Definition
Internationaler Standard für Informationssicherheits-Managementsysteme (ISMS). Definiert Anforderungen an Aufbau, Umsetzung, Aufrechterhaltung und kontinuierliche Verbesserung der Informationssicherheit. Ausgabe 2022 brachte 93 Controls in vier Themengruppen (Annex A). Häufig kombiniert mit TISAX im Automotive-Umfeld.
In der Praxis
Der Aufbau eines ISMS beginnt in der Praxis mit der schwierigsten Frage: Wo ist Information schützenswert, und wie sehr? Die Risikobeurteilung entscheidet, welche der Controls aus dem Anhang zur Anwendung kommen — dokumentiert in der Erklärung zur Anwendbarkeit, dem zentralen Audit-Dokument. Die Ausgabe 2022 hat die Controls auf 93 konsolidiert und in vier Themengruppen sortiert; wer noch nach der Vorgängerfassung arbeitete, musste seine Maßnahmenlandschaft neu mappen. Der häufigste Stolperstein ist nicht die Technik, sondern die Organisation: Verantwortlichkeiten, Richtlinien-Lenkung und Schulungsnachweise entscheiden im Audit stärker als Firewall-Regeln. Im Automotive-Umfeld bildet das ISMS die Basis für TISAX — wer die 27001 sauber betreibt, hat den größten Teil der TISAX-Anforderungen bereits abgedeckt.
Verwandte Begriffe
Häufige Fragen zu ISO/IEC 27001
Was hat sich mit ISO/IEC 27001:2022 geändert?
Der Anhang A wurde neu strukturiert: Statt 114 Maßnahmen in 14 Domänen gibt es nun 93 Controls in vier Themengruppen — organisatorisch, personell, physisch und technologisch. Elf Controls kamen neu hinzu, etwa zu Cloud-Nutzung und Bedrohungsanalyse. Zertifizierte Unternehmen mussten ihre Erklärung zur Anwendbarkeit innerhalb der Übergangsfrist auf die neue Fassung umstellen.
Ist ISO 27001 gesetzlich vorgeschrieben?
Grundsätzlich nicht — die Norm ist freiwillig. Verpflichtend wird sie faktisch über Kundenanforderungen, etwa als TISAX-Basis in der Automobilzulieferkette, und über Regulierung: Für bestimmte Branchen verlangen Gesetze wie das NIS2-Umsetzungsgesetz angemessene Sicherheitsmaßnahmen, für deren Nachweis ein zertifiziertes ISMS der etablierte Weg ist.
Wie lange dauert die Einführung eines ISMS?
Das hängt stark von Größe, Branche und Vorarbeit ab — typischerweise zwischen sechs Monaten und zwei Jahren vom Kickoff bis zum Zertifikat. Entscheidend ist weniger die Dokumentenerstellung als die Risikobeurteilung und die wirksame Umsetzung der Controls, die im Audit nachgewiesen werden muss. Bestehende Strukturen aus ISO 9001 verkürzen den Weg spürbar.