie (EU) 2022/2555 verlangt Maßnahmen zum Risikomanagement, schreibt aber keine bestimmte Zertifizierung vor. Ein ISMS nach ISO 27001 ist ein verbreiteter Weg, diese Maßnahmen strukturiert umzusetzen und nachzuweisen.

Wie lange dauert die Einführung eines ISMS?

Das hängt von Anwendungsbereich und Ressourcen ab; in KMU dauert es zwischen Planung, Umsetzung der Maßnahmen und erstem internen Audit meist mehrere Monate.