ISO 27001 Zertifizierung

Was ist die ISO 27001 Zertifizierung?

Die ISO 27001 Zertifizierung ist die Prüfung eines Informationssicherheitsmanagementsystems durch eine unabhängige, akkreditierte Stelle. Bestätigt wird nicht die Sicherheit einzelner Systeme, sondern dass Risiken systematisch erfasst, bewertet und behandelt werden. Das Zertifikat gilt drei Jahre und wird durch jährliche Überwachungsaudits aufrechterhalten.

Der entscheidende Punkt wird oft missverstanden. Geprüft wird ein Managementsystem, also ein Regelkreis aus Zuständigkeiten, Verfahren und Nachweisen. Ein Unternehmen kann zertifiziert sein und dennoch technische Schwächen aufweisen, solange es diese kennt, bewertet und plangemäß bearbeitet.

Was der Standard verlangt

Der Hauptteil der Norm beschreibt die Anforderungen an das Managementsystem. Dazu gehören eine festgelegte Leitlinie, klare Verantwortlichkeiten, ein Verfahren zur Risikobeurteilung, messbare Ziele, interne Audits und eine regelmäßige Bewertung durch die Leitung.

Ergänzt wird der Hauptteil durch einen Anhang mit Maßnahmenzielen, die in der Fassung von 2022 in vier Themenfelder gegliedert sind, nämlich organisatorische, personenbezogene, physische und technologische Maßnahmen. Aus dieser Liste wählt die Organisation aus, was für ihre Risikolage einschlägig ist. Die Auswahl und die Begründung für nicht angewendete Maßnahmen werden im Statement of Applicability festgehalten, dem zentralen Dokument jedes Audits.

Wesentlich ist die Festlegung des Geltungsbereichs. Er bestimmt, welche Standorte, Systeme und Prozesse das Zertifikat abdeckt. Ein eng geschnittener Geltungsbereich senkt den Aufwand, verliert aber an Aussagekraft, sobald ein Auftraggeber genauer hinsieht.

Ablauf der Zertifizierung

Der Weg zur ISO 27001 Zertifizierung verläuft in der Praxis in fünf Abschnitten.

1. Vorbereitung. Geltungsbereich festlegen, Verantwortlichkeiten benennen, vorhandene Regelungen sichten.
2. Aufbau des Managementsystems. Risikobeurteilung durchführen, Maßnahmen auswählen, Verfahren dokumentieren, Nachweise sammeln.
3. Interner Betrieb. Das System muss vor dem Audit tatsächlich gelebt worden sein. Ohne interne Audits und eine Managementbewertung fehlen die Nachweise.
4. Zertifizierungsaudit. Es besteht aus zwei Stufen. Stufe 1 prüft die Dokumentation und die Auditbereitschaft, Stufe 2 prüft die Wirksamkeit vor Ort.
5. Aufrechterhaltung. Jährliche Überwachungsaudits, nach drei Jahren ein Rezertifizierungsaudit.

Für den Gesamtzeitraum vom Projektstart bis zum Zertifikat ist bei mittelständischen Organisationen erfahrungsgemäß eine Größenordnung von etwa einem Jahr anzusetzen. Der tatsächliche Aufwand hängt stark davon ab, wie weit Prozesse bereits dokumentiert sind.

Abgrenzung zum BSI IT-Grundschutz

Beide Ansätze führen zu einem anerkannten Nachweis, gehen aber unterschiedlich vor. Die ISO 27001 ist ein international verbreiteter, risikoorientierter Standard, der offenlässt, wie eine Anforderung erfüllt wird. Der BSI IT-Grundschutz arbeitet mit vorkonfigurierten Bausteinen und konkreten Anforderungen, was den Einstieg strukturiert, aber weniger Spielraum lässt.

Im Behördenumfeld und bei kritischen Infrastrukturen ist der IT-Grundschutz häufig gefordert oder gesetzt. Ein Zertifikat nach ISO 27001 auf Basis von IT-Grundschutz verbindet beide Wege. Eine ausführliche Gegenüberstellung bietet die Seite ISO 27001 vs. IT-Grundschutz, die Grundlagen des BSI-Ansatzes die Kompetenzseite zum IT-Grundschutz.

Bedeutung in Ausschreibungen

In öffentlichen Vergabeverfahren und in Lieferantenprüfungen großer Unternehmen wird eine ISO 27001 Zertifizierung zunehmend als Eignungskriterium gefordert. Wer sie nicht vorweisen kann, scheidet aus, unabhängig von der fachlichen Eignung.

Zu beachten ist dabei der Geltungsbereich. Ein Zertifikat, das nur die Konzernzentrale abdeckt, hilft nicht, wenn die Leistung von einem anderen Standort erbracht wird. Worauf bei der Formulierung entsprechender Anforderungen zu achten ist, behandelt die Seite zur ISO 27001 in der Ausschreibung.

Für Unternehmen im Anwendungsbereich der NIS-2-Richtlinie kommt hinzu, dass die dort geforderten Risikomanagementmaßnahmen sich weitgehend mit den Anforderungen der ISO 27001 decken. Ein bestehendes Managementsystem verkürzt die Umsetzung erheblich, wie die Kompetenzseite zu NIS-2 zeigt.

Was die Zertifizierung nicht leistet

Ein Zertifikat ist eine Momentaufnahme mit Gültigkeitsdauer, kein dauerhafter Zustand. Drei Einschränkungen sind für die Bewertung wichtig.

Es sagt nichts über das Sicherheitsniveau einzelner Produkte aus. Wer wissen möchte, ob eine konkrete Anwendung angreifbar ist, braucht eine technische Prüfung, etwa einen Penetrationstest.

Es ersetzt keine Datenschutzprüfung. Informationssicherheit und Datenschutz überschneiden sich, verfolgen aber unterschiedliche Schutzziele.

Und es schützt nicht vor Vorfällen. Die Norm verlangt ausdrücklich Verfahren zum Umgang mit Sicherheitsvorfällen, weil deren Eintreten einkalkuliert wird. Wie sich das im Betrieb verankern lässt, beschreibt der Eintrag zum IT-Sicherheitskonzept.

Aufwand und laufende Kosten

Der Aufwand einer ISO 27001 Zertifizierung verteilt sich auf drei Blöcke, die bei der Planung getrennt betrachtet werden sollten.

Interner Aufwand. Er ist regelmäßig der größte Posten. Risikobeurteilung, Dokumentation, Schulung und interne Audits binden Personal über Monate. Wird diese Kapazität nicht ausdrücklich freigestellt, verzögert sich das Vorhaben, weil das Tagesgeschäft Vorrang behält.

Externe Beratung. Sie ist nicht vorgeschrieben, verkürzt aber die Einarbeitung erheblich. Zu beachten ist, dass die beratende Stelle aus Gründen der Unabhängigkeit nicht zugleich die Zertifizierung durchführen darf.

Auditkosten. Sie richten sich nach Zahl der Beschäftigten und Umfang des Geltungsbereichs und fallen nicht einmalig an, sondern über den gesamten Dreijahreszyklus hinweg.

Hinzu kommt der dauerhafte Betriebsaufwand. Ein Managementsystem, das nur vor dem Audit gepflegt wird, fällt im Überwachungsaudit auf. Realistisch ist eine feste, wenn auch anteilige Zuständigkeit im Regelbetrieb.

Einordnung für Entscheider

Eine ISO 27001 Zertifizierung lohnt sich, wenn sie einem geschäftlichen Zweck dient, etwa der Teilnahme an Ausschreibungen, der Anforderung eines Großkunden oder der Vorbereitung auf regulatorische Pflichten. Als Selbstzweck betrieben, erzeugt die ISO 27001 Zertifizierung vor allem Dokumentation ohne Wirkung.

Der bleibende Nutzen entsteht dort, wo der Regelkreis tatsächlich gelebt wird, wo Risiken also regelmäßig neu bewertet und Maßnahmen nachgeschärft werden. Softwareprojekte, die in einem solchen Umfeld entstehen sollen, brauchen entsprechende Vorgaben bereits in der Architektur, nicht als nachträgliche Ergänzung. Einen Überblick über den Gesamtrahmen bietet die Kompetenzseite zu ISO 27001. Wie sich die Anforderungen einer ISO 27001 Zertifizierung in konkreten Vorhaben verankern lassen, zeigt der Bereich individuelle Softwareentwicklung.