Anforderungen der ISO 27001: Was die Norm wirklich verlangt

Aufbau der Norm

ISO/IEC 27001 legt fest, was ein Informationssicherheits-Managementsystem (ISMS) leisten muss, um zertifiziert zu werden. Die aktuelle Fassung wurde am 25. Oktober 2022 veröffentlicht; die deutsche Ausgabe erscheint als DIN EN ISO/IEC 27001. Zertifikate nach der Vorgängerfassung von 2013 mussten nach den Übergangsregeln des International Accreditation Forum (IAF MD 26) bis zum 31. Oktober 2025 umgestellt sein — seither wird nur noch nach der Fassung 2022 zertifiziert.

Die Norm besteht aus zwei Teilen, die oft verwechselt werden:

• Hauptteil, Kapitel 4 bis 10: die Anforderungen an das Managementsystem. Sie folgen der einheitlichen Grundstruktur aller ISO-Managementsystemnormen (Harmonized Structure), weshalb ISO 27001 gut mit ISO 9001 oder ISO 22301 zusammenpasst. Diese Kapitel sind vollständig verbindlich.
• Anhang A: eine Liste von 93 Sicherheitsmaßnahmen (Controls). Sie dient als Prüfliste, ob in der Risikobehandlung nichts Wesentliches übersehen wurde. Ausführlich beschrieben werden die Controls in der Schwesternorm ISO/IEC 27002, die selbst nicht zertifizierbar ist.

Kapitel 4 bis 10: die Pflichtanforderungen

Die sieben Kapitel bilden einen Kreislauf: verstehen, führen, planen, ausstatten, betreiben, bewerten, verbessern. Die Tabelle fasst zusammen, worum es in jedem Kapitel geht und welche dokumentierte Information die Norm dort ausdrücklich fordert.

Was Auditoren in diesen Kapiteln besonders prüfen

• Kapitel 4 — Anwendungsbereich: Er muss Grenzen und Schnittstellen benennen und darf nicht so geschnitten sein, dass wesentliche Informationswerte außen vor bleiben. Ein zu enger Anwendungsbereich ist ein häufiger Auditbefund.
• Kapitel 5 — Führung: Die oberste Leitung muss nachweislich Verantwortung übernehmen — nicht nur unterschreiben. Im Audit wird die Geschäftsführung dazu befragt.
• Kapitel 6 — Risikobeurteilung: Die Methode muss wiederholbar sein und vergleichbare Ergebnisse liefern. Aus den Risiken müssen die gewählten Controls nachvollziehbar folgen.
• Kapitel 9 — Internes Audit und Managementbewertung: Beides muss vor dem Zertifizierungsaudit mindestens einmal vollständig durchlaufen sein. Ohne diese Nachweise wird kein Zertifikat erteilt.
• Kapitel 10 — Verbesserung: Festgestellte Abweichungen müssen mit Ursache, Maßnahme und Wirksamkeitsprüfung dokumentiert sein.

Anhang A: 93 Controls in vier Themen

Mit der Fassung 2022 wurde der Anhang A neu geordnet: aus 14 Abschnitten mit 114 Controls wurden vier Themen mit 93 Controls. Inhaltlich ist wenig verschwunden — viele Controls wurden zusammengeführt, elf kamen neu hinzu.

Jedes Control trägt in ISO/IEC 27002:2022 zusätzlich Attribute — etwa Art des Controls (präventiv, detektiv, korrektiv), betroffene Schutzziele oder Cybersecurity-Funktion. Diese Attribute sind kein Prüfgegenstand, helfen aber, die Liste nach eigenen Bedürfnissen zu sortieren.

Was 2022 neu hinzukam

Elf Controls sind in der Fassung 2022 neu. Sie zeigen, wohin sich die Norm bewegt: in Richtung Cloud, Überwachung und Datenlebenszyklus.

Für viele Organisationen sind Konfigurationsmanagement (A.8.9), Löschung von Informationen (A.8.10) und Überwachung (A.8.16) die Controls, für die im Bestand am wenigsten Nachweise vorliegen — hier lohnt sich ein früher Blick.

Dokumentierte Information: Was verlangt wird

Die Norm spricht nicht von „Dokumenten" und „Aufzeichnungen", sondern einheitlich von dokumentierter Information. Ausdrücklich gefordert ist sie an diesen Stellen des Hauptteils:

• Anwendungsbereich des ISMS (4.3)
• Informationssicherheitsleitlinie (5.2)
• Prozess der Risikobeurteilung (6.1.2)
• Prozess der Risikobehandlung (6.1.3)
• Erklärung zur Anwendbarkeit — Statement of Applicability (6.1.3 d)
• Informationssicherheitsziele (6.2)
• Nachweise der Kompetenz (7.2)
• Dokumentierte Information, die für die Wirksamkeit des ISMS nötig ist — Umfang bestimmen Sie selbst (7.5.1 b)
• Nachweis, dass Prozesse wie geplant durchgeführt wurden (8.1)
• Ergebnisse der Risikobeurteilungen (8.2)
• Ergebnisse der Risikobehandlung (8.3)
• Nachweise der Überwachungs- und Messergebnisse (9.1)
• Nachweise über Auditprogramm und Auditergebnisse (9.2)
• Nachweise der Ergebnisse der Managementbewertung (9.3)
• Art der Nichtkonformitäten, ergriffene Maßnahmen und Ergebnisse der Korrekturmaßnahmen (10.2)

Hinzu kommen die Richtlinien und Verfahren, die einzelne Controls im Anhang A verlangen, sofern Sie diese Controls anwenden — etwa themenspezifische Richtlinien (A.5.1), Regeln zur zulässigen Nutzung (A.5.10) oder Verfahren zur Reaktion auf Sicherheitsvorfälle (A.5.26). Alles Weitere ist Ihre Entscheidung: Die Norm fordert Wirksamkeit, nicht Papiermenge.

Die Erklärung zur Anwendbarkeit (SoA)

Die Erklärung zur Anwendbarkeit ist das zentrale Dokument des ISMS und das erste, was Auditoren lesen. Sie listet für jedes Control des Anhangs A auf:

1. ob es angewendet wird oder nicht,
2. die Begründung für Anwendung oder Ausschluss,
3. den Umsetzungsstand.

Zusätzlich müssen Controls enthalten sein, die Sie über den Anhang A hinaus aus der Risikobehandlung abgeleitet haben — etwa aus Kundenverträgen, BSI IT-Grundschutz oder TISAX. Die Erklärung zur Anwendbarkeit muss zur Risikobeurteilung passen: Wenn ein Risiko als hoch bewertet ist, das zugehörige Control aber ausgeschlossen wurde, ist das ein Widerspruch, den jeder Auditor findet.

Was Auditoren sehen wollen

Auditoren prüfen nicht, ob Ihr ISMS schön ist, sondern ob es konform, wirksam und gelebt ist. Drei Fragen ziehen sich durch jedes Audit:

• Konform: Ist jede Anforderung der Kapitel 4 bis 10 erfüllt, und sind die anwendbaren Controls umgesetzt?
• Wirksam: Erreichen die Maßnahmen ihren Zweck? Das zeigen Messergebnisse, behandelte Vorfälle, Ergebnisse interner Audits.
• Gelebt: Kennen die Mitarbeitenden die Regeln, und halten sie sich daran? Auditoren sprechen deshalb nicht nur mit dem Sicherheitsbeauftragten, sondern stichprobenartig mit Fachbereichen.

Wie der Weg zum Zertifikat konkret aussieht — von der Vorbereitung über Stufe 1 und Stufe 2 bis zur Rezertifizierung —, beschreibt der Ratgeber ISO-27001-Zertifizierung: So läuft sie ab; mit welchen Kosten Sie rechnen müssen, der Ratgeber Was kostet eine ISO-27001-Zertifizierung?.

Und NIS-2?

Viele Unternehmen fragen, ob die ISO-27001-Zertifizierung zugleich die Pflichten aus dem NIS-2-Umsetzungsgesetz erfüllt. Das BSI beantwortet das klar: Es schreibt keine bestimmte Norm vor, und eine Zertifizierung nach ISO/IEC 27001 bedeutet nicht automatisch NIS-2-Konformität — unter anderem, weil der Anwendungsbereich eines ISMS eingegrenzt werden kann, während das BSI-Gesetz die gesamte Einrichtung meint, und weil Meldepflichten und Registrierung nicht Teil der Norm sind. Ein ISO-27001-konformes ISMS ist dennoch die übliche Grundlage, auf der NIS-2-Anforderungen aufgesetzt werden.