ISO 27001 Anforderungen: was die Norm von Ihnen verlangt

Die Norm hat zwei Teile. Der Hauptteil mit den Klauseln 4 bis 10 beschreibt, wie Sie Informationssicherheit steuern: Wer verantwortet sie, wie bewerten Sie Risiken, wie prüfen Sie Ihre Wirksamkeit. Diese Klauseln sind für jede Organisation verbindlich, die sich auf die Norm beruft.

Anhang A ist ein Katalog von Sicherheitskontrollen, gegliedert in vier Themen: organisatorische, personelle, physische und technologische Kontrollen. Welche davon Sie umsetzen, entscheidet Ihre Risikobewertung. Das ist der Kern der Norm. Sie schreibt keine feste Checkliste vor, sondern verlangt, dass Sie Ihre Auswahl nachvollziehbar begründen.

Die Ausgabe 2022 hat die Kontrollen überarbeitet, unter anderem für Cloud-Dienste, Datenschutz und Cyberrisiken. Die Klauselstruktur folgt wie bei ISO 9001 oder ISO 14001 dem gleichen Grundgerüst. Wer bereits ein anderes Managementsystem führt, findet vieles wieder.

• Zur Seite ISO 27001:2022

Jede Klausel beantwortet eine praktische Frage. Die folgende Übersicht nennt zu jeder, was dahintersteht und was Sie üblicherweise festhalten.

Klausel 4: Kontext der Organisation

Sie klären, welche Kunden, Aufsichtsstellen und Lieferanten Anforderungen an Ihre Informationssicherheit stellen, und legen den Geltungsbereich fest. Festgehalten wird der Geltungsbereich, meist ergänzt um eine Liste der interessierten Parteien.

Klausel 5: Führung

Die Geschäftsleitung trägt die Verantwortung, erlässt die Sicherheitspolitik und weist Rollen zu. Festgehalten werden die Informationssicherheitspolitik und die Zuständigkeiten.

Klausel 6: Planung

Sie bewerten Informationssicherheitsrisiken, entscheiden, wie Sie damit umgehen, und wählen die Kontrollen aus Anhang A aus. Dazu kommen messbare Sicherheitsziele. Festgehalten werden Risikomethode, Risikobehandlungsplan, Erklärung zur Anwendbarkeit und Ziele.

Klausel 7: Unterstützung

Sie stellen Mittel bereit, sorgen für Kompetenz, sensibilisieren Mitarbeitende und lenken Ihre Dokumente. Festgehalten werden Schulungsnachweise und die gelenkten Dokumente des ISMS.

Klausel 8: Betrieb

Sie setzen die geplanten Massnahmen um und wiederholen die Risikobewertung in geplanten Abständen oder bei wesentlichen Änderungen. Festgehalten werden die Ergebnisse der Risikobewertung und der Risikobehandlung.

Klausel 9: Bewertung der Leistung

Sie messen, ob das System wirkt, führen interne Audits durch und lassen die Geschäftsleitung das ISMS bewerten. Festgehalten werden Messergebnisse, Auditprogramm und Protokoll der Managementbewertung.

Klausel 10: Verbesserung

Bei Abweichungen und Sicherheitsvorfällen korrigieren Sie die Ursache und verbessern das System laufend. Festgehalten werden Abweichungen und Korrekturmassnahmen.

Nein. Sie müssen jede Kontrolle prüfen, aber nicht jede einführen. Ein Softwareunternehmen mit Cloud-Betrieb braucht andere Kontrollen als eine Treuhandkanzlei mit Papierakten. Wo Sie eine Kontrolle weglassen, begründen Sie das schriftlich.

Diese Entscheidung halten Sie in der Erklärung zur Anwendbarkeit fest, auf Englisch Statement of Applicability (SoA). Sie listet alle Kontrollen aus Anhang A auf und nennt zu jeder, ob sie gilt, warum, und ob sie bereits umgesetzt ist. Kunden, die im Lieferantenfragebogen nach Ihrem ISMS fragen, verlangen oft genau dieses Dokument.

Typische Kontrollen sind Zugriffsrechte und Passwortregeln, Datensicherung, Verschlüsselung, Regeln für Lieferanten und Cloud-Dienste, Schulung der Mitarbeitenden und das Melden von Sicherheitsvorfällen.

Die Norm nennt eine überschaubare Zahl von Nachweisen, die Sie vorhalten müssen. Ein Handbuch von hundert Seiten ist dafür nicht nötig. Die Tabelle zeigt die wichtigsten Pflichtnachweise und was in einem kleinen Betrieb dafür genügt.

Sie beantworten online 48 Ja/Nein-Fragen zu Ihrem ISMS. 13 davon sind zwingende Anforderungen der Norm und müssen alle mit Ja beantwortet sein. Von den übrigen 35 Fragen brauchen Sie mindestens 24 Ja-Antworten. Der Test ist kostenlos und ohne Registrierung. Sie sehen sofort, wo Ihnen noch ein Nachweis fehlt.

Nach bestandener Selbstbeurteilung und Zahlung erhalten Sie das Zertifikat innerhalb von 4 Stunden. Es wird von der G6 Agency AG unter Lizenz von SICE ausgestellt, und SICE prüft jede Beurteilung vor der Ausstellung. Einen Vor-Ort-Audit gibt es nicht. Jedes Zertifikat lässt sich öffentlich über Nummer und QR-Code auf dem PDF verifizieren, etwa durch Ihre Einkaufsabteilung oder bei einer Ausschreibung.

Das Zertifikat kostet 849 CHF im ersten Jahr, danach 569 CHF pro Jahr inklusive des jährlichen Online-Re-Audits. Es gilt 3 Jahre. Wer lieber mit einer Zertifizierungsstelle vor Ort arbeitet, findet den Vergleich der Wege im Leitfaden.

• Kostenlose Selbstbeurteilung starten
• Preise ansehen
• Wege zur Zertifizierung vergleichen