Kurzantwort: ISO/IEC 27001 ist der international anerkannte Standard für Informationssicherheits-Managementsysteme (ISMS). Er legt fest, wie ein Unternehmen Informationssicherheit systematisch organisiert – von der Risikoanalyse über konkrete Schutzmaßnahmen bis zur Zertifizierung durch eine unabhängige, akkreditierte Stelle.
Was der Standard konkret regelt
ISO 27001 beschreibt zunächst einen Rahmen, keine fertige Checkliste: Risiken analysieren, Sicherheitsziele festlegen, Verantwortlichkeiten klären, die Wirksamkeit der Maßnahmen laufend überprüfen und verbessern. Dieser Kreislauf ist als PDCA-Zyklus (Plan-Do-Check-Act) bekannt. Die Fassung 2022 nennt ihn nicht mehr ausdrücklich – sie folgt der einheitlichen Struktur, die alle ISO-Managementsystemnormen teilen. Der formale Kern der Norm sind deshalb die Anforderungen der Kapitel 4 bis 10; die Logik des Kreislaufs steckt darin.
Der Maßnahmenkatalog steht in Anhang A. In der aktuellen Fassung ISO/IEC 27001:2022, die die Vorgängerversion aus 2013 abgelöst hat, sind das 93 Controls in vier Kategorien: organisatorische, personenbezogene, physische und technische Maßnahmen. Anhang A listet diese Maßnahmen allerdings nur; die konkrete Umsetzungsanleitung mit Beispielen liefert die begleitende Norm ISO/IEC 27002. Nicht jedes Unternehmen braucht jedes Control – welche davon tatsächlich relevant sind, bestimmen der gewählte Geltungsbereich (Scope) und die individuelle Risikoanalyse. Ein Unternehmen ohne eigenes Rechenzentrum wird andere Schwerpunkte setzen als ein produzierender Betrieb mit vernetzten Anlagen.
Freiwillig – aber zunehmend faktisch gefordert
Rechtlich ist ISO 27001 kein Gesetz. Die Zertifizierung ist freiwillig, niemand ist dazu verpflichtet. In der Praxis wird sie trotzdem immer öfter zur Voraussetzung: Ausschreibungen setzen sie voraus, Kunden verlangen sie im Rahmen ihres eigenen Lieferantenrisikomanagements, und Versicherer fragen bei Cyber-Policen gezielt nach einem funktionierenden ISMS.
Für Unternehmen, die unter das NISG 2026 fallen, kommt ein weiterer Effekt dazu: Ein ISMS nach ISO 27001 deckt einen Großteil der gesetzlichen NIS-2-Anforderungen bereits ab – ein Freibrief ist es aber nicht, weil sich Geltungsbereich und gesetzlicher Anwendungsbereich unterscheiden können. Wie genau sich beides zueinander verhält, ist Thema eines eigenen Artikels.
Wer zertifiziert – und wer nicht
Ein wichtiger Punkt zur Einordnung: Die Zertifizierungsstelle muss unabhängig und akkreditiert sein. Eine Beratung kann beim Aufbau des ISMS begleiten, die Vorbereitung auf das Audit übernehmen und bei Abweichungen unterstützen – zertifizieren darf sie das eigene Beratungsergebnis aber nicht. Diese Trennung ist in ISO/IEC 17021-1 verankert und Voraussetzung dafür, dass eine Zertifizierungsstelle akkreditiert bleibt; sie arbeitet mit Karenzfristen von mehreren Jahren vor und nach der Zertifikatsausstellung. Sie schützt am Ende das Unternehmen selbst: Das Zertifikat bestätigt eine unabhängige Prüfung, keine Selbstauskunft.
Gültigkeit und laufender Betrieb
Ein ISO-27001-Zertifikat gilt drei Jahre. In dieser Zeit finden jährliche Überwachungsaudits statt, die prüfen, ob das ISMS weiterhin funktioniert und sich verbessert – erst danach steht die vollständige Rezertifizierung an. ISO 27001 ist damit kein einmaliges Projekt, sondern laufender Betrieb, der sich mit dem Unternehmen weiterentwickeln muss – was das für Kosten, Dauer und Ablauf konkret bedeutet, zeigt ein eigener Artikel.
Häufige Fragen zu ISO 27001
Wie unterscheiden sich ISO 27001 und ein ISMS?
ISO 27001 ist der Standard – die Vorlage, an der sich ein Unternehmen orientiert. Das ISMS ist das, was daraus im eigenen Betrieb tatsächlich entsteht: die gelebten Prozesse, Verantwortlichkeiten und Maßnahmen. Der Standard beschreibt, wie ein ISMS aussehen soll; zertifiziert wird am Ende das reale System, nicht das Regelwerk.
Muss man sich an ISO 27001 halten, auch ohne eine Zertifizierung anzustreben?
Ja, das ist ein legitimer Weg. Viele Unternehmen nutzen den Standard zunächst intern als Orientierung für den Aufbau ihrer Informationssicherheit, ohne von Anfang an ein Audit zu planen. Die Zertifizierung ist der Nachweis nach außen – für die interne Wirkung ist sie nicht zwingend Voraussetzung.
Wie oft wird der Standard selbst aktualisiert?
Größere Überarbeitungen sind selten. Nach der Erstveröffentlichung folgte die Revision von 2013, danach die aktuelle Fassung von 2022 – im Schnitt also größere Sprünge über fast ein Jahrzehnt, keine jährlichen Änderungen wie bei manchen anderen Regelwerken.
Gilt ISO 27001 nur für die IT-Abteilung?
Nein. Der Standard betrifft das gesamte Unternehmen im gewählten Geltungsbereich – Prozesse, Verträge, physische Zugänge, Personalthemen und Lieferanten gehören genauso dazu wie Systeme und Netzwerke. Ein ISMS, das nur die IT-Abteilung einbezieht, bildet die tatsächlichen Risiken meist nicht vollständig ab.
Was passiert, wenn ein Unternehmen ein Control aus Anhang A nicht umsetzt?
Das ist ausdrücklich vorgesehen. Im sogenannten Statement of Applicability (Erklärung zur Anwendbarkeit) legt das Unternehmen fest und begründet, welche Controls relevant sind und welche nicht. Nicht jedes der 93 Controls ist für jeden Betrieb Pflicht – entscheidend ist eine nachvollziehbare Begründung auf Basis der eigenen Risikoanalyse.
